Niniejszym, zgodnie z art. 34 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE powiadamiamy o naruszeniu danych osobowych, które nastąpiło w ramach naszej odpowiedzialności jako administratora danych osobowych. Nasze wewnętrzne analizy wykazały, że incydent może mieć wpływ dane osobowe naszych klientów, w tym ich pracowników. W związku z powyższym przekazujemy informacje dotyczące charakteru naruszenia oraz jego potencjalnych konsekwencji:

• Opis zdarzenia: W dniu 19.01.2026 r. wykryto incydent bezpieczeństwa polegający na nieuprawnionym dostępie osób trzecich do infrastruktury informatycznej MBM. W wyniku ataku mogło dojść do nieuprawnionego dostępu do danych przechowywanych na serwerach MBM oraz ich zaszyfrowania, w tym również zaszyfrowania kopii zapasowych. Na jednym z serwerów pozostawiono plik zawierający żądanie okupu. Podmiot świadczący obsługę IT potwierdził także usunięcie części logów systemowych oraz dalsze próby naruszenia zabezpieczeń. W związku z powyższym nie można wykluczyć, że doszło do naruszenia poufności danych osobowych, w tym ich potencjalnego skopiowania, przejęcia przez osoby nieuprawnione lub utraty kontroli nad nimi.
• Kategorie danych objętych naruszeniem:
  • imię i nazwisko;
  • data urodzenia;
  • numer PESEL (dotyczy wyłącznie uczestników szkoleń SEP, F-gaz oraz szkoleń dotyczących napełniania zbiorników ciśnieniowych, lutowania twardego metodą 912, przygotowania procedur F-gazowych dla przedsiębiorcy oraz pracowników administratora);
  • adres zamieszkania lub pobytu;
  • adres e-mail;
  • numer telefonu;
  • numer rachunku bankowego;
  • dane dotyczące zarobków i/lub majątku;
  • dane zawarte w fakturach VAT;
  • firmowe dane jednoosobowej działalności gospodarczej.
• Konsekwencje zdarzenia: Na skutek ataku opisanego powyżej dostęp do danych osobowych mogła uzyskać osoba nieupoważniona. Do możliwych konsekwencji zdarzenia należy zaliczyć:
  • utratę kontroli nad własnymi danymi osobowymi;
  • ograniczenie możliwości realizowania praw z art. 15-22 RODO;
  • strata finansowa;
  • naruszenie prywatności;
  • potencjalne ataki phishingowe;
  • utrata historii zamówień przez podmioty danych;
  • niechciany kontakt.

Z uwagi na zakres danych (w szczególności numer PESEL), incydent może wiązać się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych.

• Środki podejmowane w celu zminimalizowania lub złagodzenia skutków:

Po wykryciu incydentu Administrator niezwłocznie podjął działania mające na celu ograniczenie jego skutków oraz zabezpieczenie systemów informatycznych. W szczególności:

• skorzystano ze wsparcia wyspecjalizowanego podmiotu IT;
• odizolowano zagrożone zasoby od sieci;
• rozpoczęto działania zmierzające do odzyskania danych i przywrócenia ciągłości działania;
• Przeprowadzono weryfikację urządzeń wykorzystywanych w organizacji, w tym kontrolę pod kątem obecności złośliwego oprogramowania;
• wdrożono dodatkowe zabezpieczenia mające na celu ograniczenie ryzyka dalszych prób nieuprawnionego dostępu;
• dokonano zmiany haseł dostępowych do systemów i usług wykorzystywanych w organizacji;
• zgłoszono incydent do właściwych organów, w tym do CSIRT NASK oraz organów ścigania;
• przeprowadzono szkolenia pracowników z zakresu bezpieczeństwa IT;
• dokonano aktualizacji systemów;
• wdrożono centralnie zarządzane oprogramowanie ochronne;
• zmieniono sposób wykonywania kopii zapasowych.

Podjęte działania mają na celu ograniczenie ryzyka dalszego nieuprawnionego dostępu do danych oraz zminimalizowanie potencjalnych negatywnych skutków dla osób, których dane dotyczą.

• Zalecane działania po stronie osoby, której dane dotyczą

W związku z zaistniałym naruszeniem rekomendujemy podjęcie następujących działań:

• zastrzeżenie numeru PESEL (np. poprzez aplikację mObywatel lub w banku) – jest to obecnie najskuteczniejszy sposób ograniczenia ryzyka wykorzystania danych do wyłudzeń. Instrukcja dostępna pod linkiem: https://info.mobywatel.gov.pl/uslugi/zastrzez-pesel;
• monitorowanie rachunków bankowych oraz historii kredytowej;
• zachowanie szczególnej ostrożności w przypadku otrzymywania wiadomości e-mail, SMS lub telefonów dotyczących danych osobowych;
• nieudostępnianie danych uwierzytelniających, kodów autoryzacyjnych ani haseł;
• niewchodzenie w podejrzane linki i nieotwieranie nieznanych załączników;
• rozważenie zmiany haseł do używanych usług;
• zgłaszanie wszelkich podejrzanych zdarzeń odpowiednim instytucjom (np. bankowi, policji).

• Kontakt

W przypadku zaobserwowania niepokojących zdarzeń prosimy o niezwłoczny kontakt z Administratorem. W celu uzyskania dodatkowych informacji z MBM można skontaktować się pod adresem: e-mail: gliwice@mbm.edu.pl