Cyberatak na system wynajmu noclegów w Polsce. Uważaj na wyłudzenia

Jak podają dwie polskie organizacje zajmujące się wynajmem krótkoterminowym, system IdoBooking padł ofiarą cyberataku, który skutkował naruszeniem ochrony danych osobowych.

„W dniach 1–2 listopada 2026 r. doszło do incydentu bezpieczeństwa w systemach informatycznych operatora IdoBooking. (…) osoba nieuprawniona uzyskała dane uwierzytelniające wewnętrznej usługi technicznej platformy, a następnie wykorzystała je do utworzenia dodatkowego konta z uprawnieniami administratora w części paneli klientów, w tym w naszym panelu” – czytamy w komunikacie City of the Kings.

Co ważne, sprawca ustawił kontrolowany przez siebie adres e-mail jako „odbiorcę automatycznych powiadomień systemowych dotyczących rezerwacji”. Nieuprawniony dostęp trwał ok. 36 godzin: od 1.11 (godz. 00:45) do 2.11 (godz. 12:38).

Operator wykrył incydent 2 listopada o godz. 9:00 i rozpoczął działania zmierzające do jego zablokowania. Według dotychczasowych ustaleń operatora nie doszło do modyfikacji kodu aplikacji, instalacji złośliwego oprogramowania ani bezpośredniego dostępu do baz danych systemu.
Komunikat firmy zajmującej się wynajmem apartamentów w Krakowie (City of The Kings)

„Administrator Danych powziął wiedzę o incydencie w dniu 6 listopada 2026 r., po przeprowadzonej analizie powziął decyzję o zawiadomieniu Prezesa Urzędu Ochrony Danych Osobowych oraz osób fizycznych. Zawiadomienie zostanie przekazane do PUODO w dniu 9 listopada 2026 r.” – stwierdzono w zawiadomieniu opublikowanym przez drugą firmę FengShui4U.

Warto podkreślić, że system umożliwia integracje m.in. z Booking.com i Airbnb.

Zakres incydentu

W jednym z zawiadomień wymieniono rodzaje danych, które mogły ulec naruszeniu ochrony (zależnie od osoby i rodzaju powiadomienia). Mowa o poniższych kategoriach informacji:

• imię i nazwisko;
• numer telefonu;
• adres e-mail;
• numer i źródło rezerwacji;
• termin pobytu (wraz z nazwą obiektu);
• liczba gości;
• usługi dodatkowe;
• wartość rezerwacji (wraz z pozostałą kwotą do zapłaty);
• informacje dot. przyjęcia płatności;
• preferowany język komunikacji.

„Nie wszystkie wskazane kategorie danych musiały występować w powiadomieniach dotyczących Państwa rezerwacji” – podkreślono w komunikacie.

Obecnie nieznana jest skala incydentu pod kątem liczby obiektów oraz osób, których dotyczy incydent. IdoBooking deklaruje, że z ich usług korzysta ponad „21 tys. obiektów noclegowych w 21 krajach” – jednocześnie wiemy, że zdarzenie obejmuje „część klientów”. W przypadku jednej organizacji incydent objął 107 osób.

Szczególnie zagrożone pozostają osoby, które otrzymywały powiadomienia o rezerwacji w czasie przekierowywań wiadomości e-mail na zewnętrzny adres (między 1 a 2 listopada) – choć nie oznacza to, że wyłącznie ich dane uległy naruszeniu ochrony. Według ustaleń operatora nie doszło do „bezpośredniego dostępu do baz danych systemu”.

Wysyłane powiadomienia nie zawierały danych kart płatniczych bądź haseł.

Phishing - bądź ostrożny

Dane pozyskane podczas ataku na system rezerwacji noclegów mogą służyć do dalszego wyłudzania informacji w ramach ataków phishingowych.

Pod koniec 2025 roku opisywaliśmy taką kampanię, skutkującą m.in. wysyłką spreparowanych maili dotyczących rzekomego „potwierdzenia rezerwacji”. Na łamach Sekuraka przytoczono przykład fałszywej wiadomości.

W lipcu br. doszło do kolejnego ataku na system rezerwacyjny w Polsce. Wektorem ataku miała być podatność typu SQL Injection.

Pamiętajmy, że w przypadku otrzymania wiadomości od hotelu (bądź innego obiektu noclegowego), której się nie spodziewamy, warto skontaktować się bezpośrednio z danym obiektem, aby upewnić się, że jest prawdziwa. Nigdy nie powinniśmy podawać danych (zarówno do płatności i osobowych) w sytuacji, gdy nie jesteśmy pewni, że wiadomość pochodzi od prawdziwego nadawcy – zawsze lepiej zaczekać i kierować się zasadą ograniczonego zaufania.

Cyberprzestępcy wykorzystują różne scenariusze, często nakłaniające nas do szybkiego podjęcia działania – pamiętajmy, że zawsze warto dokładnie zweryfikować nadawcę niż paść ofiarą oszustwa.

W przypadku takich incydentów powinniśmy pamiętać, że posługiwanie się naszymi prawdziwymi danymi (np. imieniem, nazwiskiem, numerem telefonu czy adresem e-mail) nie oznacza, że mamy do czynienia z prawdziwą organizacją.

Wszelkie podejrzane wiadomości warto zgłaszać do CERT Polska. Złośliwe SMS-y możemy przekierowywać na numer 8080.

Prosimy o zachowanie szczególnej ostrożności w przypadku korespondencji gdzie będą Państwo poproszeni o wniesienie opłaty za wynajęty apartament lub nadawca takiej wiadomości będzie prosił o podanie kolejnych danych (np. Nr. Pesel, nr dokumentu tożsamości)
FengShui4U

Najbardziej prawdopodobnym następstwem zdarzenia są próby oszustwa z wykorzystaniem ujawnionych informacji, w szczególności poprzez wiadomości e-mail, SMS lub połączenia telefoniczne od osób podszywających się pod nasz obiekt, operatora systemu rezerwacyjnego albo podmioty obsługujące płatności.
City of the Kings

Wszystkim chętnym polecamy anonimowy kontakt z nami – należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.