Nedávno sme zistili bezpečnostný problém, ktorý sa dotkol časti dát našich zákazníkov. Píšeme o ňom otvorene, lebo to považujeme za správne, a lebo chceme, aby si vedel, ako sa chrániť.
Čo sa stalo
Kvôli konfiguračnej chybe na našej strane sa dokumenty generovali do priestoru prístupného cez priamu adresu (URL) bez aplikačnej autorizácie. K indexovaniu časti týchto adries externými vyhľadávačmi došlo v dôsledku chybnej konfigurácie vrstvy, ktorá zabezpečuje doručovanie a ochranu nášho webu. Po dohľadaní takejto adresy bolo možné faktúru stiahnuť bez overenia totožnosti.
V dňoch 1. až 2. júla 2026 to neoprávnená osoba využila na to, aby časť súborov našla a stiahla, než sme prístup zabezpečili. Problém sme zistili 8. júla a v ten istý deň sme chybu odstránili.
Ktorých údajov sa to týkalo
Dotknuté faktúry obsahovali mená zákazníkov, adresy, telefónne čísla, e-mailové adresy a údaje o objednávkach. Pri firemných zákazníkoch aj IČO.
Neobsahovali:
- Žiadne platobné ani kartové údaje. Tie neukladáme, spracúva ich naša platobná brána.
- Žiadne heslá k účtom.
Čo sme spravili
- V ten istý deň sme všetky faktúry zabezpečili prihlásením.
- Úspešne sme identifikovali a odstránili zraniteľnosť a posilnili naše systémy.
- Incident sme nahlásili Úradu na ochranu osobných údajov (ÚOOÚ) a Národnému bezpečnostnému úradu (NBÚ).
- Prizvali sme externého špecialistu na kybernetickú bezpečnosť a forenznú analýzu, ktorý všetko preveril.
- Všetkých dotknutých zákazníkov sme kontaktovali priamo e-mailom.
Čo to znamená pre teba a ako sa chrániť
Hlavné riziko pri tomto type dát sú cielené podvodné správy. Niekto by mohol použiť tvoje meno a údaje o objednávke, aby falošná správa pôsobila dôveryhodne. Buď preto opatrný pri každom e-maile, hovore alebo SMS, ktoré sa vydávajú za NEBBIA.
Ako spoznáš, že sme to naozaj my
- Píšeme ti len z adries @nebbia.biz, @nebbia.fitness alebo @nebbia.com. Akákoľvek iná adresa nie je od nás.
- Naše jediné oficiálne stránky sú nebbia.fitness, nebbia.com, nebbia.sk, nebbia.cz, nebbia.it, nebbia.hu, nebbia.de and nebbia.biz Vždy si over odkaz, než naň klikneš.
- SMS ti posielame len o akciách a novinkách. Cez SMS nikdy nepýtame heslá, platby ani osobné údaje. Ak ťa správa v mene NEBBIA žiada potvrdiť údaje alebo zaplatiť, nie je od nás.
- Nikdy ťa nepožiadame o heslo ani o celé číslo karty.
Náš záväzok
Toto sa nemalo stať. Opravili sme to, posilnili sme ochranu tvojich dát a hovoríme o tom s tebou otvorene. Ak máš akékoľvek otázky, napíš nám na [email protected] a odpovie ti skutočný človek.
Martin Pecko
CEO, NEBBIA
