Dębica, 05 marca 2026 r.
Zarząd SURET Sp. z o.o. z siedzibą w Dębicy, ul. Fabryczna 12, 39-200 Dębica, (dalej: Spółka), na podstawie art. 34 w zw. z art. 33 ust. 3 lit. b, c i d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), informuje, że wskutek nieuprawnionego przełamania zabezpieczeń przez podmiot zewnętrzny, w dniu 20 grudnia 2025 roku doszło do zaszyfrowania baz danych prowadzonych przez Suret Spółka z ograniczoną odpowiedzialnością z siedzibą w Dębicy, zawierających dane pracowników, współpracowników oraz byłych członków personelu Spółki. Na dzień wysłania do Państwa niniejszej wiadomości, Spółka dysponuje wiedzą jedynie w przedmiocie zaszyfrowania przedmiotowych baz danych w sposób czasowo pozbawiający Spółkę możliwości korzystania z nich. Nie jest zatem wiadome, by zawartość baz danych została udostępniona osobom trzecim. Incydent został niezwłocznie zgłoszony organom ścigania, do CERT (NASK) oraz Prezesowi Urzędu Ochrony Danych Osobowych (PUODO).
Analiza ataku przeprowadzona z udziałem zewnętrznych ekspertów wykazała, że w jego wyniku doszło do nieuprawnionego dostępu do danych osobowych obecnych i byłych Klientów, Kontrahentów, Pracowników i Współpracowników Spółki. Doszło również do nieuprawnionego pobrania danych z serwerów. Analiza przeprowadzona przez Spółkę prowadzi do wniosku, iż atak mógł dotyczyć również danych wyżej wymienionych kategorii osób. Z uwagi na fakt, że nie posiadamy aktualnych danych kontaktowych do wszystkich osób, których ten atak może dotyczyć, niniejszym komunikatem publicznym wypełniamy obowiązek informacyjny wynikający z art. 34 RODO.
Jakie dane są zagrożone?
Naruszenie poufności może dotyczyć następujących kategorii danych:
- imię i nazwisko,
- adres zamieszkania,
- numer PESEL,
- numer telefonu,
- adres e-mail,
- seria i numer dowodu osobistego,
- inne dane osobowe podane w związku z podjęciem pracy / współpracy.
Działając z najwyższą starannością, informujemy o możliwie najszerszym zakresie kategorii danych osobowych, które mogły zostać objęte naruszeniem. Jednocześnie informujemy, że w odniesieniu do konkretnych osób zakres ich danych osobowych, który mógł ulec naruszeniu, może być mniejszy.
Podjęte działania
Niezwłocznie po wykryciu zagrożenia podjęliśmy działania mające na celu zabezpieczenie systemów i zablokowanie ataku. O incydencie powiadomiliśmy Prezesa Urzędu Ochrony Danych Osobowych oraz właściwe organy ścigania.
Informujemy ponadto, że w związku z ujawnionym naruszeniem, celem zmniejszenia jego skutków oraz wdrożenia lepszych zabezpieczeń na przyszłość, wprowadziliśmy wzmocniony system uwierzytelniania logowań. W kolejnych miesiącach wprowadzone zostaną kolejne unowocześnienia w zakresie stosowanej przez nas infrastruktury informatycznej.
Możliwe konsekwencje dla osób, których dane dotyczą
Zgodnie z przepisami prawa, informujemy o potencjalnych ryzykach związanych z nieuprawnionym dostępem do tego typu danych. Istnieje zagrożenie, że osoby nieuprawnione mogą próbować wykorzystać te dane do celów przestępczych lub innych nieuprawnionych działań, między innymi takich jak:
- próby uzyskania kredytów lub pożyczek;
- próby wyłudzenia usług (np. telekomunikacyjnych), ubezpieczeń lub zawarcia innych umów;
- możliwość uzyskania dostępu do świadczeń opieki zdrowotnej (np. rejestracja na podstawie PESEL);
- możliwość korzystania z praw obywatelskich w imieniu osoby poszkodowanej (np. głosowanie w budżecie obywatelskim);
- próby wyłudzenia danych osobowych lub środków finansowych poprzez podszywanie się pod zaufane instytucje (phishing: telefon, e-mail, SMS);
- próby uzyskania nieuprawnionych informacji o sytuacji majątkowej lub podejmowanie prób uzyskania dostępu do kont i usług powiązanych z danymi kontaktowymi;
- próby zakładania kont internetowych na cudze dane (np. w serwisach społecznościowych) lub wykorzystywanie ich do dalszych nadużyć;
- próby wykorzystania danych w celu kradzieży tożsamości lub podszywania się (np. podanie cudzych danych jako własnych);
- otrzymywanie niezamówionych informacji handlowych (spam, niechciane połączenia telefoniczne) w wyniku nieuprawnionego użycia danych kontaktowych;
- próby zarejestrowania przedpłaconej karty telefonicznej (pre-paid), która może posłużyć do celów przestępczych;
- ryzyko uzyskania dostępu do świadczeń w ZUS, KRUS lub NFZ;
- ryzyko wystąpienia ukierunkowanych ataków socjotechnicznych, oszustw metodą “na wnuczka” czy “na policjanta”.
Zalecane działania ochronne
Dla własnego bezpieczeństwa zalecamy podjęcie kroków prewencyjnych:
Zastrzeżenie numeru PESEL: Jest to najskuteczniejsza metoda ochrony przed wyłudzeniem kredytu. Można to zrobić bezpłatnie i natychmiastowo w rządowej aplikacji mObywatel, na stronie mobywatel.gov.pl lub w dowolnym urzędzie gminy (szczegółowe informacje o sposobie zastrzeżenia numeru PESEL dostępne są na stronie internetowej: https://www.gov.pl/web/gov/zastrzez-swoj-numer-pesel-lub-cofnij-zastrzezenie)
Monitorowanie aktywności kredytowej: Warto skorzystać z usług biur informacji gospodarczej (np. Alerty BIK), aby otrzymywać powiadomienia o próbach użycia danych. (np. https://www.bik.pl/klienci-indywidualni)
Wzmożona ostrożność: Prosimy o szczególną czujność wobec podejrzanych wiadomości e-mail, SMS lub telefonów, w których nadawcy proszą o podanie dodatkowych danych lub wykonanie przelewów.
Weryfikacja bezpieczeństwa danych: Zachęcamy do korzystania z rządowego serwisu https://bezpiecznedane.gov.pl (aktywny link: Bezpieczne dane), stworzonego przez Ministerstwo Cyfryzacji i NASK. Narzędzie to pozwala sprawdzić, czy Państwa dane znalazły się w jakimkolwiek ujawnionym w sieci wycieku, co pomaga zachować kontrolę nad cyfrowym bezpieczeństwem.
W przypadku stwierdzenia tzw. ‘kradzieży tożsamości’ (tj. wykorzystania danych przez osobę nieuprawnioną np. poprzez „podszycie się”), zalecamy niezwłoczne zgłoszenie tego faktu właściwym organom – Policji lub Prokuraturze w celu zapobieżenia przestępczym działaniom.
Celem szerszego wyjaśnienia sytuacji, w razie zaistnienia takiej potrzeby z Państwa strony, prosimy o kontakt mailowy pod adresem: suret@suret.com.pl
Ponadto, na podstawie art. 77 RODO, przysługuje Państwu prawo do wniesienia skargi do organu nadzorczego w zakresie ochrony danych osobowych, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Skargę można złożyć w formie pisemnej, elektronicznej lub osobiście w siedzibie Urzędu:
- strona internetowa: uodo.gov.pl
- adres korespondencyjny: ul. Stanisława Moniuszki 1A, 00-014 Warszawa
Wyrażamy ubolewanie z powodu zaistniałej sytuacji i przepraszamy wszystkich Państwa za zaistniałą sytuację.
Zarząd SURET Sp. z o.o.
