Szanowni Państwo,

Chcemy podzielić się ważną informacją dotyczącą bezpieczeństwa danych – mowa o incydencie w PKO Banku Polskim https://www.pkobp.pl/aktualnosci/bezpieczenstwo/incydent-ujawnienia-sluzbowych-danych-pracownikow, który może mieć implikacje także dla innych organizacji.

ℹ️ Co wiadomo:

• PKO BP potwierdził, że haker uzyskał dostęp do poufnych danych ponad 32 000 pracowników i ok. 17 135 urządzeń korporacyjnych.

• Wyciek nastąpił przez lukę w systemie typu Unified Endpoint Management (UEM), narzędziu służącym do zarządzania urządzeniami firmowymi. 

• Skradzione dane obejmują: pełne nazwiska, służbowe e-maile, numery telefonów, identyfikatory urządzeń (UUID, MAC, IMEI), modele urządzeń, systemy operacyjne, informacje o właścicielach urządzeń oraz dane administratorów.

• Atakujący oferują już te dane do sprzedaży na forum cyberprzestępczym.
  

PKO BP zapewnia, że dane klientów banku nie zostały naruszone, nie ujawniono danych wrażliwych ani prywatnych pracowników. Luka została zidentyfikowana i załatana. 

⚠️ Dlaczego to ważne dla firm takich jak Państwa:

1. Ryzyko ataków phishingowych i podszywania się — dane kontaktowe + identyfikatory urządzeń mogą być użyte do tworzenia wiarygodnych fałszywych wiadomości.

2. Potencjalne zagrożenie bezpieczeństwa urządzeń — jeśli ktoś ma dane takie jak IMEI, MAC, system operacyjny, może próbować exploitów lub ataków na urządzenia mobilne/korporacyjne.

3. Obowiązek przepisów RODO — incydent potwierdza potrzebę posiadania aktualnych procedur ochrony danych, audytu ryzyka, reagowania na incydenty, oraz transparentności wobec pracowników i nadzorcy.

✅ Co warto zrobić teraz:

• Aktualizacje – zawsze włączaj automatyczne aktualizacje systemu i programów. To podstawa.

• Hasła – zadbaj, aby każdy pracownik miał silne hasło i nie używał jednego wszędzie. Warto używać managera haseł.

• Kopie zapasowe – regularnie twórz backup ważnych plików (np. na dysku zewnętrznym lub w chmurze).

• Ostrożność w mailach – uczul pracowników, aby nie klikali w podejrzane linki i nie otwierali dziwnych załączników.

• Plan awaryjny – ustal prostą zasadę: kto i jak ma zgłaszać podejrzenie wycieku danych (np. do właściciela firmy czy osoby odpowiedzialnej).