Po wycieku z systemu rezerwacji IdoBooking prośba o dopłatę za nocleg może przyjść od oszusta, który zna Twoje nazwisko, termin pobytu, nazwę obiektu i kwotę do zapłaty. Według komunikatów dwóch polskich firm wynajmujących apartamenty, City of the Kings z Krakowa i FengShui4U z Łodzi, od 1 listopada 2026 roku, godz. 00:45, do 2 listopada, godz. 12:38, osoba nieuprawniona dostawała kopie powiadomień o rezerwacjach. To około 36 godzin. Operator potwierdził obiektom, że w powiadomieniach nie było numerów kart, rachunków bankowych ani haseł. Ryzyko jest inne: wiarygodna wiadomość z linkiem do płatności. Zasada na dziś jest prosta: nie płać z linku w SMS-ie, mailu ani na WhatsAppie, tylko zadzwoń do obiektu na numer, który znasz z jego strony albo z wcześniejszej korespondencji.
Co wyciekło z IdoBooking i kogo dotyczy wyciek danych
IdoBooking to polski system do obsługi rezerwacji noclegów, z którego korzystają pensjonaty, apartamenty i hotele. Operatorem jest IdoBooking sp. z o.o. ze Szczecina. Firma deklaruje na swojej stronie ponad 21 tys. obiektów w 21 krajach, ale to liczba klientów, a nie poszkodowanych. Według komunikatu City of the Kings włamywacz dostał się do “części paneli klientów”. Ilu obiektów i gości dotyczy incydent łącznie, nikt publicznie nie podał.
W komunikacie City of the Kings z 6 listopada jest pełna lista danych, które w zależności od rodzaju powiadomienia mogły trafić do włamywacza:
- imię i nazwisko gościa, numer telefonu i adres e-mail,
- numer i źródło rezerwacji, termin pobytu, nazwa obiektu i kwatery,
- liczba gości i zamówione usługi dodatkowe,
- wartość rezerwacji i kwota pozostała do zapłaty,
- informacja o przyjęciu płatności i preferowany język.
W samym City of the Kings potwierdzono naruszenie danych 107 osób. FengShui4U w zawiadomieniu z 9 listopada pisze o imieniu i nazwisku, danych o płatności oraz terminie i miejscu pobytu. Firma zapowiedziała w nim zawiadomienie Prezesa UODO na ten sam dzień.
Do 13 listopada, godz. 15:30, nie znaleźliśmy publicznego komunikatu operatora na jego stronie i blogu ani ostrzeżenia CERT Polska. Wszystko, co wiadomo o przebiegu ataku, pochodzi z informacji, które operator przekazał obiektom, a te opublikowały je dla gości.
Jak doszło do wycieku: jeden adres e-mail w ustawieniach powiadomień
Włamywacz nie musiał wykradać bazy danych. Według komunikatu City of the Kings zdobył dane logowania do wewnętrznej usługi technicznej platformy i założył dodatkowe konto administratora w panelach części klientów. Potem dopisał swój adres e-mail jako odbiorcę automatycznych powiadomień o rezerwacjach. Każda nowa rezerwacja, zmiana albo wpłata, o której system zawiadamiał obiekt, trafiała w kopii także do niego.
Operator wykrył incydent 2 listopada o 9:00, a dostęp zablokował o 12:38. Usunął obce konta i adresy powiadomień, wymienił dane logowania i ustalił listę rezerwacji, których dotyczyły wysłane kopie. Według ustaleń operatora nikt nie zmienił kodu aplikacji, nie zainstalował złośliwego oprogramowania i nie dostał się bezpośrednio do baz danych. Po zablokowaniu powiadomienia przestały trafiać na obce adresy.
Jak rozpoznać fałszywą prośbę o dopłatę za nocleg
Fałszywa wiadomość po tym wycieku będzie wyglądać wiarygodnie, bo oszust zna prawdziwe szczegóły rezerwacji. City of the Kings ostrzega wprost, że znajomość terminu, nazwy obiektu czy kwoty nie potwierdza tożsamości nadawcy. Utrudnia to jeszcze jedna rzecz: prawdziwa prośba o dopłatę też istnieje. W pomocy technicznej systemu opisano, jak obiekt wysyła gościowi z karty rezerwacji wiadomość “prośba o wpłatę” albo “prośba o dopłatę”. Sama treść nie wystarczy więc do oceny.
Sygnały, przy których trzeba się zatrzymać:
- link do płatności przychodzi nieoczekiwanie, zwłaszcza SMS-em albo na WhatsAppie, a nie z adresu, z którego obiekt pisał wcześniej,
- wiadomość podaje nowy numer konta albo prosi o zmianę sposobu zapłaty,
- nadawca straszy anulowaniem rezerwacji w ciągu kilku godzin,
- ktoś prosi, żebyś odesłał dane karty, kod CVV albo kod BLIK w odpowiedzi na wiadomość lub podał je przez telefon,
- link prowadzi do płatności, której obiekt nie potwierdził, na przykład do “potwierdzenia karty”,
- ktoś prosi o PESEL albo numer dowodu, na co uwagę zwraca FengShui4U.
Każdą taką prośbę sprawdź telefonem do obiektu na numer z jego oficjalnej strony albo z potwierdzenia rezerwacji, które dostałeś przed 1 listopada. Nie oddzwaniaj na numer z podejrzanej wiadomości. Jak sprawdzić sam adres, opisujemy w poradniku jak sprawdzić, czy link jest bezpieczny. Podejrzany SMS przekaż bezpłatnie na numer 8080, do CERT Polska. Więcej o mechanizmie takich wiadomości piszemy w tekście czym jest phishing i jak go rozpoznać.
Co zrobić, jeśli zapłaciłeś z linku albo podałeś dane karty
Liczy się czas: im szybciej bank dowie się o oszustwie, tym większa szansa, że zatrzyma pieniądze.
- Zadzwoń do banku na numer z karty albo z aplikacji, zgłoś oszustwo i zastrzeż kartę, jeśli podałeś jej dane.
- Jeśli płaciłeś BLIK-iem, powiedz o tym bankowi od razu. Zapytaj o reklamację transakcji.
- Zmień hasło do skrzynki pocztowej, jeśli wpisałeś je na stronie z linku.
- Złóż zawiadomienie na policji. Zabierz zrzuty wiadomości, numer nadawcy i potwierdzenie płatności.
- Daj znać obiektowi, w którym masz rezerwację. Inni goście mogą dostawać te same wiadomości.
- Rozważ zastrzeżenie numeru PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy, co zaleca FengShui4U.
Według FengShui4U same ujawnione dane, bez PESEL-u i numeru dowodu, co do zasady nie wystarczą do zaciągnięcia zobowiązania w Twoim imieniu. Dlatego tak ważne jest, żeby tych danych nie podawać w odpowiedzi na wiadomość o rezerwacji. Jak sprawdzić, czy Twój PESEL nie krąży w innych wyciekach, opisaliśmy przy okazji serwisu bezpiecznedane.gov.pl.
Co powinien sprawdzić właściciel obiektu, który korzysta z systemu
Gospodarz jest administratorem danych swoich gości, a operator systemu przetwarza je na jego zlecenie. To obiekt ocenia ryzyko dla gości. Naruszenie zgłasza Prezesowi UODO w miarę możliwości do 72 godzin od jego stwierdzenia, chyba że ryzyko jest mało prawdopodobne. Jeśli grozi wysokie ryzyko, musi też zawiadomić gości. City of the Kings opisuje, co zrobił po swojej stronie, i to dobra lista na start:
- przegląd kont użytkowników w panelu, ze szczególną uwagą na konta administratorów, których nikt nie zakładał,
- kontrola adresów, na które idą powiadomienia o rezerwacjach,
- zmiana haseł administratorów,
- ustalenie z operatorem listy rezerwacji objętych kopiami powiadomień,
- informacja dla gości z ostrzeżeniem przed prośbami o płatność.
Warto też uprzedzić gości z przyszłymi rezerwacjami, jak obiekt prosi o dopłaty. Jeśli zawsze wysyłacie link z tego samego adresu, napiszcie to wprost. O obowiązkach przy wycieku po stronie dostawcy pisaliśmy przy incydencie w Fakturowni. FengShui4U na swojej stronie ostrzega gości przed skutkami obu tych incydentów.
Drugi wyciek z polskiego systemu rezerwacji w 2026 roku
To nie pierwszy taki przypadek w tym roku. Na początku lipca 2026 roku Niebezpiecznik opisał atak na system Hotres, który według tej relacji obsługuje ponad 2 tys. obiektów. Według tej relacji goście dostawali na WhatsAppie wiadomości z dokładnymi danymi rezerwacji i linkiem do płatności. Schemat jest ten sam: systemy rezerwacji trzymają dokładnie te dane, których oszust potrzebuje, żeby jego wiadomość wyglądała jak od gospodarza. Na początku listopada głośno było też o wycieku z systemu Amadeus, z którego korzystają linie lotnicze, co opisaliśmy w tekście o wycieku rezerwacji Amadeus. Z kolei 13 listopada cyberatak potwierdził operator płatności Autopay.
FAQ
Skąd mam wiedzieć, czy mój obiekt korzysta z IdoBooking?
Najpewniej zapytać obiekt telefonicznie. Obiekty, których dotyczył incydent, informują gości, bo to one są administratorami danych. Sprawdź, czy zawiadomienie potwierdza naruszenie Twoich danych, czy jest ogólnym ostrzeżeniem, bo City of the Kings kieruje zalecenia także do klientów nieobjętych incydentem. Brak zawiadomienia nie daje pewności, że Twoje dane są bezpieczne.
Czy po tym wycieku muszę zastrzec kartę?
Sam ten wyciek nie jest powodem do zastrzegania karty. Według operatora powiadomienia nie zawierały numerów kart ani rachunków bankowych. Jeśli jednak podałeś dane karty na podejrzanej stronie albo osobie podszywającej się pod obiekt, od razu zadzwoń do banku i zastrzeż kartę.
Podsumowanie
Wyciek z IdoBooking trwał około 36 godzin, od 1 listopada o 00:45 do 2 listopada o 12:38. Przez ten czas włamywacz dostawał kopie powiadomień o rezerwacjach z nazwiskami, kontaktami, terminami i kwotami do zapłaty. Kart, rachunków i haseł w powiadomieniach nie było, dlatego głównym zagrożeniem są wiadomości z prośbą o dopłatę, które wyglądają jak od gospodarza. Każdą prośbę o płatność za nocleg sprawdź telefonem do obiektu na znany numer, a podejrzane SMS-y przekazuj na 8080. Jeśli już zapłaciłeś, dzwoń do banku od razu. Skali incydentu nikt nie podał, a do 13 listopada, godz. 15:30, nie znaleźliśmy publicznego komunikatu operatora. Właściciele obiektów powinni przejrzeć konta administratorów i adresy powiadomień w swoich panelach.
