Wyciekły dane klientów wypożyczalni aut. Wśród poszkodowanych Polacy

Jak informuje firma, oszuści ukradli kod źródłowy aplikacji na Androida i iOS oraz dane osobowe klientów. Wśród poszkodowanych są też polscy turyści podróżujący na Wyspy Kanaryjskie, bo to właśnie tam jest to jedna z najpopularniejszych wypożyczalni pojazdów.

Do zdarzenia doszło pod koniec marca 2025 r., kiedy cyberprzestępca, używający nazwy firmy jako pseudonimu, ogłosił w sieci, że "z powodzeniem włamał się do systemów Europcar i uzyskał dostęp do wszystkich ich repozytoriów GitLab". Twierdził, że skopiował z repozytoriów ponad 9 tys. plików SQL, zawierających kopie zapasowe z danymi osobowymi oraz co najmniej 269 plików .ENV – używanych do przechowywania ustawień konfiguracyjnych aplikacji, zmiennych środowiskowych i wrażliwych informacji.

Aby uwiarygodnić, że włamanie na serwery firmy nie jest mistyfikacją, haker opublikował zrzuty ekranu z danymi uwierzytelniającymi pracowników, które znalazł w wykradzionym kodzie źródłowym. Sprawcy cyberataku szantażowali firmę, grożąc opublikowaniem 37 GB danych zawierających kopie zapasowe oraz szczegóły dotyczące infrastruktury chmurowej i wewnętrznych aplikacji przedsiębiorstwa, która zarządza markami: Europcar, Goldcar i Ubeeqo, oferując szeroki wybór pojazdów od kompaktowych samochodów po luksusowe, vany i ciężarówki.

Serwis internetowy Bleeping Computer otrzymał potwierdzenie, że włamanie dotyczy firmy Europcar Mobility Group, która obecnie ocenia skalę szkód. Twierdzenie hakera, że wykradł wszystkie repozytoria GitLab firmy, nie są jednak prawdziwe. Jak ustalono, niewielka część kodu źródłowego pozostała nietknięta.

Skradzione dane obejmują imiona i nazwiska oraz adresy e-mail użytkowników marek Goldcar i Ubeeqo. Według szacunków liczba poszkodowanych klientów może wynosić od 50 tys. do 200 tys., a niektóre dane pochodzą z 2017 i 2020 r. Firma uspokaja, że dane bankowe, dane kart płatniczych czy hasła, nie zostały wykradzione przez hakerów.

Samochody od Europcar są najczęściej wypożyczane wśród turystów na największych wyspach archipelagu: Teneryfie, Gran Canarii, Lanzarote i Fuerteventurze, gdzie posiadanie samochodu jest często niezbędne do swobodnego zwiedzania atrakcji w różnych, często odległych zakątkach.

Firma obecnie jest w trakcie powiadamiania wszystkich poszkodowanych klientów i zgłosiła naruszenie organowi ochrony danych w kraju. Nadal nie wiadomo, w jaki sposób cyberprzestępca zdołał uzyskać dostęp do sieci Europcar, ale wiele niedawnych włamań było powodowanych przez dane uwierzytelniające skradzione w wyniku kompromitacji tzw. infostealerów – złośliwego oprogramowania wykradającego dane.

W ubiegłym roku Europcar był też celem fałszywego włamania, gdy jedna z osób na forum hakerskim twierdziła, że posiada dane osobowe (imiona i nazwiska, adresy, daty urodzenia, numery prawa jazdy) prawie 50 mln klientów.

W 2022 r. ekspert ds. cyberbezpieczeństwa odkrył token administratora w kodzie aplikacji Europcar na urządzenia mobilne (Android i iOS), który mógł być wykorzystany do uzyskania dostępu do danych biometrycznych klientów. Problem był spowodowany błędem programistycznym i dotyczył wielu aplikacji mobilnych różnych dostawców usług.

Dlatego osoby, które korzystały z usług Europcar, Goldcar lub Ubeeqo, głównie podczas podróży na Wyspy Kanaryjskie, powinny:

• zwrócić szczególną uwagę na podejrzane wiadomości e-mail, które mogą podszywać się pod Europcar lub pokrewne marki – cyberprzestępcy mogą wykorzystać wykradzione dane do przeprowadzenia ataków phishingowych;
• zmienić hasła do kont związanych z wypożyczalnią samochodów, a także do innych serwisów, jeśli użytkownik używał podobnych lub identycznych haseł;
• rozważyć włączenie dwuskładnikowego uwierzytelniania (2FA) dla swoich kont online, szczególnie tych zawierających dane płatnicze;
• monitorować wyciągi z kart kredytowych i rachunków bankowych pod kątem nieautoryzowanych transakcji;
• zachować szczególną ostrożność wobec połączeń telefonicznych od osób podających się za pracowników Europcar – firma kontaktuje się z klientami głównie za pośrednictwem oficjalnych kanałów komunikacji.

Aby zminimalizować ryzyko kradzieży danych podczas korzystania z wypożyczalni samochodów w przyszłości, eksperci od cyberbezpieczeństwa zalecają:

• korzystanie z tymczasowych kart płatniczych lub usług maskowania numeru karty oferowanych przez niektóre banki;
• ograniczenie ilości danych osobowych udostępnianych podczas rezerwacji do niezbędnego minimum;
• weryfikację oficjalnych kanałów komunikacji wypożyczalni przed dokonaniem rezerwacji;
• używanie unikalnych, silnych haseł dla każdego serwisu internetowego;
• rozważenie korzystania z menedżera haseł do bezpiecznego przechowywania danych logowania;
• regularne sprawdzanie statusu swoich danych osobowych w serwisach monitorujących wycieki danych.

Osoby, które podejrzewają, że padły ofiarą wycieku danych, powinny niezwłocznie skontaktowć się z wypożyczalnią samochodów oraz zgłosić sprawę organom ochrony danych osobowych – w Polsce do Urzędu Ochrony Danych Osobowych (UODO).