Wycieki danych, których... nie było. Jak przestępcy nas oszukują?

Chęć zarobku na oszustwie, mylenie pojęć bądź owoce halucynacji narzędzi AI to część powodów, przez które mogliśmy usłyszeć o fałszywych wyciekach danych z polskich portali. Postanowiliśmy zebrać kilka głośnych przypadków takich zdarzeń i omówić je pod kątem tego, dlaczego informacje o nich mogły trafiać do przestrzeni publicznej.

Fałszywy wyciek z Empiku

W drugiej połowie marca ubiegłego roku sieć obiegła informacja o rzekomym wycieku danych klientów Empiku – należy podkreślić, że twierdzenia cyberprzestępcy były fałszywe. Biuro prasowe Empiku wzorcowo obsłużyło incydent pod kątem komunikacji.

Próbka danych była wiarygodna dla wielu badaczy bezpieczeństwa – obejmowała nawet część prawdziwych danych klientów Empiku.

„Podsumowując, opublikowana próbka danych składa się ze sklejonych informacji: ze starego wycieku innej firmy (lekko zmodyfikowanych), danych całkowicie zmyślonych oraz danych pobranych ze strony firmowej” – opisała to później Zaufana Trzecia Strona, dodając, że oferta sprzedaży została później usunięta z forum.

Problem w tym, że niektóre tytuły artykułów w polskich mediach nadal stwierdzają, że wyciek miał miejsce, mimo że jest to fałszywe stwierdzenie. Przykładowo:

Empik wyciek. Hakerzy sprzedają dane – BOOP;

Wyciekły dane milionów klientów Empiku, „47GB danych”. Co nam grozi i jak się zabezpieczyć? – BitHub;

Wyciek danych użytkowników Empik – co się wydarzyło? – Nasze Miasto;

Empik: wielki wyciek danych. Miliony Polaków w niepewności – Telepolis.

Jasno widzimy, że w przypadku wycieków danych konieczne jest reagowanie na bieżąco, szczególnie w sytuacji, gdy mowa o niepotwierdzonych dotychczas informacjach. Czasami warto złagodzić przekaz nie tylko w mediach tradycyjnych, ale również na platformach społecznościowych, gdzie informacje rozchodzą się błyskawicznie.

Fałszywy wyciek z pyszne(.)pl

Na wstępie podkreślamy, że wszystko wskazuje na to, iż wycieku danych klientów z pyszne(.)pl nie było. Jednocześnie wpis o poście na forum dla cyberprzestępców trafił do 50 tys. odbiorców, co skłoniło nas do opisania tego przypadku.

Na początku czerwca br. pojawiła się informacja o rzekomym wycieku danych klientów pyszne(.)pl. Postanowiliśmy zweryfikować próbkę danych, do której link dołączył użytkownik forum.

Okazało się, że najprawdopodobniej są to dane wygenerowane przez AI bądź spreparowane ręcznie.

W zbiorze można znaleźć schematycznie utworzone adresy e-mail, które w połowie przypadków (5 z 10) wykorzystują jedno z 10 najpopularniejszych nazwisk w Polsce. Przynajmniej jeden z numerów telefonu jest dostępny publicznie i należy do przedsiębiorstwa.

Do podobnych wniosków odnośnie tego incydentu doszedł Niebezpiecznik.

„Śpijcie spokojnie, krążąca po internetach oferta sprzedania danych z pyszne.pl wygląda na ściemę, której celem jest wyłudzenie kasy od kupca” – podkreślił portal na łamach X.

Chcesz kupić „dane” ekspertów?

Niezwykle interesujący przypadek próby wyłudzenia środków finansowych opisał Sekurak w lipcu 2023 roku.

Jeden z czytelników portalu otrzymał informację o rzekomej sprzedaży bazy klientów wydarzenia „KSC Forum 2023”, mającej składać się z 6 tys. rekordów.

Analiza Sekuraka wykazała, że dane udostępniane jako próbka z wycieku pochodzą z publicznie dostępnych rejestrów czy mediów społecznościowych.

„(…) ofiara przeglądając takowy wycinek, miałaby odnieść wrażenie, że faktycznie uzyskuje bazę kontaktów dosyć newralgicznych osób dla każdego przedsiębiorstwa. Za jedyne 419 euro” – stwierdzono w artykule.

Dane logowania a wyciek

W maju 2023 roku Niebezpiecznik informował o pojawieniu się w mediach narracji o „gigantycznym wycieku” z wielu znanych serwisów. Na łamach portalu podkreślono, że opisywane zdarzenia dotyczą danych logowania wykradzionych z komputerów użytkowników za pomocą złośliwego oprogramowania (infostealerów) i nie dotyczą systemów firm.

„Jeśli zainfekowany Jan miał konto w Allegro, Librusie i Facebooku, i na te serwisy się logował z zainfekowanego komputera, to jego hasła do tych serwisów wyciekły” – przekazał Niebezpiecznik, podkreślając, że upublicznienie takich danych logowania nie oznacza przełamania zabezpieczeń serwisów internetowych.

11 lat temu na łamach Niebezpiecznika opisano przypadek opublikowania zrzutu loginów i haseł do łącznie 6 tys. kont, pochodzących rzekomo z domeny Active Directory (dziś Entra ID – przyp. red.) należących do Ministerstwa Spraw Zagranicznych i Kancelarii Prezesa Rady Ministrów. Wówczas okazało się, że wykorzystano ponownie dane z 2013 roku.

W 2021 roku Naczelna Rada Adwokacka zdemetowała informacje o rzekomej sprzedaży danych logowania do skrzynek mailowych adwokatów i okręgowych rad adwokackich. Poinformowano, że „nie doszło do żadnych wycieków danych” oraz nie stwierdzono nieuprawnionego dostępu do plików. W lutym 2025 opisywaliśmy prawdziwy wyciek danych z NRA.

AI a fałszywe wycieki

W maju 2025 roku opisywaliśmy przypadek wygenerowania artykułu przez sztuczną inteligencję, opisującego rzekomy wyciek danych z dużego polskiego banku. Problem w tym, że… informacja była fałszywa i niepoparta żadnymi dowodami. Nawet źródła zostały wymyślone przez AI.

Było to jednak o tyle groźne, że w przypadku zapytania w Google automatyczna podpowiedź od AI informowała o wystąpieniu incydentu.

Jak żyć?

Kwestia informowania o wyciekach danych często bywa newralgiczna, szczególnie w przypadku opublikowania wyłącznie próbek w formie wycinka danych.

Komentarza o odpowiedzialnym informowaniu opinii publicznej udzielili nam: Adam Haertle, Andrzej Piotrowski, ABW, CBZC oraz NASK.

W przypadku napotkania informacji o niepotwierdzonym wycieku danych rekomendujemy rozważenie zgłoszenia do CERT Polska oraz ewentualny kontakt z mediami branżowymi, które (zazwyczaj) chętnie rozpatrują takie przypadki.

Kluczowe jest zachowanie „chłodnej głowy” w sytuacji, gdy w sieci pojawia się niepotwierdzona informacja o wycieku danych. Warto poczekać na oficjalne potwierdzenia.

Jednocześnie należy odnotować, że czasami zdarzają się przypadki publikacji danych osobowych, do których dany podmiot dotychczas się nie odniósł – na szczęście jest ich niewiele.

W przypadku wycieku danych zachęcamy do zapoznania się z naszym poradnikiem w tym zakresie.