Hasła zmieniamy regularnie. Czasem zmieniamy adres e-mail. Ale numeru telefonu nie zmienia prawie nikt. Twój towarzyszy Ci od dziesięciu, piętnastu, czasem dwudziestu lat: służył do zakładania kont, odbierania kodów bankowych, wypełniania formularzy dostawy, aktywowania kart lojalnościowych, udziału w dawno zapomnianym konkursie.
Efekt: ten dziewięciocyfrowy numer stał się stałym identyfikatorem, równie wiele mówiącym co numer akt. I w przeciwieństwie do hasła nie da się go unieważnić. Kiedy wycieka — a statystycznie już wyciekł — trafia do baz danych, które są odsprzedawane, zestawiane ze sobą i reaktywowane przez całe lata.
Dobra wiadomość jest taka, że wyciek to nie wyrok. Wymaga metodycznej reakcji, a nie paniki. Oto jak ustalić, na czym stoisz, i co konkretnie zrobić.
Dlaczego numer telefonu jest wart więcej niż adres e-mail
Na równoległych rynkach danych sam adres e-mail nie jest wart prawie nic. Zweryfikowany numer komórkowy, powiązany z nazwiskiem i kodem pocztowym, kosztuje znacznie więcej. Tę różnicę tłumaczą trzy powody.
Jest unikalny, stabilny i powiązany z prawdziwą tożsamością
Przydzielanie numerów komórkowych podlega regulacjom (we Francji nadzoruje je ARCEP, w Polsce UKE), a uruchomienie linii wymaga identyfikacji abonenta. Aktywny numer jest więc, z punktu widzenia oszusta, domyślnym dowodem na to, że po drugiej stronie jest człowiek. W przeciwieństwie do jednorazowej skrzynki mailowej nie da się go tworzyć na poczekaniu w tysiącach egzemplarzy.
Jest osią uwierzytelniania
SMS pozostaje — mimo znanych słabości — najpowszechniej wdrożonym drugim składnikiem uwierzytelniania na świecie. Europejska dyrektywa PSD2 upowszechniła silne uwierzytelnianie płatności, a większość banków wciąż opiera się w całości lub częściowo na wysyłce kodu wiadomością. Znać Twój numer to znać drzwi wejściowe — pozostaje znaleźć klucz, przez socjotechnikę albo SIM swapping.
Umożliwia zestawianie danych
Numer działa jak klucz łączący różne bazy. Jedna pochodzi ze sklepu internetowego, druga z platformy rezerwacyjnej, trzecia z forum: zestawione po numerze odtwarzają szczegółowy profil — nazwisko, adres, historię zakupów, przybliżony wiek. To właśnie to zestawianie sprawia, że spear smishing jest tak przekonujący: oszukańczy SMS podaje Twoje prawdziwe imię i nazwisko, prawdziwe miasto, czasem prawdziwe zamówienie.
Ogólną wiadomość oszusta rozpoznaje się w dwie sekundy. Wiadomość, która zna Twoje nazwisko, Twojego operatora i Twój ostatni zakup, wymaga nieporównanie większej czujności.
Jak sprawdzić, czy Twój numer wyciekł
Nie istnieje oficjalny rejestr skompromitowanych numerów. Ale kilka sygnałów i narzędzi pozwala wyrobić sobie poważne zdanie na ten temat.
Serwisy weryfikacji wycieków
Serwis Have I Been Pwned, prowadzony przez badacza bezpieczeństwa Troya Hunta, od kilku lat pozwala wyszukiwać po numerze telefonu w formacie międzynarodowym (+48...) dla wybranych naruszeń, uzupełniając wyszukiwanie po adresie e-mail. Hasso-Plattner-Institut oferuje z kolei usługę weryfikacji po adresie e-mail z przesłaniem wyniku. Te narzędzia nie są wyczerpujące: obejmują wyłącznie publicznie udokumentowane wycieki.
Kilka zasad ostrożności:
- korzystaj wyłącznie z renomowanych i udokumentowanych serwisów; niszowe strony obiecujące „skanowanie dark webu" same często zbierają dane;
- wpisuj numer w formacie międzynarodowym, bez spacji;
- powtarzaj sprawdzenie raz lub dwa razy w roku, bazy są aktualizowane z opóźnieniem.
Sygnały behawioralne
Często wyciek daje o sobie znać, zanim zostanie udokumentowany. Trzy klasyczne poszlaki:
| Zaobserwowany sygnał | Prawdopodobna interpretacja |
|---|---|
| Nagły wzrost liczby telefonów z ofertami | Twój numer właśnie trafił do odsprzedanej bazy sprzedażowej |
| SMS-y oszustów podające Twoje nazwisko lub prawdziwe zamówienie | Wyciek bazy sklepowej wraz z powiązanymi danymi |
| Niezamawiane kody weryfikacyjne (OTP) | Ktoś próbuje uzyskać dostęp do konta powiązanego z Twoim numerem |
| Połączenia „ping" po jednym sygnale | Test aktywności numeru przed odsprzedażą |
Ostatni punkt jest istotny: połączenie, które natychmiast się rozłącza, albo pusty SMS służą czasem po prostu do potwierdzenia, że linia jest aktywna. Nigdy nie oddzwaniaj na nieznany numer o egzotycznej taryfikacji.
Sprawdź, co sam ujawniasz
Zanim obwinisz wyciek, warto zmierzyć własną, dobrowolną ekspozycję. Wpisz swój numer w cudzysłowie w wyszukiwarce. Sprawdź:
- swoje ogłoszenia na portalach ogłoszeniowych, często zostawione w sieci z numerem podanym otwartym tekstem;
- książki telefoniczne i wyszukiwarki odwrotne, które zawierają numery, jeśli abonent nie zastrzegł swoich danych;
- swoje profile zawodowe i organizacyjne, pliki PDF ze sprawozdaniami, listy kontaktów publikowane przez klub czy szkołę.
Wiele wycieków to wcale nie włamania: to zapomniane publikacje.
Co dzieje się w praktyce po wycieku
Fala 1: telemarketing
To najbardziej bezpośrednia i najłagodniejsza konsekwencja. Marketing telefoniczny jest regulowany: przepisy ograniczają połączenia handlowe w weekendy, dni świąteczne i poza ściśle określonymi godzinami w dni robocze. Zapisanie się na listę sprzeciwu wobec marketingu telefonicznego (we Francji bezpłatny Bloctel, oficjalny serwis prowadzony na zlecenie państwa) pozostaje pierwszym krokiem. Nie blokuje to ani oszustw, ani firm, z którymi masz aktywną umowę, ale oczyszcza część strumienia.
W przypadku marketingu SMS-owego zasady są inne: RODO oraz prawo telekomunikacyjne wymagają uprzedniej zgody na wiadomości handlowe kierowane do osób prywatnych, a także prostego sposobu wyrażenia sprzeciwu — słynne „STOP" wraz z kodem.
Fala 2: ukierunkowany smishing
To prawdziwe zagrożenie. Smishing (phishing przez SMS) wykorzystuje wyciekłe dane do zbudowania wiarygodnego scenariusza: paczka oczekująca na odbiór, mandat do zapłaty, zawieszone konto bankowe, aktualizacja karty ubezpieczenia zdrowotnego. Francuski serwis Cybermalveillance.gouv.fr regularnie publikuje ostrzeżenia o trwających kampaniach i udostępnia bezpłatne, całkiem dobrze przygotowane karty postępowania (w Polsce podobną rolę pełni CERT Polska).
Jeden odruch, który trzeba zapamiętać: nigdy nie klikamy w linki z wiadomości. Otwieramy oficjalną aplikację albo wpisujemy adres ręcznie. Czytelnik, który chce utrwalić ten nawyk i zrozumieć mechanizmy socjotechniki, znajdzie w książce o cyberbezpieczeństwie dla osób prywatnych znacznie lepszą podstawę do budowania czujności niż w stosie przypadkowych artykułów.
Fala 3: próba przejęcia numeru
Ostatnim etapem jest przejęcie samej linii — przez SIM swapping albo oszukańcze przeniesienie numeru — aby przechwytywać kody uwierzytelniające. Ten atak zakłada, że napastnik dysponuje już wystarczającą ilością danych osobowych — stąd znaczenie ograniczania możliwości zestawiania informacji na wcześniejszym etapie.
Ogranicz ekspozycję bez zmiany numeru
Zmiana numeru to poważna decyzja, zarezerwowana dla sytuacji nękania lub powtarzających się oszustw. W zdecydowanej większości przypadków wystarczy rozdzielić zastosowania.
Przyjmij strategię dwóch numerów
Zasada jest prosta: numer prywatny, zarezerwowany dla bliskich, banku, pracodawcy i urzędów; oraz numer publiczny, używany do dostaw, rejestracji, ogłoszeń, kart lojalnościowych i usług internetowych.
Ten drugi numer może przybrać kilka form:
- dedykowana karta SIM na kartę, rozwiązanie najprostsze i najtańsze;
- dodatkowa eSIM w telefonie obsługującym dual SIM;
- do sporadycznych zastosowań — serwis wysyłki SMS online bez rejestracji, który pozwala nie ujawniać osobistej linii dla jednej wiadomości.
Jeśli Twoje urządzenie nie obsługuje dwóch kart SIM, budżetowy smartfon dual SIM trzymany jako drugie urządzenie świetnie spełni tę rolę i pozwoli nie mieszać zastosowań.
Wyczyść to, co już jest w sieci
RODO daje Ci prawo do usunięcia danych (art. 17) oraz prawo sprzeciwu wobec przetwarzania w celach marketingowych (art. 21). W praktyce:
- Zidentyfikuj serwisy, które wyświetlają lub przechowują Twój numer.
- Wyślij pisemne żądanie usunięcia danych, wskazując swoją tożsamość i objęte nim przetwarzanie. Organy ochrony danych (jak francuska CNIL czy polski UODO) udostępniają na swoich stronach bezpłatne wzory pism.
- Administrator danych ma co do zasady miesiąc na odpowiedź.
- W razie braku odpowiedzi lub nieuzasadnionej odmowy możesz złożyć skargę do organu nadzorczego (CNIL we Francji, UODO w Polsce) przez formularz online.
W przypadku wyszukiwarek odwrotnych poproś operatora o zastrzeżenie numeru — procedura jest bezpłatna i wchodzi w życie przy najbliższej aktualizacji.
Zabezpiecz linię po stronie operatora
Trzy mało znane środki, o które można poprosić bezpośrednio biuro obsługi klienta:
- aktywacja kodu PIN karty SIM (często wyłączanego dla wygody);
- ustanowienie hasła lub pytania pomocniczego na koncie klienta, wymaganego przed każdą wrażliwą operacją;
- czujność wobec kodu przeniesienia numeru (we Francji kod RIO), który umożliwia przeniesienie linii: nigdy nie przekazuj go osobom trzecim.
Stopniowo odchodź od SMS-a jako składnika uwierzytelniania
Wszędzie tam, gdzie to możliwe, zastąp weryfikację SMS-em aplikacją uwierzytelniającą (kody TOTP) lub — jeszcze lepiej — fizycznym kluczem bezpieczeństwa. Francuska ANSSI od lat zaleca preferowanie tych metod dla wrażliwych kont. Klucz bezpieczeństwa FIDO2 mieści się na breloku, kosztuje tyle co kolacja i praktycznie uniemożliwia wyłudzenie Twoich danych logowania w serwisach, które go obsługują.
Do kodów zapasowych i powiązanych haseł menedżer haseł pozostaje narzędziem podstawowym: eliminuje powtarzanie haseł, główną przyczynę lawinowych włamań po wycieku.
Co zrobić w ciągu 48 godzin od potwierdzonego wycieku
Jeśli firma powiadomi Cię o naruszeniu ochrony danych obejmującym Twój numer — obowiązek przewidziany w RODO, gdy ryzyko jest wysokie — oto rozsądny plan działania.
Dzień 1 — Inwentaryzacja. Wypisz konta, które używają tego numeru jako środka odzyskiwania dostępu lub drugiego składnika uwierzytelniania: bank, komunikatory, media społecznościowe, główna skrzynka mailowa, platformy płatnicze.
Dzień 1 — Wzmocnienie. Zmień hasła do najbardziej krytycznych kont, zaczynając od skrzynki mailowej, która steruje wszystkimi pozostałymi. Włącz uwierzytelnianie inne niż SMS wszędzie tam, gdzie taka opcja istnieje.
Dzień 2 — Monitorowanie. Ustaw alerty o operacjach na koncie bankowym. Zanotuj datę wycieku: jeśli kilka dni później podejrzany SMS odwoła się do jednej z objętych nim usług, związek jest oczywisty.
Dzień 2 — Zgłoszenie. Zgłaszaj oszukańcze SMS-y na dedykowanej platformie (we Francji 33700, krajowa platforma zwalczania spamu głosowego i SMS-owego; w Polsce numer 8080 obsługiwany przez CERT Polska). Zgłoszenie jest bezpłatne: przekazuje się wiadomość na wskazany numer, a następnie w odpowiedzi wysyła numer nadawcy. W razie szkody finansowej możliwe jest złożenie zawiadomienia o przestępstwie oraz zgłoszenie przez platformę THESEE francuskiego Ministerstwa Spraw Wewnętrznych.
Bezpieczny notes — papierowy, przechowywany poza domem, na kody zapasowe — pozostaje zaskakująco skutecznym zabezpieczeniem: nie da się go zhakować zdalnie.
Pozorne dobre pomysły
Kilka rozpowszechnionych odruchów przynosi więcej szkody niż pożytku.
- Odpowiadanie „STOP" na SMS od oszusta. W przypadku legalnego nadawcy to właściwy krok. Dla oszusta to potwierdzenie, że linia jest aktywna. Rozróżniaj: prawdziwa wiadomość handlowa jasno identyfikuje reklamodawcę.
- Blokowanie numerów pojedynczo. Kampanie smishingowe wykorzystują jednorazowe numery, wymieniane bez przerwy. Blokowanie pojedynczych numerów to praca Syzyfa; filtrowanie nieznanych nadawców, dostępne natywnie w iOS i Androidzie, jest skuteczniejsze.
- Instalowanie inwazyjnych aplikacji „antyspamowych". Wiele aplikacji filtrujących połączenia żąda pełnego dostępu do książki adresowej i wysyła Twoje kontakty na serwery. Chronisz swój numer, ujawniając numery bliskich.
- Wiara, że „zastrzeżony" numer chroni. Ukrycie numeru dzwoniącego wpływa wyłącznie na wyświetlanie. Nie zapobiega ani zestawianiu danych, ani ich przechowywaniu przez sieć.
Jedna prosta zasada: traktuj swój numer jak dane wrażliwe
Numer telefonu długo był postrzegany jako zwykła dana kontaktowa, którą podaje się bez zastanowienia. W praktyce stał się identyfikatorem o randze bankowej: otwiera konta, zatwierdza płatności, potwierdza tożsamość.
Praktyczny wniosek sprowadza się do trzech pytań, które warto sobie zadać przed każdym wpisaniem numeru:
- Czy ten serwis rzeczywiście potrzebuje kontaktu ze mną telefonicznie?
- Czy mogę użyć numeru dodatkowego?
- Jeśli ta baza wycieknie jutro, co ujawni o mnie po zestawieniu z resztą?
Trzy pytania, kilka sekund. To najlepszy stosunek wysiłku do ochrony w całej higienie cyfrowej — i to zdecydowanie.
