Kradzież tożsamości po wycieku PESEL

Jeśli właśnie dostałeś telefon o „zadłużeniu”, o którym nic nie wiesz, albo SMS o pożyczce, o którą nie wnioskowałeś — to może być właśnie to. Sam numer PESEL nie wystarczy oszustowi do zaciągnięcia kredytu, ale w połączeniu z innymi danymi (imię, nazwisko, seria dowodu, adres) potrafi otworzyć mu drogę do prawdziwego kredytu zaciągniętego na Twoje nazwisko. Zanim przeczytasz dalej: jeśli jeszcze nie zastrzegłeś PESEL-u w mObywatelu, zrób to teraz — krok po kroku pokazujemy to w poradniku jak zastrzec PESEL.

Jak działa to oszustwo

Punktem wyjścia jest wyciek — z bazy sklepu internetowego, przychodni, urzędu albo z phishingu, w którym sam podałeś dane na fałszywej stronie. Przestępca ma komplet: PESEL, imię i nazwisko, czasem serię dowodu osobistego. To zwykle wystarcza, żeby przez internetową platformę pożyczkową (nie każda instytucja finansowa weryfikuje tożsamość równie starannie) złożyć wniosek o chwilówkę na Twoje dane, podając własny numer telefonu i konto do wypłaty. Ten sam komplet danych bywa wykorzystany zupełnie inaczej: do wyrobienia u operatora duplikatu karty SIM, a więc do przejęcia Twojego numeru razem z kodami autoryzacyjnymi przychodzącymi z banku.

Pierwszy sygnał, że coś poszło nie tak, dociera zwykle nie od oszusta, tylko od firmy pożyczkowej albo windykatora. Typowa wiadomość wygląda tak: „Dzień dobry, informujemy że Państwa wniosek o pożyczkę w kwocie 3000 zł został pozytywnie rozpatrzony, środki przekażemy na podane konto” — SMS, którego nigdy nie zamawiałeś. Albo telefon: „Dzwonię w sprawie zaległości na kwotę 1800 zł, umowa numer […], proszę o kontakt w ciągu 3 dni, w przeciwnym razie sprawa trafi do sądu”.

Osobny wariant tego samego oszustwa działa odwrotnie — dzwoni ktoś, kto twierdzi, że wykrył wyciek Twojego PESEL-u i chce Ci „pomóc go zabezpieczyć”. Podaje się za pracownika banku, urzędnika instytucji publicznej albo pracownika „działu bezpieczeństwa”: „Państwa dane osobowe pojawiły się w bazie przestępczej, żeby zablokować możliwość wzięcia kredytu, proszę podać kod, który zaraz przyjdzie SMS-em” albo „proszę zalogować się do bankowości internetowej, przeprowadzę Pana przez procedurę zabezpieczenia środków”. To nie jest pomoc — to próba wyłudzenia kodu autoryzacyjnego albo dostępu do konta, pod pretekstem tego samego strachu, który wywołuje prawdziwy wyciek PESEL.

Co zrobić, gdy to się dzieje

Jeśli rozmówca przez telefon prosi o podanie kodu z SMS-a, zalogowanie się do bankowości w jego obecności albo o dane karty — rozłącz się. Żadna instytucja, która naprawdę chce Cię zabezpieczyć, nie robi tego w ten sposób. Jeśli już podałeś kod albo dane logowania, dzwoń od razu na infolinię swojego banku i zablokuj dostęp do konta oraz kartę.

Jeśli dowiadujesz się o kredycie zaciągniętym na Twoje dane od windykatora lub z pisma — nie płać nic od razu i nie potwierdzaj zobowiązania. Zażądaj pisemnego uzasadnienia roszczenia (umowa, dane wierzyciela) i sprawdź swoją historię w Biurze Informacji Kredytowej — to tam widać wszystkie zobowiązania zaciągnięte na Twój PESEL, także te, o których nie wiesz. Zastrzeż PESEL, jeśli jeszcze tego nie zrobiłeś, i złóż zawiadomienie o podejrzeniu przestępstwa na policji — będziesz go potrzebować w sporze z bankiem czy firmą pożyczkową. Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać w rejestrze, czy PESEL wnioskującego jest zastrzeżony, zanim udzielą kredytu czy pożyczki — jeśli mimo to ktoś zaciągnął zobowiązanie na zastrzeżony numer, instytucja traci prawo dochodzenia spłaty od Ciebie. Pełną listę kroków po wykryciu oszustwa (reklamacja, zawiadomienie, kontakt z BIK) znajdziesz w poradniku co zrobić po oszustwie.

Gdzie zgłosić

Podejrzany SMS albo e-mail, który mógł być początkiem wycieku, zgłoś do CERT Polska — przez formularz na incydent.cert.pl albo przesyłając treść SMS-em pod bezpłatny numer 8080. Jeśli sprawa dotyczy bezpośrednio banku czy innej instytucji finansowej (np. podejrzanego kontaktu podszywającego się pod bank), w pierwszej kolejności informujesz własny bank przez infolinię — CSIRT KNF (zespół reagowania sektora finansowego) obsługuje incydenty zgłaszane przez same instytucje finansowe, nie indywidualne sprawy klientów. Podejrzenie przestępstwa — wyłudzony kredyt, kradzież danych — zgłoś na policji, w nagłych przypadkach (trwająca próba wyłudzenia, ktoś właśnie loguje się na Twoje konto) dzwoń pod 112. Przegląd innych metod, jakimi oszuści wykorzystują dane osobowe, znajdziesz w pełnym przeglądzie metod oszustw w Polsce.