Wyciek danych: co zrobić po zawiadomieniu, jak sprawdzić adres i co zastrzec

👁 116 przeczytań

Wyciek danych to sytuacja, w której twoje dane trafiły do kogoś, kto nie powinien ich mieć: przez włamanie, błąd pracownika, źle ustawiony serwer albo zgubiony pendrive. RODO nazywa to naruszeniem ochrony danych osobowych. Gdy dostaję zawiadomienie, nie patrzę na najgłośniejszą liczbę z nagłówka, tylko na listę pól, które wyciekły. Sam adres e-mail, hasło, PESEL i skan dowodu to cztery różne ryzyka i cztery różne reakcje. Tu zbieram, jak je rozpoznać i co zrobić w pierwszej godzinie.

Ile tego jest

Według prezesa UODO w 2023 roku administratorzy zgłosili urzędowi ponad 14 tysięcy naruszeń, a w 2025 już ponad 22 tysiące. Rośnie też liczba skarg od ludzi: z niecałych 7 tysięcy w 2023 roku do prawie 13 tysięcy w 2025. To zgłoszenia od firm i instytucji, nie liczba poszkodowanych: jedno zgłoszenie może dotyczyć jednej osoby albo milionów. W ostatnich miesiącach opisywaliśmy wycieki z Fakturowni, biura podróży Wakacje.pl (dane paszportowe) oraz o danych 2,4 mln pacjentów gabinetów stomatologicznych wystawionych na sprzedaż.

Co firma musi ci powiedzieć

Administrator ma 72 godziny na zgłoszenie naruszenia do UODO (art. 33 RODO). Jeśli naruszenie może powodować wysokie ryzyko dla ciebie, musi zawiadomić także ciebie, „bez zbędnej zwłoki” (art. 34). W zawiadomieniu powinny być: opis tego, co się stało, kontakt do inspektora ochrony danych, możliwe konsekwencje i to, co firma zrobiła, żeby je ograniczyć. Brak listy pól, które wyciekły, to dobry powód, żeby dopytać inspektora mailem.

Jak się chronić: co wyciekło i co zrobić

Jak sprawdzić, czy twój adres jest w wycieku

Najbardziej znana wyszukiwarka to Have I Been Pwned Troya Hunta. Wpisujesz adres e-mail i widzisz, w których znanych wyciekach się pojawił i jakie klasy danych w nich były. Dwie rzeczy, o których trzeba pamiętać: baza zna tylko wycieki, które do niej trafiły, często miesiące po włamaniu, a brak wyniku nie znaczy, że twoich danych nigdzie nie ma. Hasła sprawdzaj w menedżerze haseł albo w przeglądarce, która porównuje je z bazą wycieków bez wysyłania ich jawnym tekstem.

Czego nie robić: nie wklejaj zawiadomienia z danymi do publicznego czatu AI, żeby „przetłumaczył je na ludzki”. To kolejna kopia twoich danych w kolejnym miejscu.

Teksty o wyciekach

01Fakturownia: trzy komunikaty w jeden dzień, a klienci dowiedzieli się o włamaniu ze strony, nie z mailaAtak na Fakturownię wykryto 28 września 2026, a pierwszy mail do klientów mówił tylko o unieważnieniu kluczy API - o kradzieży danych firma napisała na własnej stronie. Zestawiłem kolejność tych komunikatów z 72-godzinnym terminem z RODO i z tym, co grupa fingerprint zrobiła wcześniej w MyDr i Medyc.Czytaj →02Wyciek z Wakacje.pl: policzylem, ile moze kosztowac jeden numer paszportu - od 0 zl do 4,7 tys. zl na osobeZ systemu obsługi klienta Wakacje.pl wypłynęły dane paszportowe Polaków. Spółka nie podała, ilu osób dotyczy incydent, więc oszacowałem skalę z danych finansowych grupy i zestawiłem ją z karami oraz wyrokami w sprawach Morele.net i ALAB. Wyszło mi, że jedno naruszone zgłoszenie kosztuje administratora od kilku złotych do kilku tysięcy - w zależności od tego, czy sprawą zajmie się UODO, czy sąd cywilny.Czytaj →032,4 mln pacjentów stomatologów na sprzedaż za 100 tys. zł. Policzyłem: 4 grosze za rekord z PESEL-emGrupa Horus twierdzi, że wyciągnęła z systemu FELG Dent dane 2,4 mln pacjentów i 1,2 mln recept, a bazę wystawia za 100 tys. zł. Przeliczyłem tę kwotę na jeden rekord, zestawiłem z realnymi kosztami kradzieży tożsamości i sprawdziłem, ile to procent Polaków chodzących do dentysty. Wyszło 0,04 zł za PESEL z pełną historią leczenia.Czytaj →04Revolut wydał oszustom pełne teczki 680 klientów. Policzyłem, ile z tego przypada na Polskę i ile kosztuje odbudowanie tożsamościRevolut przez pięć miesięcy odpowiadał na fałszywe wnioski o dane, podpisane sfałszowanym Europejskim Nakazem Dochodzeniowym. Rozbiłem szacowaną liczbę 680 poszkodowanych na 29 krajów z listy napastnika, przeliczyłem żądany okup na złote i wyliczyłem, ile realnie kosztuje wymiana dokumentów oraz obsługa prawna jednej ofiary w Polsce.Czytaj →05Asystent AI Mety ujawniał prywatne dane użytkowników - badacze dotarli do 6800 linkówFunkcja udostępniania w asystencie Muse od Mety pozwalała obcym osobom czytać cudze rozmowy z AI. Wśród ujawnionych treści były dokumenty o przychodach firm i szczegóły transakcji bankowych.Czytaj →06Klucze dostępu do AI wyciekają w 98 proc. firm. Jak to sprawdzić?Nowe dane od twórców 1Password pokazują, że niemal wszystkie firmy nie kontrolują, kto i jak loguje się do sztucznej inteligencji. Eksperci ostrzegają, że to furtka do wycieku poufnych danych. pl.Czytaj →07„Don’t ask again” w Claude Code: hasła w 1122 plikach na GitHubie. Jak sprawdzić u siebie11 sierpnia 2025 roku jeden z użytkowników Claude Code zgłosił na GitHubie błąd numer 5544. Napisał, że komendy, które zatwierdził w agencie,…Czytaj →08MosaicLeaks: agenci badawczy AI wyciekają firmowe sekrety przez zwykłe wyszukiwaniaBadacze ServiceNow pokazali, że agenci typu deep research zdradzają poufne dane firmy przez sekwencje pozornie niewinnych zapytań do sieci.Czytaj →

Najczęstsze pytania

Firma napisała, że „mogło dojść do nieuprawnionego dostępu”. Co to znaczy?

Że nie wie albo nie chce jeszcze powiedzieć, co dokładnie wyciekło. Na wszelki wypadek zmień hasło do tej usługi i przyjmij, że twój e-mail i telefon są w rękach oszustów, dopóki firma nie poda listy pól.

Czy mogę dostać odszkodowanie za wyciek?

RODO (art. 82) daje prawo do odszkodowania za szkodę materialną lub niematerialną. W praktyce trzeba wykazać szkodę. Skargę na firmę możesz złożyć do UODO, a pozew do sądu cywilnego.

Czy brak mojego adresu w Have I Been Pwned zamyka sprawę?

Nie. Ta baza zna tylko część wycieków. Komunikat administratora nadal może cię dotyczyć.

Jak odróżnić zawiadomienie o wycieku od próby wyłudzenia?

Prawdziwe zawiadomienie nie każe ci klikać w link i logować się. Sprawdź komunikat na stronie firmy, otwartej samodzielnie, i nie podawaj danych karty ani kodów w formularzu z wiadomości.

Powiązane huby

• Phishing: jak sprawdzić prośbę o dane lub przelew
• Prywatność w AI: co sprawdzić przed wysłaniem pliku
• OSINT: jak sprawdzać informacje w otwartych źródłach
• AI w cyberbezpieczeństwie 2026