Jak sprawdzić, czy twoje dane wyciekły

Wycieki danych przestały być rzadkością. W sierpniu 2026 Ministerstwo Cyfryzacji poinformowało o nieuprawnionym dostępie do danych historycznych gabinetów lekarskich z systemów firmy MyDr. Incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek. Ten poradnik pokazuje, gdzie sprawdzić swoje dane i co zrobić, jeśli wynik jest pozytywny.

1. Rządowy serwis Bezpieczne Dane

Bezpieczne Dane to serwis Ministerstwa Cyfryzacji, współtworzony przez NASK i CERT Polska. Pierwsza wersja ruszyła 31 maja 2023 po wycieku loginów i haseł polskich internautów, wykradzionych przez złośliwe oprogramowanie. Pozwalała wtedy sprawdzić tylko adres e-mail albo login.

Dziś według poradnika CERT Polska po zalogowaniu sprawdzisz w nim adres e-mail, numer telefonu, login i numer PESEL. Przy wycieku z ALAB Laboratoria w 2023 roku serwis wymagał logowania między innymi przez mObywatel, profil zaufany albo e-dowód. Przy incydencie MyDr ministerstwo zapowiedziało, że informacje o osobach, których dane wykradziono, będą sukcesywnie trafiać do tego serwisu.

2. Have I Been Pwned i sprawdzanie haseł

Have I Been Pwned to międzynarodowy serwis, który zbiera dane z publicznie znanych wycieków. Po wpisaniu adresu e-mail pokazuje, w których wyciekach się pojawił, i pozwala zapisać się na powiadomienia o nowych. Poradnik CERT Polska wymienia go obok bezpiecznedane.gov.pl.

Hasła sprawdzisz w Pwned Passwords bez ujawniania ich serwisowi. Hasło jest przekształcane w skrót SHA-1 na twoim urządzeniu, a do serwera trafia tylko 5 pierwszych znaków skrótu. Serwer zwraca listę pasujących końcówek, a porównanie odbywa się u ciebie.

3. Menedżery haseł i Mozilla Monitor

Jeśli używasz menedżera haseł, masz już wbudowane sprawdzanie. Sprawdzanie haseł Google na passwords.google.com wykrywa hasła ujawnione w internecie, słabe i powtarzane. Apple sprawdza hasła zapisane w pęku kluczy w podobny sposób. Według dokumentacji bezpieczeństwa Apple do firmy trafia tylko 15-bitowy fragment skrótu hasła, a baza obejmuje około 1,5 mld haseł.

Mozilla Monitor skanuje wycieki pod kątem twojego adresu e-mail, a monitorowanie wycieków jest w nim bezpłatne.

4. Co zrobić po wycieku

CERT Polska proponuje ścieżkę w ośmiu krokach. Najważniejsze z nich to:

• ustal, jakie dane wyciekły, bo od tego zależą kolejne kroki,
• zastrzeż PESEL w mObywatelu, na mobywatel.gov.pl albo w urzędzie gminy, a przy wycieku dokumentu zastrzeż też dokument,
• przy wycieku danych karty zablokuj ją i przejrzyj transakcje,
• zmień hasło wszędzie tam, gdzie używałeś dokładnie tego samego hasła, i włącz weryfikację dwuetapową w aplikacji albo kluczem sprzętowym zamiast SMS-a,
• monitoruj konta i historię logowań oraz swoje wpisy w BIK, KRD i BIG InfoMonitor,
• zgłoś sprawę na policję, a w razie potrzeby złóż skargę do UODO albo zażądaj informacji od administratora.

Co blokuje zastrzeżony numer, a czego nie, wyjaśnia poradnik o zastrzeżeniu PESEL. Hasła najłatwiej zmienić, gdy trzymasz je w menedżerze haseł, a drugi krok logowania opisuje poradnik o weryfikacji dwuetapowej i kluczach dostępu.

5. Uważaj na wiadomości po wycieku

Wyciek to często dopiero początek. Centralne Biuro Zwalczania Cyberprzestępczości ostrzegało po incydencie MyDr, że przestępcy mogą podszywać się pod placówki medyczne albo banki. Mając prawdziwe dane, łatwiej uwiarygodnić fałszywy SMS czy telefon.

Podejrzane SMS-y przekazuj na numer 8080, a e-maile zgłaszaj przez incydent.cert.pl. Więcej o rozpoznawaniu takich wiadomości znajdziesz w poradniku o fałszywych SMS-ach i e-mailach.

6. Obowiązki firmy, z której wyciekły dane

Za wyciek odpowiada administrator danych. UODO przypomina, że musi on zgłosić naruszenie do urzędu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Jeśli naruszenie może powodować wysokie ryzyko, musi też zawiadomić osoby, których dane dotyczą (art. 34 RODO). Zawiadomienie opisuje, co się stało, jakie mogą być konsekwencje i jakie środki ochrony zalecane są tobie.

Szczegółów wycieku nie udzieli ci serwis Bezpieczne Dane, bo jak zastrzega może to zrobić wyłącznie administrator. UODO radzi, by najpierw zwrócić się do administratora z żądaniem wyjaśnień, a gdy ich nie udzieli, złożyć skargę do urzędu.

7. Podsumowanie

Sprawdzenie zajmuje kilka minut. PESEL, e-mail i telefon sprawdzisz w bezpiecznedane.gov.pl, adres e-mail w Have I Been Pwned albo Mozilla Monitor, a hasła w menedżerze haseł Google lub Apple. Brak wyniku nie gwarantuje bezpieczeństwa, dlatego zastrzeżony PESEL, unikalne hasła i weryfikacja dwuetapowa mają sens niezależnie od tego, co pokaże wyszukiwarka wycieków.