Cyberatak na system wynajmu noclegów w Polsce. Uważaj na wyłudzenia
Dwie polskie organizacje zajmujące się wynajmem apartamentów poinformowały o cyberataku na system IdoBooking, w wyniku którego dane osobowe gości mogły wycieknąć.
Dwie polskie organizacje zajmujące się krótkoterminowym wynajmem apartamentów poinformowały o cyberataku na system IdoBooking, służący do zarządzania rezerwacjami noclegów. Osoba nieuprawniona przez około 1,5 dnia otrzymywała kopie powiadomień dotyczących rezerwacji, wraz z danymi osobowymi gości.
W dniach 1–2 listopada 2026 r. doszło do incydentu bezpieczeństwa w systemach informatycznych operatora IdoBooking. (…) osoba nieuprawniona uzyskała dane uwierzytelniające wewnętrznej usługi technicznej platformy, a następnie wykorzystała je do utworzenia dodatkowego konta z uprawnieniami administratora w części paneli klientów, w tym w naszym panelu – czytamy w komunikacie City of the Kings.
Zakres incydentu
Sprawca ustawił kontrolowany przez siebie adres e-mail jako „odbiorcę automatycznych powiadomień systemowych dotyczących rezerwacji”. Nieuprawniony dostęp trwał ok. 36 godzin: od 1.11 (godz. 00:45) do 2.11 (godz. 12:38). Operator wykrył incydent 2 listopada o godz. 9:00 i rozpoczął działania zmierzające do jego zablokowania.
Według dotychczasowych ustaleń operatora nie doszło do modyfikacji kodu aplikacji, instalacji złośliwego oprogramowania ani bezpośredniego dostępu do baz danych systemu. W jednym z zawiadomień wymieniono rodzaje danych, które mogły ulec naruszeniu ochrony, w tym: imię i nazwisko, numer telefonu, adres e-mail, numer rezerwacji, termin pobytu, liczba gości, wartość rezerwacji oraz informacje dotyczące płatności.
Nie wszystkie wskazane kategorie danych musiały występować w powiadomieniach dotyczących Państwa rezerwacji
Phishing - bądź ostrożny
Dane pozyskane podczas ataku na system rezerwacji noclegów mogą służyć do dalszego wyłudzania informacji w ramach ataków phishingowych. Pod koniec 2025 roku opisywano podobną kampanię, skutkującą wysyłką spreparowanych maili dotyczących rzekomego „potwierdzenia rezerwacji”.
Najbardziej prawdopodobnym następstwem zdarzenia są próby oszustwa z wykorzystaniem ujawnionych informacji, w szczególności poprzez wiadomości e-mail, SMS lub połączenia telefoniczne od osób podszywających się pod nasz obiekt, operatora systemu rezerwacyjnego albo podmioty obsługujące płatności.
W przypadku otrzymania wiadomości od hotelu lub innego obiektu noclegowego, której się nie spodziewamy, warto skontaktować się bezpośrednio z danym obiektem, aby upewnić się, że jest prawdziwa. Nigdy nie powinniśmy podawać danych w sytuacji, gdy nie jesteśmy pewni, że wiadomość pochodzi od prawdziwego nadawcy.
Powiązane
