Kradzież tożsamości polega na nieuprawnionym pozyskaniu i wykorzystaniu cudzych danych osobowych, najczęściej do zaciągnięcia zobowiązań finansowych na koszt ofiary. Zgłoszenia tego przestępstwa do policji wzrosły w ciągu ostatnich pięciu lat o ponad 180%, a najbardziej narażoną grupą są osoby aktywne zawodowo w wieku 30-50 lat, korzystające z bankowości elektronicznej i zakupów online.
Przejęcie tożsamości oznacza nieuprawnione pozyskanie kompletnych danych identyfikacyjnych danej osoby: imienia, nazwiska, daty urodzenia, adresu, serii i numeru dokumentu tożsamości, numeru PESEL oraz danych karty płatniczej. Sprawcy wykorzystują te informacje głównie do działań przestępczych, na przykład zaciągania kredytów na dane ofiary, co pozwala im uniknąć odpowiedzialności.
Skradzione dane otwierają dostęp do rachunków bankowych, portali społecznościowych i platform transakcyjnych. Przestępcy przeprowadzają transakcje finansowe, składają wnioski kredytowe, zakładają konta w serwisach internetowych w imieniu pokrzywdzonego. Wyjątkowo dotkliwym wariantem jest rejestracja na portalach aukcyjnych, gdzie oszuści wystawiają nieistniejące towary i przyjmują wpłaty od nieświadomych kupujących.
Cyberprzestępcy dysponują rozbudowanym zestawem narzędzi do pozyskiwania danych. Najczęściej stosują:
Najbardziej ryzykowne są załączniki w mailach od nieznanych nadawców. Po otwarciu takiego pliku komputer może zostać zainfekowany oprogramowaniem szpiegującym, które przechwytuje dane logowania do bankowości internetowej, odczytuje korespondencję, a w niektórych przypadkach aktywuje kamerę i mikrofon urządzenia. Zebrane fragmenty informacji przestępcy składają następnie w pełny profil ofiary.
Część ataków opiera się na manipulacji psychologicznej, nie na technologii. Przestępca podszywa się pod pracownika banku, operatora telekomunikacyjnego lub urzędnika i w trakcie rozmowy telefonicznej wyłudza hasła, kody PIN lub potwierdzenia transakcji. Typowy scenariusz: telefon z numeru imitującego infolinię banku, rzekomy pracownik informuje o "podejrzanej aktywności na koncie" i prosi o pilną weryfikację danych. Zaskoczona nagłością sytuacji ofiara ujawnia poufne informacje.
Publiczne punkty dostępu w kawiarniach, galeriach handlowych i na dworcach są celem podobnych ataków. Przestępcy konfigurują fałszywe hotspoty o nazwach sugerujących przynależność do danej lokalizacji (na przykład "KawiarniaFreeWiFi") i przechwytują ruch sieciowy podłączonych użytkowników. Logowanie do bankowości elektronicznej albo wpisywanie numeru karty płatniczej w takiej sieci kończy się przejęciem tych danych przez atakującego.
Wiele przestępstw z wykorzystaniem cudzej tożsamości pozostaje niewykrytych przez długi czas. Sygnały ostrzegawcze zależą od sposobu wykorzystania danych:
Wyłudzenie kredytu hipotecznego na dane ofiary może pozostać niewykryte przez miesiące, a pierwszym sygnałem bywa wezwanie do zapłaty albo zawiadomienie o egzekucji. Kwota takiego zobowiązania sięga często kilkudziesięciu tysięcy złotych. W takiej sytuacji pomaga kontakt z kancelarią prawną, która ustali zakres odpowiedzialności i zaplanuje kroki prawne.
Regularny wgląd do raportu w Biurze Informacji Kredytowej (BIK) lub Biurze Informacji Gospodarczej (BIG) pozwala wykryć zobowiązania zaciągnięte bez naszej wiedzy. Nieznane zapytanie kredytowe albo wpis o zadłużeniu jest wyraźnym sygnałem ostrzegawczym. Każdy obywatel ma prawo do bezpłatnego raportu BIK raz na sześć miesięcy, wniosek składa się przez stronę internetową albo osobiście w placówce biura.
Powiadomienie o próbie logowania z nieznanej lokalizacji albo o zmianie hasła, której nie inicjowaliśmy, oznacza próbę przejęcia konta. Przestępcy testują te same kombinacje loginu i hasła na różnych serwisach, wykorzystując dane wykradzione z mniej zabezpieczonych platform. Osoby stosujące identyczne hasło w wielu miejscach są szczególnie narażone: kompromitacja jednego konta otwiera drogę do pozostałych.
Najskuteczniejszą obroną przed kradzieżą tożsamości jest zabezpieczenie środowiska cyfrowego i świadome zarządzanie własnymi danymi.
Każde konto wymaga unikalnego, złożonego hasła: kombinacji wielkich i małych liter, cyfr oraz znaków specjalnych, liczącego minimum dwanaście znaków, bez słów słownikowych, dat urodzenia czy imion członków rodziny. Menedżer haseł pozwala przechowywać takie hasła bez konieczności ich zapamiętywania. Stosowanie tego samego hasła w wielu serwisach prowadzi do kaskadowego przejęcia kont po kompromitacji jednego z nich. Warto wymieniać hasła do kont bankowych raz na kwartał, a do pozostałych serwisów raz na pół roku.
Aplikacje, wtyczki i programy narzędziowe pobiera się wyłącznie z oficjalnych repozytoriów: sklepów producentów systemów operacyjnych, stron wydawców lub sprawdzonych platform dystrybucyjnych. Instalatory z nieznanych witryn często zawierają ukryte moduły szpiegujące, które zaczynają zbierać dane od momentu uruchomienia. Przed instalacją sprawdź opinie użytkowników, liczbę pobrań i datę ostatniej aktualizacji: przestarzała aplikacja o niskiej liczbie instalacji zwykle sygnalizuje podejrzane pochodzenie. Programy oferujące "darmowe wersje premium" znanych narzędzi to zwykle pułapki zastawione przez twórców malware.
Dane osobowe podaje się tylko w sytuacjach niezbędnych i w bezpiecznych kanałach komunikacji. Formularze na stronach WWW muszą działać na szyfrowanym połączeniu (HTTPS), a prośbę o numer PESEL, dane karty płatniczej czy hasło przekazaną telefonicznie lub mailowo należy traktować jako próbę phishingu: żadna instytucja nie żąda takich informacji tym kanałem. W razie wątpliwości zadzwoń na oficjalny numer infolinii danej instytucji i potwierdź, czy próbowała się z tobą skontaktować.
Fizyczna ochrona dokumentów tożsamości i kart płatniczych ma równie duże znaczenie jak ochrona cyfrowa. Po zgubieniu lub kradzieży zgłoś to niezwłocznie wydawcy karty oraz odpowiedniemu urzędowi (na przykład wydziałowi dowodów osobistych): szybka reakcja ogranicza ryzyko wykorzystania dokumentu przez osoby nieuprawnione. Kserokopię dowodu osobistego przechowuj w innym miejscu niż oryginał, a skany dokumentów przesyłane mailowo zaszyfruj hasłem przekazywanym odbiorcy odrębnym kanałem.
Weryfikacja dwuetapowa (2FA) wymaga potwierdzenia logowania hasłem oraz drugim składnikiem: kodem SMS, kodem z aplikacji lub kluczem sprzętowym. Przejęcie hasła nie daje wtedy przestępcy dostępu do konta. Klucze sprzętowe (na przykład YubiKey) generują kody offline i są odporne na przechwycenie SMS-a czy ataki typu man-in-the-middle. Aplikacje uwierzytelniające, takie jak Google Authenticator czy Authy, są bezpieczniejsze niż kody SMS, które przestępca może przechwycić za pomocą duplikatu karty SIM ofiary.
Wskazówka: jeśli korzystasz z 2FA, wybierz klucz sprzętowy albo aplikację uwierzytelniającą, nie kod SMS. SMS można przechwycić poprzez duplikat karty SIM, klucza sprzętowego nie da się przejąć zdalnie.
Regularne poprawki bezpieczeństwa dla systemu operacyjnego, przeglądarki i oprogramowania biurowego usuwają luki wykorzystywane przez przestępców. Opóźnienie w aktualizacji o kilka tygodni może wystarczyć, aby atakujący wykorzystał znany już exploit. Aktywny antywirus z bieżącymi definicjami wirusów wykrywa i blokuje próby instalacji złośliwego oprogramowania, a automatyczne skanowanie załączników mailowych i pobranych plików dodaje kolejną warstwę ochrony.
Pierwszym krokiem po wykryciu nieuprawnionego wykorzystania danych jest zgłoszenie incydentu na policję. Zawiadomienie o podejrzeniu popełnienia przestępstwa można złożyć w każdej jednostce, niezależnie od miejsca zamieszkania. Funkcjonariusz przyjmie protokół, który stanowi podstawę wszczęcia postępowania przygotowawczego. Warto zgromadzić wyciągi bankowe, korespondencję mailową i zrzuty ekranu wiadomości phishingowych: ułatwiają identyfikację sprawcy i udowodnienie zakresu szkody.
Równolegle ze zgłoszeniem na policję skontaktuj się z bankami i instytucjami pożyczkowymi, w których zaciągnięto zobowiązania na twoje dane. Pisemne oświadczenie o braku udziału w transakcji, poparte protokołem z policji, uruchamia wewnętrzne postępowanie wyjaśniające banku. Instytucja finansowa ma obowiązek weryfikacji tożsamości kredytobiorcy: jeśli zrobiła to niedbale, odpowiedzialność za szkodę może spoczywać na niej. Gdy dane zostały pozyskane w wyniku przestępstwa, zobowiązanie nie obciąża faktycznej ofiary.
Ofiara kradzieży tożsamości może złożyć wniosek o zastrzeżenie numeru PESEL w bazie Ministerstwa Cyfryzacji. Po zastrzeżeniu każda próba wykorzystania numeru do zaciągnięcia kredytu, założenia konta bankowego czy podpisania umowy wymaga osobistego stawiennictwa z dokumentem tożsamości, co znacznie utrudnia dalsze działania przestępcy, choć wymaga stacjonarnej obsługi każdej takiej czynności. Zastrzeżenie można wykonać przez stronę obywatel.gov.pl za pomocą profilu zaufanego albo w urzędzie gminy.
Po zakończeniu postępowania karnego i ustaleniu sprawcy ofiara może wystąpić z powództwem o odszkodowanie i zadośćuczynienie. Szkoda majątkowa obejmuje rzeczywiste straty finansowe: spłacone raty kredytów, koszty obsługi prawnej, opłaty za zastrzeżenie dokumentów. Zadośćuczynienie przysługuje za naruszenie dóbr osobistych, dobrego imienia, prywatności i poczucia bezpieczeństwa. W praktyce sądowej kwoty zadośćuczynienia za kradzież tożsamości wahają się od kilku do kilkudziesięciu tysięcy złotych, w zależności od skali i czasu trwania nadużyć. Adwokat specjalizujący się w cyberprzestępczości zwiększa szanse na skuteczne dochodzenie pełnego zakresu roszczeń.
Komentarze
Brak odpowiedzi do “Na czym polega kradzież tożsamości w internecie? Jak radzić sobie z wyłudzaniem danych osobowych?”
brak komentarzy