wyciekdanych-rejestr.pl
← Zarejestrowane wycieki

Handel

Wyciek danych z Morele.net

Morele.net to jeden z największych polskich sklepów internetowych, prowadzący też grupę sklepów branżowych.

Administrator: Morele.net sp. z o.o.

Dostęp do danych
2018 — dwukrotny nieautoryzowany dostęp z zewnątrz (wg decyzji Prezesa UODO)
Ujawniono
listopad 2018; zgłoszenie do Prezesa UODO w grudniu 2018 (wg relacji prasowych)
Skala
2,2 mln osób· wg Prezesa UODO
Jakie dane
imię i nazwiskoadres e-mailtelefonadresPESELseria i numer dokumentu tożsamościdane z wniosków ratalnych

Co się stało

Sklep nie zabezpieczył wystarczająco dostępu do bazy klientów. Prezes UODO ustalił, że doszło dwukrotnie do nieautoryzowanego dostępu z zewnątrz, część danych nie była szyfrowana, nie stosowano uwierzytelniania dwuskładnikowego, a spółka nie przeprowadziła analizy ryzyka uwzględniającej logowanie z sieci publicznej. Zabrakło też narzędzi do monitorowania ruchu sieciowego, dlatego spółka nie wiedziała, jakie dane wykradziono. Naruszenie objęło 2,2 mln osób, a najpoważniejsze jest to, że obok danych kontaktowych wyciekły numery PESEL oraz serie i numery dokumentów tożsamości z wniosków ratalnych.

Ta sprawa ma najdłuższą historię procesową w całym rejestrze i dwa razy przeszła przez sądy. Pierwszą karę — 2 830 410 zł z 10 września 2019 r., wówczas najwyższą w Polsce — Naczelny Sąd Administracyjny uchylił wyrokiem z 9 lutego 2023 r. (III OSK 3945/21), i to z powodów procesowych, nie dlatego, że naruszenia nie było: zakwestionował odmowę dopuszczenia dowodu z opinii biegłego. Sprawa wróciła do organu. W ponownym postępowaniu Prezes UODO podwyższył karę do ponad 3,8 mln zł decyzją z 17 stycznia 2024 r. — jako pierwszą w Polsce liczoną według wytycznych EROD z 24 maja 2023 r. Tę decyzję WSA w Warszawie utrzymał 16 września 2024 r., oddalając skargę spółki.

Kara nie jest przesądzona ostatecznie. Wyrok WSA nie zamyka drogi do skargi kasacyjnej, a spółka taką skargę zapowiedziała, kwestionując prawo organu do podniesienia kary w ponownym postępowaniu. Na dzień ostatniego przeglądu nie znaleźliśmy publicznej informacji o rozstrzygnięciu NSA.

Chronologia

  1. 2018

    Dwukrotny nieautoryzowany dostęp do bazy klientów.

  2. listopad 2018

    Pierwsze doniesienia o naruszeniu; w grudniu spółka zgłasza je Prezesowi UODO i policji.

  3. 10 września 2019

    Kara 2 830 410 zł — wówczas najwyższa w Polsce (art. 32 RODO), sygn. ZSPR.421.2.2019.

  4. 3 września 2020

    WSA w Warszawie oddala skargę spółki (II SA/Wa 2559/19).

  5. 9 lutego 2023

    NSA uchyla wyrok i decyzję z powodów procesowych (III OSK 3945/21); sprawa wraca do organu.

  6. 17 stycznia 2024

    Ponowna decyzja Prezesa UODO — kara podwyższona do ponad 3,8 mln zł.

  7. 16 września 2024

    WSA w Warszawie oddala skargę na nową decyzję.

Status postępowania

Kara ponad 3,8 mln zł z 17.01.2024; WSA oddalił skargę 16.09.2024 — rozstrzygnięcia NSA nie odnotowaliśmy

  • listopad 2018 — Pierwsze doniesienia o naruszeniu; w grudniu spółka zgłasza je Prezesowi UODO i policji.
  • 10 września 2019 — Kara 2 830 410 zł — wówczas najwyższa w Polsce (art. 32 RODO), sygn. ZSPR.421.2.2019.
  • 3 września 2020 — WSA w Warszawie oddala skargę spółki (II SA/Wa 2559/19).
  • 9 lutego 2023 — NSA uchyla wyrok i decyzję z powodów procesowych (III OSK 3945/21); sprawa wraca do organu.
  • 17 stycznia 2024 — Ponowna decyzja Prezesa UODO — kara podwyższona do ponad 3,8 mln zł.
  • 16 września 2024 — WSA w Warszawie oddala skargę na nową decyzję.

Jak sprawdzić, czy to dotyczy Ciebie

  • Serwis państwowy nie obejmuje tego zbioru. Zostaje pytanie do spółki (art. 15 RODO) - ma miesiąc na odpowiedź.
  • Jesli kupowałaś lub kupowales na raty przed 2019 r., sprawdź w BIK, czy ktoś pytał o kredyt na Twoje dane.

Wszystkie drogi sprawdzenia

Co możesz zrobić

  1. 1Zastrzeż PESEL w aplikacji mObywatel — to bezpłatne i zajmuje kilka minut.
  2. 2Zmień hasło do Morele.net i wszędzie tam, gdzie używałeś tego samego.
  3. 3Sprawdź w BIK, czy ktoś pytał o kredyt na Twoje dane — w tym wycieku były dane z wniosków ratalnych.
  4. 4Uważaj na SMS-y, maile i telefony „od przychodni”, „od banku” czy „od operatora” — nie klikaj linków, oddzwaniaj na numer ze strony firmy.

Źródła

Nie proś nas o zaufanie — otwórz i sprawdź sam.