PESEL zastrzeżony, a ryzyko zostaje. Eksperci ostrzegają, to może nie wystarczyć
Niedawny cyberatak na firmę obsługującą dane medyczne milionów Polaków ponownie zwrócił uwagę na bezpieczeństwo informacji przechowywanych w internecie. W takich sytuacjach jednym z pierwszych zaleceń jest zastrzeżenie numeru PESEL. To ważne zabezpieczenie, ale nie rozwiązuje wszystkich problemów związanych z kradzieżą danych. Cyberprzestępcy mogą bowiem wykorzystywać przejęte informacje także na wiele innych sposobów.
W przypadku wycieku szczególnie istotne jest to, jaki zakres informacji dostał się w niepowołane ręce. Im więcej prawdziwych danych o konkretnej osobie posiada oszust, tym bardziej wiarygodną historię może przygotować. Dlatego po takim zdarzeniu ochrona nie powinna ograniczać się do jednej czynności.
Atak hakerski na MyDr. Wyciek mógł dotyczyć milionów Polaków
W sierpniu 2026 roku ujawniono incydent cyberbezpieczeństwa dotyczący systemów firmy MyDr, dostawcy oprogramowania wykorzystywanego przez placówki medyczne. Według medialnych informacji przestępcy mogli uzyskać dostęp do około 19 mln rekordów oraz ponad 2 TB danych. Urząd Ochrony Danych Osobowych informował natomiast o doniesieniach wskazujących, że naruszenie mogło dotyczyć danych niemal 19 mln Polaków. Ostateczna skala zdarzenia nadal jest ustalana.
Sprawa może obejmować około 12 tys. podmiotów leczniczych, które korzystały z usług MyDr i powierzały spółce dane swoich pacjentów. 13 sierpnia Prezes UODO zapowiedział kontrolę w firmie. Inspektorzy mają sprawdzić m.in. zastosowane zabezpieczenia techniczne i organizacyjne oraz sposób prowadzenia analizy ryzyka.
W systemach tego rodzaju mogły znajdować się m.in.:
- imiona i nazwiska,
- numery PESEL,
- telefony,
- adresy e-mail,
- informacje związane z wizytami i historią leczenia.
Polityka prywatności MyDr wskazuje, że przy umawianiu wizyt serwis może przetwarzać m.in. dane kontaktowe, PESEL, termin i powód wizyty czy jej typ. Nie oznacza to jednak, że wszystkie te dane wyciekły w przypadku każdego pacjenta, dokładny zakres naruszenia jest nadal przedmiotem postępowania.
Sprawę prowadzi Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Warszawie. 20 sierpnia policja poinformowała, że trwa analiza danych i ustalanie skali zdarzenia, ale ze względu na dobro postępowania szczegóły nie są obecnie ujawniane. Na tym etapie nie zdecydowano także o publikowaniu numerów PESEL pacjentów MyDr w serwisie bezpiecznedane.gov.pl.
Ministerstwo Zdrowia podkreśla jednocześnie, że nie doszło do naruszenia centralnych usług e-zdrowia. Incydent nie wpływa na dostęp do recept, świadczeń czy usług publicznego systemu ochrony zdrowia. Centrum e-Zdrowia nie stwierdziło również dotychczas nieuprawnionego wykorzystania certyfikatów służących do komunikacji z systemem P1.
Zastrzeżenie PESEL. Jak działa i przed czym chroni?
Jednym z podstawowych działań zalecanych po wycieku danych jest zastrzeżenie numeru PESEL. Można zrobić to bezpłatnie m.in. w aplikacji mObywatel, poprzez serwis gov.pl albo w urzędzie gminy. Status można później cofnąć bezterminowo lub czasowo, np. na potrzeby wykonania konkretnej czynności wymagającej aktywnego numeru.
Mechanizm działa dlatego, że określone instytucje mają obowiązek sprawdzić, czy PESEL klienta jest zastrzeżony. Dotyczy to przede wszystkim banków i firm pożyczkowych przed zawarciem umowy kredytu lub pożyczki. Status numeru weryfikują również operatorzy telekomunikacyjni przed wydaniem duplikatu karty SIM oraz notariusze przy określonych czynnościach dotyczących nieruchomości.
Od 27 listopada 2025 roku status zastrzeżenia sprawdzają także zakłady ubezpieczeń przy zawieraniu umów obowiązkowego OC pojazdów. Jeżeli PESEL jest zastrzeżony, ubezpieczyciel może odmówić zawarcia umowy. Rozwiązanie ma ograniczać możliwość wykorzystywania skradzionych danych przy przestępstwach ubezpieczeniowych.
Dzięki temu zastrzeżenie PESEL znacząco utrudnia przede wszystkim zaciągnięcie kredytu lub pożyczki na cudze dane. Z badania IMAS International przeprowadzonego w kwietniu 2026 roku dla ChronPESEL.pl i Krajowego Rejestru Długów wynika, że 69 proc. Polaków po kradzieży PESEL zdecydowałoby się na jego zastrzeżenie. Jednocześnie tylko 33 proc. deklarowało późniejsze monitorowanie numeru i historii kredytowej. Badanie objęło 1011 osób w wieku 18–74 lata.
Samo zastrzeżenie nie blokuje przy tym codziennego korzystania z numeru PESEL ani nie powoduje jego zmiany. Jest przede wszystkim informacją dla instytucji, że określonych czynności finansowych lub prawnych nie należy wykonywać bez wcześniejszego cofnięcia ochrony.
Zobacz też: Rząd pracuje nad aplikacją alarmową. Alert pojawi się prosto na telefonie
Zastrzeżenie PESEL nie wystarczy. Hakerzy mogą wykorzystać inne dane
Problem polega na tym, że PESEL jest tylko jednym z elementów przejętej tożsamości. Bartłomiej Drozd z ChronPESEL.pl zwraca uwagę, że nawet zastrzeżony numer nadal może być przydatny przestępcom. Skradzione dane mogą posłużyć np. przy próbach wynajęcia mieszkania, wypożyczenia samochodu lub kosztownego sprzętu, zakupach z odroczoną płatnością czy próbie założenia działalności i wyłudzenia finansowania biznesowego.
Jeszcze większym zagrożeniem może być phishing wykorzystujący prawdziwe informacje o ofierze. Oszust posiadający imię, nazwisko, numer telefonu, adres e-mail, nazwę przychodni, a nawet informacje związane z leczeniem może przygotować bardzo wiarygodną wiadomość. Może podszyć się pod lekarza, przychodnię, NFZ, bank albo inną instytucję.
Ofiara może dostać SMS lub e-mail informujący np. o wyniku badania, recepcie, konieczności dopłaty albo problemie z wizytą. Link może prowadzić do fałszywej strony służącej do przejęcia hasła, numeru karty lub kodu jednorazowego. Dlatego znajomość przez rozmówcę prawdziwych danych medycznych nie powinna być traktowana jako dowód jego wiarygodności. W razie podejrzeń najlepiej przerwać rozmowę i samodzielnie skontaktować się z placówką poprzez numer znaleziony na jej oficjalnej stronie.
Jeżeli istnieje podejrzenie, że wśród przejętych informacji znalazły się dane logowania, warto zmienić hasła, przede wszystkim wszędzie tam, gdzie używano tego samego lub podobnego hasła. Ministerstwo Zdrowia i UODO zalecają również korzystanie z uwierzytelniania wieloskładnikowego, ostrożność wobec SMS-ów, telefonów i e-maili oraz regularne kontrolowanie aktywności na kontach.
W kolejnych miesiącach warto zwracać uwagę na nieznane próby logowania, resetowania haseł, podejrzane transakcje oraz zapytania kredytowe. Wyciek danych może bowiem zostać wykorzystany nie tylko bezpośrednio po ataku. Cyberprzestępcy mogą przechowywać informacje i wracać do nich później, gdy zainteresowanie samym incydentem będzie już mniejsze.
Obserwuj w Google News
