Informacja o naruszeniu ochrony danych osobowych w systemie rezerwacyjnym IdoBooking

Kraków, 06.11.2026

Szanowni Państwo,

w związku z otrzymaniem od operatora systemu rezerwacyjnego IdoBooking informacji o incydencie bezpieczeństwa, który mógł skutkować ujawnieniem Państwa danych osobowych, przekazujemy poniższe informacje dotyczące charakteru zdarzenia, jego możliwych konsekwencji oraz podjętych działań zabezpieczających.

Z platformy IdoBooking korzystamy w celu obsługi rezerwacji i pobytów naszych gości. Jej operator, IdoBooking sp. z o.o. z siedzibą w Szczecinie, przetwarza w tym zakresie dane osobowe na nasze zlecenie jako podmiot przetwarzający w rozumieniu art. 28 RODO.

1. Opis zdarzenia

W dniach 1–2 listopada 2026 r. doszło do incydentu bezpieczeństwa w systemach informatycznych operatora IdoBooking. Zgodnie z przekazanymi informacjami osoba nieuprawniona uzyskała dane uwierzytelniające wewnętrznej usługi technicznej platformy, a następnie wykorzystała je do utworzenia dodatkowego konta z uprawnieniami administratora w części paneli klientów, w tym w naszym panelu.

Osoba ta ustawiła również kontrolowany przez siebie adres e-mail jako odbiorcę automatycznych powiadomień systemowych dotyczących rezerwacji.

Nieuprawniony dostęp trwał od 1 listopada 2026 r., godz. 00:45, do 2 listopada 2026 r., godz. 12:38. Operator wykrył incydent 2 listopada o godz. 9:00 i rozpoczął działania zmierzające do jego zablokowania.

Według dotychczasowych ustaleń operatora nie doszło do modyfikacji kodu aplikacji, instalacji złośliwego oprogramowania ani bezpośredniego dostępu do baz danych systemu.

2. Zakres danych objętych naruszeniem

Z informacji przekazanych przez IdoBooking wynika, że wśród powiadomień przesłanych na nieuprawniony adres e-mail znajdowały się informacje dotyczące Państwa rezerwacji.

W zależności od rodzaju powiadomienia dane te mogły obejmować:

• imię i nazwisko gościa;

• numer telefonu i adres e-mail;

• numer i źródło rezerwacji;

• termin pobytu, nazwę obiektu i zarezerwowanej kwatery;

• liczbę gości oraz zamówione usługi dodatkowe;

• wartość rezerwacji i kwotę pozostałą do zapłaty;

• informacje o przyjęciu płatności;

• preferowany język komunikacji.

Nie wszystkie wskazane kategorie danych musiały występować w powiadomieniach dotyczących Państwa rezerwacji.

Operator potwierdził, że przesyłane powiadomienia nie zawierały numerów kart płatniczych, numerów rachunków bankowych ani haseł dostępowych.

3. Możliwe konsekwencje naruszenia

Najbardziej prawdopodobnym następstwem zdarzenia są próby oszustwa z wykorzystaniem ujawnionych informacji, w szczególności poprzez wiadomości e-mail, SMS lub połączenia telefoniczne od osób podszywających się pod nasz obiekt, operatora systemu rezerwacyjnego albo podmioty obsługujące płatności.

Osoby nieuprawnione mogą wykorzystywać rzeczywiste informacje o Państwa rezerwacji, takie jak termin pobytu, nazwa obiektu czy kwota należności, w celu uwiarygodnienia fałszywych wiadomości zawierających prośby o dopłatę, potwierdzenie rezerwacji lub podanie danych płatniczych.

Istnieje również ryzyko wykorzystania danych kontaktowych do przesyłania niechcianej korespondencji lub podejmowania prób wyłudzenia dodatkowych informacji.

4. Działania podjęte w związku z incydentem

Zgodnie z informacją przekazaną przez IdoBooking operator niezwłocznie po wykryciu incydentu rozpoczął blokowanie nieuprawnionego dostępu, a następnie:

• unieważnił i wymienił dane uwierzytelniające wykorzystane podczas incydentu;

• usunął nieuprawnione konta użytkowników wraz z ich aktywnymi sesjami;

• usunął nieuprawnione adresy odbiorców powiadomień systemowych;

• przeanalizował logi i ustalił listę rezerwacji objętych powiadomieniami;

• wdrożył oraz zapowiedział dodatkowe środki bezpieczeństwa dotyczące zarządzania kontami administratorów i zabezpieczenia usług technicznych.

Operator potwierdził, że po zablokowaniu mechanizmu nie były już wysyłane powiadomienia na nieuprawnione adresy e-mail.

Po naszej stronie przeprowadziliśmy weryfikację kont użytkowników, zmianę haseł administratorów, kontrolę adresów powiadomień, ocenę ryzyka oraz analizę danych objętych incydentem.

We współpracy z operatorem systemu IdoBooking ustaliliśmy listę 107 osób, w przypadku których potwierdzono naruszenie poufności danych osobowych.

Niezależnie od powyższego zalecamy wszystkim naszym klientom stosowanie wskazanych środków ostrożności, również jeśli nie zostali bezpośrednio objęci incydentem.

5. Zalecane środki ostrożności

W związku z zaistniałą sytuacją zalecamy zachowanie szczególnej ostrożności wobec wiadomości i telefonów dotyczących Państwa rezerwacji.

Prosimy przede wszystkim o:

• weryfikowanie wszelkich próśb o dokonanie dodatkowej płatności lub zmianę sposobu zapłaty bezpośrednio z naszym obiektem, za pośrednictwem wcześniej znanych, oficjalnych kanałów kontaktu;

• nieotwieranie podejrzanych linków i załączników otrzymanych w nieoczekiwanych wiadomościach;

• nieudostępnianie numerów kart płatniczych, kodów CVV/CVC, kodów BLIK, haseł ani kodów autoryzacyjnych w odpowiedzi na wiadomości lub telefony;

• zachowanie ostrożności wobec osób powołujących się na szczegóły Państwa rezerwacji, ponieważ znajomość takich informacji nie potwierdza tożsamości nadawcy.

W przypadku otrzymania podejrzanej wiadomości dotyczącej płatności lub rezerwacji prosimy o kontakt z naszym obiektem przed podjęciem jakichkolwiek działań. Podejrzane wiadomości SMS można również przekazywać do CERT Polska na numer 8080.

6. Kontakt i dodatkowe informacje

W przypadku pytań dotyczących naruszenia ochrony danych osobowych lub podejrzenia próby wykorzystania Państwa danych prosimy o kontakt:

Wiesław Włodarczyk RTApart

NIP: 6811091175

Ul. Raciborsko 397, 32-020 Wieliczka

Wiesław Włodarczyk

Adres e-mail: ww@rtapart.pl

Numer telefonu: +48 501 015 299

Przysługuje Państwu również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (www.uodo.gov.pl).

Przepraszamy za zaistniałą sytuację oraz wszelkie związane z nią niedogodności. Bezpieczeństwo danych osobowych naszych gości traktujemy priorytetowo.

Z poważaniem,

Wiesław Włodarczyk RTApart