Wakacje.pl zaatakowane. Dostęp do danych paszportowych

Wakacje.pl potwierdziło nieuprawniony dostęp do systemu obsługi klientów oraz kilku służbowych skrzynek pocztowych. Do incydentu doszło 29 września.

Napastnik uzyskał dostęp do imion i nazwisk, adresów, numerów telefonów, dat urodzenia oraz informacji paszportowych klientów. Dane znajdowały się w korespondencji dotyczącej rezerwacji wyjazdów.

Spółka przekazała, że incydent objął niewielką część klientów. Nie podała ich dokładnej liczby ani szczegółowego zakresu informacji określanych jako „dane paszportowe”.

Przy organizacji podróży biura gromadzą dane wymagane przez linie lotnicze, hotele i organizatorów wyjazdów. Informacje o pasażerach mogą być przesyłane pocztą elektroniczną między klientami, konsultantami i partnerami firmy. Dostęp do skrzynki może więc umożliwić poznanie danych osobowych oraz szczegółów rezerwacji.

Wakacje.pl zgłosiło sprawę zespołowi CSIRT NASK oraz Urzędowi Ochrony Danych Osobowych. Na podstawie dostępnych informacji nie wynika, by za atakiem stała grupa odpowiedzialna za wcześniejsze włamania do serwisów medycznych i platformy fakturowej.

Połączenie danych kontaktowych, informacji o rezerwacji i danych dokumentu może ułatwić oszustwa. Przestępca może skontaktować się z klientem, podszywając się pod hotel, biuro podróży lub organizatora wyjazdu, i poprosić o dopłatę, skan dokumentu albo potwierdzenie danych. Informacje paszportowe mogą być też wykorzystywane podczas zdalnej weryfikacji tożsamości w serwisach finansowych, w tym na giełdach kryptowalut i w aplikacjach fintechowych.

Spółka zaleca klientom zastrzeżenie numeru PESEL oraz rozważenie unieważnienia paszportu, jeśli istnieje ryzyko jego wykorzystania. Numer PESEL można zastrzec w aplikacji mObywatel, przez internet lub w urzędzie. Zastrzeżenie ogranicza możliwość wykorzystania numeru między innymi przy zaciąganiu kredytów i pożyczek.

W ostatnich tygodniach ujawniono także włamania do podmiotów przechowujących dokumentację medyczną i dane finansowe. W jednym z incydentów ujawniono informacje o pacjentach, w tym dane dotyczące leczenia i diagnoz. W innym zaatakowano platformę do wystawiania faktur.

Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie 3 kwietnia. Podmioty objęte przepisami muszą zgłosić się do wykazu podmiotów kluczowych i ważnych. Na dostosowanie systemów mają czas do kwietnia 2027 roku, a w większości przypadków kary za naruszenia będą mogły być nakładane od kwietnia 2028 roku.