Kradzież danych to nie koniec incydentu, ale często początek jego najbardziej niebezpiecznej fazy. Informacje o jednej osobie mogą przez długi czas krążyć między cyberprzestępcami, być zestawiane z danymi zdobytymi wcześniej i służyć do tworzenia coraz bardziej przekonujących scenariuszy oszustw. Szczególne znaczenie mają informacje dotyczące zdrowia – konta czy karty można zabezpieczyć ponownie, ale raz ujawnionych danych medycznych nie da się po prostu unieważnić.
W przypadku dużych wycieków pierwszą informacją, która przyciąga uwagę, jest zwykle liczba poszkodowanych. Dla samych użytkowników znacznie ważniejsze może być jednak to, jak długo przejęte informacje pozostaną użyteczne i do czego zostaną wykorzystane.
Cyberprzestępcy mogą zestawiać dane z różnych źródeł. Informacja, która sama w sobie wydaje się mało znacząca, po połączeniu z numerem telefonu, adresem e-mail, PESEL-em, miejscem zamieszkania, historią wcześniejszych wycieków czy informacjami dotyczącymi zdrowia może stać się elementem bardzo szczegółowego profilu konkretnej osoby.
– Dane przejęte w jednym incydencie nie muszą funkcjonować jako odrębna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, a taki połączony zestaw pozwala znacznie dokładniej poznać potencjalną ofiarę. Szczególną kategorią są informacje związane ze zdrowiem, ponieważ nie możemy ich później zmienić tak jak hasła czy numeru karty. Jeżeli wydostaną się poza kontrolę właściciela, mogą zachować swoją wartość przez bardzo długi czas – mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń w ESET.
Oszustwo, które brzmi wiarygodnie
Znajomość prawdziwych informacji o potencjalnej ofierze może całkowicie zmienić charakter ataku. Przestępca nie musi już wysyłać przypadkowej wiadomości do tysięcy osób. Może przygotować kontakt odnoszący się do rzeczywistych faktów i dzięki temu znacznie łatwiej zdobyć zaufanie odbiorcy.
Telefon może wyglądać jak kontakt z placówki medycznej, banku, ubezpieczyciela czy innej instytucji. Jeżeli rozmówca zna nazwisko, numer telefonu albo dodatkowe szczegóły dotyczące danej osoby, znacznie trudniej od razu rozpoznać próbę manipulacji.
– Im więcej prawdziwych informacji może wykorzystać oszust, tym mniej jego kontakt przypomina typowy phishing. Kilka poprawnych szczegółów wystarczy czasem, aby odbiorca uwierzył, że rzeczywiście rozmawia z przedstawicielem znanej mu instytucji. Dopiero później pojawia się prośba o przekazanie dodatkowych danych, instalację aplikacji, potwierdzenie operacji czy wykonanie płatności – mówi Paweł Pudo z DAGMA Bezpieczeństwo IT.
Dane o zdrowiu mogą mieć wartość inną niż finansowa
W przypadku informacji medycznych potencjalne konsekwencje mogą wykraczać poza przejęcie konta czy próbę wyłudzenia pieniędzy. Informacje dotyczące leczenia psychiatrycznego, chorób przewlekłych, zdrowia seksualnego, uzależnień czy innych szczególnie prywatnych kwestii mogą być wykorzystane do wywierania presji, zastraszania czy prób szantażu.
– Ryzyko może być wyjątkowo duże w przypadku osób publicznych, polityków, przedstawicieli służb, przedsiębiorców, menedżerów czy pracowników mających dostęp do poufnych informacji. W takim scenariuszu atakujący nie musi próbować wykorzystać całej ogromnej bazy. Wystarczy odnaleźć w niej niewielką grupę osób, wobec których określona informacja może mieć wyjątkową wartość. To szczególnie istotne w przypadku obcych służb i ich możliwości potencjalnego oddziaływania na państwo – dodaje Paweł Pudo.
Samo zastrzeżenie PESEL-u nie rozwiązuje problemu
Zabezpieczenie numeru PESEL jest jednym z najważniejszych kroków po ujawnieniu danych, ale nie chroni przed wszystkimi konsekwencjami. Nie powstrzyma próby podszycia się pod bank, fałszywego telefonu z przychodni ani wiadomości wykorzystującej prawdziwe informacje do zdobycia zaufania odbiorcy.
Kolejne duże wycieki danych są bardzo prawdopodobnym elementem coraz bardziej cyfrowej rzeczywistości. Użytkownik nie jest w stanie kontrolować zabezpieczeń każdej firmy, instytucji czy platformy, której przekazuje swoje informacje. Ma jednak wpływ na to, jak zareaguje, kiedy ktoś spróbuje później wykorzystać te dane przeciwko niemu.
– Z „Cyberportretu polskiego biznesu 2026” wynika, że blisko 60 proc. pracowników w Polsce przez ostatnich pięć lat nie uczestniczyło w szkoleniu dotyczącym cyberbezpieczeństwa. I właśnie tutaj widać jeden z największych problemów. Nie jesteśmy w stanie zapobiec każdemu wyciekowi, ale możemy znacznie utrudnić przestępcy wykorzystanie zdobytych informacji. Pomagają w tym uwierzytelnianie wieloskładnikowe, unikalne hasła, oprogramowanie zabezpieczające, a przede wszystkim nawyk sprawdzania podejrzanych telefonów czy wiadomości bezpośrednio w instytucji, która rzekomo się z nami kontaktuje – dodaje Paweł Pudo z DAGMA Bezpieczeństwo IT.
W praktyce oznacza to, że po dużym wycieku pytanie, „czy moje dane zostały skradzione?”, jest tylko początkiem. Równie istotne staje się to, czy przestępca będzie w stanie wykorzystać je tak, abyśmy uwierzyli w przygotowaną przez niego historię.
Zaloguj się i sprawdź, czy Twoje dane nie pojawiły się w wycieku. Korzystanie z wyszukiwarki jest darmowe. Możesz zweryfikować numery telefonu, adresy e‑mail, loginy i PESEL: https://bezpiecznedane.gov.pl
Foto: magnific.com