Pilne ostrzeżenie. Atak na ogromny system płatniczy w Polsce. Dane milionów Polaków zagrożone

Autopay, jeden z największych w Polsce operatorów płatności internetowych, padł ofiarą cyberataku. Spółka poinformowała, iż 11 listopada 2026 r. stwierdziła nieautoryzowany dostęp do swojej infrastruktury i części danych dotyczących przetworzonych płatności. Nie wyklucza, iż dane mogły zostać skopiowane. jeżeli płaciłeś przez Autopay, sprawdź historię konta i uważaj na wiadomości powołujące się na ten incydent.

Fot. Pixabay / Warszawa w Pigułce.

Co przekazał Autopay

Komunikat spółka opublikowała w piątek 13 listopada. Stwierdziliśmy nieautoryzowany dostęp do infrastruktury oraz części danych dotyczących płatności – napisała. Jak zapewnia, dostęp został natychmiast zablokowany, system zabezpieczony, a monitoring wzmocniony.

Najważniejsza informacja dla klientów dotyczy możliwego wycieku. Do tej pory nie potwierdziliśmy skopiowania czy wykorzystania danych, ale nie możemy tego całkowicie wykluczyć – przekazała firma. Osoby, których dane mogą dotyczyć, mają być informowane bezpośrednio.

Incydent zgłoszono do Prezesa Urzędu Ochrony Danych Osobowych, policji i CSIRT KNF, czyli zespołu reagowania na incydenty komputerowe w sektorze finansowym. Spółka deklaruje współpracę z tymi instytucjami.

Jakie dane mogły wyciec? Spółka nie podała szczegółów

W publicznym komunikacie Autopay nie wymienia konkretnych kategorii danych ani nie podaje, ilu klientów i jakiego okresu dotyczy incydent. Nie wiadomo też, czy chodzi o pełne numery kart, ich daty ważności czy kody CVV. W mediach społecznościowych krążą wpisy, według których narażone mogły być m.in. dane kart płatniczych, adresy e-mail, numery telefonów podawane przy doładowaniach i adresy IP. Spółka tych informacji publicznie nie potwierdziła.

Autopay, wcześniej działający jako Blue Media, istnieje od 1999 r. Obsługuje m.in. płatności za rachunki, doładowania telefonów, szybkie przelewy, zakupy w sklepach internetowych i opłaty za przejazd autostradami. Przez jego systemy przechodzi więc bardzo wiele codziennych płatności. To nie pierwszy incydent w historii firmy. W 2023 r. Autopay przez pomyłkę udostępnił w jednej wiadomości adresy e-mail ok. 150 tys. użytkowników.

Największe ryzyko: oszuści podszywający się pod bank lub Autopay

Po takich incydentach najczęściej pojawiają się próby wyłudzeń. Przestępcy wysyłają SMS-y i e-maile albo dzwonią, powołując się na wyciek. Podszywają się pod bank, Autopay, policję lub CSIRT i namawiają do „zabezpieczenia konta”, podania danych karty, kodów BLIK albo zainstalowania aplikacji do zdalnego pulpitu.

Dlatego sama spółka apeluje o ostrożność wobec wiadomości i telefonów, które powołują się na incydent. Prawdziwy bank nigdy nie prosi o podanie pełnych danych karty, PIN-u, kodu CVV ani haseł do bankowości. Nie każe też przelewać pieniędzy na „bezpieczne konto”.

Nieautoryzowana transakcja? Bank musi oddać pieniądze

Jeśli na koncie pojawi się płatność, której nie wykonałeś, prawo stoi po twojej stronie. Zgodnie z art. 46 ust. 1 ustawy o usługach płatniczych bank musi zwrócić kwotę nieautoryzowanej transakcji niezwłocznie, nie później niż do końca następnego dnia roboczego po jej zgłoszeniu. Wyjątkiem jest sytuacja, gdy ma uzasadnione podejrzenie oszustwa i zawiadomi o tym organy ścigania.

Na zgłoszenie nieautoryzowanej transakcji masz 13 miesięcy od dnia obciążenia rachunku (art. 44 ust. 2 ustawy). Nie warto jednak zwlekać. Im szybciej zgłosisz sprawę i zastrzeżesz kartę, tym mniejsze ryzyko kolejnych obciążeń.

Ochronę danych regulują też przepisy RODO. Firma, w której doszło do naruszenia, musi zgłosić je do UODO w ciągu 72 godzin (art. 33). jeżeli naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, musi je o tym bez zbędnej zwłoki zawiadomić (art. 34).

Co zrobić, jeżeli płaciłeś przez Autopay

• Sprawdź historię transakcji na koncie i karcie, także z ostatnich tygodni. Rób to regularnie przez kolejne miesiące.
• Zobaczysz płatność, której nie wykonywałeś? Natychmiast zgłoś ją w banku i zastrzeż kartę. Kartę możesz też zastrzec pod numerem 828 828 828 (z zagranicy +48 828 828 828).
• Rozważ zastrzeżenie karty i wydanie nowej, jeżeli często płaciłeś nią przez Autopay i nie masz pewności, czy jej dane są bezpieczne. Zapytaj o to w swoim banku.
• Włącz w aplikacji bankowej powiadomienia o każdej transakcji kartą i ustaw niższe limity płatności internetowych.
• Nie klikaj w linki z SMS-ów i e-maili o „wycieku danych” ani „blokadzie konta”. Wchodź do banku wyłącznie przez oficjalną aplikację lub wpisany manualnie adres.
• Rozłącz się, gdy ktoś dzwoni w sprawie incydentu i prosi o dane karty, kody BLIK lub instalację aplikacji. Oddzwoń do banku na numer z karty lub strony internetowej.