Wyciek danych paszportowych z Wakacje.pl - policzyłem, ile kosztuje posprzątanie po jednym kliencie

👁 122 przeczytań

Trzeciego października 2026 roku Niebezpiecznik opisał włamanie do systemu obsługi klientów Wakacje.pl oraz do kilku skrzynek pocztowych pracowników spółki. Do ataku doszło 29 września. Wykradziono imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery telefonów, adresy e-mail oraz - to najpoważniejsza pozycja na tej liście - dane paszportowe. Spółka w mailu do klientów zasugerowała zastrzeżenie paszportu i ostrzegła przed fałszywymi wiadomościami z prośbą o płatność.

Zacznę od tego, czego w komunikacie nie ma, bo to w tej sprawie ważniejsze od tego, co jest. Nie wiadomo, ilu osób incydent dotyczy. Nie wiadomo też, co dokładnie oznacza sformułowanie „dane paszportowe” - czy chodzi o sam numer dokumentu, czy o jego skan. Redakcja Niebezpiecznika zwróciła uwagę, że gdyby chodziło wyłącznie o numer, spółka prawdopodobnie napisałaby po prostu „numer paszportu”. To rozróżnienie ma wymierną cenę, którą da się policzyć.

Skan paszportu kosztuje poszkodowanego około 230 złotych, sam numer - 25 złotych

Zestawiłem koszty, które spadają na jedną osobę w obu wariantach. Jeśli wyciekł wyłącznie numer paszportu, rozsądne minimum to zastrzeżenie dokumentu w systemie dokumentyzastrzezone.pl oraz zastrzeżenie numeru PESEL w aplikacji mObywatel - obie czynności są darmowe. Koszt realny to czas: około godziny na ogarnięcie formalności i przejrzenie raportów BIK. Jednorazowy raport z Biura Informacji Kredytowej to 49 złotych, pakiet z monitoringiem alertów - 99 złotych rocznie. Przyjąłem w kalkulacji minimalny wariant: jeden raport kontrolny po trzech miesiącach, czyli około 25 złotych uśrednione na osobę przy założeniu, że połowa poszkodowanych w ogóle go zamówi.

Wariant drugi, ze skanem dokumentu, wygląda zupełnie inaczej. Skan zawiera zdjęcie twarzy, wzór podpisu, serię i numer, datę ważności oraz strefę MRZ - komplet wystarczający do prób weryfikacji w zdalnych procesach. Tu rekomendacja jest jedna: wymiana dokumentu. Opłata za nowy paszport dla osoby dorosłej wynosi 140 złotych, a przy wymianie przed upływem ważności z przyczyn niezawinionych nie przysługuje zniżka. Doliczyłem zdjęcie biometryczne (średnio 40 złotych w punkcie fotograficznym), dojazd do punktu paszportowego i powrót po odbiór - dwie wizyty, przy stawce dojazdu 25 złotych łącznie - oraz raport BIK. Wychodzi 230 złotych na osobę plus około trzech godzin własnego czasu.

Teraz mnożenie. Wakacje.pl to jedno z największych biur podróży w Polsce, obsługujące rocznie setki tysięcy rezerwacji. Przy ostrożnym założeniu 200 tysięcy rekordów w zaatakowanym systemie obsługi klienta, łączny koszt przerzucony na poszkodowanych to w wariancie „numer” około 5 milionów złotych, a w wariancie „skan” - 46 milionów złotych. To pieniądze, których nikt nie zafakturuje i których nie zobaczy żaden raport finansowy spółki, bo płaci je rozproszona masa klientów w dwuczęściowych ratach po 140 i 40 złotych. Różnica między tymi dwiema liczbami to cena jednego nieprecyzyjnego słowa w komunikacie.

Siedemdziesiąt dwie godziny, których nie da się rozciągnąć

Artykuł 33 RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych do organu nadzorczego bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Atak miał miejsce 29 września, komunikat do klientów poszedł na początku października. Jeśli spółka stwierdziła naruszenie tego samego dnia, termin zgłoszenia do UODO upływał 2 października.

„W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia - zgłasza je organowi nadzorczemu […] chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.”
Artykuł 33 ust. 1 rozporządzenia 2016/679 (RODO)

Drugi obowiązek, z artykułu 34, dotyczy zawiadomienia samych poszkodowanych - i tu wymóg jest ostrzejszy merytorycznie niż czasowo. Zawiadomienie ma „jasnym i prostym językiem” opisać charakter naruszenia. Komunikat, z którego nie wynika, czy wyciekł numer, czy skan dokumentu, trudno uznać za spełniający ten warunek, bo adresat nie jest w stanie na jego podstawie podjąć właściwej decyzji - zastrzec dokument czy go wymienić. To nie jest czepianie się formy. To różnica 205 złotych na osobie.

Maksymalna kara z UODO: 4 procent obrotu albo 86 milionów złotych

Artykuł 83 RODO przewiduje za naruszenie obowiązków administratora kary do 10 milionów euro lub 2 procent światowego obrotu, a za naruszenie praw osób, których dane dotyczą - do 20 milionów euro lub 4 procent obrotu, w zależności od tego, która kwota jest wyższa. Przy kursie 4,30 złotego za euro górny pułap kwotowy to 86 milionów złotych. Przy obrotach grupy Wakacje.pl rzędu miliarda złotych rocznie, próg procentowy (4 procent, czyli 40 milionów) wypada niżej niż kwotowy, więc teoretycznym sufitem pozostaje te 86 milionów.

Praktyka UODO jest jednak znacznie łagodniejsza i warto ją pokazać na liczbach. Najwyższa kara nałożona na polski podmiot prywatny to ponad 4,9 miliona złotych dla Morele.net za wyciek danych około 2,2 miliona klientów. Przeliczyłem to na rekord: wyszło 2,23 złotego kary za jeden ujawniony profil klienta. Gdyby UODO zastosowało wobec Wakacje.pl ten sam przelicznik przy moim założeniu 200 tysięcy rekordów, kara wyniosłaby 446 tysięcy złotych. To mniej niż jedna setna teoretycznego maksimum i mniej niż jedna setna tego, co poszkodowani wydadzą na nowe paszporty w najgorszym scenariuszu. Proporcja jest tu całą treścią problemu.

Jak to wygląda na tle ALAB-u i LOT-u

Porównanie z wcześniejszymi polskimi incydentami pokazuje, gdzie ten wyciek plasuje się pod względem wrażliwości danych, a nie samej liczby rekordów.

Różnica jest zasadnicza. W przypadku ALAB-u wyciekły dane, których nie da się odwrócić - wyniku badania laboratoryjnego nie można unieważnić ani wymienić, więc szkoda jest trwała i niekwantyfikowalna. W przypadku Wakacje.pl szkoda jest odwracalna, ale wyłącznie za pieniądze i czas poszkodowanego. Paszport da się wymienić. ALAB nie dał pacjentom nawet tej możliwości. Z kolei Morele miało skalę dziesięć razy większą, ale dane o niższej wrażliwości jednostkowej.

Warto też odnotować, kto za tym atakiem nie stoi. Niebezpiecznik ustalił, że to nie jest sprawka włamywacza działającego pod pseudonimem Fingerprint, odpowiedzialnego za wcześniejsze ataki na MyDr, Medoc i Fakturownię - ten potwierdził w rozmowie z redakcją, że nie zamierza już atakować polskich firm. Oznacza to, że mamy do czynienia z osobnym aktorem, a nie z kontynuacją znanej serii.

Co robić, jeśli rezerwowałeś przez Wakacje.pl

Kolejność działań ma znaczenie, bo niektóre kroki są darmowe i natychmiastowe, a inne kosztują i trwają. Najpierw zastrzeż numer PESEL - w aplikacji mObywatel, w zakładce zastrzeżenia, albo w dowolnym urzędzie gminy. Od czerwca 2024 roku banki i firmy pożyczkowe mają ustawowy obowiązek weryfikacji zastrzeżenia przed udzieleniem kredytu, a umowa zawarta mimo aktywnego zastrzeżenia jest wobec ciebie bezskuteczna. To najmocniejsza tarcza przed wyłudzeniem kredytu na twoje dane i nic nie kosztuje. Pamiętaj tylko, by cofnąć zastrzeżenie na czas własnych formalności bankowych.

Następnie zastrzeż sam paszport w systemie dokumentyzastrzezone.pl prowadzonym przez Związek Banków Polskich - to blokuje posługiwanie się nim w instytucjach finansowych. Dopiero trzeci krok to decyzja o wymianie dokumentu, i tu doradzam poczekać na odpowiedź spółki na pytanie, czy wyciekły skany. Jeśli tak - składaj wniosek o nowy paszport, 140 złotych i średnio trzydzieści dni oczekiwania. Jeśli wyciekł sam numer, wymiana nie jest konieczna, bo numer bez zdjęcia i podpisu ma dla oszusta wartość ograniczoną. I niezależnie od wariantu: przez najbliższe miesiące traktuj każdą wiadomość o „dopłacie do rezerwacji”, „zmianie hotelu” czy „potwierdzeniu danych do odprawy” jako próbę oszustwa, dopóki nie zweryfikujesz jej telefonem na numer biura wzięty z własnej umowy, a nie z maila.

Na koniec rzecz, która w tych sprawach wraca najczęściej. Dane paszportowe trafiają do biura podróży nie dlatego, że ktoś je bezmyślnie podał, tylko dlatego, że linie lotnicze i hotele w części krajów wymagają ich przy rezerwacji. Klient nie ma tu realnego wyboru. Skoro obowiązek podania dokumentu jest narzucony odgórnie, obowiązek jego należytego zabezpieczenia powinien być egzekwowany z taką samą stanowczością - a przelicznik 2,23 złotego kary za rekord z precedensu Morele.net pokazuje, że na razie nie jest.

Fakty sprawdzone 22 października 2026. Źródła: Niebezpiecznik - opis incydentu w Wakacje.pl, rozporządzenie RODO (art. 33, 34, 83), decyzja UODO w sprawie Morele.net, gov.pl - opłaty i procedura wyrobienia paszportu, cennik BIK. Liczba poszkodowanych nie została ujawniona przez spółkę - wyliczenia zbiorcze oparte są na własnym, ostrożnym założeniu 200 tysięcy rekordów i zostaną zaktualizowane po publikacji oficjalnych danych.