Wyciek numerów PESEL w MZK. Winnych nadal nie ma, a pytań przybywa
Sprawa wycieku danych osobowych pasażerów Międzygminnego Związku Komunikacyjnego w Jastrzębiu-Zdroju nadal wzbudza zainteresowanie. Chodzi o dane szczególnie wrażliwe, w tym numery PESEL, które mogą zostać wykorzystane do prób wyłudzeń czy kradzieży tożsamości. Pojawiły się pytania, kto zawinił i kto poniesie konsekwencje tej sytuacji.
Wiesz coś więcej na ten temat?
Napisz do nas
Po publikacjach dotyczących incydentu radni Anna Hetman i Roman Foksowicz skierowali do prezydenta miasta szczegółową interpelację. Pytali między innymi o skalę wycieku, przyczyny zdarzenia, zabezpieczenia funkcjonujące w MZK oraz o to, czy ustalono już osoby odpowiedzialne za naruszenie bezpieczeństwa danych.
Odpowiedź przygotował dyrektor Biura MZK, Rafał Stelmaczonek. Dokument wyjaśnia część okoliczności, ale nie zamyka sprawy.
Jak doszło do wycieku?
Jak wynika z odpowiedzi MZK, 20 czerwca 2026 roku wykryto nieautoryzowany dostęp do systemu sprzedaży i obsługi biletów internetowych działającego pod adresem bilet.mzkjastrzebie.com. Według związku osoba nieuprawniona uzyskała dostęp do danych znajdujących się w systemie.
MZK przyznaje, że naruszenie mogło dotyczyć około 23 tys. pasażerów. Wśród danych, które mogły zostać ujawnione, wymieniono m.in. imię, nazwisko, adres zamieszkania oraz numer PESEL. Jednocześnie zaznaczono, że analiza trwa i liczba osób objętych incydentem może jeszcze ulec zmianie.
To właśnie ten fragment powinien szczególnie zainteresować pasażerów. Mimo że od wykrycia incydentu minęło już kilkanaście dni, nadal nie ma ostatecznej odpowiedzi, jak szeroki był wyciek.
System był zabezpieczony. Ale doszło do włamania
W odpowiedzi czytamy, że system był utrzymywany przez zewnętrznego wykonawcę i miał posiadać m.in. autoryzację dostępu, monitoring serwerów oraz rozwiązania chroniące przed próbami nieuprawnionego dostępu. MZK podkreśla również, że wykonawca wdrożył środki techniczne i organizacyjne wymagane przez przepisy RODO.
Jednocześnie ten sam system stał się celem skutecznego ataku. Jak dokładnie do niego doszło? Tego na razie nie wiadomo.
„Nie ustalono jednoznacznej przyczyny"
MZK informuje, że „na obecnym etapie nie ustalono jednoznacznej przyczyny zdarzenia”. Trwa analiza logów systemowych, a szczegółowe ustalenia, w tym ocena prawidłowości działania zastosowanych zabezpieczeń, mają zostać przedstawione po zakończeniu postępowania wyjaśniającego.
Innymi słowy: wiadomo, że doszło do naruszenia, wiadomo, że wyciekły lub mogły wyciec dane pasażerów, ale nadal nie wiadomo dokładnie, dlaczego system okazał się podatny na atak.
Sprawą zajmuje się UODO i CERT Polska
MZK zapewnia, że incydent został zgłoszony do Prezesa Urzędu Ochrony Danych Osobowych w terminie przewidzianym przepisami. Informację przekazano również do CERT Polska.
Po wykryciu naruszenia podjęto działania mające zabezpieczyć system, ograniczyć możliwość dalszego dostępu do danych oraz ustalić zakres zdarzenia. Zewnętrzni specjaliści mają prowadzić analizę bezpieczeństwa.
Co z odpowiedzialnością?
Radni wprost pytali, czy ustalono osoby odpowiedzialne za sytuację i jakie konsekwencje zostaną wyciągnięte. Odpowiedź brzmi: na obecnym etapie nie ustalono odpowiedzialności za zaistniały incydent. Trwają czynności wyjaśniające prowadzone we współpracy ze specjalistami ds. cyberbezpieczeństwa. Dopiero po zakończeniu analiz możliwa będzie ocena, czy doszło do naruszenia obowiązków przez konkretną osobę lub podmiot.
To oznacza, że mimo skali zdarzenia i potencjalnego zagrożenia dla tysięcy mieszkańców, nadal nie wiadomo, kto odpowiada za powstałą sytuację.
Co powinni zrobić pasażerowie?
MZK informuje, że osoby, których dane mogły zostać naruszone, zostały powiadomione m.in. wiadomościami SMS i e-mail. Na stronie internetowej opublikowano również komunikat zawierający zalecenia bezpieczeństwa. W odpowiedzi wskazano m.in. na konieczność podjęcia standardowych działań ochronnych, takich jak monitorowanie aktywności finansowej czy rozważenie zastrzeżenia numeru PESEL.
Jedno jest pewne: sprawa nie kończy się na samym wycieku. Dla wielu mieszkańców najważniejsze pytania pozostają nadal bez odpowiedzi. Ilu dokładnie pasażerów zostało poszkodowanych? Jak doszło do włamania? I czy ktoś poniesie za nie odpowiedzialność?