Wyciek danych w systemie stypendialnym Łódzkiego: co zrobić?

W systemie stypendialnym Województwa Łódzkiego część dokumentów uczestników można było pobrać z kont innych użytkowników. Potwierdzono pobrania przez dwie osoby; zdarzenie dotyczy przede wszystkim uczniów i ich opiekunów. Jeśli korzystałeś z programu, sprawdź komunikat administratora i nie przesyłaj ponownie dokumentów na prośbę z nieoczekiwanego SMS-a czy telefonu. Ujawnione dane mogą ułatwić podszywanie się, ale nie potwierdzono takiej kampanii.

Jak doszło do ujawnienia dokumentów

Aplikacja stypendium.lodzkie.pl nie sprawdzała prawidłowo, czy zalogowany użytkownik ma dostęp do wskazanego dokumentu. Dwie osoby pobrały cudze pliki 4 i 5 czerwca 2026 r.; problem zgłoszono 8 czerwca. Administrator wyjaśnia, że nie wszystkie operacje pobierania były rejestrowane, dlatego nie można odtworzyć pełnego zakresu naruszenia.

Wśród dokumentów, których pobranie potwierdzono, znalazły się wnioski stypendialne, świadectwa, orzeczenia o niepełnosprawności, zaświadczenia lekarskie, skany paszportów, Karty Dużej Rodziny i zaświadczenia o numerze PESEL. Dane mogą dotyczyć uczniów oraz ich opiekunów; w systemie znajdowały się także informacje o nauczycielach.

Jak może wyglądać próba podszywania się

Oficjalny komunikat ostrzega, że ktoś może wykorzystać znajomość prawdziwych danych, podając się za urząd lub bank. Nie opublikowano potwierdzonej wiadomości oszusta.

Przykład hipotetyczny, niepotwierdzony w tym incydencie: „Dzwonimy w sprawie dokumentów złożonych do stypendium w województwie łódzkim. Aby zabezpieczyć dane po incydencie, prosimy o potwierdzenie numeru PESEL i danych dokumentu”.

Co powinno wzbudzić podejrzenie

• Kontakt powołuje się na prawdziwy incydent w serwisie stypendium.lodzkie.pl, ale każe użyć nowego linku do „zabezpieczenia dokumentów”.
• Rozmówca zna nazwę programu, dane ucznia albo opiekuna i traktuje je jak dowód swojej tożsamości.
• Nadawca prosi o ponowny skan paszportu, zaświadczenia o PESEL lub dokumentacji medycznej.
• Osoba przedstawiająca się jako urzędnik albo pracownik banku wymaga natychmiastowej weryfikacji na stronie podanej w wiadomości.

To możliwe zastosowanie spear phishingu, czyli oszustwa dopasowanego do konkretnej osoby: prawdziwy szczegół z dokumentu może uwiarygodnić nieprawdziwą prośbę. Podobne ryzyko po ujawnieniu danych pacjentów opisaliśmy przy incydencie MyDr.

Co zrobić po informacji o wycieku lub podejrzanym kontakcie

Przeczytaj komunikat na mlodzizawodowcy.lodzkie.pl. Jeśli chcesz ustalić, czy incydent mógł objąć dokumenty Twoje lub dziecka, skontaktuj się z administratorem programu przez dane kontaktowe wskazane na stronie Województwa Łódzkiego, a nie przez numer z nieoczekiwanej wiadomości. Nie interpretuj braku indywidualnego potwierdzenia jako dowodu, że dokumenty były bezpieczne: zapisy pobrań są niepełne.

Jeżeli ujawnione mogły zostać dokumenty zawierające PESEL, rozważ zastrzeżenie numeru w aplikacji mObywatel lub przez gov.pl. Zgodnie z instrukcją CERT Polska podejrzany SMS zawierający złośliwy link przekaż na 8080, a podejrzany e-mail lub fałszywą stronę zgłoś przez incydent.cert.pl. Jeżeli zauważysz wykorzystanie dokumentu do oszustwa, zgłoś to Policji; przy próbie nadużycia rachunku skontaktuj się także ze swoim bankiem.

Czego nie robić

Nie wysyłaj nowej kopii paszportu ani orzeczenia lekarskiego w odpowiedzi na wiadomość o „pilnej weryfikacji stypendium”. Nie uznawaj znajomości nazwiska, PESEL-u czy rodzaju dokumentu za dowód, że dzwoni urzędnik. Rozmowę zakończ, a sprawę sprawdź samodzielnie w serwisie programu.

Zobacz też, jak dane z wycieku Fakturowni mogą uwiarygodnić wiadomość od osoby podszywającej się pod znaną instytucję.