„Ktoś zna mój PESEL – czy może wziąć na mnie kredyt?” To jedno z najczęstszych pytań pojawiających się po wycieku danych. Odpowiedź jest jednocześnie uspokajająca i niepokojąca. Sam numer PESEL nie jest wystarczający do prawidłowego zaciągnięcia kredytu lub pożyczki. Nie jest hasłem, kodem autoryzacyjnym ani cyfrowym odpowiednikiem podpisu. Jednocześnie kredyty na cudzą tożsamość naprawdę są wyłudzane. Tyle że przestępca potrzebuje zazwyczaj znacznie więcej niż jeden jedenastocyfrowy numer.
Popularne określenie „kredyt na PESEL” jest więc skrótem myślowym. Bardziej precyzyjnie należałoby mówić o kredycie zaciągniętym przy użyciu cudzej tożsamości. PESEL jest jednym z podstawowych elementów tej tożsamości, ale nie powinien być elementem pozwalającym samodzielnie jej potwierdzić.
Różnica jest istotna, bo po każdym większym wycieku bazy danych w internecie pojawiają się komunikaty w rodzaju: „wyciekły numery PESEL – teraz oszuści mogą brać na ludzi kredyty”. Tak sformułowane ostrzeżenie może sugerować, że wystarczy wpisać czyjś PESEL do formularza i po kilku minutach odebrać pieniądze. Tak legalnie działający proces kredytowy nie powinien wyglądać.
PESEL to identyfikator, a nie hasło
Najłatwiej porównać PESEL do numeru rachunku bankowego. Możemy przekazać komuś numer konta, aby wysłał nam pieniądze, ale znajomość numeru rachunku nie pozwala tej osobie zalogować się do naszej bankowości.
Podobnie powinno być z PESEL-em. Numer identyfikuje konkretną osobę w wielu systemach, ale nie potwierdza, że człowiek wpisujący go właśnie do formularza rzeczywiście jest jego właścicielem.
Polskie przepisy AML dobrze pokazują różnicę pomiędzy identyfikacją a weryfikacją tożsamości. Przy identyfikacji osoby fizycznej ustala się m.in. imię i nazwisko, obywatelstwo, numer PESEL oraz serię i numer dokumentu tożsamości. Następnie ustalone informacje trzeba zweryfikować w oparciu o dokument tożsamości albo inne dane pochodzące z wiarygodnego i niezależnego źródła. Sam PESEL jest więc jedną z danych identyfikacyjnych, a nie dowodem na to, kto znajduje się po drugiej stronie procesu.
To ważna odpowiedź na podstawowe pytanie: mając wyłącznie cudzy numer PESEL, nie powinno dać się prawidłowo przejść procesu weryfikacji wymaganej przy zawieraniu umowy finansowej.
Skąd więc historie o kredytach „na PESEL”?
Ponieważ w rzeczywistych przypadkach kradzieży tożsamości oszust prawie nigdy nie dysponuje wyłącznie numerem PESEL.
Może mieć również imię i nazwisko, adres, datę urodzenia, numer telefonu, adres e-mail, serię i numer dowodu osobistego albo nawet pełny skan dokumentu. Dane mogą pochodzić z jednego dużego wycieku albo zostać połączone z kilku różnych źródeł.
W jeszcze poważniejszym scenariuszu przestępca przejmuje dostęp do skrzynki e-mail lub numeru telefonu ofiary. Czasami dysponuje także informacjami dotyczącymi jej rachunku bankowego albo innymi materiałami, które mogą pomóc w podszyciu się pod właściciela danych.
Wtedy nie mówimy już o sytuacji: „oszust zna mój PESEL” lecz raczej: „oszust posiada zestaw danych umożliwiający mu próbę odtworzenia mojej cyfrowej tożsamości”. I to jest zasadnicza różnica.
Co właściwie sprawdza bank albo firma pożyczkowa?
Proces zależy od instytucji, rodzaju produktu oraz sposobu zawarcia umowy. Inaczej może wyglądać tradycyjny kredyt hipoteczny w oddziale, inaczej pożyczka konsumencka zawierana online, a jeszcze inaczej finansowanie oferowane istniejącemu klientowi banku w aplikacji.
W każdym przypadku trzeba jednak rozdzielić dwa zagadnienia: czy osoba jest tym, za kogo się podaje, oraz czy można jej udzielić finansowania.
Prawo bankowe dopuszcza w procesach oceny zdolności i ryzyka kredytowego przetwarzanie znacznie szerszego zestawu informacji niż sam PESEL. Wymienia m.in. dane dokumentu tożsamości, adres, miejsce pracy, formę zatrudnienia, sytuację finansową, dochody i wydatki czy informacje dotyczące istniejących zobowiązań. Nie oznacza to, że przy każdym produkcie bank żąda wszystkich tych informacji, ale pokazuje skalę różnicy pomiędzy numerem identyfikacyjnym a pełnym procesem kredytowym.
Do tego dochodzi sama weryfikacja tożsamości. W procesach zdalnych instytucje wykorzystują różne mechanizmy pozwalające ustalić, czy osoba składająca wniosek rzeczywiście jest właścicielem podawanych danych. Konkretne rozwiązania różnią się pomiędzy firmami.
Dlatego stwierdzenie, że „bank udzielił kredytu na PESEL”, jest podobnym uproszczeniem jak powiedzenie, że samochód został skradziony „na numer rejestracyjny”. Numer mógł być jednym z elementów wykorzystanych przez przestępcę, ale sam w sobie nie otworzył drzwi.
Czy mimo tych zabezpieczeń wyłudzenia kredytów naprawdę się zdarzają?
Tak. I właśnie dlatego państwo stworzyło Rejestr Zastrzeżeń Numerów PESEL.
Gov.pl wprost opisuje kradzież tożsamości jako sytuację, w której ktoś może wykorzystać cudze dane np. do zaciągnięcia kredytu lub zawarcia umowy telekomunikacyjnej. Istnieje również procedura pozwalająca zgłosić nieuprawnione wykorzystanie danych i w takiej sytuacji unieważnić dowód osobisty.
Nie należy jednak wyciągać z istnienia takich przypadków wniosku, że procedury banków są oparte wyłącznie na PESEL-u. Oszustwo polega właśnie na obejściu lub oszukaniu mechanizmów weryfikacyjnych. Przestępca może posługiwać się skradzionymi danymi, dokumentami, przejętymi kanałami komunikacji albo innymi elementami cudzej tożsamości.
To wyjaśnia pewien pozorny paradoks. Możemy jednocześnie powiedzieć: „Nie da się prawidłowo wziąć kredytu, znając wyłącznie czyjś PESEL” oraz: „Da się wyłudzić kredyt na cudzą tożsamość zawierającą ten PESEL”. Oba zdania są prawdziwe.
PESEL + imię i nazwisko – czy to już wystarczy?
Co do zasady nie.
Imię, nazwisko i PESEL pozwalają bardzo precyzyjnie wskazać osobę, ale nadal nie dowodzą, że człowiek korzystający z tych danych jest ich właścicielem.
To ważne również dlatego, że PESEL nie jest informacją, którą w praktyce da się traktować jak tajne hasło przez całe życie. Występuje w dokumentach i systemach obsługiwanych przez bardzo wiele podmiotów. Może znaleźć się w bazach pracodawców, instytucji finansowych, ubezpieczycieli, administracji publicznej czy placówek medycznych.
System finansowy, który zakładałby, że znajomość PESEL-u jest dowodem tożsamości, byłby więc konstrukcyjnie bardzo niebezpieczny.
Skan dowodu zmienia sytuację
Znacznie większym problemem niż wyciek samego PESEL-u jest utrata pełnej kopii dowodu osobistego.
Na jednym obrazie przestępca otrzymuje wtedy zestaw powiązanych ze sobą danych: fotografię, imię i nazwisko, PESEL, serię i numer dokumentu, termin jego ważności i pozostałe informacje znajdujące się na dowodzie.
Nie oznacza to, że skan dowodu automatycznie pozwala uzyskać kredyt. Nadal istnieją kolejne etapy weryfikacji. Z punktu widzenia przestępcy jest jednak znacznie bardziej wartościowym materiałem niż samotny numer PESEL.
Dlatego tak istotne jest ograniczanie liczby miejsc, do których przesyłamy pełną kopię dokumentu. Jak pisaliśmy wcześniej na StopScam, przed przekazaniem skanu warto przede wszystkim ustalić, czy dany przedsiębiorca rzeczywiście ma podstawę do jego uzyskania i czy pełna kopia jest w danej sytuacji potrzebna.
Jeszcze groźniejsze jest połączenie kilku elementów
Ryzyko kradzieży tożsamości rośnie nie liniowo, lecz wraz z możliwością połączenia różnych informacji.
Wyobraźmy sobie trzy osobne wycieki. W pierwszym znajduje się imię, nazwisko i PESEL. W drugim numer telefonu i adres e-mail. W trzecim adres zamieszkania oraz dane dokumentu.
Każda z takich baz osobno może wydawać się niepełna. Po zestawieniu rekordów dotyczących jednej osoby powstaje jednak dużo bardziej użyteczny profil.
Jeżeli do tego przestępca przejmie skrzynkę e-mail albo telefon ofiary, sytuacja staje się jeszcze poważniejsza, ponieważ może próbować odbierać wiadomości związane z procesami weryfikacyjnymi.
To właśnie dlatego informacja „wyciekł tylko PESEL” może być jednocześnie prawdziwa i myląca. Nie wiemy, jakie inne informacje dotyczące tej samej osoby ktoś posiada już z wcześniejszych źródeł.
I tu pojawia się zastrzeżenie PESEL
Od 1 czerwca 2024 r. kredytodawcy mają obowiązek sprawdzenia Rejestru Zastrzeżeń Numerów PESEL przed zawarciem umowy o kredyt konsumencki. Podobny obowiązek dotyczy banków przed zawarciem m.in. umowy kredytu lub pożyczki.
Mechanizm ma ogromne znaczenie właśnie dlatego, że nie próbuje odpowiedzieć na pytanie, ile danych ukradł przestępca.
Może mieć PESEL. Może mieć skan dowodu. Może znać adres. Może próbować przekonać system, że jest nami. Jeżeli jednak nasz PESEL pozostaje zastrzeżony, instytucja finansowa na końcu procesu powinna otrzymać informację, że w tym momencie określonej umowy nie należy zawierać.
Co więcej, ustawa o kredycie konsumenckim przewiduje, że jeżeli kredytodawca zawarł objętą przepisami umowę w czasie obowiązywania zastrzeżenia, nie może domagać się od konsumenta ani jego następców prawnych zaspokojenia takiego roszczenia ani sprzedać tej wierzytelności.
Podobną zasadę przewiduje Prawo bankowe dla objętych przepisem umów zawieranych przez banki. To zasadnicza zmiana w ochronie przed skutkami kradzieży tożsamości.
Czy zastrzeżenie PESEL sprawia, że kredytu na moje dane już na pewno nikt nie dostanie?
Tu również trzeba uważać na uproszczenia.
Zastrzeżenie jest bardzo silną warstwą ochrony, ale nie należy przedstawiać go jako zabezpieczenia całej cyfrowej tożsamości. Przepisy określają konkretne czynności i konkretne podmioty zobowiązane do sprawdzania rejestru. Istnieją również szczególne wyjątki przewidziane dla określonych modeli kredytu konsumenckiego w ramach wcześniej zawartych relacji i przy spełnieniu warunków ustawowych.
Zastrzeżony PESEL nie uniemożliwia też przestępcy wykorzystania naszych danych do zupełnie innych celów: podszywania się pod nas w internecie, prób przejmowania kont, oszukiwania innych osób czy socjotechniki.
Nie blokuje również zwykłego przelewu z naszego istniejącego konta, jeśli przestępca przejmie dostęp do bankowości. To inna kategoria ataku.
Dlatego zastrzeżenie PESEL jest niezwykle wartościowym zabezpieczeniem, ale pozostaje jedną warstwą ochrony, a nie rozwiązaniem wszystkich problemów związanych z kradzieżą tożsamości.
Co się stanie, jeśli bank mimo zastrzeżenia udzieli kredytu oszustowi?
To jeden z najważniejszych aspektów całej reformy.
Przed wprowadzeniem rejestru osoba, której tożsamość wykorzystano, mogła zostać zmuszona do wykazywania, że to nie ona zaciągnęła zobowiązanie. Ministerstwo Cyfryzacji, przedstawiając nowe przepisy, wskazywało właśnie ten problem jako jeden z powodów utworzenia systemu.
Po zmianie prawa sytuacja osoby posiadającej zastrzeżony PESEL jest znacząco mocniejsza. Ustawy nakładają na instytucję obowiązek sprawdzenia rejestru, a zignorowanie aktywnego zastrzeżenia wywołuje konsekwencje po stronie kredytodawcy.
W praktyce oznacza to, że oszust nadal może spróbować wykorzystać nasze dane. System ma jednak sprawić, aby powodzenie takiej próby nie przerodziło się następnie w wieloletnią walkę niewinnego konsumenta o cudzy dług.
Czy można sprawdzić, czy ktoś próbował użyć naszego PESEL-u?
W serwisie administracji publicznej dostępna jest usługa pozwalająca sprawdzić, kto weryfikował status zastrzeżenia naszego numeru PESEL, kiedy to zrobił i jaką otrzymał odpowiedź.
Nie oznacza to, że każda taka weryfikacja świadczy o próbie oszustwa. Jeśli sami składaliśmy wniosek w banku, zapytanie będzie czymś zupełnie normalnym.
Jeżeli jednak w historii pojawia się instytucja finansowa, z którą nie mieliśmy żadnego kontaktu, warto wyjaśnić sytuację.
To interesujące rozwinięcie całego mechanizmu. Rejestr nie służy wyłącznie do stawiania bariery przed określonymi umowami – pozwala również w pewnym zakresie zobaczyć, kiedy ktoś próbował sprawdzić, czy ta bariera jest aktywna.
Co jeśli ktoś zna tylko mój PESEL?
Nie ma powodu do paniki.
Sam PESEL nie jest wystarczającym zestawem danych do poprawnego przeprowadzenia procesu udzielenia kredytu. Jest identyfikatorem, a nie metodą uwierzytelniania.
Jednocześnie nie warto uznawać jego wycieku za zupełnie obojętny. Przestępca może posiadać inne informacje na nasz temat albo zdobyć je później. Dlatego wyciek PESEL-u jest dobrym momentem, aby upewnić się, że numer jest zastrzeżony oraz zachować szczególną czujność wobec nieoczekiwanych wiadomości i prób kontaktu.
Jeżeli natomiast wyciekła pełna kopia dowodu, dane logowania, dostęp do poczty lub istnieją podstawy, by podejrzewać faktyczne wykorzystanie naszej tożsamości, sytuacja wymaga zdecydowanie większej reakcji.
„Mam twój PESEL, wezmę na ciebie kredyt” – to często również element straszenia
W internetowych sporach czy próbach szantażu można spotkać groźbę: „mam twój PESEL, teraz wezmę na ciebie pożyczki”.
Sama znajomość numeru nie daje komuś takiej magicznej możliwości. Warto wręcz uważać na oszustwa wykorzystujące strach przed kredytem na PESEL jako drugi etap ataku. Przestępca może przekonywać ofiarę, że jej dane zostały właśnie wykorzystane, a następnie podszywać się pod bank, Policję lub pracownika bezpieczeństwa i nakłaniać do podania kolejnych danych, instalacji aplikacji czy wykonania „bezpiecznego przelewu”.
Paradoksalnie więc obawa przed kradzieżą tożsamości może zostać wykorzystana do doprowadzenia do prawdziwej kradzieży pieniędzy.
Jeżeli ktoś informuje nas telefonicznie, że właśnie zaciągnięto na nas kredyt, najbezpieczniej jest przerwać rozmowę i samodzielnie skontaktować się z bankiem poprzez numer lub aplikację, które znamy z niezależnego źródła.
Największy mit: „PESEL powinien być tajny”
Nie chodzi o to, by zacząć publikować numer PESEL w mediach społecznościowych. Oczywiście należy chronić swoje dane.
Problem polega jednak na czymś innym: system bezpieczeństwa nie może zakładać, że PESEL pozostanie przez całe życie sekretem znanym wyłącznie właścicielowi.
Hasło możemy zmienić. Kod PIN możemy zmienić. Kartę bankową możemy zastrzec i otrzymać nową. PESEL co do zasady pozostaje z człowiekiem przez całe życie.
Dlatego logiczna architektura bezpieczeństwa musi wyglądać inaczej: PESEL identyfikuje osobę, natomiast jej tożsamość trzeba niezależnie zweryfikować, a przy najbardziej ryzykownych czynnościach dodatkowo sprawdzić, czy właściciel nie zastrzegł możliwości wykorzystania numeru. I właśnie w tym kierunku poszło polskie prawo.
Czy można więc wziąć kredyt „na PESEL”?
Jeżeli przez „na PESEL” rozumiemy sytuację, w której przestępca zna wyłącznie jedenaście cyfr i nic więcej – nie tak powinien działać legalny proces udzielania kredytu. Sam PESEL nie jest wystarczającym potwierdzeniem tożsamości.
Jeżeli natomiast pytamy, czy przestępca może wyłudzić kredyt na cudze dane osobowe, odpowiedź brzmi: tak, takie przestępstwa istnieją i właśnie między innymi przed ich skutkami ma chronić Rejestr Zastrzeżeń Numerów PESEL. Oficjalne serwisy administracji publicznej wprost odnoszą się do przypadków kredytów zaciąganych na cudze dane.
To rozróżnienie jest istotniejsze, niż może się wydawać. Straszenie „wyciekł PESEL, więc każdy może teraz brać na ciebie kredyty” niepotrzebnie tworzy wrażenie, że jeden numer działa jak klucz do banku. Nie działa.
Znacznie bardziej niebezpieczny jest kompletny profil tożsamości: PESEL połączony z danymi dowodu, adresem, numerem telefonu, e-mailem, kopią dokumentu lub dostępem do innych kanałów należących do ofiary.
Dlatego najlepiej przyjąć dwie zasady jednocześnie: nie panikować po ujawnieniu samego PESEL-u, ale również nie lekceważyć ochrony własnej tożsamości.
A ponieważ zastrzeżenie numeru jest bezpłatne i można je łatwo cofnąć przed własnym kredytem lub pożyczką, pozostawienie PESEL-u zastrzeżonego na co dzień jest bardzo sensownym dodatkowym bezpiecznikiem.