Wyciek z Wakacje.pl: policzylem, ile moze kosztowac jeden numer paszportu - od 0 zl do 4,7 tys. zl na osobe

👁 118 przeczytań

29 września ktoś dostał się do systemu obsługi klientów Wakacje.pl i do kilku skrzynek pocztowych pracowników spółki. Z komunikatu, który klienci dostali na początku października i który opisał Niebezpiecznik, wynika, że napastnicy pozyskali imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery telefonów, adresy e-mail oraz - to najpoważniejsza pozycja na liście - dane paszportowe. Spółka zaleciła klientom zastrzeżenie paszportu i ostrzegła przed fałszywymi wiadomościami z prośbą o płatność.

Najciekawsze w tym komunikacie jest to, czego w nim nie ma. Nie ma liczby poszkodowanych. Nie ma informacji, czy „dane paszportowe” to sam numer dokumentu, czy pełny skan - a to różnica między uciążliwością a gotowym zestawem do podszycia się pod człowieka w banku. Niebezpiecznik słusznie zauważa, że gdyby chodziło wyłącznie o numer, firma najpewniej napisałaby „numer paszportu”. Postanowiłem policzyć to, czego spółka nie podała.

Oszacowałem skalę: od 300 tysięcy do ponad miliona rekordów

Wakacje.pl to największy polski pośrednik turystyczny online, część grupy należącej do TUI. Spółka od lat komunikuje, że obsługuje ponad milion klientów rocznie i sprzedaje setki tysięcy rezerwacji w sezonie. Przyjąłem konserwatywnie, że jedna rezerwacja to średnio 2,5 osoby - typowa polska rezerwacja wakacyjna to para albo rodzina z dzieckiem. Jeżeli baza systemu obsługi klienta obejmuje choćby trzy ostatnie sezony, mówimy o rzędzie wielkości od kilkuset tysięcy do grubo ponad miliona rekordów osobowych. Nawet przy założeniu, że włamywacz wyniósł wyłącznie wycinek - na przykład rezerwacje z ostatnich dwunastu miesięcy z kompletem danych paszportowych wymaganych przez linie lotnicze i hotele spoza strefy Schengen - to i tak co najmniej kilkadziesiąt tysięcy osób z numerem dokumentu tożsamości w rękach przestępców.

Dlaczego akurat dane paszportowe, a nie dowodu? Bo Wakacje.pl zbiera je legalnie i z konieczności: linie lotnicze wymagają danych APIS przy lotach do Egiptu, Turcji, Zjednoczonych Emiratów czy Tunezji, a hotele poza Unią żądają numeru dokumentu przy zameldowaniu. Każdy, kto kupił przez ten serwis wyjazd poza strefę Schengen, wpisał tam numer paszportu, datę ważności i datę urodzenia. To nie jest poboczny zbiór - to rdzeń bazy.

Jeden numer paszportu kosztuje na forach mniej niż pizza

Sprawdziłem, ile taki komplet jest wart w obrocie. Według cyklicznego zestawienia cen na rynkach przestępczych publikowanego przez Privacy Affairs skan europejskiego paszportu wyceniany bywa na kilkadziesiąt do kilkuset dolarów, natomiast sam zestaw danych identyfikacyjnych - imię, nazwisko, data urodzenia, adres, numer dokumentu - idzie hurtowo po kilka dolarów za rekord. Przy kursie 3,78 zł za dolara wychodzi, że jeden kompletny rekord osobowy z tego wycieku to w sprzedaży hurtowej równowartość 11-38 zł, a pojedynczy skan dokumentu - od 380 zł w górę. Przy stu tysiącach rekordów daje to paczce wartość rynkową od 1,1 do 3,8 mln zł. Dla porównania: to mniej niż jedna kara administracyjna, którą UODO potrafi nałożyć za zaniedbanie zabezpieczeń.

Ta asymetria jest sednem problemu. Dla przestępcy wyciek jest tani. Dla administratora - jeśli organ nadzorczy uzna, że zabezpieczenia były nieadekwatne - potrafi być bardzo drogi. A dla klienta kosztem nie są pieniądze, tylko czas i ryzyko rozłożone na lata, bo paszport ma ważność dziesięcioletnią i numeru nie da się „zresetować” jak hasła.

Zestawiłem to z Morele.net i ALAB: dwie zupełnie różne ścieżki kosztów

Polska ma już dwa precedensy, które dobrze pokazują rozpiętość skutków. W sprawie Morele.net UODO nałożył w 2019 roku karę 2 830 410 zł za niewystarczające zabezpieczenia przy wycieku dotyczącym około 2,2 mln osób. Podzieliłem jedno przez drugie: kara wyniosła 1,29 zł na jedną poszkodowaną osobę. Sąd pierwszej instancji tę decyzję uchylił, potem sprawa wróciła - ale sam przelicznik pozostaje poglądowy.

Druga ścieżka to pozwy cywilne. Tu stawki są zupełnie inne. W sprawie wycieku z sieci laboratoriów ALAB, gdzie w listopadzie 2023 roku wypłynęły wyniki badań setek tysięcy pacjentów, sądy zaczęły zasądzać zadośćuczynienia idące w tysiące złotych na osobę. Wzorcem jest wyrok TSUE w sprawie C-340/21 dotyczącej bułgarskiej administracji skarbowej, w którym Trybunał przesądził, że sama obawa przed nadużyciem danych może być szkodą niemajątkową.

„Obawa przed ewentualnym wykorzystaniem danych osobowych przez osoby trzecie w sposób stanowiący nadużycie, jaką osoba, której dane dotyczą, odczuwa w następstwie naruszenia ochrony danych osobowych, może sama w sobie stanowić szkodę niemajątkową” - wyrok Trybunału Sprawiedliwości UE z 14 grudnia 2023 r. w sprawie C-340/21

Policzyłem, co to oznacza w praktyce. Przyjmując zasądzane w polskich sprawach kwoty rzędu 1 500-4 700 zł na osobę i zakładając, że do sądu pójdzie realistycznie 1-3 procent poszkodowanych - bo tyle wynosi typowa stopa aktywności procesowej przy wyciekach - przy bazie stu tysięcy osób dostajemy od tysiąca do trzech tysięcy powodów i łączną ekspozycję od 1,5 do 14 mln zł. To znacznie więcej niż sama kara administracyjna. Innymi słowy: ścieżka cywilna bywa dla spółki od trzech do dziesięciu razy droższa niż decyzja UODO.

Zegar już tyka: 72 godziny, zawiadomienie i rejestr naruszeń

RODO daje administratorowi 72 godziny od stwierdzenia naruszenia na zgłoszenie go do Prezesa UODO (art. 33) i wymaga zawiadomienia osób, których dane dotyczą, „bez zbędnej zwłoki”, jeżeli ryzyko dla ich praw i wolności jest wysokie (art. 34). Przy danych paszportowych wysokie ryzyko jest w zasadzie domniemane - UODO wprost wskazuje numer dokumentu tożsamości jako kategorię danych, której utrata uzasadnia zawiadomienie osób. Atak miał miejsce 29 września, komunikaty do klientów poszły na początku października, więc z zewnątrz wygląda to na mieszczące się w terminie. Pytanie, które pozostaje otwarte i na które spółka na razie nie odpowiedziała, brzmi: czy w zawiadomieniu znalazł się komplet elementów wymaganych przez art. 34 ust. 2, czyli opis charakteru naruszenia, dane kontaktowe inspektora ochrony danych i opis możliwych konsekwencji. Brak któregokolwiek z nich to osobne naruszenie.

Dla spółki istotne jest też to, że włamanie objęło nie tylko bazę, ale i skrzynki pocztowe pracowników. Poczta w firmie turystycznej to repozytorium skanów - klienci notorycznie przesyłają mailem zdjęcia paszportów, bo „tak było szybciej”. Jeżeli napastnik miał dostęp do choćby kilku skrzynek obsługi, to różnica między „numerem paszportu” a „skanem paszportu” przestaje być hipotetyczna.

Co masz zrobić, jeśli kupowałeś wyjazd przez Wakacje.pl

Trzy rzeczy, w tej kolejności. Pierwsza: wejdź w aplikację mObywatel albo do urzędu i zastrzeż paszport - od czerwca 2024 roku rejestr zastrzeżeń obejmuje także paszporty, a nie tylko dowody, i banki oraz notariusze mają obowiązek go sprawdzać. Zastrzeżenie można cofnąć, więc jeśli masz zaplanowany wyjazd, zastrzeż po powrocie, a do tego czasu pilnuj dokumentu. Druga: załóż alert w BIK albo skorzystaj z bezpłatnego wglądu do raportu - jeśli ktoś spróbuje wziąć na ciebie zobowiązanie, dowiesz się w ciągu doby, a nie po roku od windykatora. Trzecia i najpilniejsza w najbliższych tygodniach: każda wiadomość o „dopłacie do rezerwacji”, „zmianie hotelu” czy „potwierdzeniu danych do odprawy” jest podejrzana z definicji. Przestępca ma twoje imię, numer rezerwacji, kierunek wyjazdu i datę - jego mail będzie wyglądał wiarygodniej niż prawdziwy. Jedyna bezpieczna reakcja to rozłączyć się lub nie klikać, a potem zadzwonić pod numer biura, który sam znajdziesz na stronie - nigdy pod ten z wiadomości.

Jeżeli chcesz iść dalej, masz prawo złożyć skargę do UODO (bezpłatnie, także przez ePUAP) oraz niezależnie od niej wystąpić z powództwem cywilnym o zadośćuczynienie. Te dwie drogi się nie wykluczają i - jak pokazuje arytmetyka ALAB-u - druga jest dla administratora dużo bardziej dotkliwa niż pierwsza. Termin przedawnienia roszczenia z art. 82 RODO to sześć lat, więc nie ma potrzeby działać w panice, ale warto już teraz zachować komunikat od spółki, zrzut ekranu i datę jego otrzymania. To w procesie bywa jedynym dowodem, że byłeś w bazie.

Dlaczego ten wyciek jest gorszy niż utrata hasła

Haslo zmienisz w minutę. Numer telefonu - w dzień. Numer paszportu jest ważny dziesięć lat i wymiana dokumentu kosztuje 140 zł plus wizytę w urzędzie, a mimo to stary numer nadal krąży w bazach i nadal da się nim podeprzeć przy weryfikacji „na dane”. Połączenie numeru dokumentu z datą urodzenia, adresem zamieszkania i numerem telefonu to komplet, który w polskich realiach wystarcza do przejścia wielu procedur telefonicznych - w firmach kurierskich, u operatorów komórkowych, w części instytucji finansowych przy kontakcie z konsultantem.

Niebezpiecznik przy okazji rozwiał jedną plotkę: za atakiem nie stoi napastnik posługujący się pseudonimem „Fingerprint”, odpowiedzialny za ostatnie włamania do MyDr, Medoc i Fakturowni. Ten potwierdził redakcji, że nie zamierza już atakować polskich firm. Oznacza to, że mamy do czynienia z kolejnym, niezależnym aktorem - a więc nie z jedną kampanią, tylko z sezonem. Dla osób, które w ostatnich tygodniach dostały już zawiadomienie o naruszeniu z przychodni, biura rachunkowego i teraz biura podróży, wniosek jest prosty: zakładaj, że twój komplet danych identyfikacyjnych jest publiczny, i buduj zabezpieczenia na drugim składniku, a nie na tym, że „tylko ja znam swój numer dowodu”.

Fakty sprawdzone 18 października 2026 roku. Przeliczenia własne, kurs 3,78 zł za dolara. Źródła: Niebezpiecznik - opis incydentu w Wakacje.pl, decyzja UODO w sprawie Morele.net, wyrok TSUE C-340/21, Privacy Affairs Dark Web Price Index, tekst RODO, art. 33, 34 i 82.