Dane osobowe wyciekają częściej niż kiedykolwiek. Od początku 2026 roku analitycy odnotowali miliardy skompromitowanych rekordów, a w Polsce liczba cyberincydentów rośnie drugi rok z rzędu. Hasło po wycieku można zmienić, numeru paszportu już nie. Dlatego ochrona opiera się dziś nie tylko na silnych hasłach, ale też na nawyku przekazywania serwisom jak najmniejszej ilości informacji o sobie.
Skala wycieków: co pokazują dane z 2026 roku
Według SpyCloud od początku 2026 roku potwierdzono niemal 2000 źródeł wycieków, które łącznie ujawniły ponad 11 mld rekordów i 780 mln haseł. Wymowna jest również struktura tych danych. Około 70% rekordów w ogóle nie zawiera haseł, dlatego główne ryzyko przesuwa się z przejmowania kont w stronę oszustw i socjotechniki.
Polska wpisuje się w ogólny trend. W 2025 roku CSIRT NASK obsłużył 260 783 incydenty, czyli o 152% więcej niż rok wcześniej. Średnia dzienna liczba incydentów wzrosła z 283 do 714. Udział potwierdzonych incydentów wśród wszystkich zgłoszeń zwiększył się z 17% do niemal 40%.
Jeszcze szerszy obraz dają dane wszystkich krajowych zespołów CSIRT. W 2025 roku przyjęły one ponad 682 tys. zgłoszeń i odnotowały blisko 273 tys. potwierdzonych incydentów. Wcześniej raport CERT Polska za 2024 rok wskazywał, że oszustwa komputerowe stanowiły 95% wszystkich zagrożeń.
Zawartość wycieków zwykle dzieli się na kilka kategorii. Analitycy wyróżniają trzy główne typy danych:
- dane logowania: loginy i hasła, czasem zapisane otwartym tekstem
- dane osobowe: imię i nazwisko, adres, telefon, numery dokumentów
- informacje finansowe: numery kart, dane rachunków, historia płatności
Każdy typ prowadzi do innego scenariusza ataku. Skradzione hasła otwierają drogę do przejęcia kont, dane osobowe służą do oszustw, a dane płatnicze prowadzą do bezpośrednich strat finansowych.
Minimalizacja danych: przykład branży hazardowej
Szczególnie wrażliwe są informacje zbierane w ramach KYC, czyli weryfikacji tożsamości klienta. Banki, giełdy i operatorzy gier przechowują skany paszportów, selfie i potwierdzenia adresu. Takie bazy stają się cennym celem. Cybernews wykrył niezabezpieczoną bazę dostawcy usług KYC IDMerit z danymi z 26 krajów, a skalę wycieku szacuje się na około 1 mld rekordów. Sama firma zaprzecza włamaniu do swoich systemów i wiąże incydent z zewnętrznymi źródłami danych.
W tej sytuacji część użytkowników wybiera serwisy z uproszczoną rejestracją. W branży hazardowej taki model reprezentuje kasyno bez weryfikacji KYC, w którym rozpoczęcie gry nie wymaga przesyłania dokumentów. Przykładowo kryptoplatforma Stake na wczesnym etapie przyciągała odbiorców szybkimi wypłatami i brakiem długich weryfikacji, co doceniali użytkownicy stawiający na prywatność i szybkość.
Stake działa na licencji wydanej na Curaçao i należy do największych kasyn opartych na kryptowalutach. Według Forbesa przychody brutto platformy w 2024 roku wyniosły 4,7 mld USD. Skala pokazuje, że model z ograniczonym zakresem danych na starcie znalazł szerokie grono odbiorców.
Kontekst prawny zależy przy tym od kraju. W Polsce kasyno online działa legalnie wyłącznie w ramach monopolu państwowego, a jedyny operator należy do Totalizatora Sportowego. Licencjonowani operatorzy mają obowiązek weryfikować tożsamość klienta zgodnie z przepisami o przeciwdziałaniu praniu pieniędzy. Modele weryfikacji różnią się zakresem danych i związanym z nimi ryzykiem.
| Model weryfikacji | Jakie dane są wymagane | Kiedy odbywa się weryfikacja | Główne ryzyko dla danych |
| Pełne KYC, licencjonowane kasyno | Paszport, selfie, potwierdzenie adresu | Przy rejestracji | Wyciek kopii dokumentów u operatora lub podwykonawcy |
| Odroczone KYC, międzynarodowy bukmacher | E-mail, telefon, dokumenty na żądanie | Przed wypłatą środków lub przy dużych kwotach | Dokumenty trafiają do operatora później, ale są przechowywane tak samo |
| Bez KYC na starcie, kryptokasyno | E-mail, adres portfela kryptowalutowego | Możliwa przy podejrzanych operacjach | Mniej danych osobowych, ale wyższe wymagania dotyczące ochrony portfela |
Jak sprawdzić, czy dane trafiły do wycieku
Pierwszym krokiem ochrony jest ustalenie, gdzie dane zostały już skompromitowane. Służą do tego bezpłatne i państwowe narzędzia. Większość z nich nie wymaga wiedzy technicznej.
- Have I Been Pwned: sprawdzenie adresu e-mail w bazach znanych wycieków
- usługa Zastrzeż PESEL w aplikacji mObywatel: blokada numeru PESEL przed zaciągnięciem kredytu lub zawarciem umowy
- alerty BIK: powiadomienia o wnioskach kredytowych składanych na dane właściciela
Jeśli adres znajduje się w wycieku, hasło warto zmienić zarówno w serwisie, którego dotyczy incydent, jak i na wszystkich kontach z tą samą kombinacją. Powtarzanie haseł wielokrotnie zwiększa szkody: jedna skradziona para loginu i hasła zagraża kontom bankowym, pocztowym i służbowym.
Osobnym zagrożeniem są tak zwane stealer logi. Złośliwe oprogramowanie wykrada z przeglądarki zapisane hasła, pliki cookie i dane autouzupełniania, a gotowe paczki trafiają na kanały w Telegramie. Właściciel urządzenia często nie zauważa infekcji, dlatego regularne skanowanie systemu i aktualizacje oprogramowania mają tu kluczowe znaczenie.
Wycieki dotyczą także usług, którym użytkownicy ufają z racji ich charakteru. Według SpyCloud z grupą ShinyHunters wiąże się co najmniej cztery z największych wycieków tego roku, w tym atak na platformę edukacyjną Canvas firmy Instructure. Firma poinformowała o ujawnieniu imion i nazwisk, adresów e-mail uczelni, numerów legitymacji studenckich oraz wiadomości ze skrzynek odbiorczych.
Praktyczne kroki do ograniczenia cyfrowego śladu
Cyfrowy ślad składa się z kont, subskrypcji, formularzy i zapomnianych profili. Im mniej miejsc przechowuje dane, tym mniej potencjalnych punktów wycieku. Podstawowy zestaw działań jest dostępny dla każdego użytkownika smartfona.
- menedżer haseł i unikalne hasło do każdego serwisu
- uwierzytelnianie dwuskładnikowe przez aplikację lub klucze dostępu passkeys zamiast kodów SMS
- aliasy e-mail do rejestracji w sklepach i newsletterach
- usuwanie nieużywanych kont i starych profili
- pomijanie nieobowiązkowych pól w formularzach, na przykład daty urodzenia
Mieszkańcy UE mają prawo żądać usunięcia swoich danych na podstawie art. 17 RODO. Wniosek kieruje się do administratora danych, a odpowiedź co do zasady powinna nadejść w ciągu miesiąca. Regularne porządkowanie starych kont wyraźnie zmniejsza ilość informacji dostępnych dla przestępców.
Warto też przeglądać uprawnienia aplikacji mobilnych. Dostęp do lokalizacji, kontaktów czy mikrofonu często nie jest potrzebny do działania usługi. Wyłączenie zbędnych uprawnień ogranicza ilość danych, które mogą trafić do zewnętrznych firm i potencjalnie wyciec.
Higiena finansowa i kryptowaluty
Dane płatnicze wymagają osobnego podejścia. Wirtualne karty z limitem ograniczają szkody, jeśli sklep dopuści do wycieku. Takie karty wydają w aplikacjach mobilnych liczne banki i serwisy fintech. Po zakończeniu subskrypcji lub jednorazowego zakupu kartę można zablokować bez wpływu na główny rachunek.
Kryptowaluty zmniejszają ilość przekazywanych danych osobowych, ale przenoszą odpowiedzialność na właściciela. Błędnej transakcji nie da się cofnąć, a utrata frazy seed oznacza utratę dostępu do środków. Ryzyko istnieje również po stronie platform. W 2023 roku Stake poinformował o zewnętrznym ataku na gorące portfele w sieciach ETH i BSC, a nieautoryzowane transakcje wykryto w ciągu 20 minut.
"Cyberzagrożenia w naszym technologicznym świecie są realne i z czasem tylko rosną." Ed Craven, współzałożyciel Stake.
Ograniczyć ryzyko pomagają proste zasady przechowywania środków:
- główne środki przechowuje się w zimnym portfelu bez połączenia z siecią
- do płatności online służy osobny portfel z niewielkim saldem
- frazę seed zapisuje się offline, bez zdjęć i notatek w chmurze
Co zmieni europejski portfel cyfrowy
Regulacje również zmierzają w stronę minimalizacji danych. Wszystkie państwa UE muszą udostępnić obywatelom co najmniej jeden portfel EUDI Wallet do 24 grudnia 2026 roku, choć Komisja Europejska wątpi, czy wszystkie zdążą na czas. Mniej więcej rok później portfel jako środek identyfikacji będą musiały akceptować banki, ubezpieczyciele, operatorzy telekomunikacyjni i duże platformy internetowe.
Wdrożenie wspierają konkretne środki. Komisja przeznaczyła 15 mln euro na certyfikację i wdrażanie portfeli, z czego 10 mln euro trafi na rozwój i certyfikację rozwiązań. Łotwa planuje uruchomić pierwszą wersję w grudniu 2026 roku z funkcją identyfikacji i podpisu elektronicznego.
Główna idea portfela polega na kontroli nad ujawnianiem informacji. Użytkownik sam decyduje, jakie dane, komu i w jakim celu przekazuje, a wśród zapowiadanych zastosowań znajdują się identyfikacja na platformach cyfrowych, podpis elektroniczny i weryfikacja wieku. Organizacje EDRi i epicenter.works krytykują jednak projekty przepisów technicznych za osłabienie obietnic dotyczących braku możliwości śledzenia oraz obowiązkową biometrię twarzy.
Do czasu uruchomienia portfela podstawowe zasady pozostają bez zmian. Mniej danych w formularzach, unikalne hasła i regularne sprawdzanie wycieków przynoszą wyraźny efekt już dziś.
