Wyciek danych klientów Morele.net: od fałszywych SMS-ów do zarzutów po latach

Sklep Morele.net stracił dane klientów pod koniec 2018 roku. Ta sprawa jest w rejestrze, bo pokazuje coś, czego nie widać w dniu wycieku: numer telefonu z takiej bazy pracuje przeciwko właścicielowi latami, a zarzuty w sprawie samego włamania padły dopiero po ośmiu latach.

Co dokładnie się stało

Pierwszy sygnał nie przyszedł od sklepu. Niebezpiecznik opisał 23 listopada 2018, że klienci Morele.net tuż po zakupach dostają SMS-y z żądaniem dopłaty 1 zł do zamówienia, a link z takiej wiadomości prowadzi do podstawionego panelu płatności. Redakcja zaznaczała wtedy, że nie wie, skąd przestępcy mają numery, i wymieniała kilka możliwych źródeł, w tym bazę sklepu i bazę firmy kurierskiej. To była wtedy hipoteza, nie ustalenie.

Sklep potwierdził wyciek 18 grudnia 2018. W e-mailu do klientów, przytoczonym w całości przez Niebezpiecznik tego samego dnia, napisał: „doszło do nieuprawnionego dostępu do danych osobowych naszych Klientów: adresu e-mail, numeru telefonu, imienia i nazwiska (jeśli zostało podane) oraz hasła w postaci zaszyfrowanego ciągu znaków (hash)”. W tej samej wiadomości spółka ostrzegała klientów, że dane mogą posłużyć do prób wyłudzeń przez fałszywe SMS-y, i zalecała zmianę hasła wszędzie tam, gdzie było używane ponownie.

Zakres okazał się szerszy, niż mówił pierwszy komunikat. Prawo.pl podało 19 września 2019, że do sieci trafiły imiona i nazwiska, numery telefonów, adresy e-mail oraz adresy doręczeń, a w przypadku około 35 tys. osób doszły do tego dane z wniosków ratalnych: numer PESEL, seria i numer dokumentu tożsamości, wykształcenie, adres zameldowania, źródło i wysokość dochodu netto, koszty utrzymania gospodarstwa domowego, stan cywilny oraz wysokość zobowiązań kredytowych i alimentacyjnych.

O skali mówią dwie liczby i różnica między nimi jest istotna. Prawo.pl zastrzegało 19 września 2019, że urząd nie ustalił dokładnie, ilu klientów dotyczył wyciek, i podawało, że spółka wysłała powiadomienia do 2,2 miliona osób. Prezes UODO w komunikacie z 8 lutego 2024 napisał już wprost o wycieku danych osobowych 2,2 mln osób.

Jak toczyła się sprawa

Ścieżka administracyjna ciągnęła się latami. Decyzją z 10 września 2019 Prezes UODO nałożył na spółkę karę 2 830 410 zł, o czym Prawo.pl napisało 19 września 2019. Naczelny Sąd Administracyjny wyrokiem z 9 lutego 2023 (sygn. III OSK 3945/21) uchylił wyrok sądu pierwszej instancji oraz zaskarżoną decyzję i zasądził od Prezesa UODO na rzecz spółki 65 075 zł zwrotu kosztów postępowania, co opisał Niebezpiecznik 28 marca 2023. Urząd przeprowadził postępowanie od nowa i 8 lutego 2024 poinformował o nowej karze w wysokości ponad 3,8 mln zł, powołując się na brak szyfrowania części danych, brak dwuskładnikowego uwierzytelniania i brak analizy ryzyka.

Ścieżka karna ruszyła z miejsca dopiero po latach. Jak podał Niebezpiecznik 9 lutego 2026, powołując się na materiały Policji, postępowanie było pierwotnie umorzone z uwagi na niewykrycie sprawcy, ale Centralne Biuro Zwalczania Cyberprzestępczości pod nadzorem Prokuratury Okręgowej w Krakowie prowadziło dalsze analizy, ustaliło wektor ataku i przebieg zdarzenia, a w końcu personalia. 30 stycznia 2026 prokurator przedstawił zarzuty z art. 267 § 1 i § 4 Kodeksu karnego 29-letniemu obywatelowi Polski, a podejrzany przyznał się do zarzucanego czynu i złożył obszerne wyjaśnienia. Na tym kończy się to, co wiadomo ze źródeł: przedstawienie zarzutów otwiera dalszy etap postępowania, a o akcie oskarżenia ani o wyroku żadna z relacji nie mówi. W tym samym przekazie zakres ujawnionych informacji opisano jako imiona i nazwiska, adresy e-mail, numery telefonów, adresy zamieszkania oraz zaszyfrowane hasła, z zastrzeżeniem, że dane dotyczące płatności nie były objęte incydentem.

Dlaczego ten wyciek dotyczy Twojego telefonu

Numer telefonu jest tu osią całej sprawy. Zaczęło się od SMS-ów o dopłacie wysyłanych z nadawcy podszywającego się pod sklep, a Niebezpiecznik w chronologii z 28 marca 2023 przypomniał własną publikację z 2 lutego 2019: dane z bazy Morele zaczęły wtedy służyć jako książka telefoniczna. Przestępcy wyszukiwali w niej numery po imieniu i nazwisku i nękali osoby, które z niczym nie miały wspólnego, bo nie brali pod uwagę, że w Polsce te same imiona i nazwiska nosi wiele osób.

Numeru telefonu nie da się zastrzec tak jak numeru PESEL. Kiedy raz wypłynie razem z imieniem, nazwiskiem i historią zakupów, zostaje w obiegu i wraca w kolejnych kampaniach, coraz częściej sklejony z danymi z innych wycieków. Praktyczna konsekwencja jest taka, że wiadomość o przesyłce, dopłacie czy zwrocie może trafić dokładnie w moment, w którym faktycznie czekasz na paczkę. Jak rozpoznać takie SMS-y, opisujemy w poradniku o fałszywych wiadomościach o dopłacie, a co robić po samym wycieku numeru, zebraliśmy tutaj.

Co zrobić, jeśli miałeś konto w Morele.net

1. 1Zmień hasło do sklepu i wszędzie tam, gdzie używałeś tego samego. Zaleciła to sama spółka w komunikacie z 18 grudnia 2018, a Niebezpiecznik podał 28 marca 2023, że pod koniec grudnia 2018 kilkaset tysięcy haseł z tej bazy było już złamanych.
2. 2Włącz uwierzytelnianie dwuskładnikowe tam, gdzie się da, zaczynając od skrzynki pocztowej podpiętej do odzyskiwania haseł.
3. 3Jeśli składałeś wniosek ratalny, potraktuj sprawę poważniej: w tej grupie wyciekły według Prawo.pl numer PESEL i dane dokumentu. Zastrzeż numer PESEL i rozważ alerty w Biurze Informacji Kredytowej.
4. 4Każdy SMS z linkiem do płatności traktuj jako próbę wyłudzenia, nawet jeśli trafia w Twoje realne zamówienie. Wejdź na stronę sklepu samodzielnie, nie z linku.
5. 5Nieznane połączenie sprawdź w wyszukiwarce numerów, zanim oddzwonisz.