Jak sprawdzić, czy moje dane wyciekły? mObywatel, gov.pl, HIBP

Jak sprawdzić, czy moje dane wyciekły?

Wyciek danych to sytuacja, w której Twoje dane z jakiejś firmy, sklepu albo serwisu trafiły do osób, które nie powinny ich mieć. Najczęściej są to adres e-mail z hasłem, numer telefonu, PESEL, adres albo skan dokumentu.

Sprawdzasz w dwóch miejscach: w polskim portalu rządowym bezpiecznedane.gov.pl i w międzynarodowym serwisie Have I Been Pwned. Oba porównują Twoje dane z bazami z wycieków, które udało się zebrać. Żaden nie zna wszystkich wycieków, więc wynik „nic nie znaleziono” znaczy tylko tyle, że nie ma Cię w bazach, które sprawdzono.

Trzecie źródło to sama firma. Jeśli dostałeś zawiadomienie o wycieku albo podejrzewasz, że dotyczył Ciebie, zapytaj ją wprost, jakie Twoje dane wyciekły i kiedy.

Jak sprawdzić wyciek danych w mObywatelu i na gov.pl

Rządowy serwis nazywa się Bezpieczne dane i działa pod adresem bezpiecznedane.gov.pl. Według klauzuli Ministerstwa Cyfryzacji administratorem jest Minister Cyfryzacji, bazy z wycieków pozyskuje zespół CSIRT NASK, a portal utrzymuje Centralny Ośrodek Informatyki.

Jak to działa: wchodzisz na bezpiecznedane.gov.pl, klikasz logowanie i potwierdzasz tożsamość przez krajowy węzeł logowania, na przykład Profilem Zaufanym albo aplikacją mObywatel. Według CERT Polska (strona zaktualizowana 2 września 2026) po zalogowaniu sprawdzisz adres e-mail, numer telefonu i PESEL. Usługa jest bezpłatna.

Uważaj na podróbki. Oszuści rozsyłają e-maile, które straszą wyciekiem danych i żądają zapłaty. Prawdziwy portal nie prosi o przelew, a jego adres wpisuj ręcznie. Adres nadawcy takiej wiadomości możesz sprawdzić za darmo, a więcej o rozpoznawaniu fałszywych maili przeczytasz w artykule jak sprawdzić, czy mail jest prawdziwy.

Have I Been Pwned: sprawdzenie adresu e-mail i hasła

Have I Been Pwned (haveibeenpwned.com) to bezpłatna wyszukiwarka wycieków prowadzona przez badacza bezpieczeństwa Troya Hunta. Wpisujesz adres e-mail i widzisz listę wycieków, w których się pojawił, z datą i rodzajem danych.

Funkcja Notify me wyśle Ci e-mail, gdy adres pojawi się w nowym wycieku. Według FAQ serwisu musisz potwierdzić, że masz dostęp do tej skrzynki. Osobna usługa Pwned Passwords sprawdza, czy hasło było w wyciekach. Według FAQ hasła są tam przechowywane osobno, bez powiązania z adresami e-mail.

HIBP i portal rządowy mają różne zbiory wycieków i żaden nie publikuje pełnej listy porównywalnej z drugim. Dlatego sprawdzaj w obu miejscach, a nie w jednym.

Zastrzeżenie PESEL w mObywatelu: jak to zrobić i co daje

Zastrzeżenie PESEL to wpis w rządowym Rejestrze Zastrzeżeń Numerów PESEL, który blokuje zawarcie na Twoje dane umowy kredytu i podobnych umów. Usługa działa od 17 listopada 2023 roku na podstawie ustawy z 7 lipca 2023 roku o ograniczaniu skutków kradzieży tożsamości (Dz.U. 2023 poz. 1394).

Od 1 czerwca 2024 roku banki, firmy pożyczkowe, notariusze i operatorzy telekomunikacyjni muszą sprawdzić rejestr przed podpisaniem umowy. Według Ministerstwa Cyfryzacji obejmuje to między innymi kredyty i pożyczki, zakupy na raty, leasing, akty notarialne przy sprzedaży nieruchomości i duplikat karty SIM. Jeśli instytucja mimo zastrzeżenia udzieli kredytu, osoba poszkodowana nie musi go spłacać.

Jak zastrzec PESEL w aplikacji: zaloguj się do mObywatela, na dole ekranu wybierz Usługi, potem Zastrzeż PESEL i potwierdź. Możesz to też zrobić w mObywatelu w przeglądarce na gov.pl albo w dowolnym urzędzie gminy. Zastrzeżenie i cofnięcie są bezpłatne.

Zastrzeżenie cofniesz tymczasowo, na przykład na dzień podpisania kredytu, i równie szybko przywrócisz. Zobaczysz też, które firmy sprawdzały Twój PESEL i w jakim celu. Ministerstwo zaleca, by PESEL był zastrzeżony domyślnie.

Co zrobić po wycieku danych krok po kroku

Kolejność zależy od tego, co wyciekło. Ta lista opiera się na ścieżce postępowania CERT Polska po wycieku danych:

1. Ustal, co dokładnie wyciekło: hasło, PESEL, skan dowodu, dane karty. Zapytaj firmę, jeśli zawiadomienie tego nie mówi. 2. Hasło: zmień je w serwisie, którego dotyczy wyciek, i wszędzie tam, gdzie używałeś tego samego albo podobnego hasła. 3. Włącz logowanie dwuetapowe (2FA), najlepiej aplikacją albo kluczem sprzętowym, nie SMS-em. 4. PESEL: zastrzeż go w mObywatelu. 5. Karta płatnicza: zastrzeż ją w banku i przejrzyj ostatnie transakcje. 6. Dowód osobisty albo paszport: zastrzeż dokument, o czym niżej. 7. Uważaj na telefony i wiadomości „z banku” lub „z policji” w kolejnych tygodniach. Oszuści używają wykradzionych danych, żeby brzmieć wiarygodnie.

Jeśli wyciekło hasło do poczty firmowej, potraktuj to jak incydent w firmie, nie prywatny problem: zgłoś to osobie odpowiedzialnej za IT, bo ze skrzynki da się wysłać fałszywą fakturę do klientów. Ten scenariusz opisuje artykuł fałszywa faktura i zmiana numeru konta. Jeśli wyciekł klucz API, token albo plik .env, rozpoznasz go w narzędziu Wklej, które działa w przeglądarce i niczego nie wysyła.

Jeśli ktoś już użył Twoich danych, zgłoś to na policji. Skargę na firmę, która nie zabezpieczyła danych albo nie odpowiada na pytania, możesz złożyć do Prezesa UODO.

Dowód osobisty po wycieku: zastrzec czy unieważnić

Zastrzeżenie dokumentu to wpis do Systemu Dokumenty Zastrzeżone prowadzonego przez Związek Banków Polskich. Korzystają z niego banki, operatorzy komórkowi i inne instytucje, które sprawdzają dokument klienta. Zastrzeżesz tak dowód, paszport i prawo jazdy: w oddziale dowolnego banku, telefonicznie przez bank albo w aplikacji mObywatel w usłudze Zastrzeż dokument. Według Ministerstwa Cyfryzacji jest to bezpłatne.

Zastrzeżenie dokumentu można cofnąć, jeśli się odnajdzie. To ma sens przy zgubionym portfelu. Przy skanie, który krąży w wycieku, zastrzeżenie zostaw.

Unieważnienie dowodu to co innego: dokument przestaje być ważny i trzeba wyrobić nowy. Według usługi na gov.pl zgłaszasz to, gdy ktoś użył Twoich danych, na przykład wziął na nie kredyt albo zawarł umowę z operatorem. Zgłoszenie złożysz w dowolnym urzędzie gminy albo przez internet, logując się Profilem Zaufanym, e-dowodem lub podpisem kwalifikowanym. Urzędnik od razu unieważnia dowód, potem składasz wniosek o nowy. Usługa jest bezpłatna.

Jak sprawdzić, czy ktoś wziął kredyt na moje dane

Wnioski kredytowe na Twoje dane widać w biurach informacji kredytowej i gospodarczej. CERT Polska wymienia trzy: BIK, KRD i BIG InfoMonitor. Raport z każdego pokaże, kto pytał o Twoją historię i jakie zobowiązania są na Ciebie zapisane.

BIK oferuje płatne Alerty BIK: SMS i e-mail, gdy ktoś złoży wniosek kredytowy na Twoje dane. Według bik.pl (październik 2026) kosztują 48 zł rocznie. To uzupełnienie, nie zamiennik zastrzeżenia PESEL, które jest bezpłatne i blokuje umowę, a nie tylko o niej informuje.

W usłudze Zastrzeż PESEL zobaczysz historię sprawdzeń Twojego numeru. Zapytanie z firmy, z którą nic nie załatwiałeś, to sygnał, że ktoś próbuje użyć Twoich danych. Sprawdzaj też wyciągi z konta i historię logowań w bankowości.