Próba wyłudzenia danych osobowych – co zrobić i gdzie zgłosić?

Wyłudzenie danych osobowych a odpowiedzialność karna

Wyłudzenie danych osobowych może polegać m.in. na podszywaniu się pod pracodawcę, bank, firmę kurierską, urząd albo inną zaufaną instytucję w celu nakłonienia użytkownika do przekazania danych identyfikacyjnych, numeru PESEL, skanu dokumentu, danych karty lub danych logowania. Często odbywa się to przez e-mail, SMS, komunikatory, media społecznościowe albo fałszywe formularze internetowe.

Sama „próba wyłudzenia danych” ani phishing nie stanowią jednak jednej, odrębnej kwalifikacji prawnej. Trzeba ustalić, co sprawca faktycznie zrobił: czy jedynie próbował pozyskać informacje, czy uzyskał dostęp do konta lub systemu, czy posłużył się cudzymi danymi, próbował zawrzeć umowę, dokonał transakcji albo zaczął podszywać się pod pokrzywdzonego.

Dlatego samo uzyskanie imienia, nazwiska, adresu czy numeru PESEL nie przesądza jeszcze o odpowiedzialności z art. 190a § 2 Kodeksu karnego. Pozyskane informacje mogą być natomiast wykorzystane w kolejnym etapie oszustwa, przejęcia konta albo podszywania się pod inną osobę.

Kiedy ma zastosowanie art. 190a § 2 Kodeksu karnego?

Zgodnie z art. 190a § 2 Kodeksu karnego odpowiedzialności podlega ten, kto, podszywając się pod inną osobę, wykorzystuje jej wizerunek, inne jej dane osobowe lub inne dane, za pomocą których jest ona publicznie identyfikowana, przez co wyrządza jej szkodę majątkową lub osobistą.

Obecne brzmienie przepisu wymaga więc skutku w postaci wyrządzenia szkody. Nie wystarcza już opis działania jako podjętego jedynie „w celu wyrządzenia szkody”. Dla dokonania czynu z art. 190a § 2 konieczne jest łączne wystąpienie podszywania się, wykorzystania określonych danych lub wizerunku oraz wynikającej z tego szkody majątkowej albo osobistej.

Jeżeli sprawca rozpoczął już bezpośrednio realizację znamion czynu, ale wymagany skutek nie nastąpił, w konkretnych okolicznościach można analizować odpowiedzialność za usiłowanie na zasadach ogólnych z art. 13 § 1 Kodeksu karnego. Nie oznacza to jednak, że każda nieudana próba zdobycia danych automatycznie jest usiłowaniem przestępstwa z art. 190a § 2.

Pozyskiwanie danych może być dopiero etapem przygotowania przyszłego czynu. Przygotowanie jest karalne tylko wtedy, gdy ustawa wyraźnie tak stanowi. Jednocześnie konkretne zachowanie może samo realizować znamiona innego przestępstwa, np. oszustwa lub jego usiłowania albo bezprawnego uzyskania dostępu do informacji. Kwalifikacja zależy od zastosowanej metody, zamiaru sprawcy i wykonanych przez niego czynności.

Co zrobić po próbie wyłudzenia danych?

Jeżeli ktoś próbował zdobyć dane pod fałszywym pretekstem, najlepiej najpierw zabezpieczyć dowody. Jest to ważne zarówno dla banku lub operatora serwisu, jak i dla Policji lub prokuratury, jeżeli sprawa będzie zgłaszana organom ścigania.

W zależności od sytuacji warto:

• zachować SMS-y, e-maile i wiadomości z komunikatorów, a także wykonać czytelne zrzuty ekranu,
• zapisać pełne adresy stron internetowych, adresy nadawców, numery telefonów, numery rachunków i profile używane przez sprawcę,
• w przypadku wiadomości e-mail zachować także jej oryginał i nagłówki techniczne, jeżeli są dostępne,
• zanotować daty i godziny kontaktu oraz jakie informacje zostały faktycznie przekazane,
• skontaktować się z bankiem, jeżeli ujawniono dane karty, bankowości internetowej albo zauważono nieautoryzowaną operację,
• powiadomić instytucję lub firmę, pod którą podszywał się sprawca,
• zmienić hasła i zakończyć nieznane sesje, jeżeli ujawnione zostały dane logowania, oraz włączyć uwierzytelnianie dwuskładnikowe,
• zastrzec numer PESEL, gdy zakres ujawnionych danych stwarza ryzyko wykorzystania ich do zaciągania zobowiązań,
• złożyć zawiadomienie Policji lub prokuraturze, jeżeli okoliczności wskazują na możliwość popełnienia przestępstwa.

Zastrzeżenie numeru PESEL po ujawnieniu danych

Numer PESEL można zastrzec elektronicznie w aplikacji mObywatel lub w serwisie mObywatel.gov.pl, a także w urzędzie gminy. Po podejrzeniu kradzieży danych warto również sprawdzić, czy zastrzeżenie jest rzeczywiście aktywne.

Od 1 czerwca 2024 r. określone przepisami podmioty mają obowiązek sprawdzania Rejestru Zastrzeżeń Numerów PESEL przed wskazanymi czynnościami. Dotyczy to w szczególności określonych umów kredytowych i pożyczkowych. Zastrzeżenie PESEL istotnie ogranicza więc ryzyko niektórych nadużyć finansowych.

Nie jest to jednak zabezpieczenie przed każdym rodzajem oszustwa. Zastrzeżenie PESEL nie zapobiega np. przejęciu istniejącego konta po ujawnieniu hasła, wykorzystaniu danych karty płatniczej, podszywaniu się w mediach społecznościowych czy innym działaniom niewymagającym weryfikacji Rejestru Zastrzeżeń Numerów PESEL.

Czy warto zgłosić sprawę na Policję lub do prokuratury?

Nie każda otrzymana wiadomość phishingowa oznacza, że doszło już do przestępstwa na szkodę jej odbiorcy. Jeżeli jednak sprawca uzyskał dane, próbował wykorzystać je do zawarcia umowy, przejął konto, wykonywał transakcje, podszywał się pod pokrzywdzonego albo okoliczności wskazują na inną próbę przestępstwa, zgłoszenie sprawy może być uzasadnione.

Zawiadomienie o podejrzeniu popełnienia przestępstwa można złożyć na Policji lub w prokuraturze, pisemnie albo ustnie do protokołu. Warto przekazać zgromadzone wiadomości, adresy stron, dane rachunków, numery telefonów, wydruki lub zrzuty ekranu i możliwie dokładnie opisać kolejność zdarzeń.

Przestępstwa określone w art. 190a § 1 i § 2 Kodeksu karnego są ścigane na wniosek pokrzywdzonego. Jeżeli okoliczności wskazują na podszywanie się z art. 190a § 2, pokrzywdzony może zatem w ramach zgłoszenia wyraźnie zażądać ścigania sprawcy. Ostateczna kwalifikacja prawna należy jednak do organów prowadzących postępowanie i może być inna niż początkowo zakładana przez osobę zgłaszającą.

W określonych sytuacjach możliwe jest również cofnięcie wniosku o ściganie, ale odbywa się ono na zasadach przewidzianych w Kodeksie postępowania karnego.

Podszywanie się pod inną osobę i wykorzystanie jej danych

Podszywanie się może polegać na wykorzystaniu imienia i nazwiska, zdjęcia, danych kontaktowych, numeru telefonu, adresu e-mail, danych profilu społecznościowego lub innych informacji umożliwiających publiczne zidentyfikowanie danej osoby. Sam fakt użycia takich danych nie przesądza jeszcze o dokonaniu przestępstwa z art. 190a § 2 – konieczne jest spełnienie wszystkich znamion przepisu, w tym wyrządzenie szkody majątkowej lub osobistej.

Przykładem może być utworzenie profilu w serwisie społecznościowym wykorzystującego cudze zdjęcie i dane. Osobno omawiamy problem fałszywego konta na Facebooku. Gdy sprawca wykorzystuje dane pozyskane z wycieku do zawierania umów, zakładania kont lub zaciągania zobowiązań, warto sprawdzić, co zrobić w razie kradzieży tożsamości po wycieku danych.

Jeżeli zachowanie sprawcy nie ogranicza się do jednorazowego podszywania, lecz ma charakter uporczywego nękania i wzbudza uzasadnione okolicznościami poczucie zagrożenia, poniżenia lub udręczenia albo istotnie narusza prywatność, analizie może podlegać również art. 190a § 1 Kodeksu karnego. Więcej o takim zachowaniu piszemy w materiale dotyczącym uporczywego nękania w internecie.

Wyciek danych a nieautoryzowana umowa lub transakcja

Trzeba rozróżnić sytuację, w której dane jedynie trafiły do nieuprawnionej osoby, od sytuacji, w której zostały już użyte do stworzenia zobowiązania, wykonania płatności, utworzenia konta albo złożenia zamówienia. Samo zabezpieczenie danych nie wystarczy, jeżeli nadużycie już nastąpiło.

Po wykryciu nieautoryzowanej umowy lub operacji należy możliwie szybko zakwestionować ją bezpośrednio wobec właściwego banku, pożyczkodawcy, operatora albo sprzedawcy i zachować potwierdzenie zgłoszenia. Jeżeli na dane pokrzywdzonego składane są cudze zamówienia, podobny mechanizm opisujemy w artykule o zamówieniu za pobraniem na inną osobę.

Jak zabezpieczyć się przed kolejnym wykorzystaniem danych?

Zakres działań powinien zależeć od rodzaju ujawnionych informacji. Inne środki będą potrzebne po podaniu samego adresu e-mail, a inne po przekazaniu skanu dokumentu, numeru PESEL, danych karty albo hasła do konta.

• nie przesyłaj skanów dokumentów bez zweryfikowania odbiorcy i rzeczywistej potrzeby ich przekazania,
• sprawdzaj dokładny adres strony internetowej i nadawcę wiadomości przed podaniem danych,
• nie używaj tego samego hasła w wielu usługach,
• włącz uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne,
• po ujawnieniu hasła zmień je nie tylko w zaatakowanym serwisie, ale również w innych miejscach, jeżeli było używane ponownie,
• kontroluj rachunki bankowe i informacje o nowych zobowiązaniach, jeżeli ujawniono dane pozwalające na nadużycia finansowe,
• ogranicz publiczne udostępnianie danych, które mogą ułatwiać podszywanie się lub przejmowanie kont.

FAQ

Czy samo podanie imienia i nazwiska oznacza, że doszło do przestępstwa?

Nie. Samo wejście przez inną osobę w posiadanie podstawowych danych nie oznacza jeszcze automatycznie dokonania przestępstwa. Znaczenie ma sposób pozyskania informacji oraz to, czy i w jaki sposób zostały następnie wykorzystane.

Czy każdą próbę phishingu trzeba zgłaszać na Policję?

Nie istnieje zasada, zgodnie z którą każda otrzymana wiadomość phishingowa musi zostać zgłoszona jako przestępstwo na szkodę odbiorcy. Zawiadomienie jest szczególnie uzasadnione, gdy sprawca zdobył dane, wykorzystał je, próbował przejąć konto lub zawrzeć zobowiązanie, doszło do nieautoryzowanej transakcji albo istnieją inne konkretne okoliczności wskazujące na czyn zabroniony.

Czy zastrzeżenie numeru PESEL wystarczy po kradzieży danych?

Nie. Zastrzeżenie PESEL ogranicza ryzyko określonych nadużyć, w szczególności przy czynnościach objętych ustawowym obowiązkiem sprawdzenia rejestru, ale nie zabezpiecza przed każdym sposobem wykorzystania danych. Trzeba również chronić rachunki, konta internetowe, hasła i instrumenty płatnicze.

Czy podszywanie się pod inną osobę zawsze jest przestępstwem z art. 190a § 2?

Nie. Dla dokonania przestępstwa z art. 190a § 2 konieczne jest podszywanie się, wykorzystanie wskazanych w przepisie danych lub wizerunku oraz wyrządzenie pokrzywdzonemu szkody majątkowej lub osobistej. Jeżeli szkoda nie powstała, w niektórych okolicznościach możliwa jest analiza usiłowania, ale wymaga to ustalenia, czy sprawca bezpośrednio zmierzał już do dokonania czynu.

Co zrobić, gdy na moje dane zawarto umowę lub wykonano transakcję?

Należy niezwłocznie zgłosić brak autoryzacji właściwemu bankowi, pożyczkodawcy, operatorowi albo innemu podmiotowi, zażądać zablokowania dalszych działań, zachować całą dokumentację i w razie podejrzenia przestępstwa zawiadomić Policję lub prokuraturę. Samo zastrzeżenie numeru PESEL nie zastępuje zakwestionowania już powstałego zobowiązania lub wykonanej operacji.