Szanowni Państwo,
Działając imieniem Zakładu Budynków Miejskich w Cieszynie Sp. z o. o. czyniąc zadość obowiązkom wynikającym z przepisów o ochronie danych osobowych, informujemy, iż mogło dojść do nieuprawnionego dostępu do Państwa danych osobowych znajdujących się w bazie danych Zakład Budynków Miejskich w Cieszynie Sp. z o. o. O naruszeniu zawiadomiony zostały Prezes Urzędu Ochrony Danych Osobowych, Policja oraz CERT.
Z tego względu pragniemy poinformować o możliwych konsekwencjach omawianego naruszenia ochrony danych osobowych, a także przekazujemy informacje dotyczące środków jakie zastosowaliśmy, zamierzamy zastosować lub proponujemy w celu zaradzenia naruszeniu – w tym w stosownych przypadkach – środków w celu zminimalizowania ewentualnych negatywnych skutków, oraz wyeliminowania podobnych nieprawidłowości w przyszłości.
CHARAKTER ORAZ OKOLICZNOŚCI NARUSZENIA:
W dniu z 6 października 2025 r. w godzinach porannych spółka otrzymała informacje o możliwości nieuprawnionego dostępu do wewnętrznej bazy danych spółki poprzez całkowite zablokowanie serwera, zatem istnieje możliwość iż Państwa dane osobowe niezbędne do wykonania zadań spółki tj. imię, nazwisko, adres e-mail, adres zamieszkania, numer telefonu, w sytuacjach - gdy było to konieczne do rozliczeń - numer PESEL, szczegóły rozliczeń, a także hasła i loginy klienta, które był przechowywane w formie zaszyfrowanej. Wskazujemy, że dostęp do bazy możliwy jest jedynie w ramach wewnętrznej sieci administratora, do której dostęp posiadają wyłącznie uprawnieni pracownicy. Dla osób, których dodatkowo przetwarzany był numer konta i pesel istnieje ryzyko zagrożenia straty finansowej, np. uzyskania przez osoby trzecie kredytów w instytucjach poza bankowych, zawarcie umów cywilno-prawnych, np. najmu nieruchomości, posłużenia się danymi w celach przestępczych.
Po niezwłocznym podjęciu działań zmierzających do ponownego zabezpieczenia bazy, dokonanej przez administratora analizie naruszenie oraz sprawdzeniu systemów informatycznych stwierdzono, że dostęp do bazy danych przez osobę nieuprawnioną był możliwy poprzez zastosowanie przez nią złośliwego oprogramowania typu trojan (tzw. ransomware). Wewnętrzna analiza systemów informatycznych oraz komputerów wykazała, iż nie mogło dojść do usunięcia lub modyfikacji danych. Nie powinno dojść także do masowego skopiowania samej bazy danych. Została ona jedynie zaszyfrowana przez hakera, jednak istnieje ryzyko że mogło dojść do kopiowania danych poprzez wykonanie fotografii lub zrobienie zrzutu ekranu.
PODJĘTE DZIAŁANIA W ZWIĄZKU Z WYKRYTYM NARUSZENIEM
Administrator danych niezwłocznie podjął działania zmierzające do odzyskania dostępu do bazy. Ponadto administrator zawiadomił Prezesa Urzędu Ochrony Danych Osobowych, Policję, CERT.
Dokonał także zmiany haseł dostępowych do bazy oraz zaktualizował dotychczasowe oraz dodatkowe oprogramowanie chroniące przed atakami hakerskimi, a także zaplanował:
•szkolenia dla pracowników z zakresu ochrony danych osobowych z uwzględnieniem cyberataków
•zwiększenie częstotliwości kontroli systemów informatycznych oraz zabezpieczeń sieci,
•zwiększenie częstotliwości wewnętrznych kontroli w zakresie przetwarzania danych osobowych,
•stworzenie sytemu edukacyjnego dla pracowników w celu podnoszenia świadomości zagrożeń związanych z ochroną danych osobowych oraz cyberatakami .
MOŻLIWE KONSEKWENCJE NARUSZENIA OCHRONY DANYCH OSOBOWYCH:
Państwa dane osobowe mogą zostać wykorzystane do próby wyłudzenia innych danych, podszywanie (phishing), dane kontaktowe mogą zostać wykorzystane do przesyłania wiadomości spam lub próby wyłudzenia środków, np. poprzez poinformowanie o konieczności dopłaty za zrobione zakupy u przedsiębiorcy.
PROPONOWANE ŚRODKI I DZIAŁANIA W CELU ZARADZENIA NARUSZENIU OCHRONY DANYCH OSOBOWYCH, W TYM W STOSOWNYCH PRZYPADKACH ŚRODKI W CELU ZMINIMALIZOWANIA JEGO EWENTUALNYCH NEGATYWNYCH SKUTKÓW:
W celu zminimalizowania ewentualnych negatywnych skutków naruszenia zalecamy, aby Państwo
•zachowali ostrożność w sytuacji odbierania połączeń telefonicznych lub wiadomości e-mail od nieznanych odbiorców
•zachowali ostrożność, ponieważ może dojść do próby podszycia się pod naszą spółkę w celu wyłudzeń,
•ignorowali nieoczekiwane wiadomości, w szczególności namawiające do podjęcia dodatkowego działania, jak odesłanie wiadomości SMS lub zrobienie mikroprzelewu, uzupełniania bieżących opłat,
•zachowali szczególną ostrożność przy podawaniu danych osobowych za pomocą telefonu, email.
•założyli konto w systemie informacji kredytowej w celu dodatkowego zabezpieczenia swoich danych przed nieuprawnionym wykorzystaniem, a także sprawdzenia dotychczasowej historii kredytowej.
•dokonali zmiany zabezpieczeń do rachunku bankowego lub zmianę rachunku bankowego
Jeśli dowiedzą się Państwo o wykorzystaniu danych przez osobę nieuprawnioną, prosimy o jak najszybsze przekazanie nam tej informacji.
