Článek
Kybernetickým útočníkům se podařilo získat data z komunikace se zákazníky za období přibližně od dubna do října 2026. Podařilo se odcizit jména, e-maily, v některých případech i telefonní čísla či přepisy komunikace mezi klienty a zákaznickou podporou, včetně souborů, které klienti do chatu nahráli.
V balíku odcizených dat mohou být i přepisy telefonních hovorů nebo údaje, které klienti sami uvedli, jako doručovací adresa nebo detaily objednávky.
Firma tvrdí, že už bezpečnostní chybu opravila a přijala další bezpečnostní opatření. Incident oznámila Národnímu úřadu pro kybernetickou a informační bezpečnost a Úřadu pro ochranu osobních údajů. Také oslovila dotčené klienty e-mailem.
„Ochrana osobních údajů našich zákazníků je pro nás zásadní. Mrzí nás, že došlo k neoprávněnému přístupu k části jejich komunikace s naší zákaznickou podporou,“ uvedl provozní ředitel skupiny Rohlik Group Erwin Brunner.
Společnost zatím neupřesnila, kolik klientů přišlo o data, ani to, zda se problém týká i zahraničí. Rohlík je největším českým online prodejcem potravin, má však byznys také v Německu, Rakousku a Maďarsku.
E-mail, který společnost v neděli rozeslala dotčeným klientům a jehož obsah zmínilo zpravodajství Novinky a server Lupa, ukazuje, že napadený nástroj neobsahoval jen samotné kontakty a zprávy. Ukládal také přehled změn obsahu nákupního košíku a krátké poznámky virtuálního asistenta z rozhovorů se zákazníky. V komunikaci se navíc mohly objevit doručovací adresy nebo čísla objednávek, pokud je klienti sami uvedli.
Podle vyjádření Rohlíku pro ČTK nebyly narušeny přihlašovací ani platební systémy. Firma zároveň uvedla, že napřímo kontaktovala zákazníky, kteří v komunikaci s podporou sami sdělili heslo nebo údaje o platební kartě. Kolika zákazníků se to týká a zda byly odcizeny také tyto údaje, v tomto vyjádření neupřesnila.
Redakce Seznam Zpráv požádala v pondělí ráno společnost o vyjádření k rozsahu incidentu i jeho charakteru. Mluvčí si vyžádal otázky písemně, zatím na ně však neodpověděl.
E-mail zákazníkům uvádí, že únik dat se týká chatů z období od 1. dubna do 5. října, přepisů telefonních hovorů od 28. dubna do 5. října a e-mailů od 28. června do 22. září letošního roku. Jde o období uložené komunikace. Jak dlouho měl útočník do systému přístup, zveřejněné informace neříkají.
Rohlík varuje před podvodnými e-maily, SMS a telefonáty. Podvodníci mohou podle firmy využít znalost konkrétního zboží, aby jejich žádost působila důvěryhodně. Společnost připomíná, že nikdy nepožaduje hesla ani údaje o kartě. Platební odkazy či pokyny k bankovnímu převodu posílá pouze po předchozí dohodě se zákazníkem.
Firma také klientům doporučuje změnit hesla, která mohli někteří klienti v komunikaci zmínit.
Co na únik dat říká vedoucí výzkumného týmu v pražské pobočce společnosti ESET Jakub Souček?
1. Jaké riziko pro zákazníky představuje únik těchto dat?
„S ohledem na povahu uniklých dat, jako jsou obsahy komunikací s podporou a virtuálními asistenty nebo přepisy hovorů a konverzací v chatu, by se měli uživatelé a uživatelky připravit na velkou vlnu útoků pomocí technik sociálního inženýrství, jako jsou například phishing či vishing. Právě kombinace obsahu chatu a přepisu hovoru je z bezpečnostního pohledu problematická, protože to útočníkům dává možnost personalizované podvodné komunikace, která může budit zdání, že navazuje na předešlou, legitimní komunikaci. Útočník například zná předmět řešení, čísla faktur, reklamací, datum apod. Taková podoba podvodné komunikace může z našeho pohledu překvapit i jindy ostražité uživatele.“
2.Přibývá podobných pokusů o krádeže dat z firem?
„Firmy čelí podobným útokům stále častěji, protože uživatelská data jsou dnes velmi vyhledávaným cílem – slouží k přípravě dalších útoků nebo je lze prodat na černém trhu. Existují dnes již dokonce útočné skupiny, které dokážou prostřednictvím zneužití zranitelností napadnout stovky subjektů. Pokud se útočníci dostanou k obzvláště citlivým datům, mohou subjekt dokonce vydírat jejich zveřejněním. Ve všech případech útočníci sledují hlavně finanční zisk.“
3.Jak je možné, že firmy jako Rohlík nejsou plně chráněné? Podcenily něco?
„V tuto chvíli neznáme detaily útoku, takže nelze jednoznačně říct, kde se stala chyba, která vedla k tomuto incidentu, a zda firma podcenila obranu před kybernetickými útoky. Mohlo se jednat o sociální inženýrství, ale mohlo jít i o chybu v softwaru externího dodavatele. Přesnou příčinu útoku odhalí až další vyšetřování incidentu.“
