Wyciek danych: jak sprawdzić, czy wyciekł twój e-mail, numer telefonu albo hasła

Krótka odpowiedź

Żeby sprawdzić, czy twój e-mail wyciekł, wpisz go na haveibeenpwned.com: zobaczysz listę wycieków, w których się pojawił. Zapisane hasła sprawdzisz w Menedżerze haseł Google (Sprawdzanie haseł) albo w raporcie bezpieczeństwa swojego menedżera haseł. Nie ma wiarygodnego darmowego narzędzia do sprawdzania numerów telefonów, więc jeśli twój numer był w którymś z kont objętych wyciekiem, zakładaj, że jest w obiegu. Potem zmień powtarzane hasła, włącz klucze dostępu (passkeys) albo weryfikację dwuetapową w aplikacji, ustaw PIN u operatora, a w USA zamroź historię kredytową (w Wielkiej Brytanii rozważ Cifas Protective Registration).

Kluczowe liczby

• 17,8 mldkont z wycieków można wyszukać w Have I Been Pwned, z ponad 1000 zhakowanych serwisówHave I Been Pwned
• 1,31 mld dolarówstrat w 2025 roku w 67 456 zgłoszeniach do FBI dotyczących wycieku danych osobowychFBI IC3 2025 Internet Crime Report
• 38%wzrostu nieautoryzowanych duplikatów kart SIM (SIM swap) w brytyjskiej National Fraud Database w 2025 rokuCifas Fraudscape 2026
• 4,46 mlnosób, których imiona i nazwiska, numery Social Security i daty urodzenia ujawnił wyciek z TransUnion w 2025 rokuSecurityWeek

Dostajesz e-mail, że firma, z której usług korzystasz, „odnotowała incydent bezpieczeństwa”. Albo oszust pisze do ciebie SMS-a, zwracając się po imieniu. Tak czy inaczej pytanie jest jedno: co z moich danych krąży w sieci i co ktoś może z tym zrobić? Have I Been Pwned, najbardziej znane narzędzie do sprawdzania wycieków danych, ma w bazie ponad 17,8 mld kont z wycieków. Szansa, że jest tam przynajmniej jedno twoje, jest duża.

Wyciek danych to nie to samo co włamanie na konto. Daje jednak przestępcom surowiec do phishingu, przejmowania kont i kradzieży tożsamości. FBI odnotowało w 2025 roku 67 456 zgłoszeń dotyczących wycieku danych osobowych, a zgłoszone straty wyniosły 1,31 mld dolarów. Poniższe kroki zajmą ci około 30 minut i zamkną większość drzwi, które otwiera wyciek.

Jak sprawdzić, czy mój e-mail wyciekł w wycieku danych?

Wpisz swój adres e-mail na haveibeenpwned.com. Serwis jest darmowy, prowadzi go badacz bezpieczeństwa Troy Hunt i pokazuje każdy znany wyciek, w którym pojawił się twój adres, z datą i rodzajem ujawnionych danych.

1. Sprawdź każdy adres, którego kiedykolwiek używałeś lub używałaś, także stare adresy służbowe, szkolne i jednorazowe.
2. Przeczytaj każdy wpis o wycieku. Zanotuj, co wyciekło: hasła, numery telefonów, adresy, daty urodzenia, pytania bezpieczeństwa.
3. Zacznij od wycieków, w których były hasła albo numery dokumentów, i od kont, z których nadal korzystasz.
4. Włącz Notify me, żeby dostać e-mail, gdy twój adres pojawi się w kolejnym wycieku.

Polska: rządowa wyszukiwarka bezpiecznedane.gov.pl sprawdza e-mail albo login w bazach wycieków.

„Nie znaleziono wycieków” nie oznacza, że jesteś bezpieczny. Wiele wycieków nigdy nie zostaje ujawnionych, a część danych sprzedaje się po cichu. Traktuj to jako dobrą wiadomość, nie gwarancję.

Jak sprawdzić, czy moje hasła wyciekły?

Jeśli zapisujesz hasła w Chrome albo na Androidzie, użyj Sprawdzania haseł Google na passwords.google.com. Zobaczysz, które zapisane hasła zostały ujawnione, a które są słabe. Aplikacja Hasła od Apple i większość menedżerów haseł mają podobny raport bezpieczeństwa.

Pojedyncze hasło możesz też sprawdzić na stronie Pwned Passwords w Have I Been Pwned. Hasło nigdy nie jest wysyłane: przeglądarka tworzy jego skrót (hash), wysyła tylko pierwsze pięć znaków tego skrótu i porównuje wyniki na twoim urządzeniu.

Wyciek hasła jest najgroźniejszy, jeśli używasz go w kilku miejscach. Przestępcy biorą pary e-mail i hasło z wycieków i automatycznie próbują ich w bankach, poczcie, sklepach i serwisach społecznościowych. To tzw. credential stuffing i właśnie dlatego jeden stary wyciek może otworzyć dziesięć kont.

Jak sprawdzić, czy mój numer telefonu wyciekł?

Nie ma wiarygodnego darmowego narzędzia, które sprawdzałoby numery telefonów we wszystkich wyciekach, więc uczciwa odpowiedź brzmi: jeśli któreś konto objęte wyciekiem zawierało twój numer, zakładaj, że jest w obiegu. Wyraźne sygnały to nagły wzrost liczby oszukańczych połączeń i SMS-ów, wiadomości z twoim imieniem i jednorazowe kody, o które nie prosiłeś ani nie prosiłaś.

Twój numer jest pewnie publiczny także w inny sposób. Serwisy z wyszukiwarką osób, stare ogłoszenia i profile w mediach społecznościowych łączą numery telefonów z imionami, nazwiskami i adresami. Żeby zobaczyć, co obca osoba może z tobą powiązać, uruchom w Search A-Z wyszukiwanie Sprawdź siebie. Raport pokazuje publiczne profile, wzmianki w sieci i informacje zawodowe powiązane z twoim imieniem i nazwiskiem, a także sprawdza, czy podany numer telefonu lub e-mail jest prawdziwy, jaki to typ linii (komórkowa, stacjonarna albo internetowa/VoIP) i czy wiąże się z ryzykiem oszustwa. Wyszukiwania w USA mogą obejmować rejestry publiczne, takie jak adresy i numery telefonów.

Jakie były największe wycieki danych w 2025 i 2026 roku?

Ostatnie wycieki ujawniały głównie dane kontaktowe i dane tożsamości, a nie numery kart, czyli dokładnie to, czego oszuści używają do phishingu i podszywania się. Kilka największych:

Według Malwarebytes wyciek z Carnival zaczął się od socjotechniki: atakujący nakłonił pracownika do przyznania dostępu. W połowie 2025 roku nagłówki ostrzegały przed „wyciekiem 16 miliardów haseł”. BleepingComputer ustalił, że była to kompilacja starych wycieków i logów ze złośliwego oprogramowania typu infostealer, a nie nowy wyciek. Mimo to był to dobry powód, żeby przestać powtarzać hasła.

Co oszuści mogą zrobić z moimi danymi z wycieku?

Oszuści używają danych z wycieków, żeby ich wiadomości brzmiały wiarygodnie i żeby przejść przez zabezpieczenia. Główne zagrożenia:

• Phishing szyty na miarę. Wiadomość z twoim imieniem, nazwą firmy, z której wyciekły dane, i prawdziwymi szczegółami zamówienia lub konta. Oszuści często podszywają się pod tę firmę i oferują „odszkodowanie” albo „weryfikację konta”.
• Przejęcie konta. Hasła z wycieków są testowane na twojej poczcie, w banku i w sklepach. Cifas odnotował w 2025 roku ponad 78 000 przypadków przejęcia konta w Wielkiej Brytanii.
• SIM swap. Mając twoje imię, nazwisko, numer i datę urodzenia, przestępca przekonuje operatora, żeby przeniósł twój numer na jego kartę SIM, i odbiera twoje kody z SMS-ów. FBI otrzymało w 2025 roku 971 zgłoszeń dotyczących SIM swapu ze stratami 17,4 mln dolarów, a Cifas odnotował 38% wzrost takich przypadków w Wielkiej Brytanii.
• Kradzież tożsamości. Kredyty, umowy na telefon albo konta zakładane na twoje dane. Oszustwa tożsamościowe stanowiły w 2025 roku 54% wszystkich przypadków w brytyjskiej National Fraud Database, czyli ponad 242 000 spraw.
• Podszywanie się pod ciebie. Wiadomości do twoich znajomych albo pracodawcy, które wyglądają, jakby pochodziły od ciebie, czasem z łudząco podobnego adresu e-mail.

Typowa wiadomość, która przychodzi po wycieku, wygląda tak:

Dzień dobry [twoje imię], w związku z niedawnym incydentem bezpieczeństwa w [firma] Twoje konto zostało oznaczone. Aby zachować dostęp i odebrać rekompensatę, zweryfikuj swoje dane w ciągu 24 godzin: [link]

Nigdy nie klikaj linków w wiadomościach o wyciekach. Wejdź na stronę albo do aplikacji firmy samodzielnie. Jeśli w pracy ktoś prosi cię o potwierdzenie nadawcy e-maila albo danych do przelewu, nasz poradnik o tym, jak zweryfikować nadawcę e-maila, przeprowadzi cię przez wszystkie kroki.

Co zrobić po wycieku danych?

Jeśli twoje dane wyciekły, zmień ujawnione i powtarzane hasła, włącz mocniejsze logowanie, zabezpiecz numer telefonu i zablokuj możliwość brania kredytów na twoje dane. Zrób to w tej kolejności:

1. Najpierw zabezpiecz główną skrzynkę e-mail. Przez nią resetujesz wszystko inne. Nowe, unikalne hasło, potem weryfikacja dwuetapowa.
2. Zmień każde powtarzane hasło. Używaj menedżera haseł, żeby każde konto miało inne hasło. Jeśli podejrzewasz złośliwe oprogramowanie na komputerze, najpierw go przeskanuj, bo inaczej nowe hasła też mogą zostać skradzione.
3. Przejdź na klucze dostępu (passkeys) tam, gdzie to możliwe. Obsługują je Google, Apple, Microsoft, Amazon, PayPal i wiele banków. Kluczy dostępu nie da się wyłudzić phishingiem ani użyć ponownie.
4. Używaj aplikacji uwierzytelniającej, a nie SMS-ów, do kodów weryfikacji dwuetapowej na ważnych kontach. SIM swap przechwytuje kody z SMS-ów.
5. Ustaw PIN albo blokadę u operatora. Poproś operatora komórkowego o PIN do przeniesienia numeru albo blokadę numeru, żeby nikt nie mógł go przenieść bez tego zabezpieczenia.
6. Zamroź historię kredytową (USA). To darmowe, nie wpływa na scoring i obowiązuje, dopóki tego nie cofniesz. Zrób to we wszystkich trzech biurach: Equifax, Experian i TransUnion. Darmowy alert o oszustwie (fraud alert), ustawiony w jednym biurze, obowiązuje rok.
7. Obserwuj swoje konta. Sprawdzaj wyciągi z banku i karty oraz raport kredytowy pod kątem wszystkiego, czego nie rozpoznajesz.

Wielka Brytania: Cifas Protective Registration

Mieszkańcy Wielkiej Brytanii, których dane tożsamości wyciekły, mogą wykupić Cifas Protective Registration, która kosztuje 30 funtów za dwa lata. Oznacza ona twoje imię, nazwisko i adres w National Fraud Database, więc kredytodawcy i operatorzy przeprowadzają dodatkowe kontrole, zanim cokolwiek otworzą na twoje dane. Prawdziwe wnioski mogą trwać trochę dłużej, a rejestracja nie wpływa na scoring. Cifas podaje, że najbardziej przydaje się w pierwszych miesiącach po wycieku. Sprawdź też swój raport kredytowy w Experian, Equifax albo TransUnion UK.

UE: co jest inaczej

W UE nie ma jednego systemu zamrażania historii kredytowej. Powiadom swój bank, obserwuj konta i pamiętaj, że firma, z której wyciekły dane, musi zgłosić to swojemu organowi ochrony danych, a jeśli ryzyko jest wysokie, poinformować cię bezpośrednio, zgodnie z RODO.

Polska: możesz bezpłatnie zastrzec swój numer PESEL przez internet albo w aplikacji mObywatel, co utrudnia wzięcie kredytu na twoje dane.

Jak sprawdzić, czy ktoś używa mojej tożsamości?

Ktoś może używać twojej tożsamości, jeśli widzisz aktywność, której nie rozpoczynałeś ani nie rozpoczynałaś. Zwróć uwagę na:

• E-maile o resetowaniu hasła albo alerty logowania, o które nie prosiłeś lub nie prosiłaś
• Telefon nagle traci zasięg i pokazuje „Brak usługi” albo „Tylko SOS”
• Rachunki, zapytania kredytowe albo konta, których nie rozpoznajesz
• Znajomych, którzy dostają dziwne wiadomości albo prośby o pieniądze „od ciebie”
• Telefony od windykatorów w sprawie długów, które nie są twoje

Utrata zasięgu bez powodu to pilna sprawa: od razu zadzwoń do operatora z innego telefonu, bo może to oznaczać, że twój numer został przeniesiony. Fałszywy profil z twoim imieniem i zdjęciami łatwiej zauważyć, gdy wiesz, co zwykle można o tobie znaleźć, a w tym pomoże nasz poradnik o tym, co internet mówi o tobie.

Gdzie zgłosić kradzież tożsamości albo oszustwo po wycieku danych?

W USA kradzież tożsamości zgłasza się na IdentityTheft.gov, który przygotowuje plan działania i zgłoszenie potrzebne do przedłużonego, siedmioletniego alertu o oszustwie. Oszustwa internetowe zgłaszaj do FBI na ic3.gov.

Wielka Brytania: oszustwa i cyberprzestępstwa zgłaszaj do Report Fraud, serwisu, który zastąpił Action Fraud, na reportfraud.police.uk lub pod numerem 0300 123 2040. W Szkocji skontaktuj się z Police Scotland pod numerem 101. Oszukańcze SMS-y przekazuj na numer 7726.

UE: oszustwo zgłoś na lokalnej policji, a jeśli firma źle obeszła się z twoimi danymi, złóż skargę do krajowego organu ochrony danych.

Polska: podejrzane SMS-y przekaż bezpłatnie na numer 8080, a phishing i inne incydenty zgłoś do CERT Polska na incydent.cert.pl.

Jeśli wyciek ujawnił twój adres domowy albo numer telefonu na publicznych stronach, nasz poradnik o tym, jak usunąć się z wyszukiwarek osób, pokazuje, jak to zdjąć.

Podsumowanie

Sprawdź każdy e-mail, którego używałeś lub używałaś, na Have I Been Pwned, przejrzyj zapisane hasła i zakładaj, że twój numer telefonu jest w obiegu. Potem zrób to, co naprawdę blokuje przestępców: unikalne hasła, klucze dostępu albo weryfikacja dwuetapowa w aplikacji, PIN u operatora i zamrożenie historii kredytowej w USA albo Protective Registration w Wielkiej Brytanii.

Najczęstsze pytania

Jak sprawdzić, czy mój e-mail wyciekł?

Wpisz go na haveibeenpwned.com. Ten darmowy serwis pokazuje każdy znany wyciek, w którym pojawił się twój e-mail, i jakie dane zostały ujawnione. Włącz Notify me, żeby dostawać powiadomienia o przyszłych wyciekach, i sprawdź każdy adres, którego używałeś lub używałaś.

Czy korzystanie z Have I Been Pwned jest bezpieczne?

Tak. To działający od lat darmowy serwis prowadzony przez badacza bezpieczeństwa Troya Hunta. Wyszukanie e-maila pokazuje tylko, w których wyciekach się znajduje. Sprawdzarka haseł nigdy nie wysyła twojego prawdziwego hasła, tylko fragment jego skrótu (hasha).

Czy mogę sprawdzić, czy mój numer telefonu wyciekł?

Nie w wiarygodny sposób i za darmo. Jeśli któreś konto objęte wyciekiem zawierało twój numer, zakładaj, że jest w obiegu. Częste sygnały to więcej oszukańczych SMS-ów, wiadomości z twoim imieniem i jednorazowe kody, o które nie prosiłeś. Zabezpiecz numer PIN-em albo blokadą u operatora.

Co zrobić najpierw po wycieku danych?

Zabezpiecz główną skrzynkę e-mail nowym, unikalnym hasłem i weryfikacją dwuetapową, potem zmień wszystkie powtarzane hasła. W USA zamroź historię kredytową w Equifax, Experian i TransUnion. W Wielkiej Brytanii rozważ Cifas Protective Registration.

Czy zamrożenie historii kredytowej szkodzi scoringowi?

Nie. W USA zamrożenie historii kredytowej jest darmowe, nie wpływa na scoring i obowiązuje, dopóki go nie cofniesz. Możesz je tymczasowo zdjąć w biurze, z którego korzysta kredytodawca, gdy składasz wniosek o kredyt.

Czym jest SIM swap i jak się przed nim chronić?

SIM swap to sytuacja, w której przestępca przekonuje operatora, żeby przeniósł twój numer na jego kartę SIM, i przejmuje twoje połączenia oraz kody z SMS-ów. Chroni przed tym PIN albo blokada numeru u operatora oraz aplikacja uwierzytelniająca lub klucze dostępu zamiast kodów SMS.

Źródła

1. Have I Been Pwned
2. Have I Been Pwned: Pwned Passwords
3. FBI IC3 2025 Internet Crime Report
4. Cifas Fraudscape 2026
5. Cifas Protective Registration
6. FTC: co warto wiedzieć o zamrożeniu historii kredytowej i alertach o oszustwie
7. SecurityWeek: wyciek z TransUnion dotyczy 4,4 mln osób
8. BleepingComputer: Co-op potwierdza kradzież danych 6,5 mln członków
9. Malwarebytes: Carnival potwierdza wyciek danych prawie 6 mln osób (maj 2026)
10. TechRepublic: największe wycieki danych 2026 roku
11. BleepingComputer: wyciek 16 miliardów danych logowania to nie nowy wyciek
12. techUK: Report Fraud zastępuje Action Fraud

Liczby to najnowsze dane opublikowane przez każde źródło w chwili aktualizacji poradnika. Zgłoszone straty z oszustw to minimum: większość oszustw nigdy nie jest zgłaszana.