Czy wyciekły moje dane z ePUAP? To jedno z najważniejszych pytań po cyberataku wykrytym we wtorek, 10 listopada 2026 r. Wyjaśniamy, co potwierdzono, czego nadal nie wiadomo i jakie scenariusze można rozważać.
Stan informacji: 13 listopada 2026 r. Tekst rozróżnia informacje ze sprawdzonych komunikatów i ogólne scenariusze techniczne.
Czy wyciekły moje dane z ePUAP?
W sprawdzonych komunikatach dostępnych 13 listopada nie ma potwierdzenia wycieku danych użytkowników. Przedstawiciel Ministerstwa Cyfryzacji informował, że resort nie ma informacji o wycieku, a platformę odłączono prewencyjnie. Nie jest to jednak równoznaczne z zakończoną analizą wszystkich skutków zdarzenia. Informacje o stanowisku resortu.
Warto oddzielić trzy rzeczy: wykrycie cyberataku, niedostępność usługi i kradzież danych. Mogą wystąpić razem, ale jedno nie dowodzi automatycznie pozostałych. Sama informacja o ataku nie pozwala stwierdzić, że ujawniono dokumenty lub dane konkretnej osoby.
Włamanie do ePUAP: co wiadomo o ataku z 10 listopada?
Minister cyfryzacji Krzysztof Gawkowski poinformował o wykryciu i zatrzymaniu cyberataku. Zapowiedział prace nad przywróceniem pełnej funkcjonalności platformy oraz udział Agencji Bezpieczeństwa Wewnętrznego w wyjaśnianiu incydentu. CyberDefence24 przytoczył również komunikat o niedostępności skrzynek dla obywateli i urzędów. Relacja CyberDefence24.
12 listopada minister przekazał dodatkowo, że źródło ataku znajdowało się za granicą. Według jego wypowiedzi analiza logów wskazywała na przygotowania do późniejszej operacji, która miała zakłócić pracę administracji w grudniu. Nie ujawniono szczegółów technicznych pozwalających odtworzyć przebieg ataku. Wypowiedź ministra, PAP / Money.pl.
Celem cyberataku może być zarówno zdobycie informacji, jak i uniemożliwienie korzystania z systemu w wybranym momencie. Dlatego przy ocenie skutków ważne są nie tylko pytania o wyciek, lecz także o ciągłość działania.
Co mogło się wydarzyć? Możliwe scenariusze cyberataku
Poniższe rozważania są ogólnymi scenariuszami technicznymi. Nie są ustaleniami dotyczącymi ePUAP ani informacją o hipotezach przyjętych przez służby.
1. Rozpoznanie systemu przed późniejszym atakiem
Jednym z możliwych etapów ataku jest ustalanie, jakie elementy są dostępne, jak reagują zabezpieczenia i gdzie można szukać słabości. Sama informacja o przygotowaniach do późniejszej operacji nie pozwala jednak określić, jak daleko zaszły działania przeciwko ePUAP.
W tym scenariuszu ważne byłyby szczegóły zapisów w logach: czy wykryto jedynie podejrzane próby, czy również wykonanie nieuprawnionych operacji. Publiczne informacje nie pozwalają nam tego rozstrzygnąć.
2. Wykorzystanie przejętego konta
Jedną ze znanych dróg dostępu do organizacji jest użycie prawidłowych danych logowania zdobytych wcześniej przez atakującego. Taki mechanizm opisuje m.in. baza MITRE ATT&CK. Nie wymaga on zawsze przełamania samej aplikacji. MITRE: wykorzystanie prawidłowych kont.
Czy tak było w ePUAP? Nie wiadomo. Do potwierdzenia potrzebne byłyby informacje o nieuprawnionych logowaniach, przejętych kontach lub sesjach. Ten scenariusz przypomina jednak, dlaczego ochrona systemu obejmuje także konta administratorów, zasady nadawania uprawnień i wykrywanie nietypowych działań.
3. Próba wykorzystania podatności aplikacji lub jej otoczenia
Inną możliwością jest wykorzystanie błędu w usłudze dostępnej z internetu. Takie ataki stanowią osobną kategorię opisaną przez MITRE ATT&CK. MITRE: wykorzystanie podatności publicznie dostępnej aplikacji.
Bez raportu technicznego nie ma podstaw do wskazywania konkretnego komponentu, producenta czy rodzaju błędu w ePUAP. Nie można też stwierdzić, czy ewentualna podatność była wcześniej znana. Wniosek dla firm pozostaje praktyczny: aktualizacje, przeglądy konfiguracji i testy bezpieczeństwa powinny obejmować całe środowisko, w którym działa aplikacja.
Dlaczego ePUAP nie działał? Czy odłączenie oznacza porażkę zabezpieczeń?
Samo odłączenie platformy nie wystarcza do takiego wniosku. Może być działaniem ograniczającym ryzyko i pozwalającym przeanalizować zdarzenie. W przypadku ePUAP resort właśnie tak uzasadniał tę decyzję. Relacja PAP o prewencyjnym odłączeniu.
Z punktu widzenia użytkownika liczy się również dostępność. Nawet bez kradzieży informacji niedziałający system potrafi utrudnić obsługę spraw. Bezpieczeństwo oprogramowania obejmuje więc ochronę przed ujawnieniem danych, przed ich nieuprawnioną zmianą oraz przed utratą dostępu.
Jak sprawdzić, czy moje dane wyciekły z ePUAP?
Na podstawie sprawdzonych informacji nie można potwierdzić, że dane konkretnego użytkownika zostały ujawnione. Nie należy też traktować przypadkowego internetowego „testu wycieku ePUAP” jako wiarygodnej odpowiedzi.
Warto śledzić komunikaty Ministerstwa Cyfryzacji, Centralnego Ośrodka Informatyki i samej platformy. Szczególną ostrożność należy zachować wobec wiadomości zachęcających do „sprawdzenia danych” przez podanie hasła, numeru PESEL lub kodu autoryzacyjnego.
CERT Polska ostrzega, że głośnym incydentom towarzyszą fałszywe powiadomienia o wyciekach. Podejrzany SMS można przekazać w niezmienionej postaci na numer 8080. Poradnik CERT Polska i zasady zgłaszania SMS-ów.
Bezpieczeństwo systemów informatycznych: lekcja dla firm
Czy firma zauważyłaby nieuprawniony dostęp? Czy wiedziałaby, które dane mogły zostać objęte incydentem? Kto podjąłby decyzję o ograniczeniu dostępu i przywróceniu działania?
To pytania, na które warto odpowiedzieć przed wdrożeniem systemu przechowującego dane klientów. Przydatnym punktem wyjścia jest także lista pytań przed uruchomieniem aplikacji z AI w firmie.
Znaczenie ma podejście producenta do utrzymania oprogramowania. bs4 rozwija systemy dla firm od 2002 r. Platforma bs4 core przeszła testy penetracyjne, a firma wdrożyła System Zarządzania Bezpieczeństwem Informacji zgodny z ISO/IEC 27001:2022. To międzynarodowa norma dotycząca zarządzania bezpieczeństwem informacji. Za rozwój i wsparcie platformy odpowiada zespół specjalistów. Informacje o bezpieczeństwie bs4 core.
Żaden test ani norma nie zapewniają całkowitej odporności na atak. Warto jednak wybierać dostawcę, który potrafi przedstawić konkretne działania służące ochronie danych i utrzymaniu systemu.
Bezpieczeństwo firmowego oprogramowania wymaga uwagi przez cały okres jego użytkowania. Najlepiej zadbać o nie, zanim nazwa naszego systemu pojawi się w nagłówku o cyberataku.