Wyciek Ashley Madison i „polska lista” — jak sprawdzić, czy był tam Twój e-mail

Co faktycznie wyciekło w 2015 roku, dlaczego nie da się „wyszukać kogoś na liście” i jak bezpiecznie sprawdzić własny adres — bez pobierania podejrzanych plików.

Co się stało w 2015 roku

Opis na stronie HIBP jest krótki i rzeczowy: w lipcu 2015 roku serwis Ashley Madison, adresowany do osób szukających romansu poza związkiem, padł ofiarą poważnego włamania. Napastnicy zażądali zamknięcia serwisu i zagrozili, że w przeciwnym razie ujawnią dane. Miesiąc później baza została opublikowana. W danych technicznych HIBP jako datę włamania podaje 19 lipca 2015 r., a dane trafiły do jego bazy 18 sierpnia 2015 r.

Dla czytelnika z Polski ważne jest jedno: to nie był wyciek „polskiej części” serwisu, tylko całej bazy. Adresy z polskich skrzynek są w niej tak samo jak wszystkie inne — stąd wzięło się hasło „polska lista”, które do dziś pojawia się w wyszukiwarce.

Jakie dane wyciekły

HIBP wymienia 13 rodzajów danych obecnych w zbiorze:

• adresy e-mail, nazwy użytkowników, imiona i nazwiska;
• hasła oraz pytania i odpowiedzi zabezpieczające;
• numery telefonów i adresy pocztowe;
• daty urodzenia, płeć, pochodzenie etniczne i orientacja seksualna;
• historia płatności i aktywność w serwisie.

To opis całego zbioru, a nie każdego konta — nie oznacza, że przy każdym adresie były wszystkie te pola. Najbardziej praktyczny wniosek dotyczy dwóch pozycji: hasła i odpowiedzi na pytania zabezpieczające. Jeśli używasz ich gdzie indziej, problem nie skończył się w 2015 roku.

Dlaczego nie da się po prostu „wyszukać kogoś na liście”

Twórca HIBP, Troy Hunt, opisał tę decyzję we wpisie z 29 lipca 2015 r. Właśnie z powodu Ashley Madison wprowadził kategorię wycieków „wrażliwych”: takich, których nie da się przeszukać anonimowo i w których nie widać nawet, czy dana osoba w nich występuje. Uzasadnił to wprost: nie chciał, żeby jego serwis stał się narzędziem, przez które małżonek, dzieci czy współpracownicy mogą sprawdzać innych.

Dziś FAQ HIBP opisuje to tak: wyciek wrażliwy może przeszukać tylko zweryfikowany właściciel danego adresu e-mail, po zalogowaniu się do panelu, co wymaga odebrania wiadomości wysłanej na ten adres.

Strony i pliki, które obiecują „polską listę” do pobrania albo wyszukiwarkę po nazwisku, omijaj. Nie wiemy, co konkretnie zawierają — i właśnie dlatego nie ma powodu, by podawać im swoje dane, pobierać od nich plik albo za cokolwiek płacić. Jeśli taka strona naprawdę rozpowszechnia dane z wycieku, rozpowszechnia dane osobowe pochodzące z przestępstwa.

Jak sprawdzić własny adres — krok po kroku

1. Wejdź na stronę haveibeenpwned.com i zaloguj się do panelu (Dashboard), podając adres e-mail, który chcesz sprawdzić.
2. Kliknij link potwierdzający, który przyjdzie na ten adres. Bez tego kroku wycieki wrażliwe pozostają niewidoczne.
3. Po zalogowaniu otwórz sekcję Breaches w części Personal. Tam widać wszystkie wycieki z tym adresem, także wrażliwe.
4. Jeśli adres był w firmowej domenie, którą zarządzasz, wyszukiwanie po domenie jest w sekcji Domains w części Business — również po weryfikacji.
5. Jeśli Ashley Madison jest na liście: zmień hasło wszędzie tam, gdzie było takie samo, włącz logowanie dwuskładnikowe, gdzie się da — to dwa zalecenia, które HIBP podaje przy tym wycieku. Od siebie dodajemy trzecie: zmień odpowiedzi na pytania zabezpieczające, bo one również wyciekły.

Sprawdzić możesz tylko adres, do którego masz dostęp. To nie jest ograniczenie do obejścia, tylko celowa ochrona — także Ciebie.

Jeśli ktoś grozi ujawnieniem

Zbiór, w którym są adresy domowe, numery telefonów i historia płatności, daje szantażystom pretekst nawet po latach. Wiadomość w stylu „wiem, że byłeś w Ashley Madison, zapłać albo powiem rodzinie” może przyjść do każdego, kto był w wycieku — i do wielu osób, których w nim nie było.

• Nie płać i nie wchodź w rozmowę. Zapłata nie usuwa danych z obiegu, za to potwierdza, że adres jest aktywny, a groźba działa.
• Zachowaj dowody: treść wiadomości, adres nadawcy, numer konta lub portfela, zrzuty ekranu.
• Zgłoś sprawę w formularzu CERT Polska i na policji. Szantaż jest przestępstwem niezależnie od tego, czego dotyczy.

Podobny mechanizm, tyle że zaczynający się od fałszywego profilu, opisujemy w poradniku jak rozpoznać fałszywy profil randkowy.

A jeśli rozważasz rejestrację dziś

To, jak Ashley Madison rozlicza się dziś (kredyty zamiast abonamentu) i co zarzucają mu użytkownicy, omawiamy osobno w tekście Ashley Madison — opinie, kredyty i dyskrecja. Wniosek z 2015 roku jest ogólniejszy i dotyczy każdego serwisu tego typu: dyskrecja obiecana w interfejsie to nie to samo co dyskrecja zagwarantowana. Osobny adres e-mail, hasło używane tylko tam i brak danych pozwalających Cię zidentyfikować to minimum, a nie przesada.

Najczęściej zadawane pytania

Źródła odczytane 9 października 2026 r.: HIBP — Ashley Madison Data Breach, HIBP — FAQ („sensitive breach”), Troy Hunt, 29.07.2015, CERT Polska — zgłoś incydent. Nie korzystaliśmy z żadnej kopii wycieku i nie zakładaliśmy konta w Ashley Madison.