Włamania na skrzynki mailowe polskich szkół

Zespół Szkolno-Przedszkolny im. Marii Skłodowskiej-Curie w Ruścu poinformował o „możliwym, nieuprawnionym dostępie odbiorców grupowych wiadomości systemowych przesłanych za pomocą rozwiązania poczty email [email protected] do danych osobowych pozostałych adresatów i treści wiadomości w dniu 01.03.2026 o godz. 21.30”.

W komunikacie stwierdzono, że naruszenie wynikło „w związku z przejęciem hasła do skrzynki e-mail”.

Wiadomo również, że operator hostingu zablokował skrzynkę pocztową wskutek wykrycia spamu. Po nieco ponad dwóch dniach przywrócono działanie skrzynki wraz z kopiami wiadomości. Dokonano zgłoszenia do UODO oraz CERT Polska.

Podkreślono, że zdarzenie wynikało z błędu w systemie zewnętrznego dostawcy.

Kolejna szkoła informuje o włamaniu

6 marca br. Szkoła Podstawowa nr 58 z Oddziałami Integracyjnymi im. Marii Dąbrowskiej w Katowicach poinformowała o włamaniu do „systemu poczty elektronicznej pracownika pedagogicznego”, które miało miejsce 25 lutego br.

Wiadomo, że z przejętego konta wysyłano wiadomości e-mail do „bliżej nieokreślonych odbiorców”.

Szkoła podkreśliła zabezpieczanie hasłem wszystkich wysyłanych plików zawierających dane osobowe. Co ważne, hasło przekazywane jest odrębnym kanałem komunikacji, dzięki czemu samo posiadanie dostępu do skrzynki mailowej nie pozwala zapoznać się z zawartościami załączników bez znajomości lub „odgadnięcia” hasła.

Podobnie jak w przypadku ZSP w Ruścu, dokonano zgłoszenia do CERT Polska oraz Urzędu Ochrony Danych Osobowych.

Nie pierwszy taki incydent

Na przestrzeni ostatniego roku opublikowano wiele komunikatów związanych z włamaniami na skrzynki elektroniczne. Warto podkreślić, że wzrost liczby publicznych zawiadomień może być efektem zwiększonej świadomości administratorów.

Wśród ważnych incydentów tego typu należy wymienić m.in.:

• 04.2025: włamania na skrzynki trzech podmiotów publicznych;
• 09.2025: włamanie na skrzynkę ośrodka pomocy społecznej poprzez „przełamanie hasła";
• 11.2025: udany atak phishingowy na cztery skrzynki mailowe firmy energetycznej;
• 12.2025: włamanie na skrzynkę polskiej spółki akcyjnej, skutkujące rozsyłaniem wiadomości z złośliwymi załącznikami;
• 01.2026: włamanie na skrzynkę jednego z wydziałów starostwa;
• 01.2026: ujawnienie przekierowań wiadomości ze skrzynki gminy oraz przedsiębiorstwa (prawdopodobnie atak typu BEC (Business E-mail Compromise), który ma na celu m.in. wyłudzenie środków poprzez wysyłanie fałszywych wiadomości w ramach już prowadzonej korespondencji);
• 02.2026 : incydent u polskiego hostingodawcy, skutkujący opublikowaniem zawiadomienia przez jeden z urzędów pracy;
• 03.2026: włamanie na skrzynkę pocztową polskiej ciepłowni.

Jak się chronić?

Włamania na skrzynki mailowe zazwyczaj opierają się na jednym z trzech sposobów uzyskania hasła do konta:

• wyłudzenie w ramach ataku phishingowego;
• ponowne użycie danych dostępnych w tzw. „darknecie" (pochodzących m.in. z wycieków);
• działanie złośliwego oprogramowania (np. infostealerów).

W celu zwiększenia bezpieczeństwa naszych kont powszechnie rekomenduje się stosowanie dwuetapowego uwierzytelniania. Polega to na konieczności podania dodatkowego składnika podczas logowania (innego niż hasło), takiego jak m.in.:

• kod z SMS;
• kod z aplikacji uwierzytelniającej;
• potwierdzenie w aplikacji mobilnej;
• fizyczny klucz (U2F).

Dlaczego warto wdrożyć 2FA?

„Dzięki zastosowaniu weryfikacji dwuetapowej, nawet jeśli ktoś pozna nasze hasło, nie będzie w stanie uzyskać dostępu do konta bez drugiego czynnika uwierzytelniającego. To zdecydowanie zwiększa bezpieczeństwo” – podkreśla CERT Polska w materiale poświęconym 2FA.

Choć wdrożenie logowania dwuskładnikowego może wydawać się skomplikowane, warto zaznaczyć, że to pozorne „utrudnienie” znacznie zwiększa poziom bezpieczeństwa naszych kont, co podkreślono w przytoczonym poradniku CERT Polska.

Warto przy tym pamiętać o wygenerowaniu zapasowych kodów, które pozwolą nam uzyskać dostęp do konta w przypadku zgubienia lub zniszczenia „drugiego składnika”.

Jedną z metod zwiększenia bezpieczeństwa naszych kont są tzw. „passkeys”, umożliwiające logowanie bez podawania hasła.

Szerzej dwuetapowe uwierzytelnianie opisaliśmy w artykule na łamach naszego portalu.