Nedávno jsme zjistili bezpečnostní problém, který se dotkl části dat našich zákazníků. Píšeme o něm otevřeně, protože to považujeme za správné, a protože chceme, abys věděl, jak se chránit.
Co se stalo
Kvůli konfigurační chybě na naší straně se dokumenty generovaly do prostoru přístupného přes přímou adresu (URL) bez aplikační autorizace. K indexaci části těchto adres externími vyhledávači došlo v důsledku chybné konfigurace vrstvy, která zajišťuje doručování a ochranu našeho webu. Po dohledání takové adresy bylo možné fakturu stáhnout bez ověření totožnosti.
Ve dnech 1. až 2. července 2026 toho neoprávněná osoba využila k tomu, aby část souborů našla a stáhla, než jsme přístup zabezpečili. Problém jsme zjistili 8. července a téhož dne jsme chybu odstranili.
Kterých údajů se to týkalo
Dotčené faktury obsahovaly jména zákazníků, adresy, telefonní čísla, e-mailové adresy a údaje o objednávkách. U firemních zákazníků také IČO.
Neobsahovaly:
- Žádné platební ani kartové údaje. Ty neukládáme, zpracovává je naše platební brána.
- Žádná hesla k účtům.
Co jsme udělali
- Téhož dne jsme všechny faktury zabezpečili přihlášením.
- Úspěšně jsme identifikovali a odstranili zranitelnost a posílili naše systémy.
- Incident jsme nahlásili slovenskému Úřadu pro ochranu osobních údajů (ÚOOÚ) a Národnímu bezpečnostnímu úřadu (NBÚ).
- Přizvali jsme externího specialistu na kybernetickou bezpečnost a forenzní analýzu, který vše prověřil.
- Všechny dotčené zákazníky jsme kontaktovali přímo e-mailem.
Co to znamená pro tebe a jak se chránit
Hlavní riziko u tohoto typu dat jsou cílené podvodné zprávy. Někdo by mohl použít tvé jméno a údaje o objednávce, aby falešná zpráva působila důvěryhodně. Buď proto opatrný u každého e-mailu, hovoru nebo SMS, které se vydávají za NEBBIA.
Jak poznáš, že jsme to opravdu my
- Píšeme ti jen z adres @nebbia.biz, @nebbia.fitness nebo @nebbia.com. Jakákoli jiná adresa není od nás.
- Naše jediné oficiální stránky jsou nebbia.fitness, nebbia.com, nebbia.sk, nebbia.cz, nebbia.it, nebbia.hu, nebbia.de and nebbia.biz Vždy si ověř odkaz, než na něj klikneš.
- SMS ti posíláme jen o akcích a novinkách. Přes SMS nikdy nežádáme hesla, platby ani osobní údaje. Pokud tě zpráva jménem NEBBIA žádá o potvrzení údajů nebo o platbu, není od nás.
- Nikdy tě nepožádáme o heslo ani o celé číslo karty.
Náš závazek
Tohle se nemělo stát. Opravili jsme to, posílili jsme ochranu tvých dat a mluvíme o tom s tebou otevřeně. Pokud máš jakékoli otázky, napiš nám na [email protected] a odpoví ti skutečný člověk.
Martin Pecko
CEO, NEBBIA
