Wyciek danych 19 mln Polaków. Nie tylko PESEL-e. Co robić?

Dziś Ministerstwo Cyfryzacji potwierdziło, że miał miejsce prawdopodobnie największy wyciek danych w ciągu ostatnich lat, a być może w ogóle największy w historii Polski. Z firmy MyDr – wskutek cyberataku – ktoś wyprowadził dane na temat 19 milionów Polaków, w tym nasze numery PESEL, dane kontaktowe i wrażliwe dane medyczne. Co robić? Jak zareagować? Oto check-lista, czyli pakiet bezpieczeństwa finansowego

Z firmy MyDr wskutek cyberataku ktoś wyprowadził dane na temat 19 mln Polaków, w tym nasze numery PESEL i wrażliwe dane medyczne, takie jak historie chorób i rejestry wystawianych recept. Co prawda, jak twierdzi minister cyfryzacji, nie wszystkie numery PESEL da się powiązać z wystawionymi receptami i danymi medycznymi, ale z całą pewnością ktoś wie o nas więcej, niż powinien.

System firmy MyDr – Elektroniczna Dokumentacja Medyczna – jest wykorzystywany przez lekarzy i przychodnie z całej Polski do organizacji ich pracy. Firma zbierała więc i przetwarzała dane dotyczące wystawianych recept, dat wizyt, zapisywanych leków. Zatem w jej bazach było mnóstwo naszych danych, choć nie wiadomo, w jakim stopniu powiązanych z numerem PESEL.

Serwis Zaufanatrzeciastrona.pl zajmujący się cyberbezpieczeństwem otrzymał – prawdopodobnie od osób powiązanych z cyberatakiem – zrzut ekranu ze skradzionej bazy danych dotyczący jednego z najważniejszych polityków. Była tam data urodzenia, PESEL, imię i nazwisko oraz dwa różne numery telefonów i recepta na pewien lek oraz lista 25 innych recept (ale tylko ich numerów, bez nazw).

Adam Haertle, twórca serwisu ZaufanaTrzeciaStrona.pl relacjonuje, że poprosił osoby podające się za złodziei danych o sprawdzenie numerów PESEL czterech osób, które zgodziły się na ich wykorzystanie oraz swojego własnego. W przypadku dwóch z tych osób oraz pana Adama złodzieje wysłali fragmenty wykradzionej bazy danych. To mogłoby potwierdzać, że wykradziono rzeczywiście dane dużej części Polaków.

Wielki wyciek: kto nas poinformuje, co stało się z naszymi danymi?

MyDr dostarcza oprogramowanie lekarzom, gabinetom i przychodniom, więc wystarczyło, że z jej systemu korzystała placówka, w której się leczyłeś, byś stał się ofiarą wycieku. Według informacji przekazanych przez ministra cyfryzacji wykradziona baza ma ponad 2 terabajtów, a oprogramowanie było używane przez około 12 000 placówek.

To oczywiście nie jest incydent taki jak wyciek haseł do bankowości internetowej czy numerów i danych kart płatniczych. Kartę można zastrzec, a hasło do konta zmienić. Numeru PESEL – nie. Ale z drugiej strony sam PESEL nie jest hasłem, za pomocą którego można zalogować się na konto i wykonać przelew. Jednak pakiet prawdziwych informacji o konkretnej osobie może być dla oszusta lub złodzieja znacznie bardziej użyteczny niż przypadkowo zdobyty adres e-mail.

Firma MyDr zabezpieczyła zaatakowane systemy, a Ministerstwo Cyfryzacji zapowiedziało, że nie będzie płacić przestępcom okupu. Nie wiadomo jeszcze, czy cała skradziona baza zostanie opublikowana, sprzedana lub wykorzystana wyłącznie do szantażu. Z punktu widzenia konsumenta rozsądnie jest jednak przyjąć, że raz wykradziona informacja może pojawić się „w obrocie” w najmniej oczekiwanym momencie.

W najbliższym czasie pacjenci powinni otrzymywać informacje o naruszeniu ich prywatności zgodnie z ustawą RODO. Sprawę komplikuje fakt, że MyDr przetwarzała dane na zlecenie placówek, natomiast ich administratorami pozostają poszczególne przychodnie i gabinety. UODO przypomniał, że to one muszą ocenić ryzyko, zgłosić naruszenie i – gdy ryzyko jest wysokie – bez zbędnej zwłoki zawiadomić pacjentów. Przy 12 000 placówek komunikaty mogą przychodzić w różnym czasie i zawierać różny zakres informacji.

Rząd zapowiedział też umieszczenie danych o ofiarach kradzieży w serwisie Bezpieczne Dane, aby każdy mógł sprawdzić, czy został objęty wyciekiem. Trzeba korzystać wyłącznie z oficjalnej strony. Pamiętajmy, by nie korzystać z innych stron tego typu, ponieważ również mogą być stworzone w ramach oszustwa i wyłudzać kolejne informacje. Co ciekawe, od razu po zdarzeniu strona Bezpieczne Dane padła prawdopodobnie wskutek ogromnej liczby zapytań.

Wielki wyciek danych. Czy można już wpadać w panikę?

Co to oznacza? Dane takie jak PESEL, imię, nazwisko, numer telefonu mogą być wykorzystane do częściowego „sklonowania” naszej tożsamości. A więc podszywania się pod nas przez kogoś, kto chce popełnić przestępstwo. Np. do otwarcia rachunku bankowego na nasze dane (a potem wykorzystania nas jako „słupa” w jakimś przestępstwie finansowym), albo – i to jest bardziej niebezpieczne – do próby zaciągnięcia kredytu lub pożyczki na nasze dane.

Nie wiadomo, czy dowiemy się, że nasze dane zostały wykradzione. Teoretycznie taka informacja może pojawić się na rządowej stronie bezpiecznedane.gov.pl, ale nie wiadomo, czy rząd będzie mógł je tam zamieścić. Administratorami danych, które wyciekły, są bowiem nasze przychodnie. To najpierw one musiałyby być poinformowane przez MyDr o wycieku, żeby móc przekazać tę informację nam i urzędnikom.

Dlatego poza uruchomieniem „pakietu bezpieczeństwa finansowego” warto w najbliższych dniach i miesiącach wzmóc czujność. Co to oznacza? Jeśli przestępcy (albo ktoś, kto odkupi nasze dane) będą chcieli sklonować naszą tożsamość, to będą potrzebowali dodatkowych informacji takich, jak adres, nazwę banku, w którym mamy konto, czy panieńskie nazwisko naszej matki. Jak będą chcieli je zdobyć? Napiszą do nas e-mail z linkiem, w którym będzie wirus i spróbują włamać się na naszą skrzynkę pocztową. I tam pobuszują, np. w poszukiwaniu wyciągów bankowych czy hasła do Facebooka.

A więc: nie otwieramy żadnych linków wysyłanych e-mailem albo SMS-em. Nie reagujemy na propozycje wysokich zysków, na informacje o nieodebranej przesyłce kurierskiej, niezapłaconym rachunku za gaz. Jeśli w tej komunikacji będzie link, to może być próba „dokończenia” roboty przez kogoś, kto ma trochę naszych danych. Jeśli ktoś do nas zadzwoni „z banku” i będzie zadawał dziwne pytania, rozłączmy się. O swoich pieniądzach gadamy tylko wtedy, gdy my dzwonimy, a nie wtedy, gdy do nas dzwonią.

Mając komplet danych, złodzieje mogą próbować wyłudzić kredyt na nasze nazwisko (korzystając z naszej wiarygodności) albo próbować ukraść nam pieniądze z konta. A jak? Jeśli dowiedzą się, w którym banku mamy konto, to wyślą nam e-mail, w którym podszyją się pod nasz bank i spróbują nakłonić nas do podania loginu oraz hasła.

Albo zadzwonią i będą wiarygodnie – podając wiele prawdziwych danych – próbować nas nakłonić, żebyśmy zrobili przelew na podane przez nich konto. Albo SMS-em wyślą nam link, który pozwoli im przejąć kontrolę nad naszym telefonem i autoryzować w naszym imieniu wyprowadzenie pieniędzy z naszego konta.

Nie ma co wpadać w panikę. Nasz PESEL, imię, nazwisko, adres i numer telefonu można zdobyć. Nie jest to może bardzo łatwe, ale jeśli komuś będzie zależało, to zdobędzie te dane nawet bez wycieku. W zupełności wystarczy robić to, co zwykle – po prostu myśleć. Włączyć „pakiet bezpieczeństwa finansowego” (o którym poniżej) i zachować elementarną czujność.

Nie otwierać załączników wysłanych e-mailem (o ile nie mamy pewności „źródła”), nie klikać linków, nie reagować na SMS-y z linkami, nie reagować na dziwne prośby od znajomych na Facebooku (ktoś mógł przejąć konto np. naszej przyjaciółki). Nie poddawać się presji czasu. Weryfikować informacje. Rozłączać się i samodzielnie oddzwaniać.

Pakiet bezpieczeństwa finansowego: co włączyć, aby spokojnie spać? Zastrzeż PESEL

Kradzież tożsamości w Polsce jest bardzo uciążliwa do odkręcenia. Dlatego – tak samo jak w przypadku zdrowia – lepiej zapobiegać niż leczyć. Pakiet bezpieczeństwa finansowego, który warto rozważyć, składa się z kilku usług, które warto mieć. Niestety za część z nich trzeba zapłacić.

Po pierwsze, zastrzeżenie numeru PESEL. O możliwości i zaletach zastrzegania swojego PESEL-u pisaliśmy już w „Subiektywnie o Finansach” wielokrotnie (np. w tym miejscu). Zastrzeżenie PESEL-u skutecznie ochroni nas przed bezprawnym wykorzystaniem naszych danych osobowych. Osoby z zastrzeżonym numerem PESEL nie mogą m.in. zawierać umów o konto bankowe, zaciągać zobowiązań, zwiększać zadłużenia w istniejących umowach, wypłacać większej ilości gotówki w oddziale banku, uzyskać duplikatu karty SIM czy nabywać lub zbywać nieruchomości.

A więc zastrzeżenie tego numeru uniemożliwi komuś, kto zdobędzie nasze dane, otwarcie na te dane konta bankowego (czyli zrobienie z nas „słupa” przy przekazywaniu kradzionych pieniędzy dalej) czy wzięcie na nasze dane kredytu lub pożyczki lub zarejestrowanie numeru telefonu (karty SIM). PESEL możemy wielokrotnie zastrzegać i cofać takie zastrzeżenie w aplikacji mobilnej mObywatel lub w jej wersji przeglądarkowej. Ten proces wspierają też niektóre banki, SKOK-i, placówki pocztowe i oczywiście urzędy. Nikt nie jest wykluczony.

Rok temu był nawet pomysł obligatoryjnego weryfikowania zastrzeżenia numerów PESEL przez zakłady ubezpieczeń przed zawarciem umowy ubezpieczenia (w tym obowiązkowego ubezpieczenia OC), ale ostatecznie stanęło na dobrowolnej weryfikacji. Brak bardziej stanowczych zmian tłumaczono tym, że mogłoby to skutkować problemami z zawieraniem obowiązkowych ubezpieczeń, szczególnie podczas awarii systemu lub przez osoby wykluczone cyfrowo.

Jako osoba, które regularnie używa mObywatela, byłem zwolennikiem głębszych zmian, ale przemawia do mnie takie uzasadnienie. Bez problemu mogę sobie wyobrazić kogoś, komu zbliża się termin zakupu polisy OC i zastrzegł PESEL w urzędzie. Z drugiej strony można było dodać konieczność weryfikowania zastrzeżenia PESEL przy umowach kupna–sprzedaży samochodów. Tylko jak wyedukować społeczeństwo w zakresie takiej weryfikacji?

Nie tylko zastrzeganie PESEL-u. Co jeszcze? Alerty BIK, powiadomienia UFG…

Kolejną usługę, która zwiększy nasze bezpieczeństwo, dostarcza Biuro Informacji Kredytowej. To oczywiście powiadomienia znane jako Alerty BIK. Zasada ich działania jest banalnie prosta – jeżeli jakaś instytucja sprawdza nas w BIK-u, to otrzymamy SMS-a informacyjnego. Niestety ta usługa jest płatna (można się zastanawiać, czy tak być powinno, bo niektórzy uważają, że to żerowanie na potrzebie bezpieczeństwa przez prywatną firmę mającą status monopolisty), ale nie zmienia to faktu, że będą to raczej dobrze wydane pieniądze.

Zdecydowana większość pożyczek i kredytów jest udzielana po weryfikacji klienta w BIK-u. Z treści powiadomienia, które otrzymujemy z BIK, jest też powód, dla którego jakaś instytucja finansowa o nas pytała. Może to być po prostu zapytania o dane (np. bank szykuje dla nas ofertę), zapytanie w związku z wnioskiem kredytowym (podczas składania wniosku) lub nowy wpis kredytowy (czyli instytucja umieszcza wpis po uruchomieniu umowy kredytowej). Jeżeli nikt nie pyta o nasze dane, to co miesiąc przychodzi też SMS uspokajający, że wszystko jest OK.

Zastanawialiście się kiedyś, jak wiele informacji o Was jest już dostępnych publicznie? Mam złą wiadomość – sporo. Ostatnio Biuro Informacji Kredytowej dołączyło do swoich alertów także powiadomienia o tym, że Wasze dane wyciekły do internetu. Warto to też co jakiś czas sprawdzać we własnym zakresie – w rządowym serwisie bezpiecznedane.gov.pl albo w najbardziej znanym Have I Been Pwned. To też bardzo użyteczna usługa – i punkt czwarty na mojej liście.

Ubezpieczeniowy Fundusz Gwarancyjny niedawno poinformował, że wprowadza nową usługę – powiadomienia UFG. Rzecz jest banalnie prosta, jeśli się zapiszemy do usługi, to będziemy od razu informowani, gdy UFG będzie przetwarzał nasze dane. Stosowne powiadomienie otrzymamy na razie SMS-em lub w wiadomości e-mail (albo obiema drogami). Ale trwają prace nad zintegrowaniem usługi również z aplikacją mObywatel, co jeszcze bardziej przyspieszyłoby obieg informacji.

Dlaczego powiadomienia UFG mogą zwiększyć nasze finansowe bezpieczeństwo? Otrzymamy je w przypadku trzech zdarzeń. Po pierwsze zostaniemy poinformowani, gdy na nasze dane zostanie zawarta umowa ubezpieczenia komunikacyjnego (OC lub AC). Po drugie otrzymamy powiadomienie, jeżeli zostanie zgłoszona szkoda z wykorzystaniem naszych danych. Wreszcie, po trzecie dowiemy się, gdy polisa lub szkoda zawierająca nasze dane zostanie usunięta z bazy UFG.

Tam, gdzie to możliwe, włącz dwuetapową weryfikację przy logowaniu

Dwa kolejne punkty to nie oddzielne usługi dotyczące bezpieczeństwa, lecz generalnie usługi, które możemy kupić lub włączyć, a które poprawiają bezpieczeństwo. Podczas zakupów w internecie warto korzystać z kart wirtualnych, które można wygenerować w aplikacjach mobilnych coraz większej liczby banków. Takie karty, w zależności od instytucji finansowej, mogą być jednorazowe (tylko do jednego zakupu), można je wielokrotnie blokować i odblokowywać, mogą mieć oddzielne limity. W rezultacie, nawet jeżeli dane ze sklepu wyciekną (albo sam sklep okaże się szemrany), to nikt nie pozna danych Waszej głównej karty i ich potem nie wykorzysta.

Zahaczyłem o internet, więc nie mogę nie wspomnieć o dwuetapowej weryfikacji (uwierzytelnianie dwuskładnikowe, 2FA). Warto ją włączyć wszędzie, gdzie tylko jest to możliwe. W dużym skrócie polega ona na tym, że do zalogowania się nie wystarczy hasło, więc jak ktoś nam je wykradnie, to i tak nie da rady się zalogować. Potrzebny będzie też drugi składnik, którym może być (w zależności od funkcjonalności) kod z SMS-a albo autoryzacja w aplikacji mobilnej. Podwójna autentykacja utrudni przejęcia Waszej skrzynki e-mail albo np. konta na platformie społecznościowej.

Czytaj też: Tajemnicze oszustwo z opóźnionym zapłonem. Pana Michała oszukali w styczniu, a pieniądze stracił w lutym. Jak to możliwe?

Każdy z powyższych kroków zwiększa bezpieczeństwo Waszych danych i chroni Waszą tożsamość przed złodziejami, którzy chcieliby stworzyć Waszą „cyfrową kopię” i, posługując się nią, kraść pieniądze. W miarę możliwości zachęcam, aby aktywować wszystkie te usługi. Oczywiście to nie oznacza, że potem możecie nonszalancko podchodzić do zasad bezpieczeństwa. To nie są żadne magiczne tarcze. Wciąż trzeba pamiętać m.in. o zgłaszaniu zaginionych lub skradzionych dokumentów i kart płatniczych, nieklikaniu w podejrzane linki, ustawianiu silnych haseł.

Zwróćcie też uwagę, że niektóre z tych zabezpieczeń są tarczą (np. zastrzeżenie PESEL zablokuje sprzedaż nieruchomości), ale niektóre to wyłącznie informacja. Powiadomienia UFG czy alerty BIK to dla nas tylko komunikat. Otrzymujemy informację, ale nadal sami musimy szybko reagować. Najlepiej zgłosić ten fakt na policji, przy okazji zgłosić utratę dowodu osobistego, a następnie skontaktować się z instytucją, której sprawa dotyczy (np. bankiem albo ubezpieczycielem i UFG).

Fałszywe poczucie bezpieczeństwa. Kiedy zastrzeżenie PESEL nie pomoże?

Gdyby okazało się, że skali wycieku nie da się ograniczyć, a dane pójdą „w świat” następstwem może być fala precyzyjnie przygotowanych kontaktów telefonicznych z ofiarami wycieku, e-maili i SMS-ów. Niekoniecznie związanych z finansami. Może zadzwonić „pracownik przychodni” i obiecać zwrot pieniędzy za odwołane badanie. Może wysłać SMS o dopłacie kilku złotych do recepty lub konieczności potwierdzenia wizyty. Jeśli myślisz, że zastrzegłeś PESEL i jesteś bezpieczny – to pamiętaj, że nie ma nic gorszego, niż fałszywe poczucie bezpieczeństwa.

Jeśli klikniesz w fałszywy link, który poprowadzi do fałszywej strony płatności, której rzeczywistym celem będzie przejęcie danych karty albo loginu i hasła do banku. W tym przypadku zastrzeżenie PESEL-u nie pomoże. Przestępca nie zawiera bowiem nowej umowy o konto lub kredyt na dane ofiary, lecz próbuje dostać się do pieniędzy znajdujących się już na rachunku. Największe ryzyko polega na tym, że właściciel konta sam zatwierdzi przelew złodziejowi.

Ten wyciek nie kończy się wraz z zabezpieczeniem serwerów w firmie, która padła jego ofiarą. Dopiero teraz zaczyna się okres, w którym ktoś będzie próbował zamienić wykradzione informacje na pieniądze. Zastrzeżenie PESEL-u może ochronić przed wieloma ryzykami, ale nie ochroni jednak przed historią tak dobrze dopasowaną do naszego życia, że sami otworzymy oszustowi drogę do naszych pieniędzy.

Stąd jeszcze jedna rekomendacja. Włączmy w bankowości mobilnej powiadomienia o wszystkich operacjach bankowych. Żadnej finansowej prośby otrzymanej przez telefon lub SMS – łącznie z taką, która ma nam przynieść korzyści – nie realizujemy bez samodzielnego potwierdzenia. Danych, które wyciekły, nie da się odzyskać, ale można sprawić, że będą dla przestępcy znacznie mniej użyteczne. To sytuacja wymagająca rozsądnej ostrożności – ale nie życia w ciągłym strachu.

———————–

CZYTAJ TEŻ O BEZPIECZEŃSTWIE:

———————————

ZAPLANUJ ZAMOŻNOŚĆ Z SAMCIKIEM:

Myślisz, że nie masz szans na żywot rentiera? Że masz za mało oszczędności? Że za mało zarabiasz? Że nie umiał(a)byś dobrze ulokować pieniędzy, gdybyś je miał(a)? W tym e-booku pokazuję, że przy odrobinie konsekwencji, pomyślunku i, posiadając dobry plan, niemal każdy może zostać rentierem. Jak bezboleśnie oszczędzać, prosto inwestować i jak już teraz zaplanować swoje rentierstwo – o tym jest ten e-book. Praktyczne rady i wskazówki. Zapraszam do przeczytania – to prosty plan dla Twojej niezależności finansowej. Polecam też trzy inne e-booki: o tym, jak zrobić porządek w domowym budżecie i raz na zawsze wyjść z długów, jak bez podejmowania ryzyka wycisnąć więcej z poduszki finansowej i jak oszczędzać na przyszłość dzieci.

———————————

CZYTAJ O PIENIĄDZACH W ZWIĄZKU:

—————————–

CZYTAJ HISTORIE Z ŻYCIA WZIĘTE:

———————————-

ZAPISZ SIĘ NA NASZE NEWSLETTERY:

>>> W każdy weekend sam Samcik podsumowuje tydzień wokół Twojego portfela. Co wydarzenia ostatnich dni oznaczają dla Twoich pieniędzy? Jakie powinieneś wyciągnąć wnioski dla oszczędności? Kliknij i się zapisz.

>>> Newsletter „Subiektywnie o Świ(e)cie i Technologiach” będziesz dostawać na swoją skrzynkę e-mail w każdy czwartek bladym świtem. Będzie to podsumowanie najważniejszych rzeczy, o których musisz wiedzieć ze świata wielkich finansów, banków centralnych, najpotężniejszych korporacji oraz nowych technologii. Kliknij i się zapisz.

———————————-

SPRAWDŹ SAMCIKOWE RANKINGI BANKÓW:

Zastanawiasz się, co zrobić z pieniędzmi? W którym banku jest najwyższe oprocentowanie pieniędzy na długo, a w którym na krótko? Który najlepiej zapłaci za nowe środki, a który „w standardzie”? Sprawdź „Okazjomat Samcikowy” – to aktualizowane na bieżąco rankingi lokat, kont oszczędnościowych, a także kont osobistych, rachunków firmowych i kart kredytowych. Wszystkie tabele znajdziesz w zakładce „Rankingi” w „Subiektywnie o Finansach”.

——————————-

SUBIEKTYWNIE W SOCIAL MEDIACH

Jesteśmy nie tylko w „Subiektywnie o Finansach”, gdzie czyta nas ok. pół miliona realnych odbiorców miesięcznie, ale też w mediach socjalnych, zwanych też społecznościowymi. Tam krótkie spostrzeżenia o newsach dotyczących Twoich pieniędzy. Śledź, followuj, bądź fanem, klikaj, podawaj dalej. Twórzmy razem społeczność ludzi troszczących się o swoje pieniądze i ich przyszłość.

>>> Nasz profil na Facebooku śledzi ok. 100 000 ludzi, dołącz do nich tutaj

>>> Samcikowy profil w portalu X śledzi 26 000 osób, dołącz do nich tutaj

>>> Nasz profil w Instagramie ma prawie 11 000 followersów, dołącz do nich tutaj

>>> Połącz się z Samcikiem w Linkedin jak 26 000 ludzi. Dołącz tutaj

>>> Nasz profil w YouTube subskrybuje 12 000 widzów. Dołącz do nich tutaj

>>> „Subiektywnie o Finansach” jest już w BlueSky. Dołącz i obserwuj!

——————————

CZYTAJ HOMODIGITAL.PL:

——————————

ZOBACZ NASZE WIDEOROZMOWY I PORADNIKI:

„Subiektywnie o Finansach” jest też na Youtubie. Raz w tygodniu „Magazyn Subiektywnie o Finansach”, a poza tym rozmowy z mądrymi ludźmi o pieniądzach, komentarze i wideofelietony poświęcone naszym portfelom oraz poradniki i zapisy edukacyjnych webinarów. Koniecznie subskrybuj kanał „Subiektywnie o Finansach” na platformie Youtube.