ZAWIADOMIENIE O NARUSZENIU OCHRONY DANYCH OSOBOWYCH
Szanowni Państwo,
niniejszym informujemy, że w dniu 6 października 2026 r. w godzinach 11-16 mogło dojść do naruszenia ochrony Państwa danych osobowych polegającego na zamierzonym ataku hakerskim na aplikację SOP na serwerze podmiotu przetwarzającego, któremu administrator powierzył przetwarzanie danych osobowych, w wyniku którego mogło dojść do nieuprawnionego dostępu do państwa danych osobowych.
1. Na czym polegało naruszenie?
W wyniku luki w systemie informatycznym i w związku z atakiem przeprowadzonym przez nieustalonego sprawcę Państwa dane osobowe mogły zostać udostępnione osobie nieuprawnionej.
Do zdarzenia doszło w dniu 6 października 2026 r. Naruszenie zostało wykryte tego samego dnia.
W obecnej chwili prowadzona jest analiza jakie dane i w jakiej ilości mogły zostać pozyskane podczas ataku, co kluczowe jest dla ostatecznego ustalenia ryzyka dla osób, których dane są przetwarzane w programie.
2. Jakie dane zostały ujawnione?
Naruszenie mogło obejmować następujące kategorie danych osobowych:
- imię i nazwisko,
- adres zamieszkania, adres zameldowania, adres związany z prowadzoną działalnością,
- numer telefonu,
- np. adres e-mail,
- numer pesel,
- nr i seria dokumentu tożsamości,
- obywatelstwo,
- kraj,
- numer rachunku bankowego.
Naruszenie nie obejmowało szczególnych kategorii danych osobowych wskazanych w art. 9 RODO, ani danych, o których mowa w art. 10 RODO.
3. Możliwe konsekwencje naruszenia
W związku z charakterem naruszenia istnieje ryzyko, że ujawnione dane mogą zostać wykorzystane przez osobę nieuprawnioną, w szczególności w celu nawiązania kontaktu, podszywania się pod Państwa osobę, przeprowadzenia próby oszustwa, wyłudzenia kredytu lub zaciągnięcia innego zobowiązania uzyskania dodatkowych informacji i socjotechnicznych prób manipulacji.
Oceniamy, że naruszenie może powodować wysokie ryzyko naruszenia Państwa praw lub wolności, dlatego zgodnie z art. 34 RODO przekazujemy Państwu niniejsze zawiadomienie.
4. Działania podjęte przez administratora
Niezwłocznie po stwierdzeniu naruszenia podjęliśmy następujące działania:
- system SOP Programy został wyłączony z użytkowania;
- ustalamy zakres i charakter naruszenia;
- zablokowaliśmy dostęp do danych;
- trwają prace nad załataniem podatności wykorzystanej do przeprowadzenia ataku
- zabezpieczyliśmy system, zawiesiliśmy dostęp;
- poinformowaliśmy o incydencie Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT GOV prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego oraz Prezesa Urzędu Ochrony Danych Osobowych.
5. Zalecane działania
W celu ograniczenia potencjalnych negatywnych skutków naruszenia zalecamy:
- zachowanie szczególnej ostrożności w przypadku wiadomości e-mail, SMS-ów lub telefonów dotyczących Państwa danych;
- nieprzekazywanie osobom trzecim haseł, kodów autoryzacyjnych ani innych danych umożliwiających dostęp do kont;
- zmianę hasła, jeżeli naruszenie obejmowało dane umożliwiające dostęp do konta;
- monitorowanie aktywności na rachunku bankowym, jeżeli ujawniono dane finansowe;
- zastrzeżenie numeru pesel,
- rozważenie wymiany dokumentu tożsamości.
W przypadku otrzymania podejrzanej wiadomości lub telefonu zalecamy zweryfikowanie tożsamości i intencji rozmówcy lub nadawcy za pośrednictwem oficjalnych kanałów kontaktu.
6. Kontakt w sprawie naruszenia
W przypadku pytań lub wątpliwości dotyczących naruszenia mogą Państwo skontaktować się z:
Inspektorem Ochrony Danych w Ministerstwie Kultury i Dziedzictwa Narodowego adres e-mail iod@kultura.gov.pl lub pod adresem administratora Minister Kultury i Dziedzictwa Narodowego ul. Krakowskie Przedmieście 15, 00-071 Warszawa.