Fałszywe wezwanie UODO do firm od monitoringu

UODO ostrzegł 20 października 2026 roku firmy instalujące monitoring przed fałszywym “urzędowym wezwaniem”, które w siedem dni roboczych każe przesłać arkusz XLSX z adresami klientów i konfiguracją kamer. Urząd potwierdził, że nie wysłał tej wiadomości. Zestaw zawiera dokładne współrzędne, adresy IP, numery seryjne, modele i wersje oprogramowania. Dla napastnika to gotowa mapa urządzeń, w których można szukać starych wersji firmware’u albo ustawień fabrycznych.

Fałszywe wezwanie UODO zbiera mapę kamer klientów

Kampania jest skierowana do instalatorów monitoringu, serwisów i dostawców urządzeń. CSIRT GOV poinformował UODO o wiadomościach 19 października. Dzień później urząd opublikował ostrzeżenie i wymienił dane żądane przez oszustów:

• kontakt do użytkownika końcowego;
• lokalizację wraz z dokładnymi współrzędnymi geograficznymi;
• adres IP urządzenia i numer seryjny;
• model kamery i wersję firmware’u, czyli wbudowanego oprogramowania.

Pismo wygląda wiarygodnie, ponieważ powołuje się na art. 5, 25 i 32 RODO, używa prawie poprawnych danych urzędu i zawiera tabelę do wypełnienia. Nadawca nadaje sprawie pilność terminem siedmiu dni roboczych oraz nazywa prośbę urzędowym wezwaniem.

Same przepisy są tu dekoracją. UODO wskazał, że wymienione artykuły nie mają większego związku z takim żądaniem danych o instalacjach. Instytucja nie prowadzi tej zbiórki i nigdy nie rozsyła takich pism lub ankiet w formie urzędowego wezwania.

Siedem czerwonych flag w wiadomości

Pojedynczy sygnał powinien uruchomić weryfikację, a kilka naraz wystarcza, żeby wstrzymać odpowiedź:

1. Wiadomość żąda danych wielu klientów, choć nie wskazuje konkretnego postępowania.
2. Brakuje sygnatury sprawy i departamentu, który ją prowadzi.
3. Nadawca oczekuje dokładnych współrzędnych oraz adresów IP urządzeń.
4. Arkusz ma zawierać numery seryjne, modele i wersje firmware’u kamer.
5. Pismo powołuje się ogólnie na art. 5, 25 i 32 RODO, które nie uzasadniają opisanej zbiórki.
6. Termin siedmiu dni roboczych wywiera presję, a prośba sama nazywa się urzędowym wezwaniem.
7. Rzekoma ankieta trafia do instalatorów, dostawców i serwisów, podczas gdy UODO kieruje swoje dobrowolne ankiety do administratorów danych oraz zapowiada je na stronie urzędu.

Nie próbuj rozstrzygać sprawy po samym adresie nadawcy. Pole “Od” da się podrobić, a adres o podobnej pisowni łatwo przeoczyć. Liczą się sygnatura, kanał doręczenia, zakres żądania i potwierdzenie uzyskane niezależnie od wiadomości.

Pierwsza Misja AI · Kodożercy

Zagrożenia AI rozumie ten, kto wie, jak ona działa

Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.

Poznaj pełny program →

Jak rozpoznać prawdziwe pismo UODO

Prawdziwa korespondencja w postępowaniu UODO ma sygnaturę oraz kontakt do departamentu prowadzącego sprawę. Urząd wysyła ją tradycyjną pocztą, przez e-Doręczenia albo ePUAP. Te cechy dają instalatorowi prostą procedurę weryfikacji bez otwierania załącznika i odpowiadania nadawcy.

Jeśli wiadomość nie przechodzi tego testu, wejdź samodzielnie na uodo.gov.pl i skontaktuj się z urzędem przez podany tam kanał. Nie korzystaj z numeru ani adresu z podejrzanej wiadomości.

Co zrobić po otrzymaniu podejrzanej wiadomości

Zatrzymaj korespondencję i zachowaj oryginalną wiadomość wraz z załącznikiem. Samo przekazanie e-maila dalej może usunąć część informacji technicznych. Baza wiedzy CERT Polska zaleca zapis jako plik EML lub MSG, ponieważ zawiera on treść, załączniki i nagłówki potrzebne do analizy.

Kolejność działań dla firmy instalacyjnej:

1. Nie otwieraj arkusza i nie odpowiadaj nadawcy.
2. Zapisz wiadomość jako EML lub MSG. Jeśli program tego nie potrafi, zachowaj pełne nagłówki.
3. Zgłoś wiadomość przez incydent.cert.pl i do osoby odpowiedzialnej za bezpieczeństwo w firmie.
4. Sprawdź niezależnym kanałem, czy urząd prowadzi wobec firmy postępowanie.
5. Ostrzeż pracowników obsługujących wspólną skrzynkę oraz osoby, które mogą mieć dostęp do rejestru klientów.

Taka wiadomość pasuje do klasycznego phishingu, czyli podszycia pod zaufaną instytucję w celu wyłudzenia danych. Szerszą listę sygnałów ostrzegawczych opisaliśmy w poradniku phishing: co to jest i jak go rozpoznać.

Wysłałeś arkusz? Pierwsze godziny mają znaczenie

Po wysłaniu danych potraktuj sprawę jako incydent bezpieczeństwa i odtwórz dokładny zakres ujawnienia. Zapisz godzinę odpowiedzi, wersję wysłanego pliku, adresata oraz listę osób i urządzeń w arkuszu. Nie kasuj poczty. Materiał będzie potrzebny CERT Polska, klientom i osobie oceniającej naruszenie danych.

Następnie podziel ujawnione informacje na dwie grupy. Dane kontaktowe, adresy i dokładne lokalizacje mogą być danymi osobowymi. Adresy IP, numery seryjne i wersje firmware’u tworzą listę techniczną urządzeń do pilnego przeglądu. Po ustaleniu zakresu ujawnienia firma powinna szybko skontaktować się z klientami, których sprzęt rzeczywiście wymaga zabezpieczenia, i przekazać im plan działań bez spekulowania o przejęciu kamer.

Administrator danych musi szybko ocenić, czy doszło do naruszenia ochrony danych osobowych. UODO wyjaśnia termin zgłoszenia: w miarę możliwości do 72 godzin od stwierdzenia naruszenia, chyba że ryzyko dla praw i wolności osób jest mało prawdopodobne. Samo wysłanie arkusza nie daje automatycznej odpowiedzi. Liczy się zawartość pliku, rola firmy wobec danych i realne ryzyko. Gdy instalator działa jako podmiot przetwarzający, przekazuje informację administratorowi bez zbędnej zwłoki.

Jak zabezpieczyć kamery wymienione w fałszywym piśmie

Lista modeli, wersji oprogramowania i adresów IP ułatwia wyszukiwanie urządzeń ze znanymi lukami. UODO ostrzega też przed wykorzystaniem fabrycznych ustawień. Dlatego przegląd powinien objąć każdą kamerę i rejestrator wymienione w wysłanym pliku.

• Zmień hasła domyślne i wszystkie hasła współdzielone między instalacjami.
• Sprawdź u producenta najnowszą wersję firmware’u dla dokładnego modelu i zainstaluj poprawki.
• Wyłącz zbędny dostęp z internetu. Dostęp serwisowy ogranicz przez VPN albo listę dozwolonych adresów.
• Włącz uwierzytelnianie wieloskładnikowe tam, gdzie panel lub usługa chmurowa je obsługuje.
• Przejrzyj logi logowań, zmiany konfiguracji i połączenia wychodzące od chwili wysłania arkusza.
• Wymień urządzenie, jeżeli producent zakończył wsparcie i nie publikuje poprawek.

To są ogólne zalecenia dla urządzeń dostępnych z internetu, zgodne z wytycznymi CISA o ograniczaniu ekspozycji. Czy konkretna kamera została zaatakowana, pokażą dopiero logi i przegląd konfiguracji. Właściciel kamery powinien przy okazji sprawdzić także zgodność samego nagrywania z przepisami. Praktyczne granice pokazuje nasz tekst o kamerze na posesji i decyzji UODO.

FAQ

Czy prawdziwe UODO może napisać e-mailem?

Komunikat z 20 października opisuje prawdziwe postępowania jako korespondencję pocztową, przez e-Doręczenia albo ePUAP, z sygnaturą i kontaktem do prowadzącego departamentu. Urząd publikuje też zwykłe informacje i komunikaty w internecie. Dlatego samo pole nadawcy lub logo nie rozstrzyga sprawy. Potwierdź sygnaturę przez kontakt znaleziony samodzielnie na uodo.gov.pl.

Czy po wysłaniu danych trzeba zawiadomić wszystkich klientów?

Zakres zawiadomień zależy od tego, jakie dane wysłano i jakie ryzyko powstało. Klienci z urządzeniami wymagającymi pilnej zmiany haseł albo aktualizacji powinni szybko dostać instrukcję techniczną. UODO wskazuje próg wysokiego ryzyka dla zawiadomienia osób o naruszeniu danych; wymaga on osobnej oceny administratora.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

Fałszywe wezwanie UODO próbuje zebrać od instalatorów monitoringu kompletną mapę urządzeń klientów: kontakty, współrzędne, adresy IP, numery seryjne, modele i wersje firmware’u. Urząd nie wysłał tej wiadomości. Prawdziwe postępowanie ma sygnaturę, prowadzący departament i trafia pocztą, przez e-Doręczenia albo ePUAP. Podejrzany e-mail zachowaj jako EML lub MSG i zgłoś przez incydent.cert.pl. Jeżeli arkusz został wysłany, ustal jego dokładną zawartość, powiadom osobę odpowiedzialną za bezpieczeństwo i rozpocznij przegląd wymienionych kamer. Priorytetem są nowe, unikalne hasła, aktualne oprogramowanie, ograniczenie dostępu z internetu i analiza logów. Równolegle administrator danych ocenia obowiązki z RODO, w tym termin 72 godzin na zgłoszenie naruszenia, gdy powstało ryzyko dla osób.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.