Jak sprawdzić, czy twój numer telefonu wyciekł (i co robić)

Twój numer komórki mają rodzina, praca i mało kto poza tym. Więc dlaczego co tydzień dzwonią nieznajomi, dostajesz SMS-y o loteriach, w których nie brałeś udziału, a szantażysta zna twoje imię i maila? Najbardziej prawdopodobna odpowiedź to ta, że twój numer wyciekł: krąży w jakiejś bazie danych, której nie kontrolujesz. Wyjaśniamy, jak to sprawdzić i przede wszystkim co robić potem, bo wycieku nie da się cofnąć, ale jego skutki da się ograniczyć.

Jak mój numer trafia w ręce nieznajomych?

Prawie nigdy dlatego, że „zhakowano ci telefon". Zwykłe drogi są dużo bardziej przyziemne:

• Wycieki z dużych platform. Sieci społecznościowe, sklepy internetowe, aplikacje przewozowe albo jedzeniowe: gdy jedna z nich doznaje naruszenia, twoje imię, mail i telefon wychodzą w pakiecie, który sprzedaje się i odsprzedaje latami. Jeśli jesteś w internecie od ponad dekady, rzadko nie być w żadnym.
• Formularze i loterie. Za każdym razem, gdy zostawiasz numer w loterii, porównywarce taryf, „badaniu rynku" albo darmowym wifi w galerii, dana trafia do bazy komercyjnej, która może zostać sprzedana dalej, legalnie (albo nie).
• Synchronizowane książki adresowe. Wiele aplikacji wysyła twoją książkę kontaktów na swoje serwery. Twój numer krąży nie tylko przez to, co robisz ty, ale i przez to, co robią twoje kontakty z instalowanymi aplikacjami.
• Katalogi i handlarze danymi. Są firmy, których biznesem jest krzyżowanie danych publicznych i komercyjnych oraz sprzedaż profili. Twój numer, powiązany z imieniem i miastem, to standardowy towar.
• Telefon, który odebrałeś. Automatyczne dialery weryfikują aktywne linie, dzwoniąc i rozłączając się: jeśli odbierzesz, twój numer zostaje oznaczony jako „aktywny i z człowiekiem", co jest warte więcej. To zjawisko, które wyjaśniamy w dzwonią i milczą.

Zrozumienie tego jest ważne z jednego powodu: rozwiązaniem nie jest zmiana numeru co roku (nowy i tak wycieknie), tylko ograniczenie miejsc, gdzie go dajesz, i zabezpieczenie tego, co od niego zależy.

Jak sprawdzić, czy mój numer wyciekł?

Nie ma jednego zielono-czerwonego sygnalizatora, ale jest kilka przydatnych sprawdzeń:

1. Wyszukaj swój numer w cudzysłowie w wyszukiwarce („612345678"). Jeśli pojawia się na stronach ze zgłoszeniami, forach albo dziwnych katalogach, krąży publicznie. Zrób to samo z mailem.
2. Skorzystaj z serwisów weryfikacji naruszeń, podając maila (tego powiązanego z kontami). Jeśli twój mail widnieje w znanych naruszeniach, załóż, że telefon, który szedł z nim w parze, też krąży.
3. Sprawdź, co wiedzą o tobie dzwoniący. Jeśli nieznajomy dzwoni do ciebie po pełnym imieniu i nazwisku albo SMS wymienia twoje prawdziwe dane, to nie przypadek: pracują na wyciekłej bazie. Wyszukaj ten numer w katalogu numerów spamowych: jeśli zbiera zgłoszenia masowych kampanii, potwierdza to, że twoje dane krążą.
4. Zajrzyj na swoje konta. Alerty o „logowaniu z nowego urządzenia", którego nie poznajesz, maile o resecie hasła, o który nie prosiłeś, albo kontakty dostające spam „od ciebie" to sygnały, że twoje dane (a może i dane logowania) są skompromitowane.
5. Sprawdź uprawnienia swoich aplikacji. Przejrzyj, które aplikacje mają dostęp do twoich kontaktów i telefonu, i cofnij dostęp tym, które go nie potrzebują. Każda zsynchronizowana książka adresowa to przyszły wyciek.

Mój numer wyciekł — co teraz?

Załóż, że go nie „odwycieknie": dana, która raz zaczęła krążyć, nie wraca. Celem jest, żeby nadawała się do jak najmniejszej liczby rzeczy:

1. Zabezpiecz uwierzytelnianie. Twój wycieknięty numer + wycieknięty mail = próby wejścia na twoje konta. Zmień ważne hasła (zacznij od maila), włącz wszędzie weryfikację dwuetapową przy wrażliwych rzeczach i gdzie możesz używaj aplikacji uwierzytelniającej zamiast SMS-a: SMS na wycieknięty numer to słabe ogniwo.
2. Nie potwierdzaj danych nieznajomym. Kto dzwoni do ciebie z twoimi częściowymi danymi („czy to pan Jan Kowalski?"), chce, żebyś uzupełnił resztę. Nie potwierdzaj imienia, dokumentu ani adresu osobie, która do ciebie dzwoni. Rozłącz się i sam zweryfikuj.
3. Zmniejsz powierzchnię. Zapisz się na Listę Robinsona przeciw legalnemu spamowi komercyjnemu, żądaj usunięcia swoich danych od firm, które cię nękają, i przestań dawać prawdziwy numer w formularzach: używaj drugiego numeru albo alternatywnego adresu do loterii, porównywarek i jednorazowych rejestracji.
4. Filtruj w telefonie. Włącz filtrowanie nieznanych połączeń w iPhonie albo Androidzie, blokuj powracające numery i nie oddzwaniaj na numery, których nie poznajesz.
5. Pilnuj faktur i kont. Co miesiąc przeglądaj wyciągi i faktury, szukając ruchów, których nie poznajesz, i zwracaj uwagę na SMS-y o przeniesieniu numeru albo weryfikacji, o które nie prosiłeś: mogą wskazywać na próbę oszukańczego duplikatu karty SIM albo nieautoryzowanej aktywacji.
6. Zgłaszaj. Każdy numer spamowy zgłoszony w katalogu numerów spamowych pomaga, żeby następna osoba rozpoznała go, zanim wejdzie w interakcję.

Jeśli dodatkowo podejrzewasz, że twoich danych użyto, żeby coś zawrzeć na twoje nazwisko, masz drogę reklamacji, którą wyjaśniamy w jak odzyskać pieniądze z oszustwa telefonicznego.

Częste pytania

Czy powinienem zmienić numer? Tylko w skrajnych przypadkach (uporczywe nękanie). Przy zwykłym spamie się nie opłaca: nowy numer i tak trafi do tych samych baz, gdy tylko będziesz go używać tak samo. Lepiej zabezpieczyć konta i filtrować połączenia.

Czy mogę żądać usunięcia mojego numeru z tych baz? Od firm, które da się zidentyfikować, tak: masz prawo do usunięcia i sprzeciwu. Od nielegalnych baz krążących po forach i kanałach oszustów nie ma kogo prosić. Dlatego strategią jest ograniczanie skutków, a nie usuwanie.

Czy dawanie numeru w formularzu to zawsze zły pomysł? Nie, ale bądź wybiórczy: konieczny dla banku albo lekarza, zbędny dla loterii albo darmowego wifi. Czytaj, po co go proszą i czy przekażą go dalej; jeśli nie jest jasne, nie dawaj.

Czy aplikacje „rozpoznające, kto dzwoni", pomagają, czy pogarszają sprawę? Pomagają rozpoznawać spam, ale wiele działa tak, że wysyła twoją książkę adresową na swoje serwery, czyli wycieka numery twoich kontaktów. Jeśli z jakiejś korzystasz, przejrzyj jej politykę prywatności i ustawienia, zanim dasz jej dostęp do kontaktów.

W skrócie

Twój numer prawie na pewno krąży już w jakiejś bazie, której nie kontrolujesz, i na to nie ma rady. Na wszystko inne rada jest: unikalne hasła z podwójnym składnikiem, zero potwierdzania danych nieznajomym, Lista Robinsona, filtrowanie w telefonie i comiesięczny przegląd faktur. A gdy zadzwonią z numeru, którego nie znasz, wyszukanie go w katalogu numerów spamowych NoCall zajmuje sekundy: świadomość, że inni już go zgłosili, to najszybsza droga do decyzji, żeby nie odbierać.