Hakerzy włamali się do systemu tego ministerstwa. Tysiące Polaków powinny zastrzec PESEL

Numer PESEL, seria dowodu osobistego, adres zamieszkania i numer konta bankowego. Takie dane mogły trafić w ręce nieznanej osoby, która w październiku włamała się do internetowego systemu Ministerstwa Kultury i Dziedzictwa Narodowego. Od tamtej pory minął niemal miesiąc, a platforma, przez którą składa się wnioski o ministerialne dotacje i stypendia, nadal jest wyłączona. Resort uruchomił procedurę awaryjną i przesunął nabory na 2027 r.

24 tys. kont w systemie, który obsługuje ministerialne dotacje

Chodzi o System Obsługi Programów, w skrócie SOP. Działa od jesieni 2024 r. pod adresem sopprogramy.mkidn.gov.pl, a jego część pod adresem sopstypendia.mkidn.gov.pl obsługuje wnioski stypendialne. Jak podaje PAP, w systemie zarejestrowanych jest około 24 tys. użytkowników. Około 14 tys. kont dotyczy programów ministra, a około 10 tys. stypendiów.

Skala pieniędzy, które przechodzą przez platformę, jest duża. W naborach na 2025 r. złożono w niej ponad 13 tys. projektów do 32 programów, a do podziału było 537 mln zł. Teraz nowe wnioski nie mają dokąd trafić.

Źródło: Ministerstwo Kultury i Dziedzictwa Narodowego

Luka w zabezpieczeniach na serwerze podmiotu zewnętrznego

Według ministerstwa był to celowy atak hakerski na aplikację SOP, przeprowadzony na serwerze podmiotu, który przetwarza dane w imieniu resortu. Nieustalony sprawca wykorzystał lukę w zabezpieczeniach i uzyskał dostęp do zasobów systemu. Resort podaje, że atak wykryto 6 października.

Agencja Bezpieczeństwa Wewnętrznego przekazała, że zespół CSIRT GOV zidentyfikował naruszenie 7 października i niezwłocznie poinformował o nim ministerstwo, przekazując zalecenia techniczne. Według ABW strony pozostaną niedostępne do czasu, aż resort wdroży działania naprawcze i ochronne.

Pierwszy komunikat w tej sprawie ministerstwo opublikowało 9 października. Napisało w nim, że ze względów bezpieczeństwa zablokowało dostęp do SOP i odizolowało system, a zakres pozyskanych danych dopiero analizuje. Sprawę zgłoszono do zespołu CSIRT GOV, który działa przy szefie ABW, oraz do prezesa Urzędu Ochrony Danych Osobowych, który teraz analizuje zgłoszenie. „Zalecamy zachowanie szczególnej ostrożności”, apelował wtedy resort do użytkowników.

Zobacz również:

TECHNOLOGIE · 03.11.2026Państwo zapłaci hakerom za dziury w gov.pl. Za jeden błąd nawet 20 tys. zł

Lista danych, która powinna zaniepokoić każdego użytkownika

Dziś resort wymienia już konkretnie, co mogło wyciec. Na liście są imię i nazwisko, adres zamieszkania, zameldowania i prowadzenia działalności, numer telefonu, adres e-mail, numer PESEL, seria i numer dokumentu tożsamości, obywatelstwo oraz numer rachunku bankowego. Ministerstwo nie wyklucza wycieku, choć nie znalazło w systemie śladów kopiowania ani wysyłania danych na zewnątrz.

Resort sam ostrzega, że takie informacje mogą posłużyć do podszywania się pod użytkowników, prób oszustwa albo zaciągania zobowiązań na cudze nazwisko. Ostrzeżenia przekazują dalej także instytucje, których dane trafiały do systemu. Akademia Muzyczna w Poznaniu napisała 29 października, że przy przetwarzaniu numeru PESEL i danych dokumentu tożsamości naruszenie może oznaczać wysokie ryzyko nadużyć, w tym wyłudzenia kredytu.

Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródeł

Zastrzeżenie PESEL i wymiana dowodu wśród zaleceń resortu

Ministerstwo zaleca użytkownikom ostrożność wobec wiadomości e-mail, SMS-ów i telefonów dotyczących ich danych. Radzi nie przekazywać nikomu haseł ani kodów autoryzacyjnych, zmienić hasła używane także w innych serwisach i pilnować historii rachunku bankowego. Zaleca też zastrzeżenie numeru PESEL i rozważenie wymiany dowodu osobistego.

Zastrzeżenie PESEL ma realne znaczenie przy próbach wyłudzenia pożyczki. Jak przypomina portal gov.pl, od 1 czerwca 2024 r. banki i inne instytucje finansowe muszą sprawdzić, czy numer jest zastrzeżony, zanim zawrą z klientem umowę kredytu lub pożyczki. Każda pełnoletnia osoba może też bezpłatnie sprawdzić, kto i kiedy weryfikował jej numer. Zamówienie historii przez mObywatel trafia na skrzynkę e-Doręczeń w ciągu maksymalnie 9 godzin.

Dotacje idą obok systemu, nabory na 2027 r. czekają

Wyłączenie platformy uderza w bieżące rozliczenia. Resort uruchomił procedurę awaryjną, dzięki której już przyznane dofinansowania mogą być realizowane, a trwające projekty rozliczane bez udziału SOP. Rzecznik ministerstwa Piotr Jędrzejowski przekazał, że procedura jest wysyłana do beneficjentów.

Gorzej wygląda sytuacja tych, którzy czekają na nowe pieniądze. Nabory do programów na 2027 r. zostały przesunięte do czasu przywrócenia dostępu do systemu. Prace nad usunięciem wykorzystanej luki trwają, a ministerstwo zapowiada, że uruchomi SOP „niezwłocznie” po ich zakończeniu i przeprowadzeniu testów bezpieczeństwa. Konkretnej daty resort nie podał, a ABW zastrzega, że analiza techniczna nie została jeszcze zamknięta.

Przesunięcie naborów oznacza, że instytucje kultury, fundacje i stowarzyszenia planujące przyszłoroczne wydarzenia nie wiedzą, kiedy będą mogły złożyć wnioski. W poprzedniej edycji o pieniądze z 32 programów ubiegali się autorzy ponad 13 tys. projektów, a o terminie nowych naborów zdecyduje dopiero zakończenie prac nad bezpieczeństwem platformy.