Wakacje.pl: skrzynki, CRM i dane paszportowe
Myślałem, że po MyDr, Medyc, Fakturowni i FELG Dent kolejne “jesień SaaS” będzie znowu soft medyczny albo faktury. Wyszło biuro podróży, które zna pół kraju. Wakacje.pl.
3 października 2026 firma i media (TVN24, Bankier, Niebezpiecznik) mówią to samo: 29 września ktoś wszedł do części służbowych skrzynek pocztowych i do systemu obsługi klientów. Nie w Panel Klienta z hasłem, które sobie zmienisz w appce. W warstwę, w której leży rezerwacja, hotel i często paszport, bo organizator tego wymaga.
Niebezpiecznik pytał Fingerprinta. Ten zaprzeczył i dorzucił, że nie zamierza więcej atakować polskich firm. Traktuję to jak deklarację sprawcy z poprzedniej fali, nie wyrok. Szczerze: na klienta to bez różnicy. Etykieta się zmienia, dump i tak jest dumpem.
Co poszło, a czego komunikat nie chce powiedzieć
Firma mówi o “potencjalnie” pozyskanych danych: e-maile, imiona i nazwiska, telefony, adresy, daty urodzenia, dane paszportowe. Liczby osób nie ma. W odpowiedziach dla mediów pada “niewielka część klientów” i że chodzi o dane z korespondencji przy rezerwacjach. Objęci mają dostać indywidualny mail, w tym z rekomendacją zastrzeżenia PESEL.
Tu mnie najbardziej wkurza luka, na którą zwraca uwagę Niebezpiecznik: “dane paszportowe” to numer i seria, czy skan? Różnica jest praktyczna. Numer wystarczy, żeby ktoś w telefonie brzmiał wiarygodnie jako “hotel / rezydent”. Skan to już materiał do fałszywek i kolejnego szantażu. Na dziś nie ma publicznego doprecyzowania. Nie zgaduję skanu, dopóki spółka albo forensics tego nie domknie. Ale fakt, że komunikat tego nie rozróżnia, jest sam w sobie irytujący.
Według Wakacje.pl tym dumpem nie zalogujesz się do Panelu Klienta. Płatności: nietknięte. Rezerwacje idą dalej. CSIRT NASK, UODO, organy ścigania powiadomione. Skrzynki zablokowane, hasła zmienione. Reszta to analiza, czyli to, czego klient i tak nie zobaczy w PDF-ie.
Dlaczego skrzynka bije mocniej niż “zmień hasło”
W turystyce hasło do konta to nie jedyna nagroda. Doradca i CRM widzą kierunek, daty, hotel, telefon, czasem załącznik z dokumentem. Atak na tę warstwę nie musi ruszać bramki płatności, żeby dać materiał do vishingu.
Drugi etap rzadko wygląda jak Hollywood. Wygląda jak SMS: dopłata za hotel, zmiana lotu, “potwierdź dane przed wylotem”, nowy numer konta. Legenda jest lepsza niż przy zwykłym phishingu, bo napastnik może znać imię, telefon, hotel i termin. Wakacje.pl pisze wprost: nie proszą o płatność linkiem w SMS-ie ani o przelew na nowy rachunek. Ja bym to przetłumaczył prościej: jeśli ktoś Cię goni z nowym kontem albo “pilnym skanem”, dzwoń do doradcy numerem, który znasz od tygodni, nie tym z wiadomości.
Jeśli leciałeś z nimi (albo myślisz, że nie)
Dostałeś mail o incydencie: zastrzeż PESEL, rozważ paszport, jeśli firma albo Twój spokój tego wymaga. Zmień hasło do Panelu i tak, nawet gdy firma twierdzi, że hasła nie poszły. Unikalne, 2FA jeśli jest.
Nie dostałeś powiadomienia: nie znaczy, że jesteś czysty. Znaczy, że na dziś nie siedzisz na liście, którą spółka uznała za objętą. Przez kilka tygodni i tak trzymaj czujność na “dopłaty” i “zmiany rezerwacji”. Numer rachunku i prośba o skan dokumentu: tylko przez znany kanał.
Wniosek, który powiedziałbym znajomemu przed urlopem: katalog i płatność mogą wyglądać jak forteca, a ktoś i tak weźmie paszport z maila doradcy. Sezon wycieków nie skończył się na zębach i fakturach. Dotarł do biura, w którym trzymasz datę wylotu. Uważaj na SMS-y bardziej niż na nowy banner “bezpieczeństwo zakupów”.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.
Czytaj w kontekście
Wycieki danych. Co właściwie wyciekło?
Fakturownia, FELG Dent, Medyc, MyDr i Wakacje.pl. Czytanie komunikatów o incydentach bez mieszania dostępu do systemu z potwierdzoną kradzieżą danych.