W serwisie Wakacje.pl doszło do incydentu bezpieczeństwa, w którym nieuprawnione osoby uzyskały dostęp do części służbowych skrzynek pocztowych oraz systemu obsługi klientów. Wśród informacji, które mogły zostać przejęte, są dane kontaktowe, daty urodzenia oraz dane paszportowe. Firma ostrzega przede wszystkim przed próbami podszywania się pod serwis i wyłudzania kolejnych informacji lub pieniędzy.
Incydent jest istotny również dla Polaków mieszkających w Holandii, którzy korzystali z Wakacje.pl przy rezerwowaniu urlopu. Jeżeli ich dane znalazły się w systemach objętych atakiem, miejsce zamieszkania za granicą nie zmniejsza ryzyka wykorzystania przejętych informacji do phishingu lub innych prób oszustwa.
Co wiadomo o wycieku danych z Wakacje.pl?
Do incydentu doszło 29 września 2026 roku. Jak poinformowały Wakacje.pl, osoby nieuprawnione dostały się do części służbowych kont pocztowych pracowników oraz systemu wykorzystywanego do obsługi klientów.
Potencjalnie ujawnione dane mogą obejmować adresy e-mail, imiona i nazwiska, numery telefonów, adresy zamieszkania, daty urodzenia oraz dane paszportowe. Firma informuje, że naruszenie dotyczy niewielkiej części klientów, a osoby objęte zdarzeniem miały otrzymać indywidualne powiadomienia.
Według informacji przekazanych przez spółkę incydent nie objął systemów płatności. Pozyskane dane nie mają też pozwalać na zalogowanie się do Panelu Klienta przez stronę internetową ani aplikację Wakacje.pl.
Największym zagrożeniem mogą być fałszywe wiadomości
Jednym z najważniejszych zagrożeń po takim incydencie jest wykorzystanie prawdziwych danych klienta do przygotowania wiarygodnej wiadomości phishingowej. Oszust może znać nazwisko, numer telefonu, adres e-mail, a w niektórych przypadkach także informacje z dokumentu podróży.
Wakacje.pl ostrzegają przed wiadomościami i telefonami dotyczącymi między innymi dodatkowych płatności. Podejrzaną prośbę najlepiej zweryfikować niezależnie, kontaktując się z firmą przez dane dostępne na oficjalnej stronie pomocy Wakacje.pl, a nie przez numer telefonu lub link przesłany w otrzymanej wiadomości.
W ostatnich tygodniach doszło do kilku dużych wycieków danych
Incydent w Wakacje.pl nie jest odosobnionym przypadkiem. W ostatnich tygodniach w Polsce ujawniono kilka poważnych naruszeń bezpieczeństwa, w tym dotyczących danych medycznych. Skala i zakres poszczególnych zdarzeń były różne, ale w kilku przypadkach wśród zagrożonych informacji znajdowały się numery PESEL, dane kontaktowe oraz informacje dotyczące zdrowia.
Jednym z największych tegorocznych incydentów był cyberatak na systemy firmy MyDr, wykorzystywane przez tysiące placówek medycznych. Sprawa mogła dotyczyć danych niemal 19 milionów osób. Po tym zdarzeniu wielu Polaków zaczęło zastrzegać numery PESEL. Na RadioPolskaNL opisaliśmy wtedy jak zastrzec PESEL po wycieku danych, również mieszkając w Holandii.
We wrześniu pojawił się kolejny incydent związany z ochroną zdrowia. Cyberatak dotyczył systemu Medyc firmy Qbusoft. W przypadku jednej z placówek potwierdzono możliwość przejęcia między innymi imion i nazwisk, numerów PESEL, adresów, numerów telefonów i adresów e-mail, a analiza wskazywała również na możliwość uzyskania dostępu do części dokumentacji medycznej. Więcej informacji znajduje się w naszym materiale o cyberataku na system Medyc i wycieku danych pacjentów.
Zaledwie kilka dni później o cyberataku poinformował Enel-Med. Według spółki naruszenie mogło dotyczyć około 3 proc. jej bazy pacjentów. Ten przypadek również opisaliśmy na RadioPolskaNL w artykule Cyberatak na Enel-Med. Naruszenie może dotyczyć 3% bazy pacjentów.
Problem nie ogranicza się przy tym do zdarzeń opisanych przez RadioPolskaNL. Urząd Ochrony Danych Osobowych poinformował 16 września, że po wycieku z MyDr zdecydował o przeprowadzeniu dodatkowych kontroli w podmiotach sektora ochrony zdrowia. UODO uzasadniało decyzję zarówno skalą tego incydentu, jak i innymi przypadkami naruszeń bezpieczeństwa danych.
25 września UODO informowało już o kolejnym postępowaniu związanym z systemem Medyc. Według urzędu medialne informacje wskazywały, że zdarzenie mogło obejmować dane medyczne nawet kilku milionów osób, jednak pełna liczba poszkodowanych nie była wówczas oficjalnie potwierdzona.
Co powinni zrobić klienci Wakacje.pl?
Osoby, których dane mogły zostać objęte incydentem, otrzymały od Wakacje.pl informację wraz z zaleceniami. Firma wskazuje między innymi na możliwość zastrzeżenia numeru PESEL oraz rozważenia dalszych działań związanych z dokumentem, którego dane znalazły się w przejętym zbiorze.
Dla Polaków mieszkających w Holandii zastrzeżenie PESEL nie wymaga podróży do Polski. Można zrobić to przez internet. Szczegółowo opisaliśmy procedurę w materiale jak zastrzec PESEL po wycieku danych, mieszkając za granicą.
Zastrzeżenie PESEL ogranicza możliwość wykorzystania numeru do części operacji finansowych, ale nie usuwa informacji, które już trafiły w niepowołane ręce. Nie zatrzyma też wiadomości phishingowych ani telefonów od osób podszywających się pod biuro podróży, bank lub inną instytucję.
Dlatego po otrzymaniu informacji o incydencie warto zachować szczególną ostrożność wobec niespodziewanych próśb o dopłatę do wycieczki, potwierdzenie danych pasażera, zmianę numeru rachunku albo ponowne przesłanie dokumentów. Sam fakt, że rozmówca zna prawdziwe dane klienta, nie jest dowodem, że rzeczywiście kontaktuje się z nim pracownik Wakacje.pl.
Sprawa została zgłoszona odpowiednim instytucjom
Wakacje.pl poinformowały, że incydent jest analizowany, a osoby, których dotyczy naruszenie, zostały powiadomione. Na obecnym etapie nie podano publicznie dokładnej liczby klientów objętych zdarzeniem.
Kluczowe znaczenie ma więc bezpośrednia informacja otrzymana od Wakacje.pl oraz wskazany w niej zakres danych konkretnej osoby. Jeżeli wiadomość budzi wątpliwości, warto potwierdzić jej autentyczność przez oficjalny kanał kontaktu firmy.
Źródła
- Polskie Radio 24 – wyciek danych klientów Wakacje.pl
- Wakacje.pl – oficjalna strona pomocy i kontaktu
- Urząd Ochrony Danych Osobowych – dodatkowe kontrole podmiotów sektora ochrony zdrowia
- Urząd Ochrony Danych Osobowych – kolejny wyciek danych medycznych i kontrola dotycząca systemu Medyc
Ostatnia aktualizacja: 4 października 2026, 14:09.
