13 Sierpnia 2026
Wyciekły dane 19 mln Polaków, ale samo zastrzeżenie PESEL-u nie wystarczy
W wyniku cyberataku na firmę MyDr przestępcy mogli przejąć około 19 mln rekordów i ponad 2 TB danych osobowych i związanych z historią chorobową pacjentów. Dokładna skala incydentu nadal jest ustalana. Minister cyfryzacji Krzysztof Gawkowski podkreśla, że w takiej sytuacji w pierwszej kolejności należy zastrzec PESEL. Ale aż co szósty Polak przyznaje, że nie wiedziałby jak zachować się w przypadku kradzieży lub wyłudzenia tego numeru – wynika z badania serwisu ChronPESEL.pl i Krajowego Rejestru Długów.
Zastrzeżenie PESEL-u jest podstawowym środkiem ostrożności w razie tego typu cyberataków. Jednak należy pamiętać, że to zabezpieczenie działa tylko w ściśle określonych przepisami przypadkach. Status numeru muszą sprawdzać m.in. banki i firmy pożyczkowe przy zawieraniu z konsumentem umowy kredytu lub pożyczki, operatorzy telekomunikacyjni przed wydaniem duplikatu karty SIM oraz notariusze przy wybranych czynnościach dotyczących nieruchomości. Ale nie oznacza to, że zastrzeżony PESEL staje się dla przestępców bezużyteczny.
– Zastrzeżenie PESEL-u jest ważne, ale nie chroni przed każdym oszustwem, ponieważ nie wszystkie firmy muszą sprawdzać, czy został on zastrzeżony. Przestępcy nadal mogą wykorzystać skradziony numer do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu, czy zakupu towaru z odroczonym terminem płatności. Innym zagrożeniem jest założenie firmy na przejęte dane, a następnie próba wyłudzenia kredytu biznesowego – ostrzega Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Tylko co trzeci Polak monitorowałby swój PESEL
69 proc. Polaków deklaruje, że po kradzieży PESEL-u zastrzegłoby go w aplikacji mObywatel lub w urzędzie. Jednak tylko 33 proc. monitorowałoby później ten numer i historię kredytową, a 16 proc. nie wiedziałoby jak zachować się w takiej sytuacji – wynika z badania przeprowadzonego na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów.
Zastrzeżenie PESEL-u to dopiero pierwszy krok, ponieważ zagrożenie nie ogranicza się do wykorzystania jego samego. Wykradzione imię i nazwisko, numer telefonu, adres e-mail czy informacje o historii chorobowej mogą posłużyć do przygotowania wiarygodnych prób oszustwa. Znacznie ułatwią przestępcom podszycie się pod przychodnię, lekarza, NFZ, bank lub innego usługodawcę. W ten sposób za pośrednictwem e-maili i SMS-ów bardzo łatwo wysyłać masowo fałszywe informacje o wynikach badań, receptach, zaległych płatnościach albo konieczności potwierdzenia danych.
W rezultacie oszuści mogą nakłaniać nas do kliknięcia w niebezpieczny link, podania hasła, kodu jednorazowego lub numeru karty płatniczej. Jeśli w wycieku znalazły się również dane do logowania, przestępcy wykorzystają je do prób przejmowania poczty elektronicznej, kont w mediach społecznościowych i innych serwisach. Szczególnie niebezpieczne jest to, że znajomość szczegółów dotyczących pacjenta ułatwia wzbudzenie jego zaufania.
– To, że rozmówca zna nasze prawdziwe dane, nazwę przychodni czy informacje o leczeniu, nie oznacza, że jest tym, za kogo się podaje. Nie należy klikać w przesłane linki ani podawać haseł, kodów jednorazowych czy danych karty płatniczej. Najlepiej przerwać kontakt i samodzielnie zadzwonić do danej instytucji, korzystając z numeru zamieszczonego na jej oficjalnej stronie – dodaje Bartłomiej Drozd.
Cyberataków na ochronę zdrowia szybko przybywa
Atak na MyDr wpisuje się w szybki wzrost liczby cyberataków wymierzonych w służbę zdrowia. Według Centrum e-Zdrowia sektorowy zespół CSIRT CeZ obsłużył w 2025 roku 1441 incydentów bezpieczeństwa, czyli o ponad 60 proc. więcej niż rok wcześniej. Natomiast dotychczas w tym roku odnotowano 729 tego typu incydentów.
Osoby, których dane mogły wyciec, powinny zastrzec PESEL, zmienić powtarzające się hasła oraz włączyć uwierzytelnianie dwuskładnikowe. Przez kolejne miesiące warto także kontrolować rachunki bankowe, historię kredytową, zapytania dotyczące naszych danych oraz informacje o nieznanych próbach logowania lub resetowania haseł. Raz ujawnione dane mogą zostać wykorzystane dopiero po pewnym czasie albo połączone z informacjami pochodzącymi z innych wycieków.
Badanie „Czy Polacy boją się kradzieży numeru PESEL” zostało przeprowadzone przez IMAS International w kwietniu 2026 roku na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów, techniką CAWI, na reprezentatywnej próbie 1011 Polaków w wieku 18–74 lata.
Zastrzeżenie PESEL-u jest podstawowym środkiem ostrożności w razie tego typu cyberataków. Jednak należy pamiętać, że to zabezpieczenie działa tylko w ściśle określonych przepisami przypadkach. Status numeru muszą sprawdzać m.in. banki i firmy pożyczkowe przy zawieraniu z konsumentem umowy kredytu lub pożyczki, operatorzy telekomunikacyjni przed wydaniem duplikatu karty SIM oraz notariusze przy wybranych czynnościach dotyczących nieruchomości. Ale nie oznacza to, że zastrzeżony PESEL staje się dla przestępców bezużyteczny.
– Zastrzeżenie PESEL-u jest ważne, ale nie chroni przed każdym oszustwem, ponieważ nie wszystkie firmy muszą sprawdzać, czy został on zastrzeżony. Przestępcy nadal mogą wykorzystać skradziony numer do wynajęcia mieszkania, wypożyczenia samochodu lub drogiego sprzętu, czy zakupu towaru z odroczonym terminem płatności. Innym zagrożeniem jest założenie firmy na przejęte dane, a następnie próba wyłudzenia kredytu biznesowego – ostrzega Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl.
Tylko co trzeci Polak monitorowałby swój PESEL
69 proc. Polaków deklaruje, że po kradzieży PESEL-u zastrzegłoby go w aplikacji mObywatel lub w urzędzie. Jednak tylko 33 proc. monitorowałoby później ten numer i historię kredytową, a 16 proc. nie wiedziałoby jak zachować się w takiej sytuacji – wynika z badania przeprowadzonego na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów.
Zastrzeżenie PESEL-u to dopiero pierwszy krok, ponieważ zagrożenie nie ogranicza się do wykorzystania jego samego. Wykradzione imię i nazwisko, numer telefonu, adres e-mail czy informacje o historii chorobowej mogą posłużyć do przygotowania wiarygodnych prób oszustwa. Znacznie ułatwią przestępcom podszycie się pod przychodnię, lekarza, NFZ, bank lub innego usługodawcę. W ten sposób za pośrednictwem e-maili i SMS-ów bardzo łatwo wysyłać masowo fałszywe informacje o wynikach badań, receptach, zaległych płatnościach albo konieczności potwierdzenia danych.
W rezultacie oszuści mogą nakłaniać nas do kliknięcia w niebezpieczny link, podania hasła, kodu jednorazowego lub numeru karty płatniczej. Jeśli w wycieku znalazły się również dane do logowania, przestępcy wykorzystają je do prób przejmowania poczty elektronicznej, kont w mediach społecznościowych i innych serwisach. Szczególnie niebezpieczne jest to, że znajomość szczegółów dotyczących pacjenta ułatwia wzbudzenie jego zaufania.
– To, że rozmówca zna nasze prawdziwe dane, nazwę przychodni czy informacje o leczeniu, nie oznacza, że jest tym, za kogo się podaje. Nie należy klikać w przesłane linki ani podawać haseł, kodów jednorazowych czy danych karty płatniczej. Najlepiej przerwać kontakt i samodzielnie zadzwonić do danej instytucji, korzystając z numeru zamieszczonego na jej oficjalnej stronie – dodaje Bartłomiej Drozd.
Cyberataków na ochronę zdrowia szybko przybywa
Atak na MyDr wpisuje się w szybki wzrost liczby cyberataków wymierzonych w służbę zdrowia. Według Centrum e-Zdrowia sektorowy zespół CSIRT CeZ obsłużył w 2025 roku 1441 incydentów bezpieczeństwa, czyli o ponad 60 proc. więcej niż rok wcześniej. Natomiast dotychczas w tym roku odnotowano 729 tego typu incydentów.
Osoby, których dane mogły wyciec, powinny zastrzec PESEL, zmienić powtarzające się hasła oraz włączyć uwierzytelnianie dwuskładnikowe. Przez kolejne miesiące warto także kontrolować rachunki bankowe, historię kredytową, zapytania dotyczące naszych danych oraz informacje o nieznanych próbach logowania lub resetowania haseł. Raz ujawnione dane mogą zostać wykorzystane dopiero po pewnym czasie albo połączone z informacjami pochodzącymi z innych wycieków.
Badanie „Czy Polacy boją się kradzieży numeru PESEL” zostało przeprowadzone przez IMAS International w kwietniu 2026 roku na zlecenie serwisu ChronPESEL.pl i Krajowego Rejestru Długów, techniką CAWI, na reprezentatywnej próbie 1011 Polaków w wieku 18–74 lata.