Autopay S.A., jeden z największych operatorów płatności internetowych w Polsce, poinformował o cyberataku na swoją infrastrukturę. 11 listopada 2026 roku spółka wykryła nieautoryzowany dostęp do systemów oraz części danych dotyczących przetwarzanych transakcji płatniczych. Firma przyznaje, że nie może całkowicie wykluczyć skopiowania lub wykorzystania danych przez osoby nieuprawnione. O incydencie zawiadomiono Urząd Ochrony Danych Osobowych, Policję oraz CSIRT KNF.

Autopay, znany wcześniej pod marką Blue Media, jest krajową instytucją płatniczą nadzorowaną przez Komisję Nadzoru Finansowego. Spółka dostarcza rozwiązania umożliwiające realizację płatności internetowych, w tym BLIK, szybkich przelewów i transakcji kartowych, a także usługi związane z płatnościami automatycznymi. Z jej infrastruktury korzystają zarówno przedsiębiorcy, jak i klienci indywidualni dokonujący płatności w internecie. Informacja o uzyskaniu przez cyberprzestępców nieautoryzowanego dostępu do systemów operatora ma więc szczególne znaczenie dla bezpieczeństwa polskiego rynku płatniczego.

Autopay potwierdza cyberatak. Co wiadomo o incydencie?

W opublikowanym komunikacie Autopay S.A. potwierdził, że padł ofiarą cyberataku. 11 listopada 2026 roku firma stwierdziła nieautoryzowany dostęp do swojej infrastruktury oraz części danych dotyczących płatności przetworzonych przez spółkę. Nie oznacza to jednak, że do samego włamania doszło dokładnie tego dnia. Data wskazana w oświadczeniu odnosi się do momentu stwierdzenia naruszenia, natomiast rzeczywisty czas rozpoczęcia i trwania nieuprawnionego dostępu nie został ujawniony.

Operator przekazał, że dotychczas nie potwierdził skopiowania ani wykorzystania danych przez osoby nieuprawnione. Jednocześnie zaznaczył, że nie może całkowicie wykluczyć takiego scenariusza. Z tego powodu podjął decyzję o bezpośrednim informowaniu klientów, których dane mogły zostać objęte incydentem.

To szczególnie istotna informacja. Autopay potwierdził naruszenie bezpieczeństwa infrastruktury i dostęp do części danych związanych z płatnościami, ale nie potwierdził ich wykradzenia. Sam nieuprawniony dostęp stanowi jednak poważny incydent bezpieczeństwa, nawet jeżeli późniejsze postępowanie wykaże, że cyberprzestępcy nie skopiowali żadnych informacji. W praktyce ustalenie pełnego przebiegu takiego zdarzenia może wymagać szczegółowej analizy logów, śladów aktywności intruza oraz innych dowodów technicznych.

Jakie dane klientów Autopay mogły zostać zagrożone?

Na obecnym etapie jednym z najważniejszych pytań pozostaje dokładny zakres informacji, do których uzyskały dostęp osoby nieuprawnione. Operator posłużył się ogólnym określeniem dotyczącym części danych związanych z przetworzonymi płatnościami, nie przedstawiając szczegółowej listy kategorii informacji objętych incydentem.

Nie wiadomo zatem, czy potencjalnie zagrożone dane obejmują wyłącznie informacje o transakcjach, czy również dane identyfikacyjne klientów, adresy e-mail, numery rachunków bankowych lub inne informacje wykorzystywane przy obsłudze płatności. Nie opublikowano również potwierdzenia, że naruszenie dotyczyło pełnych numerów kart płatniczych, kodów CVV, danych logowania do bankowości internetowej czy innych szczególnie wrażliwych informacji umożliwiających inicjowanie transakcji.

Brak takich szczegółów nie pozwala obecnie rzetelnie określić skali zagrożenia. Z jednej strony nie ma podstaw do twierdzenia, że hakerzy uzyskali możliwość wykonywania płatności z rachunków klientów. Z drugiej strony nie można sprowadzać całego incydentu do niegroźnego problemu technicznego, skoro sam operator przyznaje, że doszło do nieautoryzowanego dostępu do infrastruktury i danych dotyczących transakcji.

Istotną niewiadomą pozostaje również liczba osób, których informacje mogły zostać objęte naruszeniem. Autopay nie wskazał dotychczas konkretnej liczby potencjalnie poszkodowanych klientów ani okresu, z którego pochodziły dane dostępne dla atakujących. Nie wiadomo także, czy incydent objął jeden system, określoną grupę usług czy szerszy fragment infrastruktury wykorzystywanej do obsługi płatności.

Autopay zablokował nieuprawniony dostęp. Zawiadomiono Policję, UODO i CSIRT KNF

Według oświadczenia operatora niezwłocznie po wykryciu zdarzenia podjęto działania mające na celu ograniczenie jego skutków. Autopay poinformował o zablokowaniu nieuprawnionego dostępu, zabezpieczeniu systemu oraz wdrożeniu dodatkowych mechanizmów monitorowania.

Zdarzenie zostało zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych, Policji oraz CSIRT KNF, czyli zespołowi reagowania na incydenty bezpieczeństwa komputerowego działającemu przy Komisji Nadzoru Finansowego. Spółka deklaruje współpracę z tymi instytucjami przy wyjaśnianiu okoliczności cyberataku.

Zaangażowanie organu ochrony danych osobowych jest szczególnie istotne w kontekście możliwego naruszenia poufności informacji dotyczących klientów. Należy jednak pamiętać, że samo zgłoszenie zdarzenia do UODO nie oznacza jeszcze potwierdzenia wycieku danych osobowych na określoną skalę. Obowiązujące przepisy przewidują zgłaszanie naruszeń ochrony danych w sytuacjach, w których mogą one rodzić ryzyko dla praw lub wolności osób fizycznych.

Również zawiadomienie CSIRT KNF ma znaczenie ze względu na charakter działalności Autopay. Operatorzy płatności stanowią część infrastruktury finansowej, a naruszenia ich bezpieczeństwa mogą oddziaływać nie tylko na pojedynczych użytkowników, lecz także na przedsiębiorców, partnerów technologicznych i inne podmioty uczestniczące w realizacji transakcji.

Na chwilę obecną nie ujawniono informacji o sprawcach ataku, zastosowanej metodzie włamania ani ewentualnych żądaniach skierowanych do spółki. Nie ma również podstaw, aby przypisywać cyberatak konkretnej grupie przestępczej.

Klienci Autopay powinni kontrolować swoje transakcje

W komunikacie dotyczącym incydentu operator zalecił klientom regularne sprawdzanie historii transakcji oraz niezwłoczne informowanie banku o operacjach, których nie wykonywali. Jest to podstawowy środek ostrożności w przypadku podejrzenia naruszenia bezpieczeństwa informacji związanych z płatnościami.

Szczególnej uwagi wymagają również wiadomości e-mail, SMS-y oraz połączenia telefoniczne rzekomo pochodzące od Autopay, banków lub innych instytucji finansowych. Informacje o cyberatakach często stają się pretekstem do prowadzenia kampanii phishingowych, w których oszuści podszywają się pod operatorów płatności i próbują nakłonić klientów do podania danych uwierzytelniających, zalogowania się na fałszywej stronie albo zatwierdzenia nieautoryzowanej operacji.

Jeżeli cyberprzestępcy uzyskaliby dostęp do szczegółowych informacji o transakcjach, mogliby potencjalnie wykorzystać je do przygotowania bardziej wiarygodnych prób oszustwa. Wiadomość zawierająca prawdziwą kwotę płatności, datę zakupu lub nazwę sprzedawcy mogłaby wzbudzać większe zaufanie niż przypadkowy phishing. Nie ma jednak potwierdzenia, że taki scenariusz wystąpił w związku z obecnym cyberatakiem na Autopay.

Klienci powinni więc zachować ostrożność wobec wszelkich próśb o ponowne uwierzytelnienie, zwrot środków, aktualizację danych karty lub potwierdzenie rzekomo zagrożonej transakcji. Weryfikację takich informacji najlepiej przeprowadzać poprzez samodzielne otwarcie oficjalnej strony banku lub operatora, a nie za pomocą odnośników otrzymanych w nieoczekiwanej korespondencji.

Sama informacja o cyberataku nie oznacza automatycznie konieczności zastrzegania kart płatniczych czy zmiany wszystkich haseł. Takie działania powinny wynikać z rodzaju potencjalnie ujawnionych danych, indywidualnych zaleceń operatora lub stwierdzenia konkretnych nieprawidłowości.

Jakie konsekwencje cyberatak może mieć dla rynku płatności internetowych?

Incydent dotyczący Autopay pokazuje, jak duże znaczenie dla całego sektora e-commerce ma bezpieczeństwo infrastruktury podmiotów pośredniczących w realizacji płatności. Operatorzy tego rodzaju przetwarzają informacje niezbędne do identyfikowania, autoryzowania i rozliczania transakcji, dlatego nawet ograniczony dostęp osób nieuprawnionych może wymagać szeroko zakrojonych działań wyjaśniających.

Z perspektywy przedsiębiorców korzystających z usług Autopay kluczowe będzie ustalenie, czy incydent dotyczył również informacji związanych z obsługiwanymi przez nich transakcjami. Na obecnym etapie nie wiadomo, czy doszło do naruszenia danych konkretnych sklepów internetowych, czy też problem był ograniczony do wybranego segmentu usług operatora. Nie przedstawiono również dowodów wskazujących, że atak doprowadził do manipulowania rozliczeniami lub nieuprawnionego przekierowywania środków finansowych.

Warto jednocześnie rozróżnić bezpieczeństwo centralnej infrastruktury operatora od podatności wykrywanych w zewnętrznych integracjach płatniczych. W 2026 roku informowano już o błędach bezpieczeństwa we wtyczkach Autopay przeznaczonych dla WooCommerce, jednak nie ma obecnie podstaw do łączenia tych podatności z cyberatakiem ujawnionym w listopadzie. Bez przedstawienia szczegółów technicznych byłoby to jedynie spekulacją.

Cyberatak na Autopay – najważniejsze pytania pozostają bez odpowiedzi

Choć Autopay potwierdził naruszenie bezpieczeństwa i poinformował o podjętych działaniach zaradczych, zakres publicznie dostępnych informacji nadal nie pozwala na pełną ocenę zdarzenia. Do wyjaśnienia pozostaje przede wszystkim to, w jaki sposób napastnicy uzyskali dostęp do infrastruktury, jak długo mogli w niej przebywać, jakie konkretnie informacje były dla nich dostępne oraz czy wykonali ich kopie.

Istotne będą również dalsze ustalenia dotyczące liczby klientów objętych incydentem, ewentualnego wpływu ataku na rozliczenia oraz tego, czy konieczne okażą się dodatkowe działania ochronne po stronie użytkowników. Na obecnym etapie spółka deklaruje, że nieuprawniony dostęp został zablokowany, a klienci, których dane mogą dotyczyć, są informowani bezpośrednio.

Nie ma podstaw, aby ogłaszać masowy wyciek danych lub kradzież pieniędzy z kont użytkowników. Jednocześnie nie można bagatelizować faktu, że operator płatności sam potwierdził skuteczne naruszenie zabezpieczeń swoich systemów. W przypadku instytucji przetwarzającej informacje o transakcjach finansowych jest to zdarzenie wymagające szczególnej uwagi.

Dalsza ocena cyberataku będzie zależała przede wszystkim od wyników postępowania wyjaśniającego oraz szczegółów, które Autopay zdecyduje się ujawnić. Do tego czasu najważniejsze pozostają zachowanie ostrożności, monitorowanie własnych transakcji oraz śledzenie oficjalnych komunikatów operatora.