Atak hakerski na jeden z najpopularniejszych polskich serwisów turystycznych. Wakacje.pl padły ofiarą cyberprzestępców. Ci prawdopodobnie przejęli wrażliwe dane klientów, w tym informacje z paszportów. Sprawą zajmują się państwowe służby.
Do niebezpiecznego incydentu doszło 29 września, ale dopiero teraz o tym oficjalnie poinformowano.
Hakerzy włamali się do części służbowych skrzynek mailowych oraz wewnętrznego systemu obsługi. Przedstawiciele spółki przyznają, że skala wycieku jest poważna, choć dokładna liczba poszkodowanych Polaków wciąż pozostaje nieznana. W rękach nieuprawnionych osób mogły znaleźć się imiona i nazwiska, adresy e-mail, numery telefonów, daty urodzenia oraz dokładne adresy zamieszkania klientów.
Szczególny niepokój budzi jednak wzmianka o „danych paszportowych”. Firma dotąd nie sprecyzowała, czy przestępcy przejęli jedynie numery dokumentów przypisane do rezerwacji, czy też pobrali ich kompletne skany.
Wakacje.pl uspokajają jednak, że atak ominął systemy płatności, a cyberprzestępcy nie zdobyli haseł pozwalających na logowanie do Panelu Klienta przez stronę czy aplikację mobilną.
Ostrzeżenie przed zmasowaną falą oszustw
Serwis Niebezpiecznik, który nagłośnił całą sprawę, przestrzega, że wykradziony zestaw informacji to gotowy scenariusz na niezwykle wiarygodny atak socjotechniczny.
Przestępca, dysponując tak precyzyjnymi danymi o planowanych wczasach, może bez problemu podszyć się pod pracownika biura podróży, przewoźnika lub konkretnego hotelu. Klienci serwisu muszą przygotować się na próby wyłudzeń. Trzeba być czujnym i uważać na potencjalne fałszywe maile, telefony i SMS-y, w których oszuści mogą domagać się nagłych dopłat do rezerwacji, informować o anulowaniu wyjazdu czy prosić o podanie kodu autoryzacyjnego i przesłanie dokumentu tożsamości.
Serwis rekomenduje natychmiastowe zastrzeżenie numeru PESEL i sugeruje, by na wszelki wypadek rozważyć wymianę paszportu na nowy.
Sprawa została zgłoszona do Urzędu Ochrony Danych Osobowych (UODO) oraz zespołu CSIRT NASK. Wakacje.pl zapowiedziały również oficjalne zawiadomienie organów ścigania.