Pytanie „co, jeśli ktoś zna mój PESEL” wraca po każdym dużym wycieku — ostatnio po sierpniowym incydencie w MyDr, który może dotyczyć nawet 18,8 mln osób. Sam numer nie jest hasłem do konta, ale w zestawie z nazwiskiem, adresem i telefonem ułatwia wyłudzenia i podszywanie się. Najskuteczniejsza tarcza to bezpłatne zastrzeżenie PESEL w mObywatelu, a do tego kontrola raportu BIK i nieufność wobec telefonów „z banku”.
Czy sam PESEL wystarczy, by ukraść pieniądze?
Najczęściej nie. W procedurze kredytowej poza numerem PESEL pada komplet danych: imię i nazwisko, adres, telefon, dochody, do tego przelew weryfikacyjny albo potwierdzenie tożsamości dokumentem. Policja, opisując wyłudzenia kredytów przez internet, wskazuje właśnie na te dodatkowe zapory. PESEL bywa więc jednym z klocków układanki, a nie kluczem, który otwiera wszystko.
Problem w tym, że przestępcy rzadko pracują na jednym klocku. Dane z kilku wycieków — PESEL z jednego, e-mail z drugiego, telefon z trzeciego — plus to, co sami publikujemy w mediach społecznościowych, składają się w profil wystarczający do ataku. Dlatego zamiast pytać, czy ktoś zna Twój PESEL, lepiej zapytać: jak szeroki zestaw danych o Tobie krąży i które z Twoich kont da się nimi otworzyć.
| Co zna przestępca | Co może realnie próbować | Ryzyko |
|---|---|---|
| tylko PESEL | profilowanie, przygotowanie phishingu, dozbieranie reszty danych | umiarkowane |
| PESEL + imię i nazwisko | wiarygodniejszy phishing, próby w słabiej zabezpieczonych procedurach | podwyższone |
| + data urodzenia, adres, telefon | próby zawierania umów, socjotechnika wobec banku lub operatora | wysokie |
| + skan dowodu, dostęp do e-maila lub SIM | przejmowanie kont, wnioski kredytowe, obchodzenie weryfikacji | bardzo wysokie |
Kredyt na cudzy PESEL — co zmieniło się od czerwca 2024
Rejestr Zastrzeżeń Numerów PESEL ruszył w listopadzie 2023 r., ale zęby zyskał 1 czerwca 2024 r. Od tej daty banki, SKOK-i i firmy pożyczkowe mają ustawowy obowiązek sprawdzić status numeru przed udzieleniem kredytu czy pożyczki, przed otwarciem rachunku i przy zakupach na raty finansowanych kredytem konsumenckim.
Najważniejszy jest skutek cywilny tej weryfikacji: instytucja, która zawrze umowę objętą obowiązkiem sprawdzenia mimo aktywnego zastrzeżenia, nie może dochodzić od właściciela numeru roszczeń z tej umowy. Mówiąc wprost — dług wyłudzony na zastrzeżony PESEL nie jest Twoim problemem w sensie prawnym. To dlatego zastrzeżenie wyrosło na najmocniejsze pojedyncze zabezpieczenie konsumenta po wycieku danych. Trzeba tylko pamiętać, że ochrona obejmuje czynności wymienione w ustawie i podmioty zobowiązane do weryfikacji; oszustwa spoza tego katalogu wymagają zwykłej drogi reklamacyjnej i zgłoszenia na policję.
Duplikat SIM i abonament: scenariusz SIM swap
Drugi groźny scenariusz to SIM swap — wyrobienie u operatora duplikatu Twojej karty SIM. Kto przejmie numer, ten odbiera SMS-y, w tym kody autoryzacyjne. Na szczęście i tu działa rejestr zastrzeżeń: operatorzy telekomunikacyjni należą do podmiotów weryfikujących, a przy aktywnym zastrzeżeniu duplikat karty nie powinien zostać wydany. Potwierdzają to zarówno Ministerstwo Cyfryzacji, jak i UKE.
Warto też rozbroić mit: samo przejęcie karty SIM nie oznacza jeszcze przejęcia konta w banku. Do tego przestępca potrzebuje zwykle loginu i hasła do bankowości albo skłonienia ofiary do zatwierdzenia operacji. Podobnie umowa abonamentowa na cudze dane wymaga przejścia procedur operatora — a jeśli obejmuje telefon na raty, wchodzi też weryfikacja kredytowa z rejestrem zastrzeżeń w tle.
„Dzwonię z banku, znam pana PESEL” — socjotechnika po wycieku
Najbardziej prawdopodobnym skutkiem dużego wycieku nie jest wcale kredyt zaciągnięty za Twoimi plecami, tylko telefon albo SMS skrojony pod Ciebie. Wyobraź sobie mieszkańca Rzeszowa, do którego tydzień po głośnym incydencie dzwoni „dział bezpieczeństwa banku”. Rozmówca zna imię, nazwisko, datę urodzenia i PESEL, więc brzmi wiarygodnie. Informuje o „podejrzanym kredycie” i prosi o zainstalowanie aplikacji albo przelew na „konto techniczne”.
Tu dane z wycieku pracują przeciwko Tobie: im więcej rozmówca o Tobie wie, tym łatwiej uśpi czujność. CERT Polska ostrzega dodatkowo przed spoofingiem — na wyświetlaczu może pojawić się prawdziwy numer infolinii banku, mimo że połączenie idzie skądinąd. Zasada obronna jest jedna: znajomość Twoich danych niczego nie dowodzi. Bank nigdy nie prosi o instalowanie zdalnego pulpitu, podanie hasła ani „przeniesienie środków w bezpieczne miejsce”. W razie wątpliwości rozłącz się i zadzwoń na infolinię z numeru, który sam wyszukasz na stronie banku.
Jak zastrzec PESEL i sprawdzać, kto go weryfikował
Zastrzeżenie jest bezpłatne i zajmuje chwilę: w aplikacji mObywatel (usługa „Zastrzeż PESEL”), w serwisie mObywatel.gov.pl — logowanie profilem zaufanym, e-dowodem albo przez bankowość elektroniczną — lub osobiście w dowolnym urzędzie gminy. Zmiana statusu działa od razu. Gdy sam planujesz kredyt albo nową kartę SIM, cofasz zastrzeżenie na chwilę; w aplikacji ustawisz automatyczne ponowne włączenie ochrony o wskazanej godzinie.
Zastrzeżony numer nie przeszkadza w codziennym życiu: lekarz, apteka, przelewy, bankomat, urząd i wyjazd za granicę działają bez zmian. W mObywatelu obejrzysz też historię weryfikacji — listę instytucji, które pytały rejestr o Twój numer, z datami. Zapytanie, którego nie umiesz powiązać z własną aktywnością, to sygnał ostrzegawczy wart wyjaśnienia u źródła. Takie okresowe przeglądy dobrze połączyć z porządkami w domowych finansach, o których pisaliśmy przy okazji poduszki finansowej.
Jak sprawdzić, czy ktoś wziął kredyt na Twoje dane
Zastrzeżenie chroni na przyszłość — przeszłość trzeba sprawdzić samemu. Najwygodniejszy jest Raport BIK, który pokazuje Twoją historię kredytową i aktywne zobowiązania; BIK wprost opisuje go jako narzędzie do wykrywania wyłudzeń. Raz na sześć miesięcy przysługuje też bezpłatna kopia danych BIK na podstawie RODO — mniej czytelna, ale wystarczająca do kontroli. Na bieżąco pilnują Cię Alerty BIK: powiadomienie przychodzi, gdy ktoś składa zapytanie kredytowe na Twoje dane. Dla osoby, która odkłada systematycznie i wie, ile naprawdę znaczą zgromadzone oszczędności, taki monitoring to tani sposób ochrony dorobku.
Plan działania po wycieku wygląda więc tak:
- Zastrzeż PESEL i przejrzyj historię jego weryfikacji w mObywatelu.
- Sprawdź Raport BIK lub zamów bezpłatną kopię danych; rozważ Alerty BIK.
- Zabezpiecz skrzynkę e-mail i konta z powtarzanym hasłem — unikalne hasła, dwuskładnikowe logowanie.
- Podejrzane SMS-y przekazuj bezpłatnie do CERT Polska na numer 8080, a telefony „z banku” weryfikuj, dzwoniąc samodzielnie na oficjalną infolinię.
- Znalazłeś zobowiązanie, którego nie brałeś? Reklamacja w instytucji finansowej, zabezpieczenie korespondencji i zgłoszenie na policję.
Najczęstsze pytania
Czy zastrzeżenie PESEL zablokuje moje własne przelewy i zakupy?
Codzienne bankowanie działa bez zmian: przelewy, płatności kartą, BLIK i wypłaty z bankomatu nie podlegają weryfikacji rejestru. Ograniczenie dotyczy nowych zobowiązań — kredytu, pożyczki, rachunku, duplikatu SIM — oraz większych wypłat gotówki w kasie banku. Na czas takiej operacji zastrzeżenie po prostu czasowo cofasz.
Co zrobić, gdy w raporcie BIK widzę kredyt, którego nie brałem?
Zacznij od reklamacji w instytucji, która udzieliła finansowania — masz prawo żądać wyjaśnienia i kopii dokumentów. Równolegle zgłoś sprawę na policję i zachowaj całą korespondencję. Jeśli umowa objęta obowiązkiem weryfikacji powstała mimo aktywnego zastrzeżenia PESEL, instytucja nie może dochodzić od Ciebie roszczeń — przepis działa na Twoją korzyść od 1 czerwca 2024 r.
Czy po wycieku muszę wymienić dowód osobisty?
Wyciek numeru PESEL sam w sobie nie unieważnia dokumentu i nie wymaga jego wymiany. Inaczej wygląda sytuacja, gdy ktoś faktycznie posłużył się Twoimi danymi — państwowa procedura zgłoszenia kradzieży tożsamości prowadzi wtedy do unieważnienia dowodu, dlatego korzysta się z niej przy uprawdopodobnionym nadużyciu, a nie profilaktycznie.
Stan na sierpień 2026. Progi i zasady weryfikacji rejestru zastrzeżeń wynikają z ustawy o ewidencji ludności po nowelizacji z 7 lipca 2023 r.