Český online supermarket Rohlík.cz upozornil zákazníkov, že neoprávnená osoba získala prístup k jeho nástroju zákazníckej podpory a stiahla z neho časť dát. Uniknúť mohli mená, e-mailové adresy, telefónne čísla aj obsah komunikácie za približne pol roka. Prihlasovacie a platobné systémy údajne zasiahnuté neboli.
Na bezpečnostný incident upozornil priamo Rohlík.cz v nedeľu 11. októbra e-mailom, o čom informoval portál Novinky.cz. Podľa firmy získala „neoprávnená osoba“ prístup k internému nástroju zákazníckej podpory a stiahla z neho časť dát. Spoločnosť uvádza, že prístup zablokovala hneď, ako ho zistila, niektoré údaje však medzitým stihli uniknúť. Koľkých ľudí sa únik týka, zatiaľ nie je jasné. Hovorca firmy na otázky o počte zasiahnutých zákazníkov neodpovedal.
Ondřej Obergruber, ktorý za Rohlík hovoril s českou tlačovou agentúrou ČTK, zdôraznil, že prihlasovacie ani platobné systémy narušené neboli a samotná aplikácia funguje bez obmedzení. Erwin Brunner, ktorý sa vyjadroval za vedenie firmy, povedal, že spoločnosť ľutuje neoprávnený prístup k časti komunikácie zákazníkov so zákazníckou podporou. Doplnil, že firma chybu opravila a zabránila rozsiahlejšiemu úniku.
Aké údaje unikli
Rohlík v e-mailoch zákazníkom vysvetlil, že útočník mohol získať ich meno, e-mailovú adresu a obsah komunikácie s firmou. Môže ísť o e-maily, ktoré zákazníci poslali podpore, o chaty a súbory nahraté do chatu, ale aj o prepisy telefonických hovorov vrátane telefónneho čísla. Týka sa to rozhovorov so živými operátormi aj s virtuálnym asistentom. Firma zároveň upozornila, že v uniknutej komunikácii môžu byť aj údaje, ktoré do nej zákazníci napísali sami, napríklad doručovacia adresa alebo číslo objednávky.
Spresnila aj obdobia, ktorých sa únik týka. Pri komunikácii a chatoch ide o obdobie od 1. apríla do 5. októbra 2026, teda o 188 dní. Prepisy telefonických hovorov pokrývajú obdobie od 28. apríla do 5. októbra, čo je 161 dní, zatiaľ čo e-maily zaslané podpore obdobie od 28. júna do 22. septembra, teda 87 dní. Citlivejšia situácia je pri zákazníkoch, ktorí v komunikácii s podporou sami uviedli heslo alebo údaje o platobnej karte. Tých vraj Rohlík.cz kontaktoval priamo.
Na prvý pohľad sa meno, e-mail a niekoľko správ o meškajúcej objednávke nezdajú byť veľkou hrozbou. Práve takéto dáta sú však pre podvodníkov mimoriadne cenné. Kto pozná vaše meno, e-mail, telefónne číslo, adresu a dokonca aj číslo konkrétnej objednávky či obsah sťažnosti, ktorú ste riešili, dokáže napísať veľmi dôveryhodnú podvodnú správu. Tá potom nepôsobí ako spam, ale ako pokračovanie skutočnej komunikácie, ktorú daná osoba viedla s platformou. Podvodník vám môže napísať, že k vašej reklamácii z augusta treba doplatiť drobný poplatok, alebo že pre vrátenie peňazí za chýbajúci tovar musíte „overiť“ kartu na priloženom odkaze. Keďže bude poznať detaily, ktoré by mal vedieť len obchod, je oveľa ľahšie mu uveriť. Rovnaké riziko platí aj pri telefonátoch, kde sa môže volajúci odvolávať na váš predošlý hovor so zákazníckou linkou.
Incident nahlásili úradom
Rohlík.cz v e-maile zákazníkom vysvetlil, že prístup útočníka okamžite zablokoval, chybu opravil a zabezpečenie systémov ďalej posilňuje, aby dokázal predchádzať podobným sofistikovaným útokom. Incident v súlade so zákonom ohlásil českému Úradu pre ochranu osobných údajov. Nahlásil ho aj Národnému úradu pre kybernetickú a informačnú bezpečnosť (NÚKIB), ktorý je obdobou nášho Národného bezpečnostného úradu.
Povinnosť hlásiť únik osobných údajov vyplýva z európskeho nariadenia GDPR. Prevádzkovateľ musí porušenie ochrany údajov oznámiť dozornému orgánu spravidla do 72 hodín od chvíle, keď sa o ňom dozvedel. A ak hrozí vysoké riziko pre práva ľudí, musí informovať aj ich samotných. Ako dlho útočník videl do systému podpory, zatiaľ nevieme.
Čo treba spraviť?
Rohlík.cz zákazníkom odporučil, aby boli obozretní pri správach a telefonátoch, ktoré sa budú vydávať za firmu, napríklad so žiadosťou o platbu na inom webe alebo o zmenu prihlasovacích údajov. Pripomína, že od zákazníkov nikdy nežiada heslo ani údaje o platobnej karte, pričomodkaz na platbu alebo údaje na bankový prevod posiela len po predchádzajúcej dohode so zákazníkom. Preto nie je rozumné otvárať neočakávané odkazy v e-mailoch ani SMS.
Pri akejkoľvek pochybnosti je najbezpečnejšie overiť si správu priamo cez oficiálnu aplikáciu alebo web obchodu, nie cez odkaz v správe. Rohlík pre otázky uvádza zákaznícku linku 800 730 740, e-mail zakaznici@rohlik.cz a pre otázky k ochrane údajov adresu privacy@rohlikgroup.com.
