Kradzież danych to często dopiero początek najgroźniejszej fazy incydentu. W przeciwieństwie do haseł czy numerów kart raz ujawnionych danych medycznych nie da się unieważnić, a przestępcy mogą je wykorzystywać jeszcze długo po wycieku — ostrzegają eksperci ds. cyberbezpieczeństwa.
Po dużych wyciekach uwagę zwykle przyciąga liczba poszkodowanych, ale dla użytkowników ważniejsze może być to, jak długo przejęte informacje pozostaną użyteczne i do czego zostaną wykorzystane. Cyberprzestępcy zestawiają dane z różnych źródeł. Informacja mało znacząca sama w sobie, po połączeniu z numerem telefonu, adresem e-mail, PESEL-em, miejscem zamieszkania czy danymi o zdrowiu, może stać się elementem szczegółowego profilu konkretnej osoby.
„Dane przejęte w jednym incydencie nie muszą funkcjonować jako odrębna baza. Mogą zostać zestawione z informacjami zdobytymi wcześniej, a taki połączony zestaw pozwala znacznie dokładniej poznać potencjalną ofiarę. Szczególną kategorią są informacje związane ze zdrowiem, ponieważ nie możemy ich później zmienić tak jak hasła czy numeru karty” — mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń w ESET.
Znajomość prawdziwych informacji zmienia charakter ataku. Przestępca nie musi już wysyłać przypadkowej wiadomości do tysięcy osób, lecz może przygotować kontakt odnoszący się do rzeczywistych faktów. Telefon może wyglądać jak kontakt z placówki medycznej, banku czy ubezpieczyciela.
„Im więcej prawdziwych informacji może wykorzystać oszust, tym mniej jego kontakt przypomina typowy phishing. Kilka poprawnych szczegółów wystarczy czasem, aby odbiorca uwierzył, że rzeczywiście rozmawia z przedstawicielem znanej mu instytucji. Dopiero później pojawia się prośba o przekazanie dodatkowych danych, instalację aplikacji, potwierdzenie operacji czy wykonanie płatności” — mówi Paweł Pudo z DAGMA Bezpieczeństwo IT.
Konsekwencje wycieku danych medycznych mogą wykraczać poza próbę wyłudzenia pieniędzy. Informacje o leczeniu psychiatrycznym, chorobach przewlekłych, zdrowiu seksualnym czy uzależnieniach mogą posłużyć do wywierania presji, zastraszania lub szantażu. Pudo zwraca uwagę, że ryzyko jest szczególnie duże w przypadku osób publicznych, polityków, przedstawicieli służb czy menedżerów z dostępem do poufnych informacji, gdzie atakujący nie musi wykorzystywać całej bazy, a jedynie odnaleźć w niej wąską grupę osób.
Eksperci zaznaczają, że samo zastrzeżenie PESEL, choć jest jednym z najważniejszych kroków po ujawnieniu danych, nie chroni przed wszystkimi konsekwencjami. Nie powstrzyma próby podszycia się pod bank ani fałszywego telefonu z przychodni.
„Z »Cyberportretu polskiego biznesu 2026« wynika, że blisko 60 proc. pracowników w Polsce przez ostatnich pięć lat nie uczestniczyło w szkoleniu dotyczącym cyberbezpieczeństwa (…). Nie jesteśmy w stanie zapobiec każdemu wyciekowi, ale możemy znacznie utrudnić przestępcy wykorzystanie zdobytych informacji. Pomagają w tym uwierzytelnianie wieloskładnikowe, unikalne hasła, oprogramowanie zabezpieczające, a przede wszystkim nawyk sprawdzania podejrzanych telefonów czy wiadomości bezpośrednio w instytucji, która rzekomo się z nami kontaktuje” — dodaje Pudo.