Kradzież PESEL-u. Samo zastrzeżenie numeru nie wystarczy. Tylko co trzeci Polak sprawdziłby historię kredytową

Zastrzeżony PESEL nie chroni przed wszystkimi zagrożeniami

Dodano, że zastrzeżenie PESEL-u jest ważnym elementem ochrony przed skutkami kradzieży danych, ale nie zabezpiecza przed wszystkimi rodzajami oszustw.

Status zastrzeżenia PESEL muszą sprawdzać m.in. banki i firmy pożyczkowe przy zawieraniu umów kredytu lub pożyczki z konsumentem, operatorzy telekomunikacyjni przed wydaniem duplikatu karty SIM oraz notariusze przy wybranych czynnościach dotyczących nieruchomości.

Cytowany w opisie wyników badania ekspert ChronPESEL.pl Bartłomiej Drozd zwraca jednak uwagę, że zastrzeżenie PESEL nie sprawia, iż skradziony numer staje się dla przestępców bezużyteczny. Dane mogą zostać wykorzystane m.in. do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu, zakupu towarów z odroczonym terminem płatności czy założenia firmy i próby wyłudzenia kredytu biznesowego.

Wyciek danych z firmy MyDr

W środę wicepremier, minister cyfryzacji Krzysztof Gawkowski poinformował, że wyniku cyberataku na firmę MyDr przestępcy mogli przejąć około 19 mln rekordów i ponad 2 TB danych osobowych i związanych z historią chorobową pacjentów.

W opisie wyników badania wskazano, że gdyby wyciek obejmował, poza numerem PESEL, również takie dane jak imię i nazwisko, numer telefonu, adres e-mail czy informacje dotyczące historii chorobowej, mogłyby one ułatwić przygotowanie wiarygodnych prób oszustwa i podszywanie się pod przychodnię, lekarza, NFZ, bank lub innego usługodawcę. MyDr zaznacza, że dokładny zakres i kategorie danych objętych incydentem nadal są weryfikowane.

Do czego mogą posłużyć kradzione dane?

Przestępcy mogą za pomocą e-maili i SMS-ów wysyłać fałszywe informacje dotyczące m.in. wyników badań, recept czy zaległych płatności, nakłaniając odbiorców do kliknięcia w link, podania hasła, kodu jednorazowego lub danych karty płatniczej. Jeżeli wyciek obejmuje dane logowania, mogą również próbować przejmować pocztę elektroniczną, konta społecznościowe i inne serwisy.

Według Bartłomieja Drozda znajomość przez rozmówcę prawdziwych danych osobowych, nazwy przychodni czy informacji o leczeniu nie jest dowodem, że kontaktuje się on z przedstawicielem danej instytucji. W przypadku podejrzanej wiadomości lub telefonu zalecane jest przerwanie kontaktu i samodzielne skontaktowanie się z instytucją za pomocą danych znajdujących się na jej oficjalnej stronie.

Rośnie skala cyberzagrożeń w ochronie zdrowia

Badanie wskazuje również na rosnącą skalę cyberzagrożeń w ochronie zdrowia. Według Centrum e-Zdrowia sektorowy zespół CSIRT CeZ obsłużył w 2025 r. 1441 incydentów bezpieczeństwa, o ponad 60 proc. więcej niż rok wcześniej. W 2026 r. odnotowano dotychczas 729 takich incydentów.

Osoby, których dane mogły zostać ujawnione, powinny – poza zastrzeżeniem PESEL – zmienić powtarzające się hasła i włączyć uwierzytelnianie dwuskładnikowe. W kolejnych miesiącach warto kontrolować rachunki bankowe, historię kredytową, zapytania dotyczące danych oraz informacje o nieznanych próbach logowania lub resetowania haseł.

Badanie „Czy Polacy boją się kradzieży numeru PESEL” zostało przeprowadzone przez IMAS International w kwietniu 2026 roku na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów, techniką CAWI, na reprezentatywnej próbie 1011 Polaków w wieku 18–74 lata.

Oficjalne oświadczenie firmy MyDr:

Na tym etapie trwającego dochodzenia potwierdzamy, że staliśmy się celem zewnętrznego, celowego działania o charakterze przestępczym, którym objęta była część danych.

Naszym priorytetem jest zapewnienie bezpieczeństwa i integralności naszych systemów oraz pełne zbadanie tej sprawy. Dane objęte incydentem najprawdopodobniej mają charakter historyczny, pochodzą z 2024 roku oraz lat wcześniejszych i mogą nie obejmować wszystkich klientów MyDr ani wszystkich ich pacjentów.

Na dziś potwierdzamy, że:

• nasze systemy są w pełni operacyjne i bezpieczne w użyciu, zarówno dla pacjentów, jak i lekarzy
• nasi partnerzy zajmujący się cyberbezpieczeństwem aktywnie monitorują dark web i potwierdzili, że na moment tej publikacji nie ma żadnych dowodów na to, by dane z MyDr zostały opublikowane lub udostępnione publicznie.

Na dziś nie jesteśmy w stanie potwierdzić ilości i rodzaju danych, które zostały ujawnione. Zrobimy to po zakończeniu analizy śledczej oraz uzyskaniu potwierdzenia tych informacji. Na obecnym etapie nie zakończono jeszcze pełnej analizy przyczyn incydentu. Trwa szczegółowe postępowanie wyjaśniające, w tym badanie forensic prowadzone przez zaangażowanych zewnętrznych ekspertów. Do czasu zakończenia tych działań byłoby przedwczesne wskazywanie konkretnej przyczyny zdarzenia lub przesądzanie, która z analizowanych hipotez incydentu znajduje potwierdzenie w zgromadzonym materiale.

Nasi klienci nie muszą obecnie podejmować żadnych działań. Skontaktujemy się proaktywnie z klientami, których dotyczy incydent, zapewniając im wsparcie i wskazówki, gdy tylko ustalimy, które placówki i jakie dane zostały nim objęte. Jednocześnie zapewniamy naszych klientów, że udzielimy im wsparcia w zgłoszeniu incydentu odpowiednim organom ochrony danych osobowych oraz w komunikacji z pacjentami, jeśli będzie to wymagane. Obecnie żadne zgłoszenia ze strony placówek nie są wymagane, a jeśli to się zmieni, przekażemy naszym klientom dalsze informacje bezpośrednio.

Nasze zespoły Bezpieczeństwa, Inżynierii i Infrastruktury, wspierane przez zewnętrznych ekspertów do spraw cyberbezpieczeństwa, pracują dzień i noc, aby zbadać tę sprawę. Ponieważ dochodzenie jest wciąż w toku, na tym etapie nie możemy udostępnić dalszych szczegółów technicznych ani spekulować na temat kolejnych ustaleń.

Jesteśmy wdzięczni za współpracę władz, instytucji rządowych oraz organów ścigania prowadzących dochodzenie w sprawie tego czynu przestępczego. Jednocześnie przepraszamy za niepokój, który ten incydent mógł wywołać.