Jak ustalił portal Niebezpiecznik, Wakacje.pl padły ofiarą cyberataku. Napastnicy uzyskali dostęp do systemu obsługi klientów oraz kilku skrzynek pocztowych pracowników. Wśród pozyskanych informacji są m.in. dane paszportowe, numery telefonów, adresy i daty urodzenia.
- Do ataku na Wakacje.pl doszło 29 września. Według Niebezpiecznika napastnicy pozyskali dane osobowe klientów, w tym dane paszportowe.
- Nie wiadomo jeszcze, ilu osób dotyczy incydent. Firma ostrzega przed próbami wyłudzeń, w tym fałszywymi wiadomościami dotyczącymi płatności za wycieczki.
- Cyberatak na Wakacje.pl jest kolejnym poważnym incydentem dotyczącym danych Polaków. W ostatnich tygodniach ataki dotknęły m.in. podmioty z sektora ochrony zdrowia.
Według Niebezpiecznika, Wakacje.pl padły ofiarą cyberataku. Jak poinformował 3 października portal, napastnicy mieli włamać się do systemu służącego do obsługi klientów oraz kilku skrzynek pocztowych pracowników spółki. Do ataku miało dojść 29 września.
Wśród danych, do których mieli uzyskać dostęp atakujący, znalazły się m.in. imiona i nazwiska, daty urodzenia, numery telefonów, adresy e-mail oraz adresy zamieszkania. Szczególnie istotne jest to, że miano pozyskać także dane paszportowe klientów.
Nie wiadomo na razie, ilu klientów dotyczy incydent. Niebezpiecznik zwrócił się do spółki z dodatkowymi pytaniami dotyczącymi m.in. skali naruszenia. Niebezpiecznik zwrócił także uwagę, że przestępcy mogą wykorzystać pozyskane informacje, by podszyć się pod hotel, organizatora lub operatora wyjazdu. Celem może być wyłudzenie kolejnych danych albo pieniędzy.
Do publikacji odniósł się portal Wakacje.pl, który potwierdził wyciek danych.
„29 września 2026 r. Wakacje.pl wykryły nieuprawniony dostęp do części służbowych skrzynek pocztowych pracowników. Dostęp został zablokowany, a wszystkie dane logowania zmienione. Sprawę analizują eksperci ds. cyberbezpieczeństwa” – czytamy.
Według portalu incydent dotyczy danych niewielkiej części klientów. Chodzi o dane przekazywane w korespondencji związanej z rezerwacjami.
„Wszystkie te osoby otrzymały od nas indywidualną informację. Pozyskane dane nie pozwalają na zalogowanie się do Panelu Klienta. Incydent nie dotyczył systemów płatności Wakacje.pl. Rezerwacje są realizowane bez zmian” – zapewniono.
„Każda osoba, której dotyczy incydent, otrzymała od nas informację z zaleceniami, w tym z rekomendacją zastrzeżenia numeru PESEL. Prosimy o ostrożność wobec wiadomości i telefonów z prośbą o dopłatę lub zmianę danych rezerwacji. Wakacje.pl nie proszą o płatności przez link w SMS-ie ani o przelew na nowy numer konta” – dodano.
Jak czytamy, incydent został do CSIRT NASK, Prezesa UODO, powiadomione zostały również organy ścigania.
Kolejne wycieki danych w Polsce
Atak na popularną witrynę wakacyjną jest kolejnym poważnym incydentem związanym z danymi Polaków ujawnionym w ostatnich tygodniach, szczególnie w ochronie zdrowia.
W czwartek Centrum e-Zdrowia informowało, że do końca września 2026 r. CSIRT CeZ odnotował i obsłużył 1379 incydentów cyberbezpieczeństwa w sektorze zdrowia. Dla porównania w całym 2025 r. było ich 1441, a w 2022 r. – 251.
Jednym z najnowszych przypadków jest atak na FELG Software, dostawcę systemu wykorzystywanego przez gabinety dentystyczne. Firma potwierdziła cyberincydent i przekazała, że osoba podająca się za sprawcę twierdzi, iż uzyskała dostęp do części danych oraz żąda okupu. Według doniesień portali zajmujących się cyberbezpieczeństwem skala potencjalnego wycieku może sięgać milionów rekordów, ale dokładny zakres naruszenia jest nadal ustalany.
Z kolei w sierpniu Ministerstwo Cyfryzacji poinformowało, że w wyniku cyberataku na firmę MyDr wyciekły dane 19 mln Polaków, m.in. o lekach i receptach.
W przypadku FELG sprawę monitorują służby i instytucje państwowe, w tym CSIRT CeZ. Centrum e-Zdrowia podkreśla jednocześnie, że nie doszło do naruszenia bezpieczeństwa centralnych usług e-zdrowia.
Rosnąca liczba incydentów skłoniła CSIRT CeZ do przygotowania zaleceń bezpieczeństwa dla dostawców oprogramowania wykorzystywanego w ochronie zdrowia. Obejmują one m.in. ochronę danych, zarządzanie dostępami i uprawnieniami, architekturę systemów oraz monitorowanie i reagowanie na incydenty.
Zobacz również: