Autopay, sopocka spółka obsługująca płatności w tysiącach polskich sklepów internetowych, padła ofiarą cyberataku. Firma poinformowała w piątek 13 listopada, że już w środę 11 listopada wykryła nieautoryzowany dostęp do swojej infrastruktury i do części danych dotyczących przetwarzanych płatności. Spółka nie potwierdziła, że dane zostały skopiowane albo wykorzystane, ale przyznaje, że nie może tego całkowicie wykluczyć.
Autopay to dawne Blue Media, firma założona w 1999 r. w Sopocie przez Andrzeja Antonia i Konrada Kucharskiego. Pod nową nazwą działa od sierpnia 2023 r. Wielu Polaków nie zna tej nazwy, choć mogło nieraz korzystać z usług spółki. To przez jej bramkę płatniczą przechodzą zapłaty za zakupy w sieci, rachunki, doładowania telefonów czy przejazdy autostradami A1, A2 i A4.
Autopay: „nie możemy tego całkowicie wykluczyć”
Komunikat spółki jest krótki i ostrożny. „Do tej pory nie potwierdziliśmy skopiowania czy wykorzystania danych, ale nie możemy tego całkowicie wykluczyć” napisała firma. Dlatego kontaktuje się bezpośrednio z klientami, których dane mogły znaleźć się w zasięgu włamywaczy, i przekazuje im wskazówki, jak ograniczyć ryzyko.
Według spółki zaraz po wykryciu incydentu zablokowano nieuprawniony dostęp, zabezpieczono system i wdrożono dodatkowe mechanizmy monitorowania. Sprawę zgłoszono do prezesa Urzędu Ochrony Danych Osobowych (UODO), na policję oraz do CSIRT KNF, czyli zespołu reagowania na incydenty komputerowe działającego przy Komisji Nadzoru Finansowego. Autopay deklaruje, że współpracuje z tymi instytucjami.
Nie wiadomo, ilu klientów dotyczy wyciek danych Autopay
Najważniejsze pytania na razie pozostają bez odpowiedzi. Spółka nie podała, jakie dokładnie dane o płatnościach były dostępne dla napastników, ilu klientów i ilu transakcji może dotyczyć incydent ani w jaki sposób doszło do włamania. Nie wiadomo też, kto stoi za atakiem. Na takie braki zwracają uwagę zarówno money.pl, jak i serwis cashless.pl, który zajmuje się rynkiem płatności.
Serwis Sekurak, specjalizujący się w bezpieczeństwie IT, wysłał do firmy dodatkowe pytania. Jego zdaniem zalecenie, by klienci regularnie sprawdzali historię transakcji, może sugerować, że wyciec mogły dane kart płatniczych. To jednak interpretacja redakcji Sekuraka, a nie informacja potwierdzona przez Autopay. Jak podaje GSMONLINE.PL, z komunikatu nie wynika, czy dostęp obejmował dane kartowe.
Zobacz również:
TECHNOLOGIE · 12.11.2026Cyberatak na ePUAP przyszedł z zagranicy. Miał sparaliżować urzędySkala działalności Autopay: miliony użytkowników miesięcznie
Dlaczego ten incydent jest tak istotny? Chodzi o skalę. Według danych publikowanych przez samą spółkę z jej usług korzysta 12 mln użytkowników miesięcznie, a system obsługuje około 300 mln operacji i transakcji w miesiącu. Spółka podaje też, że jej systemy przetwarzają do 300 tys. transakcji na godzinę. Z bramki Autopay korzysta około 50 tys. firm prowadzących sprzedaż w internecie.
Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródeł
Bramka obsługuje ponad 100 metod płatności, w tym BLIK, karty i portfele elektroniczne. Klient, który płaci w sklepie internetowym, zwykle nawet nie zauważa, że po drodze transakcję przetwarza właśnie Autopay. Przy tej skali nawet wyciek fragmentu danych może dotyczyć bardzo dużej grupy osób, choć na dziś nie ma informacji, by tak się stało.
Co powinni zrobić klienci Autopay po cyberataku
Spółka zaleca trzy rzeczy. Po pierwsze, regularnie przeglądać historię transakcji na koncie i karcie. Po drugie, każdą nierozpoznaną płatność od razu zgłaszać w swoim banku. Po trzecie, zachować ostrożność wobec wiadomości e-mail, SMS-ów i telefonów, w których ktoś powołuje się na ten incydent.
Ten ostatni punkt jest szczególnie ważny. Po głośnych wyciekach oszuści bardzo szybko zaczynają podszywać się pod poszkodowaną firmę, bank albo policję i wyłudzać dane do logowania lub kody BLIK. Prawdziwa firma nie poprosi o podanie hasła, pełnego numeru karty ani kodu z SMS-a. Jeśli ktoś dzwoni w sprawie „wycieku z Autopay” i namawia do przelewu albo instalowania aplikacji, najbezpieczniej przerwać rozmowę i samodzielnie zadzwonić na infolinię swojego banku.
W ocenie redakcji najbardziej niepokoi to, że między wykryciem incydentu a publicznym komunikatem minęły dwa dni, a klienci wciąż nie wiedzą, jakich danych dotyczy problem. Przy firmie, z której usług według jej własnych danych korzystają co miesiąc miliony osób, każda dodatkowa informacja o zakresie włamania ma duże znaczenie.