Jak sprawdzić, czy moje dane wyciekły?

Szybka odpowiedź

Jak często wyciekają dane Polaków?

Wyciek danych nie jest rzadkim wypadkiem, który zdarza się komuś innemu. To zjawisko masowe, które prędzej czy później dotyka prawie każdego, kto korzysta z internetu od kilku lat. Skala robi wrażenie nawet na osobach z branży.

W 2025 roku do serwisu Have I Been Pwned trafiła ogromna kompilacja danych logowania zebrana z wielu wcześniejszych wycieków: blisko 2 miliardy unikalnych adresów e-mail i ponad miliard haseł. Część z nich pochodzi ze złośliwego oprogramowania kradnącego dane wprost z zainfekowanych komputerów.

W Polsce skalę widać też w danych urzędu. Jak podaje UODO, w 2024 roku zgłoszono blisko 14,8 tysiąca naruszeń ochrony danych, a w 2025 roku liczba ta przekroczyła 22 tysiące, czyli wzrosła o ponad połowę. Polska od lat jest w czołówce krajów UE pod tym względem.

Wniosek jest prosty: zakładaj, że któryś z twoich adresów już gdzieś wyciekł. Pytanie nie brzmi "czy", tylko "który i co z tym zrobić".

Źródła: Have I Been Pwned (Troy Hunt, 2025), Sprawozdanie Prezesa UODO za 2024 rok oraz dane UODO za 2025 rok.

Jak sprawdzić e-mail w Have I Been Pwned

Have I Been Pwned (w skrócie HIBP, po polsku "czy zostałeś zhakowany") to najbardziej znana i zaufana wyszukiwarka wycieków. Prowadzi ją Troy Hunt, uznany badacz bezpieczeństwa, a z bazy korzystają specjaliści, firmy i instytucje na całym świecie. Sprawdzenie zajmuje chwilę.

1. Wejdź na stronę haveibeenpwned.com (działa po angielsku, ale obsługa jest banalna).
2. W pole na środku wpisz swój adres e-mail i naciśnij przycisk pwned?.
3. Jeśli zobaczysz zielony komunikat Good news, no pwnage found, twojego adresu nie ma w znanych wyciekach. To dobry znak, choć nie gwarancja, bo nie każdy wyciek trafia do bazy.
4. Jeśli pojawi się czerwony komunikat Oh no, pwned, przewiń niżej. Zobaczysz listę wycieków z nazwą serwisu, datą i wykazem ujawnionych danych (hasła, numer telefonu, adres, dane karty).
5. Powtórz sprawdzenie dla każdego swojego adresu: prywatnego, służbowego, starych kont. Numer telefonu sprawdzisz w osobnej wyszukiwarce na tej samej stronie.

Wbudowane sprawdzanie wycieków mają też przeglądarki i menedżery haseł. Google i Chrome ostrzegają o przejętych hasłach przy logowaniu, a Firefox ma usługę Monitor opartą na tej samej bazie HIBP. Jeśli korzystasz z menedżera haseł, prawdopodobnie masz tę funkcję pod ręką, o czym za chwilę.

Czy wpisywanie e-maila w takiej wyszukiwarce jest bezpieczne?

To uzasadniona obawa, bo przecież nie chcesz podawać danych przypadkowej stronie. W przypadku Have I Been Pwned możesz być spokojny, i warto rozumieć dlaczego.

• Nie podajesz hasła ani nie zakładasz konta. Sprawdzenie e-maila to zwykłe zapytanie, czy dany adres jest już w bazie wykradzionych danych.
• Serwis nie udostępnia samych danych. Nie zobaczysz cudzych haseł ani swoich. HIBP mówi tylko, że wyciek miał miejsce i jaki rodzaj danych obejmował.
• Przy sprawdzaniu haseł działa k-anonimowość. Twoja przeglądarka wysyła tylko pierwsze pięć znaków skrótu hasła, a porównanie kończy się lokalnie. Pełne hasło nigdy nie trafia na serwer.
• Trzymaj się oryginału. Korzystaj z adresu haveibeenpwned.com lub z funkcji wbudowanej w znany menedżer haseł. Unikaj przypadkowych klonów, które mogą zbierać wpisywane adresy.

Moje dane wyciekły. Co teraz?

Trafienie w bazie nie oznacza, że ktoś już przejął twoje konto. Oznacza, że twoje dane są w obiegu i trzeba odciąć przestępcy drogę, zanim z nich skorzysta. Działaj po kolei, zaczynając od najważniejszych kont.

• Zmień hasło w serwisie, którego dotyczył wyciek. Ustaw nowe, długie i niepowtarzalne.
• Zmień je też wszędzie, gdzie używałeś tego samego lub bardzo podobnego hasła. To najważniejszy krok, bo przestępcy automatycznie testują wykradzione pary login i hasło na innych stronach.
• Włącz dwuetapowe uwierzytelnianie, najpierw na poczcie i w banku. Dzięki temu samo hasło przestaje wystarczać do zalogowania.
• Skontaktuj się z bankiem, jeśli wyciekły dane karty lub logowanie do bankowości. W razie potrzeby zastrzeż kartę i włącz powiadomienia o transakcjach.
• Uważaj na phishing przez kilka tygodni. Po wycieku rośnie liczba oszustw, w których przestępca zna twoje prawdziwe dane i brzmi wiarygodnie. Jak je rozpoznać, opisuję w poradniku jak chronić się przed phishingiem.
• Sprawdź historię logowań na ważnych kontach i wyloguj nieznane sesje.

Jeśli wyciek dotyczył wrażliwych danych (numer PESEL, dowód, dane medyczne), warto rozważyć zastrzeżenie numeru PESEL w aplikacji mObywatel oraz zgłoszenie sprawy. Przy większych incydentach pomocne bywa też ograniczenie swojego cyfrowego śladu, o czym piszę w poradniku jak usunąć dane z internetu.

Stały monitoring, czyli sprawdzanie raz nie wystarczy

Jednorazowe sprawdzenie pokazuje tylko przeszłość. Nowe wycieki pojawiają się stale, a o większości dowiadujemy się z dużym opóźnieniem. Dlatego sensowniej jest ustawić monitoring, który sam ostrzeże cię, gdy twój adres pojawi się w nowej bazie. Wtedy zmieniasz hasło z wyprzedzeniem, a nie po tym, jak ktoś przejmie konto.

Wariant darmowy

Sam Have I Been Pwned ma funkcję Notify me. Podajesz adres e-mail, potwierdzasz go i od tej pory dostajesz powiadomienie, gdy pojawi się w nowym wycieku. To minimum, które powinien ustawić każdy, i nic nie kosztuje.

Wariant z szerszym monitoringiem

Jeśli chcesz pilnować nie tylko e-maila, ale też numeru telefonu, numeru karty czy danych krążących po dark webie, taką ochronę dorzucają pakiety bezpieczeństwa. Działają w tle i przysyłają alert wraz z podpowiedzią, co zmienić.

Pełne porównanie pakietów ochrony znajdziesz w rankingu programów antymalware, a same usługi VPN w rankingu VPN.

Jak ograniczyć skutki kolejnych wycieków

Wycieków po stronie firm nie unikniesz, bo to one tracą bazy. Możesz za to sprawić, że jeden wyciek nie pociągnie za sobą reszty twoich kont. Trzy nawyki załatwiają większość problemu.

Unikalne hasło do każdego konta

To najważniejsza zmiana. Gdy każde konto ma osobne, losowe hasło, wyciek z jednego serwisu nie zagraża pozostałym. Ręcznie się tego nie spamięta, więc do gry wchodzi menedżer haseł: generuje i przechowuje hasła, a wiele z nich od razu skanuje twoją bazę pod kątem wycieków i słabych powtórzeń. Jak wybrać konkretny, rozkładam w rankingu menedżerów haseł.

Dwuetapowe uwierzytelnianie na ważnych kontach

Nawet jeśli hasło wycieknie, drugi składnik (kod z aplikacji albo klucz sprzętowy) nie pozwoli się zalogować obcej osobie. Zacznij od poczty i banku. Krok po kroku opisuję to w poradniku jak zabezpieczyć konto online.

Mniej danych w obiegu

Im mniej miejsc ma twoje dane, tym mniej może ich wyciec. Zakładaj konta tylko tam, gdzie naprawdę potrzeba, kasuj stare i nieużywane, a do mniej ważnych rejestracji rozważ osobny adres e-mail albo alias. To ogranicza powierzchnię ataku bez większego wysiłku.

Lista kontrolna na dziś

Nie musisz robić wszystkiego naraz. Zacznij od kroków, które dają najwięcej bezpieczeństwa najmniejszym wysiłkiem.

Najczęstsze pytania