Cyberbezpieczny – wycieki danych: prewencja i reagowanie

Bądź cyberbezpieczny. Słuchaj Radia Zielona Góra. Dowiedz się, jak nie dać się oszukać w sieci. Korzystaj z internetu z głową. Pamiętaj o bezpieczeństwie. Cyberbezpieczny. Zaprasza Piotr Kuśnierz. To jest nasza audycja o bezpieczeństwie w internecie. Dziś w naszym studiu Łukasz Soroczyński, nasz ekspert. Dzień dobry. Dzień dobry. A temat to wycieki danych, prewencja i reagowanie. Przypominamy dziś o dużym wycieku danych wrażliwych. 19 milionów Polaków do tego wycieku doszło niedawno, bo w sierpniu tego roku. Oczywiście tutaj nawiązuje do ataku na platformę MyDoctor. No i przypomnijmy, że Ministerstwo Cyfryzacji od razu zaapelowało o zastrzeżenie numeru PESEL. Stąd moje pierwsze pytanie.

Dlaczego i jak zastrzec numer PESEL? Numer PESEL możemy zastrzec na przykład, jest to najwygodniejszy sposób w aplikacji M-Obywatel. Pozwala to na takie szybkie zastrzeżenie PESELu oraz cofnięcie tego zastrzeżenia w momencie, kiedy chcemy założyć jakieś konto w banku, wziąć jakąś pożyczkę czy kredyt. Można zrobić to też w siedzibie urzędu gminy. Tutaj moim zdaniem ten sposób byłby dosyć problematyczny, bo jest wymagana jednak ta wizyta fizyczna w urzędzie. Musielibyśmy się tam udać, żeby ten PESEL odstrzec w momencie, kiedy chcemy podjąć jakieś działania, które są niemożliwe, kiedy PESEL jest zastrzeżony. I to jest ciekawe, bo mając M-Obywatela dosłownie można zastrzec i odstrzec numer PESEL w ciągu kilku minut. Ja pamiętam, że na początku jak to działało, to tam była informacja, że należy odczekać 24 godziny bodajże. Żeby od momentu, kiedy zastrzeżemy, można było znowu ostrzec.

Ale to już jest za nami. Technologia idzie do przodu. Dlatego jeszcze chciałem dopytać, dlaczego w ogóle zastrzec numer PESEL? Jak to nam pomoże w codziennym naszym życiu? Zastrzeżenie PESEL-u jest tak naprawdę takim bezpiecznikiem prawnym, który został stworzony przez to, że dochodziło do takich sytuacji, gdzie ktoś posiadając nasze dane osobowe, Czyli np. PESEL, imię 1, imię 2, nazwisko, nie wiem, np. jeszcze imię matki, imię ojca. Podpisywał np. umowę o kredyt. Potencjalnie nie miał prawa jej podpisać i instytucja, która udzieliła takiego kredytu, osobie, która była do tego nieuprawniona, ale posługiwała się naszymi danymi, w świetle prawa powinna ona jakby udowodnić, że to my ten kredyt wzięliśmy. Natomiast niestety ofiary często dowiadują się, że ten kredyt został na nich zaciągnięty w momencie, kiedy jest już jakaś egzekucja komornicza uruchomiona. No i wtedy jest troszkę za późno na wyjaśnianie tej sprawy, bo ta egzekucja już trwa i ewentualne roszczenie naszych praw jest możliwe dopiero jak ta egzekucja się prawdopodobnie zakończy, no bo ona nie zostanie prawdopodobnie tak szybko zatrzymana, jak ta machina już ruszyła.

A zastrzeżenie PESEL-u to taki bezpiecznik prawny utworzony przez rząd, który mówi, że jeżeli PESEL był zastrzeżony, a jakakolwiek instytucja udzieliła kredytu w momencie, kiedy ten PESEL był zastrzeżony, automatycznie instytucja ma problem, nie ma żadnych praw do tego, żeby rościć od nas jakichkolwiek pieniędzy czy skutków takiej umowy, która została zawarta. Mówimy o PESEL-u, zaczęliśmy od wycieku danych, ale warto tutaj powiedzieć o też hasłach, bo hasła to jest coś, z czym mamy do czynienia na co dzień. Każdy z nas korzysta z internetu, no i są, można powiedzieć, te hasła podstawą naszej codziennej ochrony. W takim razie, jak je tworzyć? Przypomnijmy takie podstawowe zasady tworzenia haseł. Generalnie tak, jeżeli chodzi o zasady tworzenia haseł, to pierwsza i najważniejsza zasada, hasło powinno być jak najdłuższe.

Dzisiaj rozmawiamy o wyciekach danych. Skupialiśmy się wcześniej na prewencji, to teraz powiedzmy jak zareagować na to, jeśli ewentualnie nasze dane wyciekły. Czyli jakie działania ze strony cyberprzestępców nam mogą grozić, jeśli nasze dane wrażliwe wyciekły? Ja tutaj widzę tak naprawdę dwie takie najbardziej prawdopodobne możliwości. Pierwsza to takie sprecyzowane, celowane ataki phishingowe. Nie wiemy jakie tutaj dane dokładnie wyciekły, tam dostaliśmy informację, że tylko PESEL-e, imię, nazwisko i nie może adres zamieszkania. Jest to już jakaś ilość danych, które mogą coś tam umożliwić jakiś atak. Natomiast jeżeli doszłyby do tego jakieś dane medyczne, informacje o tym, gdzie zazwyczaj przebywamy, im więcej jest tych danych, tym bardziej spersonalizowany atak phishingowy możemy wycelować w jakąś osobę i uwiarygodnić po prostu takiego maila, że rzeczywiście np. napisał do mnie kolega, który potrzebuje pożyczyć pieniądze.

I jeżeli w tych danych oni wiedzą, że ja znam tego kolegę od x lat, rozmawiamy zazwyczaj o, nie wiem, koszykówce, on zazwyczaj, nie wiem, jeździ w maju na wakacje gdzieś tam, no to prawdopodobnie napiszą do mnie w maju, że słuchaj, mam problem, zabrakło mi pieniędzy, weź mi tam pięć stówek, przelej, ale zmieniłem numer telefonu na inny numer telefonu. Tego typu ataki mogą tutaj występować. To, czym się teraz tak straszy, to też udzielanie kredytów na te dane. Natomiast moim zdaniem nie jest to aż tak wielki problem, bo dostać kredyt na same dane jest ciężko, chociaż mogę sobie wyobrazić sytuację, gdzie ktoś podreby dowód osobisty, wpisuje tam moje dane, mój PESEL, moje imię, i tak dalej, i tak dalej, i umieszcza swoje zdjęcia. I z takim dowodem osobistym idzie do banku i próbuje wziąć kredyt. Być może by to przeszło. Pytanie, na ile bank będzie weryfikował, czy ten dowód jest niepodrobiony.

Cyberbezpieczny. No dobrze, mamy taką sytuację, że doszło do tego wycieku danych, bo od tego rozpoczęliśmy. Do tego nawiązywałeś. Platforma MyDoctor w sierpień. No i wiem, że została uruchomiona strona rządowa. Czy mógłbyś o niej powiedzieć? Co można na niej sprawdzić? Dlaczego to jest ważne? Została uruchomiona strona rządowa bezpieczny-dane.gov.pl. Możemy na niej sprawdzić, czy aktualnie strona rządowa posiada informacje na temat tego, czy wyciekły nasze dane. Na ten moment możemy zweryfikować chyba tylko i wyłącznie e-maila i PESEL, z tego co kojarzę. Jest tam też opcja wpisania numeru telefonu, ale ostatnio sprawdzałem, niestety to nie działa. Mamy jedynie informacje o tym, czy ten nasz PESEL wyciekł, czy jakieś powiązane z nim dane. Jeżeli wyciekł, no to dobrze byłoby ten PESEL zastrzec, bo jest to jakieś tam dodatkowe zabezpieczenie dla nas.