Wyciek danych na masową skalę. Setki tysięcy Polaków mogą paść ofiarą oszustów

Zdjęcie: Wielki wyciek danych klientów z tysięcy e-sklepów. Hakerzy mają PESEL, adresy i numery telefonów | foto Pixabay

Według oficjalnych informacji, skala incydentu jest bezprecedensowa. Dane mogły zostać przejęte z około 9 000 sklepów internetowych. Jak przekazał przedstawiciel firmy:

„Szacujemy, iż incydent mógł objąć dane związane z około 9 000 sklepów internetowych. Liczba obejmuje również sklepy w okresie testowym, w których nie przechowywano prawdziwych danych osobowych.”

Oznacza to, iż ofiarą ataku mogły paść zarówno aktywnie działające sklepy, jak i te, które dopiero testowały swoje oprogramowanie. Wyciek objął dane klientów zarejestrowanych – osoby, które kupowały bez logowania, pozostają bezpieczniejsze.

Jeden z poszkodowanych sklepów tak opisał sytuację:

„Atakujący pobierał paczki danych, w których znajdowały się następujące dane: imię i nazwisko, e-mail, numer telefonu, adres pocztowy, dane do wystawienia faktury, informacja o domenie sklepu, do którego konto jest przypisane, i hash hasła, jeżeli było ono ustawione.”

Jakie dane trafiły w niepowołane ręce

W komunikacie przesłanym do klientów właściciele sklepów zapewniali, iż najwrażliwsze dane pozostały bezpieczne:
„Atakujący nie uzyskał dostępu m.in. do historii zamówień, danych kart płatniczych, numerów kont bankowych oraz samych haseł. Hash hasła użyty w systemie, z którego korzystamy, istotnie minimalizuje ryzyko odgadnięcia na jego podstawie hasła, natomiast nie wyklucza takiej możliwości. Dlatego jeżeli posiadasz konto w naszym sklepie, rekomendujemy zmianę hasła używanego w naszym sklepie, a także wszystkich innych miejscach, w których wykorzystane zostało takie samo hasło.”

Eksperci ostrzegają jednak, iż choćby „hash” hasła, jeżeli trafi w ręce doświadczonych hakerów, może zostać złamany. Dlatego zalecają zmianę haseł we wszystkich serwisach, gdzie użytkownik stosował identyczne loginy.

Przyczyna: luka w komponencie webowym

Zespół techniczny platformy odkrył, iż źródłem incydentu była podatność w jednym z komponentów webowych, która umożliwiła nieautoryzowany dostęp do danych. Problem został zidentyfikowany i zablokowany po kilku dniach od pierwszego ataku, ale do tego czasu hakerzy zdołali pobrać znaczne ilości informacji.

Specjaliści tłumaczą, iż architektura typu SaaS (Software as a Service) – w której jedna platforma obsługuje tysiące niezależnych sklepów – ma swoje zalety, ale i wady. Jeden błąd w kodzie może doprowadzić do masowego wycieku.

Cyberprzestępcy coraz śmielsi – kolejne ataki w Polsce

W ostatnich dniach odnotowano także inne groźne incydenty. CSIRT KNF ostrzegł przed fałszywą aplikacją bankową podszywającą się pod SGB Bank. Oprogramowanie dystrybuowane było poza oficjalnym sklepem Google Play i po instalacji prosiło o nadanie uprawnień administratora, co pozwalało przestępcom na dostęp do wiadomości i danych kart płatniczych.

Z kolei CERT Polska wykrył zorganizowaną kampanię phishingową skierowaną do urzędów i jednostek samorządowych. Hakerzy wysyłali wiadomości z adresów stylizowanych na Ministerstwo Cyfryzacji, zawierające pliki Excel z linkiem prowadzącym do wirusa. Rządowy serwis ostrzegł, iż w treści e-maili pojawiało się choćby nazwisko wiceministra Pawła Olszewskiego, co miało zwiększyć wiarygodność wiadomości.

Co robić po wycieku danych?

Specjaliści ds. cyberbezpieczeństwa podkreślają, iż reakcja powinna być natychmiastowa.

1. Zmień hasła do wszystkich kont, zwłaszcza tych, w których używasz podobnych danych logowania.
2. Zastrzeż numer PESEL, by nikt nie mógł na Twoje dane wziąć kredytu lub wyrobić duplikatu karty SIM.
3. Nie klikaj w linki z SMS-ów i e-maili, szczególnie z wiadomości o dopłatach czy blokadach konta.
4. Używaj silnych, unikalnych haseł i włącz uwierzytelnianie dwuskładnikowe (2FA).
5. Sprawdzaj adresy stron i certyfikaty SSL – instytucje publiczne nie wysyłają plików wykonywalnych ani nie proszą o dane kart.

Eksperci z Niebezpiecznika przypominają też, iż warto monitorować, czy nasze dane nie pojawiły się w publicznych bazach wycieków.

To dopiero początek problemów

Wyciek danych nie zawsze kończy się na ujawnieniu informacji. zwykle to dopiero początek. Złodzieje danych potrafią połączyć zdobyte informacje z innymi źródłami i przygotować spersonalizowane ataki.

Najczęściej wykorzystują je w kampaniach phishingowych — wysyłają SMS-y o rzekomych dopłatach, maile o „blokadzie konta” albo dzwonią, udając pracowników banku. Często cytują prawdziwe dane ofiary, by wzbudzić zaufanie.

Dlatego każdy, kto otrzyma taką wiadomość, powinien zachować spokój i zweryfikować nadawcę, dzwoniąc na oficjalny numer instytucji.