Na początku października 2026 roku wyszło na jaw, że popularny serwis turystyczny Wakacje.pl padł ofiarą cyberataku. Według doniesień Niebezpiecznika napastnik uzyskał dostęp do kilku firmowych skrzynek e-mail pracowników oraz wewnętrznego systemu obsługi klienta. To kolejny w ostatnich tygodniach głośny incydent w polskim internecie, po wyciekach z systemów MyDr, Medyc i Fakturownia.
Jakie dane mogły wyciec
Z informacji medialnych wynika, że w ręce intruza trafiły imiona i nazwiska, adresy e-mail, numery telefonów, adresy zamieszkania, daty urodzenia oraz tak zwane dane paszportowe. Firma nie wyjaśniła dotąd precyzyjnie, co kryje się pod tym określeniem: może chodzić wyłącznie o numery dokumentów podane przy rezerwacji, ale nie można wykluczyć skanów paszportów przesyłanych mailem. Nie wiadomo też, ilu klientów dotyczy incydent. Spółka zapewnia, że systemy płatnicze nie zostały naruszone, a atakujący nie zdobył haseł do paneli klienta. Sprawę zgłoszono do UODO i zespołu CSIRT NASK. Według ostatnich ustaleń za atak nie odpowiada grupa stojąca za wcześniejszymi wyciekami z polskich firm.
Dlaczego to groźne
Dane z biura podróży są wyjątkowo cenne dla oszustów. Przestępca wie, dokąd, kiedy i z kim jedziesz, więc może przygotować bardzo wiarygodny phishing: wiadomość rzekomo od biura, linii lotniczej lub hotelu z prośbą o dopłatę, informacją o odwołanym locie albo koniecznością potwierdzenia danych kartą. Numer i dane z paszportu mogą natomiast posłużyć do prób podszywania się pod ofiarę, a w połączeniu z adresem i datą urodzenia ułatwiają wyłudzenia na cudzą tożsamość.
Co zrobić, jeśli korzystałeś z Wakacje.pl
Traktuj każdą nieoczekiwaną wiadomość, SMS lub telefon dotyczący rezerwacji, płatności lub dokumentów jako potencjalne oszustwo i weryfikuj go, logując się samodzielnie na stronie serwisu lub dzwoniąc na numer znany z oficjalnej witryny. Nie klikaj linków z wiadomości i nie podawaj kodów autoryzacyjnych. Rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel, co utrudnia zaciąganie zobowiązań na Twoje dane. Jeśli przesyłałeś skan paszportu, zapytaj firmę, czy był on w skrzynkach objętych atakiem, a w razie wątpliwości rozważ wymianę dokumentu. Warto też monitorować historię w BIK i włączyć alerty kredytowe. Hasło do konta w serwisie zmień na wszelki wypadek, a unikalne hasła trzymaj w menedżerze haseł.
Podsumowanie
Sprawa Wakacje.pl pokazuje, że dane wrażliwe często wyciekają nie z głównej bazy, lecz ze skrzynek pocztowych i narzędzi pomocniczych, gdzie lądują skany dokumentów. Firmy powinny ograniczać zbieranie i przechowywanie takich plików, a klienci uważać na fałszywe wiadomości o rezerwacjach, które w najbliższych tygodniach mogą być wyjątkowo przekonujące.
źródło: https://spidersweb.pl/2026/10/wakacje-wyciek-danych-plaga.html