Advantest potwierdził, że hakerzy ukradli numery PESEL i dane paszportowe w ataku ransomware, który firma wykryła w lutym 2026 roku. Publiczne ujawnienie nastąpiło w październiku. Ta luka, 233 dni według wyliczeń w źródłowym raporcie, jest sednem opóźnienia w ujawnieniu naruszenia danych Advantest i rodzi praktyczne pytania dla każdego, którego dokumenty tożsamości mogły znajdować się w skradzionych plikach. Ten artykuł omawia, co wiadomo, dlaczego czas ma znaczenie i co możesz z tym zrobić. Odnosi się również do powszechnego błędnego przekonania: VPN nie chroni danych, które zostały już zabrane z serwerów firmy. ## Co Advantest ujawnił i kiedy Advantest, japoński producent sprzętu do testowania półprzewodników, wykrył atak ransomware w lutym 2026 roku. Zgodnie z własnym oświadczeniem firmy z dnia 19 lutego 2026 roku stwierdzono w nim, że jeśli śledztwo wykaże, iż dane klientów lub pracowników zostały naruszone, firma powiadomi poszkodowane osoby bezpośrednio i udzieli wskazówek. To powiadomienie przyszło znacznie później. Doniesienia na temat dokumentów wskazują, że listy z powiadomieniem są datowane na 6 października 2026 roku, prawie osiem miesięcy po wykryciu ataku. Potwierdzone skradzione dane obejmują numery PESEL i dane paszportowe. Jedno ze źródeł, które przeanalizowaliśmy, odnotowuje również osobny, wcześniejszy przypadek, w którym Advantest opóźnił ujawnienie naruszenia danych klienta o prawie trzy tygodnie, choć nie mamy dalszych szczegółów na ten temat. Nie mamy informacji w materiale źródłowym o dokładnej liczbie poszkodowanych osób, więc nie będziemy zgadywać liczby. ## Dlaczego 233 dni ma znaczenie w przypadku skradzionych numerów PESEL i paszportów Długa luka między naruszeniem a powiadomieniem niekoniecznie oznacza, że firma nic nie robiła. Śledztwa w sprawie incydentów ransomware mogą obejmować odbudowę systemów, ustalanie, które pliki zostały skopiowane, a następnie identyfikację, czyje dane się w nich znajdowały. Niemniej praktyczny skutek dla jednostki jest taki sam: przez miesiące ludzie mogli nie wiedzieć, że ich najbardziej wrażliwe identyfikatory znalazły się w rękach przestępców. Numery PESEL i dane paszportowe różnią się od wyciekłego hasła. Nie można ich łatwo zmienić. Hasło można zresetować w kilka minut, ale numer PESEL pozostaje z tobą na całe życie, a numer paszportu powiązany z twoim imieniem i nazwiskiem oraz datą urodzenia może wspierać oszustwa tożsamości tak długo, jak długo dokument jest ważny. To sprawia, że czas ma znaczenie pod dwoma względami: - **Utracony czas wczesnego ostrzegania.** Alerty o oszustwach i blokady kredytowe działają najlepiej, gdy są wprowadzone, zanim ktoś spróbuje otworzyć konto na twoje nazwisko. Każdy miesiąc bez powiadomienia to miesiąc, w którym nie mogłeś podjąć tych kroków celowo. - **Trudniejsze do prześledzenia.** Gdy nadużycie pojawia się długo po ataku, trudniej jest powiązać oszukańcze konto z konkretnym naruszeniem. To także miejsce, w którym pojawia się częste pytanie. VPN szyfruje twój ruch między urządzeniem a serwerem VPN i maskuje twój adres IP. Nie robi nic dla danych, które już znajdują się w sieci pracodawcy lub dostawcy. Jeśli atakujący skopiowali pliki z systemów firmy, żadne narzędzie do ochrony prywatności konsumenta tego nie zmieni. VPNy dotyczą innego ryzyka, jakim jest nadzór na poziomie sieci i ekspozycja na niezaufanych połączeniach. ## Które przepisy dotyczące ujawniania mają zastosowanie i gdzie zawodzą Powiadomienie zostało złożone w biurze Prokuratora Generalnego Kalifornii, które publikuje powiadomienia o naruszeniach składane na mocy prawa stanowego. W Stanach Zjednoczonych powiadamianie o naruszeniach jest regulowane w dużej mierze przez prawa stanowe, a nie jedno krajowe prawo, i wiele z nich wymaga powiadomienia „bez nieuzasadnionego opóźnienia" lub w określonej liczbie dni, w zależności od stanu. Dokładne wymogi, które miały zastosowanie do powiadomienia Advantest, nie są sprecyzowane w materiale źródłowym, więc nie będziemy twierdzić, czy firma dotrzymała konkretnego terminu prawnego, czy go przekroczyła. Ogólnie można powiedzieć, gdzie tego rodzaju ramy prawne mają tendencję do słabości: - **Nieprecyzyjne sformułowania dotyczące czasu.** Zwroty takie jak „bez nieuzasadnionego opóźnienia" pozostawiają miejsce na uznanie długich śledztw za uzasadnione. - **Niespójne pokrycie.** Ponieważ przepisy różnią się w zależności od stanu i kraju, osoby dotknięte tym samym incydentem mogą mieć różne prawa w zależności od miejsca zamieszkania. - **Powiadomienie trafia do jednostek, nie zawsze do opinii publicznej.** Ktoś może być poszkodowany, zanim jakiekolwiek szerokie ogłoszenie do niego dotrze. Advantest to firma z siedzibą w Japonii z operacjami w USA, więc może mieć znaczenie więcej niż jeden reżim regulacyjny, ale materiał źródłowy nie opisuje tego szczegółowo. ## Co to oznacza dla ciebie Jeśli otrzymałeś list od Advantest, potraktuj go poważnie i działaj teraz, zamiast czekać na oznaki oszustwa. Jeśli go nie otrzymałeś, szersza lekcja nadal obowiązuje: organizacje, z którymi masz do czynienia jako pracownik, klient lub kandydat do pracy, mogą przechowywać twój numer PESEL lub dane paszportowe, a ty często masz niewiele do powiedzenia na temat tego, jak dobrze są chronione. Kluczowy punkt jest taki, że twoja dźwignia leży w tym, co przekazujesz i co robisz po otrzymaniu powiadomienia, a nie w narzędziach działających na twoim własnym połączeniu. ## Kroki do podjęcia, jeśli twoje dane tożsamości zostały ujawnione 1. **Przeczytaj uważnie powiadomienie.** Zwróć uwagę, jakie typy danych są wymienione i jakie usługi monitoringu są oferowane. 2. **Ustaw alert o oszustwie lub blokadę kredytową.** Blokada ogranicza otwieranie nowego kredytu na twoje nazwisko. Powiadomienie firmy opisuje również rozszerzony alert o oszustwie, który pozostaje w raporcie kredytowym przez siedem lat. 3. **Przejrzyj swoje raporty kredytowe.** Sprawdź, czy nie ma kont lub zapytań, których nie rozpoznajesz. 4. **Uważaj na oszustwa podatkowe i świadczeniowe.** Skradzione numery PESEL są często wykorzystywane do składania fałszywych zeznań; rozważ PIN ochrony tożsamości, jeśli twój organ podatkowy go oferuje. 5. **Skontaktuj się z organem wydającym paszport, jeśli to konieczne.** Jeśli podejrzewasz, że twoje dane paszportowe są wykorzystywane niezgodnie z prawem, zgłoś to odpowiedniemu organowi. 6. **Uważaj na oszustwa następujące po naruszeniu.** Wiadomości o naruszeniach często wywołują phishing nawiązujący do incydentu. Przechodź bezpośrednio do oficjalnych źródeł, zamiast klikać linki w nieoczekiwanych wiadomościach. ## Wnioski: udostępniaj mniej, chroń więcej Opóźnienie w ujawnieniu naruszenia danych Advantest przypomina, że najbezpieczniejszy wrażliwy zapis to ten, którego organizacja nigdy nie gromadzi. Tam, gdzie masz wybór, zapytaj, czy usługa naprawdę potrzebuje pełnego dokumentu tożsamości, i preferuj opcje, które weryfikują pojedynczy fakt, zamiast gromadzić cały dokument. Ten popyt jest widoczny wśród konsumentów. Niedawne [badanie wykazało, że 67% chce weryfikacji wieku bez udostępniania pełnego dokumentu tożsamości](/en/survey-67-want-age-checks-without-sharing-full-id), co jest wyraźnym sygnałem, że ludzie preferują minimalizację danych. Ta sama troska przewija się przez debaty polityczne, takie jak [przyjęcie SCREEN Act w Senacie](/en/screen-act-advances-senate-markup-threatens-web-privacy), gdzie wymogi weryfikacji wieku mogą oznaczać więcej danych tożsamości przechowywanych przez więcej firm. Zablokuj swój kredyt, jeśli jesteś poszkodowany, monitoruj swoje konta i sprzeciwiaj się, gdy organizacja prosi o więcej danych tożsamości, niż potrzebuje.