Włamanie do Wakacje.pl: wyciekły dane paszportowe klientów. Co zrobić i czego się nauczyć

Biuro podróży Wakacje.pl poinformowało klientów o włamaniu, w wyniku którego przestępcy zdobyli ich dane osobowe, w tym dane paszportowe. Do ataku doszło 29 września 2026 r. Sprawa dotyczy jednej z najpopularniejszych w Polsce platform sprzedaży wycieczek, więc wiadomość mogła trafić do bardzo wielu osób. Poniżej porządkujemy to, co wiadomo, i podpowiadamy, co zrobić, jeśli kupowałeś tam wyjazd.

Co się stało

Jak opisał Niebezpiecznik, napastnicy uzyskali dostęp do systemu, z którego Wakacje.pl korzysta przy obsłudze klientów, a także do kilku skrzynek pocztowych pracowników. Z wiadomości wysłanej do klientów wynika, że przejęte mogły zostać:

• imiona i nazwiska,
• daty urodzenia,
• adresy zamieszkania,
• adresy e-mail,
• numery telefonów,
• dane paszportowe.

Spółka ostrzega przed fałszywymi wiadomościami z prośbą o płatność i sugeruje zastrzeżenie paszportu.

Czego jeszcze nie wiadomo

W komunikacie zabrakło dwóch ważnych informacji. Po pierwsze, nie wiadomo, ilu klientów dotyczy incydent. Po drugie, nie wyjaśniono, co kryje się pod określeniem „dane paszportowe”. Może chodzić o sam numer dokumentu, ale równie dobrze o skan strony ze zdjęciem. Dla klienta to istotna różnica, bo skan dokumentu daje przestępcom znacznie więcej możliwości. Redakcja Niebezpiecznika wysłała firmie pytania i czeka na odpowiedź.

Wiadomo natomiast, kto za atakiem nie stoi. Włamywacz posługujący się pseudonimem „Fingerprint”, odpowiedzialny za niedawne ataki na MyDr, Medoc i Fakturownia.pl, zaprzeczył w rozmowie z redakcją, by miał z tym związek.

Jeśli kupowałeś wycieczkę na Wakacje.pl

Nie panikuj, ale potraktuj sprawę poważnie. Oto kroki, które warto wykonać:

1. Rozważ zastrzeżenie paszportu. Tak radzi sama spółka. Jeśli masz zaplanowany wyjazd, sprawdź najpierw, jak taki krok wpłynie na Twoje najbliższe podróże.
2. Zastrzeż PESEL. Wśród wykradzionych danych jest data urodzenia, imię, nazwisko i adres. Zastrzeżenie numeru PESEL w aplikacji mObywatel jest bezpłatne i utrudnia wzięcie kredytu na Twoje dane.
3. Uważaj na wiadomości o płatnościach. Przestępcy znają szczegóły Twojej rezerwacji i mogą podszyć się pod hotel, biuro podróży czy przewoźnika. Każdą prośbę o dopłatę, zmianę numeru konta albo przesłanie skanu dokumentu weryfikuj, dzwoniąc pod numer, który znajdziesz samodzielnie, a nie ten z wiadomości.
4. Nie wysyłaj skanów dokumentów. Jeśli ktoś prosi o zdjęcie paszportu „w celu weryfikacji”, to sygnał ostrzegawczy.
5. Bądź czujny przy telefonach. Wyciekł numer telefonu, więc spodziewaj się prób oszustwa także przez SMS i rozmowy.

Jak rozpoznać próbę oszustwa

Wiadomości wykorzystujące dane z wycieku mogą wyglądać bardzo przekonująco. Zawierają Twoje imię i nazwisko, czasem kierunek podróży i termin wyjazdu. Zwróć uwagę na kilka sygnałów:

• pośpiech, na przykład groźba anulowania rezerwacji, jeśli nie dopłacisz w ciągu kilku godzin,
• nowy numer konta do przelewu albo link do płatności spoza znanego Ci serwisu,
• prośba o przesłanie skanu paszportu, dowodu osobistego lub danych karty,
• adres nadawcy, który tylko przypomina adres biura podróży czy hotelu.

W razie wątpliwości przerwij rozmowę i sam skontaktuj się z firmą przez jej oficjalną stronę albo infolinię. Prawdziwa firma zrozumie, że chcesz to sprawdzić.

Lekcja dla firm: skrzynka pracownika to też system z danymi

Ten incydent pokazuje coś, o czym wiele firm zapomina. Atak nie ograniczył się do głównego systemu. Przejęto również skrzynki pocztowe pracowników. W praktyce poczta często staje się nieformalnym archiwum: klienci przesyłają skany dokumentów, potwierdzenia przelewów, listy uczestników wyjazdu. Wszystko to zostaje w skrzynkach latami.

Jeśli prowadzisz sklep, biuro podróży albo firmę usługową, warto zadać sobie kilka pytań:

• Czy skrzynki pracowników i systemy obsługi klienta są chronione uwierzytelnianiem dwuskładnikowym?
• Czy skany dokumentów klientów trafiają do zwykłej poczty, a jeśli tak, to jak długo tam leżą?
• Czy naprawdę potrzebujesz pełnych danych z dokumentu tożsamości, czy wystarczy mniej?
• Czy masz ustalone okresy przechowywania i czy ktoś je egzekwuje?
• Czy masz gotową procedurę zgłoszenia naruszenia do UODO i powiadomienia klientów?

Mniej danych, mniejsze ryzyko

Każdy rekord, którego nie przechowujesz, to rekord, który nie może wyciec. Wymóg podania danych paszportowych bywa w branży turystycznej uzasadniony, bo wymagają ich niektóre kierunki i przewoźnicy, ale to nie znaczy, że te dane muszą być dostępne w każdym systemie i w każdej skrzynce. Ogranicz dostęp do osób, które go potrzebują, i usuwaj dane, gdy przestają być potrzebne.

Dane wyciekały i będą wyciekać, także z firm, które dbają o bezpieczeństwo. Różnica polega na tym, ile informacji trafi w ręce przestępców i jak szybko firma pomoże klientom ograniczyć skutki.

Dobry komunikat do klientów po incydencie mówi jasno, co się stało, jakie dane mogły wyciec, co robi firma i co konkretnie może zrobić klient. Im mniej niedopowiedzeń, tym mniej miejsca dla oszustów, którzy będą próbowali wykorzystać zamieszanie i podszyć się pod Twoją obsługę klienta.

Źródło: Niebezpiecznik

wyciek danychWakacje.pldane paszportowephishingbezpieczeństwo poczty