Autopay, polski operator płatności online i automatycznych opłat za autostrady, potwierdził 13 listopada 2026 roku, że ktoś bez uprawnień dostał się do jego infrastruktury i części danych o płatnościach. Każdy, kto płacił przez tego operatora, powinien teraz przejrzeć historię transakcji i nie ufać wiadomościom, które powołują się na ten incydent. Według komunikatu spółki włamanie wykryto 11 listopada. Firma nie potwierdziła, że dane skopiowano albo wykorzystano, ale napisała, że “nie może tego całkowicie wykluczyć”. Nie podała, ilu klientów i których usług to dotyczy ani jakie dane były w zasięgu włamywacza. Według Sekuraka spółka przekazała, że atak był w dużej mierze zautomatyzowany z pomocą AI, a środki klientów są bezpieczne. Poniżej stan na 13 listopada, godz. 21:50, i lista rzeczy do zrobienia.
Co się stało i co spółka potwierdziła
Spółka Autopay S.A. to dawna Blue Media S.A. z Sopotu, krajowa instytucja płatnicza wpisana do rejestru Komisji Nadzoru Finansowego pod numerem IP17/2013. Obsługuje płatności w sklepach internetowych, opłaty rachunków, doładowania telefonów i płatności BLIK-iem czy kartą. Na swojej stronie deklaruje 50 tys. firm prowadzących z nią sprzedaż online i 12 mln użytkowników miesięcznie. To skala działalności, nie liczba poszkodowanych.
W komunikacie z 13 listopada spółka potwierdza cztery rzeczy:
- 11 listopada 2026 roku stwierdziła “nieautoryzowany dostęp do infrastruktury oraz części danych dotyczących płatności przetworzonych przez Spółkę”,
- po wykryciu zablokowała dostęp, zabezpieczyła system i włączyła dodatkowe monitorowanie,
- zgłosiła zdarzenie Prezesowi UODO, policji i CSIRT KNF, czyli zespołowi reagowania na incydenty przy Komisji Nadzoru Finansowego,
- osoby, których dane mogą dotyczyć, informuje bezpośrednio i przekazuje im konkretne kroki.
Sformułowanie “część danych dotyczących płatności” nie mówi, o jakie dane chodzi. Z komunikatu nie da się ustalić, czy chodzi o dane identyfikujące płatników, szczegóły transakcji czy dane kart. Spółka tego nie doprecyzowała. Pytania o zakres wysłał do niej między innymi Sekurak, który zapowiedział aktualizację po odpowiedzi.
Do 20:45 nie znaleźliśmy osobnego ostrzeżenia na stronach CERT Polska, UODO ani KNF. W relacjach portali, które sprawdziliśmy, nie ma też treści wiadomości wysłanych do klientów.
Jak przebiegł atak według Sekuraka
Wieczorem 13 listopada Sekurak podał, że rozmawiał z menedżerem bezpieczeństwa Autopay i dostał od spółki oficjalnego e-maila. Według przekazanych mu informacji atak był w dużej mierze zautomatyzowany, najpewniej z użyciem dużych modeli językowych. Spółka twierdzi, że ma dowody na automatyzację wspieraną przez AI, a od uzyskania dostępu do eskalacji uprawnień minęło od kilku godzin do najwyżej tygodnia.
Według tej relacji sprawcy przechodzili przez systemy, którym środowisko z założenia ufa: monitoring, CI/CD, automatyzację wdrożeń i zarządzanie hasłami. Większość działań wykonali prawdziwymi poświadczeniami i zwykłymi narzędziami administracyjnymi, więc nie wywoływali typowych alertów. Stacji roboczych nie atakowali.
Spółka przekazała Sekurakowi, że odcięła kanały dostępu, unieważniła poświadczenia, odizolowała i odbudowała zaatakowane serwery, a usługi z ograniczoną dostępnością przywróciła. W e-mailu podkreśliła, że środki klientów są bezpieczne. Nadal nie wiadomo, jakie dane mogły wyciec. To relacja jednego serwisu z rozmowy ze spółką, a nie publiczny komunikat Autopay, dlatego podajemy ją z atrybucją.
Czy wyciek dotyczy płatności za autostrady
Tego nie wiadomo, bo komunikat nie wymienia żadnej usługi. Aplikację dla kierowców, z automatycznymi opłatami na A1, A2 i A4, udostępnia formalnie inna spółka z grupy, Autopay Mobility sp. z o.o. Według regulaminu usługi dostawcą płatności w tej aplikacji jest jednak spółka, która zgłosiła incydent. Kierowcy nie mogą więc zakładać, że sprawa ich nie dotyczy. Klienci sklepów, którzy zapłacili przez tę bramkę płatności, też nie, bo takiej płatności nie widać w nazwie sklepu, tylko na ekranie wyboru metody zapłaty albo w historii przelewów.
Spółka deklaruje, że osoby, których dane mogą być objęte incydentem, informuje bezpośrednio. Brak takiej wiadomości nie przesądza jednak, że sprawa Cię nie dotyczy, dlatego kroki z dalszej części tekstu warto zrobić i tak.
Jak rozpoznać fałszywą wiadomość “od Autopay”
Spółka sama ostrzega przed wiadomościami i telefonami powołującymi się na zdarzenie. Oszuści nie potrzebują nawet wykradzionych danych, żeby wykorzystać głośny incydent i podszyć się pod operatora, sklep albo bank. Pod tę markę podszywali się już wcześniej. W styczniu 2025 roku, jak opisał portal android.com.pl, CERT Orange ostrzegał przed mailami, że “system podwójnie pobrał opłatę” i zwrot nastąpi, jeśli w 48 godzin podasz dane przez link. Link prowadził do formularza z pełnymi danymi karty, łącznie z kodem CVV.
Zatrzymaj się, gdy wiadomość:
- obiecuje zwrot pieniędzy za przejazd, podwójną opłatę albo rekompensatę za wyciek,
- straszy blokadą konta w aplikacji, karą albo nieopłaconym przejazdem i daje kilka godzin na reakcję,
- prosi o numer karty z datą ważności i kodem CVV, kod BLIK, login do banku albo PESEL,
- prowadzi do strony z adresem, który tylko przypomina adres Autopay albo banku,
- przychodzi jako telefon od “działu bezpieczeństwa”, który chce, żebyś zainstalował aplikację albo przelał pieniądze na “bezpieczne konto”.
Prawdziwa wiadomość o incydencie nie wymaga podania danych karty, żeby cokolwiek zwrócić. Stan konta sprawdzaj w aplikacji, którą już masz, albo na stronie, którą wpisujesz ręcznie. Podejrzany SMS przekaż bezpłatnie na numer 8080, do CERT Polska. Szerzej o mechanizmie piszemy w tekście czym jest phishing i jak go rozpoznać.
Co zrobić teraz, jeśli płacisz przez Autopay
Pięć kroków, od najpilniejszego:
- Podałeś dane na stronie z podejrzanej wiadomości? Dzwoń do banku na numer z karty i powiedz, co dokładnie podałeś: przy danych karty zastrzeż ją, przy danych logowania uzgodnij zabezpieczenie bankowości. Próbę oszustwa zgłoś policji. Szczegóły w poradniku oszustwo bankowe: gdzie zgłosić.
- Przejrzyj w aplikacji banku historię transakcji z ostatnich tygodni. Każdą operację, której nie robiłeś, zgłoś bankowi od razu, co zaleca sam operator.
- Jeśli masz kartę podpiętą do aplikacji dla kierowców albo do płatności cyklicznych, włącz w banku powiadomienia o każdej transakcji. Gdy zobaczysz obcą płatność, zastrzeż kartę.
- Jako ogólną ochronę możesz zastrzec PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Komunikat nie potwierdza, że incydent objął numery PESEL, ale zastrzeżenie utrudnia wzięcie kredytu na Twoje dane.
- Sprawdź swój PESEL, adres e-mail i numer telefonu w rządowym serwisie bezpiecznedane.gov.pl. Wynik nie powie, czy dotyczy Cię ten incydent.
Nie zmieniaj w panice wszystkich haseł. Komunikat nie wspomina o hasłach, a pośpiech to właśnie to, na co liczą autorzy fałszywych wiadomości.
Wcześniejszy incydent z adresami e-mail w 2023 roku
Spółka miała już kłopot z danymi klientów. W kwietniu 2023 roku, jak opisał wtedy Tabletowo, w mailingu do użytkowników aplikacji część odbiorców dostała zamiast regulaminu plik z adresami e-mail innych użytkowników. Chodziło o około 150 tys. adresów. Według tej relacji firma zawiadomiła wtedy UODO. Tamten incydent był wysyłką złego pliku i dotyczył samych adresów. Obecne zdarzenie spółka sama nazywa cyberatakiem, a dotyczy danych o płatnościach.
W tym samym tygodniu opisywaliśmy wyciek z systemu rezerwacji IdoBooking. Tam w ręce włamywacza trafiły szczegóły rezerwacji, które mogą uwiarygodnić fałszywą prośbę o dopłatę. W przypadku Autopay nikt nie potwierdził, że dane wykorzystano do takich oszustw, ale ostrożność wobec próśb o płatność obowiązuje tak samo.
FAQ
Czy po tym incydencie muszę zastrzec kartę?
Sam komunikat nie daje podstaw, żeby zalecać to wszystkim klientom, bo nie mówi, czy dane kart były w zasięgu włamywacza. Każdą nieznaną operację od razu zgłoś bankowi. Jeśli dotyczy karty albo podałeś jej dane na podejrzanej stronie, zastrzeż kartę. Jeśli dostaniesz od operatora albo banku indywidualne zalecenia, kieruj się nimi.
Czy mail od Autopay o incydencie może być prawdziwy?
Tak, bo spółka zapowiedziała, że osoby, których dane mogą dotyczyć, informuje bezpośrednio. Nie klikaj jednak linków z takiej wiadomości i nie podawaj w odpowiedzi żadnych danych. Jeśli masz wątpliwości, zadzwoń na infolinię operatora, której numer znajdziesz sam na jego oficjalnej stronie.
Podsumowanie
W komunikacie z 13 listopada 2026 roku Autopay poinformował, że 11 listopada wykrył nieautoryzowany dostęp do infrastruktury i części danych dotyczących płatności. Spółka nie potwierdziła skopiowania ani wykorzystania danych, ale nie może tego wykluczyć. Nie podała, ilu klientów i których usług to dotyczy ani czy w zasięgu były dane kart. Zgłosiła sprawę do UODO, policji i CSIRT KNF, a zagrożonych klientów zawiadamia bezpośrednio. Według Sekuraka atak był zautomatyzowany z pomocą AI, a środki klientów są bezpieczne. Kierowcy płacący za autostrady przez aplikację i klienci sklepów, którzy płacili przez tę bramkę, powinni przejrzeć historię transakcji i zgłaszać bankowi obce operacje. Wiadomości o zwrocie, dopłacie albo blokadzie potwierdzaj przez bank albo infolinię operatora. Tekst zaktualizujemy, gdy spółka poda zakres incydentu.
