Wyciek danych z SuperGrosz

Twój PESEL, numer konta bankowego i dane z dowodu osobistego w rękach hakerów? Po cyberataku na SuperGrosz z 31 października 2025 roku dane co najmniej 10 tysięcy osób są w sprzedaży w darknecie.

Cyberatak na SuperGrosz – co się stało?

31 października 2025 roku doszło do poważnego cyberataku na platformę pożyczkową SuperGrosz, prowadzoną przez spółkę AIQLABS. Incydent wykryto w piątek, a dotychczasowe ustalenia wskazują, że wyciek dotyczy co najmniej 10 tysięcy użytkowników serwisu. Rzeczywista skala może być jednak większa.

Minister cyfryzacji Krzysztof Gawkowski określił sytuację jako “bardzo poważną”. To nie przypadkowe stwierdzenie – cyberprzestępcy uzyskali dostęp do wyjątkowo wrażliwego zestawu danych osobowych, który stanowi realne zagrożenie dla bezpieczeństwa finansowego i tożsamości poszkodowanych.

Nad sprawą pracują już zespoły reagowania na incydenty:

• CSIRT KNF – zespół ds. instytucji finansowych
• CSIRT NASK – zespół ds. badań naukowych
• Prezes Urzędu Ochrony Danych Osobowych (UODO) został powiadomiony

Jakie dane wyciekły z SuperGrosz?

Skala wycieku jest alarmująca. Hakerzy zdobyli kompletny zestaw danych umożliwiający kradzież tożsamości i wyłudzenia finansowe. Lista wykradzionych informacji obejmuje:

Dane tożsamości:

• Imiona i nazwiska
• Numery PESEL
• Numery dowodów osobistych
• Daty wydania i ważności dowodów

Dane kontaktowe i adresowe:

• Adresy zamieszkania
• Adresy pobytu
• Adresy do korespondencji
• Numery telefonów
• Adresy e-mail

Dane finansowe:

• Numery rachunków bankowych
• Informacje o dochodach
• Dane pracodawców (nazwa, adres, NIP, telefon)

Dane osobowe i zawodowe:

• Stan cywilny i liczba dzieci
• Status zawodowy i branża
• Identyfikatory w portalu Facebook
• Hashe haseł do kont w serwisie

Ten zakres danych to wystarczająca ilość informacji, aby przestępcy mogli w pełni podszyć się pod poszkodowaną osobę i przeprowadzić szereg nielegalnych operacji.

Kto jest zagrożony i jakie są konsekwencje?

Bezpośrednie zagrożenie dotyczy minimum 10 000 użytkowników SuperGrosz, ale każdy, kto kiedykolwiek korzystał z tej platformy, powinien podjąć działania ochronne.

Posiadając kompletny zestaw danych, cyberprzestępcy mogą:

Wyłudzić kredyty i pożyczki – używając Twojego PESEL i danych osobowych, mogą zaciągnąć zobowiązania finansowe na Twoje nazwisko w różnych instytucjach.

Założyć firmę-słup – Twoje dane mogą posłużyć do zarejestrowania działalności gospodarczej wykorzystywanej w przestępczych procederach.

Ukraść tożsamość cyfrową – mając hashe haseł i adresy e-mail, mogą próbować uzyskać dostęp do Twoich kont w innych serwisach (szczególnie jeśli używasz podobnych haseł).

Przeprowadzić ukierunkowane ataki phishingowe – dysponując szczegółowymi informacjami o Tobie, mogą przygotować bardzo wiarygodne wiadomości wyłudzające kolejne dane lub pieniądze.

Otworzyć konta bankowe – pełen zestaw danych umożliwia próby otwarcia rachunków bankowych na Twoje dane.

Jak się zabezpieczyć? Działania natychmiastowe

1. Zastrzeż numer PESEL – to najważniejszy krok

Zastrzeżenie PESEL to najprostsza i najskuteczniejsza ochrona przed wyłudzeniami finansowymi. Od 1 czerwca 2024 roku wszystkie instytucje finansowe w Polsce muszą weryfikować status PESEL przed udzieleniem kredytu, otwarciem konta czy sprzedażą sprzętu na raty.

Jak zastrzec PESEL:

W aplikacji mObywatel 2.0 (najszybsza metoda – 2 minuty):

• Zaloguj się do aplikacji
• Wybierz zakładkę “Usługi”
• Kliknij “Zastrzeż PESEL”
• Potwierdź operację

Online na gov.pl:

• Wejdź na stronę gov.pl/web/gov/zastrzez-swoj-numer-pesel
• Zaloguj się profilem zaufanym lub e-dowodem
• Wypełnij formularz

Osobiście w urzędzie gminy:

• Weź ze sobą dowód osobisty
• Wypełnij wniosek o zastrzeżenie PESEL

Ważne informacje:

• Zastrzeżenie działa natychmiast
• Jest bezpłatne
• Możesz je cofnąć w każdej chwili (np. gdy potrzebujesz wziąć kredyt)
• Po 30 minutach od cofnięcia możesz ponownie zastrzec
• 4,5 miliona Polaków już zabezpieczyło swój PESEL – dołącz do nich

2. Aktywuj Alerty BIK z monitoringiem darknetu

Alerty BIK to system powiadomień SMS i e-mail informujący o każdej próbie zaciągnięcia kredytu na Twoje dane. Usługa kosztuje 48 zł rocznie i oferuje cztery rodzaje alertów:

• Ochrona przed wyłudzeniem – powiadomienie przy każdym zapytaniu kredytowym w Biurze Informacji Kredytowej
• Kontrola finansów – alert o zaległościach w spłacie zobowiązań
• Informacja o zmianach – powiadomienie o zamknięciu zobowiązania
• Monitoring darknetu (NOWOŚĆ) – alert gdy Twoje dane pojawią się w nielegalnych bazach danych w ciemnej sieci internetu

3. Zmień hasła i włącz uwierzytelnianie dwuskładnikowe (2FA)

Natychmiast zmień hasło do konta SuperGrosz (jeśli konto nadal działa). Następnie zmień hasła we wszystkich serwisach, gdzie używałeś podobnego lub identycznego hasła.

Plan działania:

• Zainstaluj menedżer haseł (zalecane: Bitwarden, 1Password)
• Wygeneruj unikalne, silne hasła dla każdego serwisu
• Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie gdzie to możliwe:
  • Banki (obligatoryjnie)
  • Poczta e-mail (bardzo ważne)
  • Media społecznościowe
  • Serwisy zakupowe

2FA dramatycznie zwiększa bezpieczeństwo – nawet jeśli ktoś pozna Twoje hasło, nie uzyska dostępu bez drugiego składnika uwierzytelnienia.

4. Monitoruj konta bankowe codziennie

Przez najbliższe tygodnie sprawdzaj codziennie swoje konta bankowe w poszukiwaniu:

• Nieautoryzowanych transakcji
• Podejrzanych przelewów
• Prób założenia nowych produktów (kredytów, kart)

Jeśli zauważysz cokolwiek podejrzanego, natychmiast zgłoś to do banku – masz 13 miesięcy na reklamację transakcji, ale im szybciej zareagujesz, tym lepiej.

Co robić w dłuższej perspektywie?

Zgłoś incydent odpowiednim organom

W ciągu tygodnia od wykrycia incydentu powinieneś:

Złożyć zawiadomienie na policji – udaj się do najbliższej komendy i zgłoś podejrzenie możliwej kradzieży tożsamości. Otrzymasz potwierdzenie zgłoszenia, które może być przydatne w późniejszych postępowaniach.

Poinformować swoje banki – powiadom wszystkie banki, z którymi współpracujesz, o potencjalnym zagrożeniu. Poproś o wzmożoną czujność przy weryfikacji operacji na Twoich kontach.

Sprawdź swoje dane na bezpiecznedane.gov.pl

Ministerstwo Cyfryzacji zapowiedziało uruchomienie rządowego serwisu bezpiecznedane.gov.pl, gdzie będzie można sprawdzić, czy Twój PESEL znalazł się w wycieku. Regularnie odwiedzaj tę stronę, aby być na bieżąco.

Utrzymuj wzmożoną czujność na phishing

Przestępcy dysponujący Twoimi danymi mogą przygotować bardzo wiarygodne ataki phishingowe. Będą wiedzieć gdzie pracujesz, ile zarabiasz, jaki masz stan cywilny – te informacje wykorzystają do budowania zaufania.

Jak się chronić:

• Nigdy nie klikaj w linki w niespodziewanych wiadomościach
• Sprawdzaj dokładnie adres nadawcy e-maila
• Jeśli wiadomość wygląda na oficjalną (bank, urząd), dzwoń bezpośrednio do instytucji używając numeru ze strony internetowej – nie tego podanego w wiadomości
• Nie podawaj haseł ani danych osobowych przez telefon, jeśli sam nie zainicjowałeś rozmowy
• Bądź podejrzliwy wobec pilnych próśb o działanie.

Regularnie sprawdzaj historię weryfikacji PESEL

W aplikacji mObywatel możesz sprawdzić, które instytucje i kiedy sprawdzały Twój numer PESEL. To pozwala wykryć próby nieuprawnionych działań – jeśli zobaczysz weryfikację z instytucji, z którą nie współpracowałeś, natychmiast to zgłoś.

Rozważ monitoring tożsamości

Poza Alertami BIK dostępne są komercyjne usługi monitoringu tożsamości, które oferują:

• Sprawdzanie czy Twoje dane pojawiły się w darknecie
• Monitorowanie prób użycia Twoich danych
• Informowanie o nowych zagrożeniach

Psychologiczne skutki wycieku danych

Wyciek danych to nie tylko problem techniczny – to traumatyczne doświadczenie z realnymi konsekwencjami psychologicznymi.

Badania naukowe jednoznacznie pokazują, że ofiary wycieków danych doświadczają:

Wysokiego poziomu lęku – zarówno specyficznego (związanego bezpośrednio z wyciekiem), jak i uogólnionego na inne aspekty życia. Ofiary martwią się o korespondencję, komunikację cyfrową, płatności online.

Lęku społecznego – badania wskazują, że ofiary mogą mieć trudności w relacjach z przyjaciółmi i sąsiadami. Profesor Mark Button z brytyjskiego University of Portsmouth stwierdził, że ofiary czują się równie naruszone przez cyberatak jak przez fizyczne przestępstwo.

Symptomy emocjonalne – gniew, strach, izolacja i zawstydzenie to powszechne reakcje. Badania potwierdzają, że ofiary, które zgłosiły problemy w relacjach z rodziną lub przyjaciółmi, miały 12-krotnie wyższą szansę na cierpienie emocjonalne.

Długoterminową traumatyzację – według badań, pamięć o incydencie cyfrowym może być traumatyczna. Każde przypomnienie (np. wiadomość od banku, informacja o kolejnym wycieku) powoduje ponowną traumatyzację ofiary.

Gdzie szukać wsparcia:

Jeśli doświadczasz silnego lęku, problemów ze snem, trudności w koncentracji lub ciągłego martwienia się o bezpieczeństwo finansowe:

• Poradnie zdrowia psychicznego NFZ – bezpłatna pomoc psychologiczna
• Programy wsparcia dla ofiar przestępstw – dostępne przez organizacje pozarządowe
• Pomoc psychologiczna oferowana przez niektóre banki – sprawdź czy Twój bank oferuje takie wsparcie

Nie lekceważcie swojego dobrostanu psychicznego. Badania jednoznacznie potwierdzają, że profesjonalna interwencja psychologiczna może być niezbędna dla pełnego odzyskania poczucia bezpieczeństwa po kradzieży tożsamości.

Stanisław Wolniewicz Duda – ekspert finansowy Czerwona-Skarbonka.pl

Czy nowi klienci powinni się bać?

Odpowiedź brzmi: nie, jeśli przedwezmą odpowiednie środki ostrożności.

Warto zrozumieć, że incydent dotyczył konkretnej platformy w określonym czasie. Firma AIQLABS podjęła działania naprawcze:

• Przeprowadziła audyt bezpieczeństwa systemów
• Wdrożyła dodatkowe środki ochronne
• Uruchomiła ciągły monitoring

Nadzór państwowy został wzmocniony – sprawa jest monitorowana przez CSIRT KNF, CSIRT NASK i UODO, co zapewnia kontrolę zewnętrzną.

Możesz się proaktywnie zabezpieczyć – zastrzeżenie PESEL, Alerty BIK i dobre praktyki bezpieczeństwa cyfrowego (unikalne hasła, 2FA) dramatycznie zmniejszają ryzyko skutecznego wykorzystania Twoich danych, nawet gdyby doszło do kolejnego wycieku.

Dla nowych klientów kluczowe jest:

• Weryfikacja, jakie działania naprawcze firma podjęła
• Korzystanie z dostępnych narzędzi ochronnych (zastrzeżenie PESEL, 2FA)
• Świadome zarządzanie swoimi danymi online