kradzież tożsamości

Kradzież tożsamości to bezprawne posłużenie się cudzymi danymi osobowymi, na przykład do wzięcia kredytu, założenia konta albo zawarcia umowy na cudze nazwisko. Amerykańska Federalna Komisja Handlu definiuje ją jako użycie czyichś danych osobowych lub finansowych bez zgody tej osoby ^[2]. CERT Polska zwraca uwagę, że dane pochodzące z wycieków pozwalają przestępcom podszyć się pod ofiarę w urzędzie, banku albo u operatora telekomunikacyjnego ^[1]. W Polsce ustawodawca poświęcił temu zjawisku osobną ustawę z 7 lipca 2023 roku ^[3].

Jak działa

Kradzież tożsamości rzadko zaczyna się od włamania do konkretnej osoby. Najczęściej źródłem jest wyciek danych z serwisu, sklepu albo instytucji, której ofiara kiedyś przekazała imię, nazwisko, PESEL, adres albo skan dokumentu. Dane zdobywa się też przez phishing, fałszywe formularze i infostealery, które kradną zapisane w przeglądarce hasła i pliki.

Przebieg typowego nadużycia pokazuje schemat poniżej.

RYS. 1Od wycieku do zobowiązania na cudze nazwisko

Sprawa rodziny ze Stargardu, opisana przez Sekurak w 2020 roku, pokazuje, jak mało trzeba. Sprawca znał imię i nazwisko, numer PESEL i numer dokumentu tożsamości; adres, telefon, e-mail i podpis na wnioskach były zmyślone ^[5]. Korespondencję instytucji finansowych kierowano na adresy kontrolowane przez przestępców ^[5].

Odmiany

FTC wymienia kilka sposobów wykorzystania cudzej tożsamości: zakupy cudzą kartą, otwieranie nowych kont, wyłudzanie zwrotów podatku, korzystanie z opieki medycznej, podejmowanie pracy, a nawet podawanie cudzych danych przy zatrzymaniu ^[2].

Osobną grupą są oszustwa, w których prawdziwe dane ofiary uwiarygadniają wiadomość. CERT Polska zauważa, że przestępcy wstawiają do wiadomości opartych na socjotechnice prawdziwy adres albo szczegóły rachunku, żeby wyglądały wiarygodnie ^[1].

W WordPressie

Strona na WordPressie bywa źródłem danych, które potem służą do kradzieży tożsamości. Sklep, formularz rekrutacyjny albo system rezerwacji gromadzi imiona, adresy, numery telefonów, czasem skany dokumentów. Po włamaniu przez podatność we wtyczce albo po wycieku kopii zapasowej te dane trafiają do przestępców, a właściciel strony ma do czynienia z naruszeniem ochrony danych osobowych w rozumieniu RODO.

Podręcznik wtyczek WordPressa zaleca zbierać tylko te dane użytkowników, które są potrzebne, i nie robić ich dodatkowych kopii ^[6]. Lista kontrolna prywatności z tego podręcznika pyta między innymi, jakie role i uprawnienia dają dostęp do danych osobowych w panelu, jakie dane są widoczne na stronie i w punktach końcowych REST API oraz czy wtyczka przekazuje dane osobowe zewnętrznym usługom ^[6]. Te same pytania warto zadać przy każdej wtyczce formularzy i sklepu.

Zagrożenia i skutki

Skutki są finansowe i prawne. W sprawie ze Stargardu małżeństwo dowiedziało się o ośmiu zobowiązaniach na ponad 100 tysięcy złotych z odsetkami, a komornik zajął wspólny rachunek ^[5]. Pierwsze postępowanie policji umorzono z powodu niewykrycia sprawców ^[5].

Ofiara musi wykazać, że nie zawierała umowy, co trwa. Równolegle trwa ryzyko kolejnych nadużyć: te same dane krążą w sieci i mogą zostać użyte ponownie.

Jak się bronić

Zastrzeżenie numeru PESEL. Ustawa z 7 lipca 2023 roku wprowadziła rejestr zastrzeżeń numerów PESEL ^[3]. Bank ani instytucja kredytowa nie mogą domagać się od konsumenta zapłaty z umowy zawartej w chwili, gdy jego PESEL był zastrzeżony ^[3]. Zastrzeżenie stało się możliwe 17 listopada 2023 roku, a obowiązek sprawdzania rejestru przez instytucje finansowe zaczął obowiązywać 1 czerwca 2024 roku ^[4]. Ustawa przewiduje też hamulec dla wypłat gotówki: przy wypłacie gotówki przekraczającej trzykrotność minimalnego wynagrodzenia bank sprawdza rejestr, a gdy PESEL jest zastrzeżony, wstrzymuje wypłatę na 12 godzin, nawet jeśli w tym czasie zastrzeżenie zostanie cofnięte ^[3]. Szczegóły opisuje hasło zastrzeżenie numeru PESEL; zastrzeżenia dokonuje się między innymi w aplikacji mObywatel ^[1].

Po wycieku. CERT Polska zaleca kolejno: sprawdzić, czy adres e-mail pojawił się w znanych wyciekach, zastrzec PESEL, rozważyć unieważnienie dokumentów, których skany wyciekły, zablokować karty płatnicze, zmienić hasła wszędzie tam, gdzie używano tego samego, sprawdzać rejestry BIK i KRD oraz zgłosić sprawę policji i UODO ^[1].

Higiena kont. FTC zaleca silne hasła, uwierzytelnianie dwuskładnikowe (2FA) i ostrożność przy każdej prośbie o numer identyfikacyjny ^[2]. Pomaga menedżer haseł, bo ogranicza ponowne użycie tych samych haseł.

Sygnały ostrzegawcze według FTC to brakujące rachunki, nieznane obciążenia, nieautoryzowane wypłaty i nieznane konta w raporcie kredytowym ^[2]. W Stanach Zjednoczonych zgłoszenie składa się w serwisie IdentityTheft.gov, który przygotowuje osobisty plan odzyskiwania z gotowymi pismami do wierzycieli i firm windykacyjnych ^[2]. Odpowiednikiem w Polsce są zawiadomienie policji, skarga do UODO i wgląd w rejestry BIK oraz KRD ^[1].

Historia i przykłady

Ustawa o ograniczaniu skutków kradzieży tożsamości została uchwalona 7 lipca 2023 roku i zmieniła kilkanaście ustaw, w tym Prawo bankowe, Prawo telekomunikacyjne i ustawę o ewidencji ludności ^[3]. Niebezpiecznik zwracał uwagę, że między 17 listopada 2023 a 1 czerwca 2024 roku zastrzeżenie było już możliwe, ale instytucje mogły jeszcze udzielać kredytów bez sankcji ^[4]. W sprawie ze Stargardu prokuratura podjęła umorzone postępowanie na nowo dopiero po nagłośnieniu jej w mediach ^[5].