Útočník získal přístup k nástroji zákaznické podpory Rohlik.cz. Případ upozorňuje na rizika spojená s ukládáním komunikace, osobních údajů a zákaznické historie.
Bezpečnostní incident společnosti Rohlik.cz ukazuje, že ochrana digitálních služeb nespočívá pouze v zabezpečení platebního systému nebo uživatelských účtů.
Společnost 11. října 2026 oznámila neoprávněný přístup k internímu nástroji zákaznické podpory. Podle jejího vyjádření útočník odcizil část informací o zákaznících a obsah jejich komunikace.
Přihlašovací a platební systémy podle Rohlik.cz narušeny nebyly. Přesto jde o incident, který může být z bezpečnostního hlediska významný.
Zákaznická podpora pracuje s kontextem o konkrétních lidech
Zákaznické systémy slouží nejen k evidenci požadavků, ale často také k uchovávání související komunikace a informací potřebných k jejímu vyřízení.
V případě Rohlik.cz byly podle zveřejněného oznámení dotčeny e-maily, chaty a přepisy telefonních hovorů s operátory nebo virtuálním asistentem.
U některých zákazníků šlo také o telefonní čísla a soubory přiložené do chatu. Informace mohly zahrnovat doručovací adresy, čísla objednávek či poznámky vytvořené virtuálním asistentem.
Taková kombinace může útočníkovi poskytovat souvislosti, které ze samostatného seznamu zákaznických kontaktů nezíská.
Proč nepostačuje ochrana platebních systémů?
Platební infrastruktura a systémy pro přihlašování jsou důležitými oblastmi digitální bezpečnosti. Nemusejí však představovat jediná místa, na nichž jsou uchovávány informace významné pro ochranu zákazníků.
Pokud se například heslo nebo údaj o platební kartě objeví v běžné zákaznické komunikaci, může vzniknout riziko jeho zpřístupnění i mimo samotný přihlašovací či platební systém.
Rohlik.cz uvedl, že zákazníky, kteří takové informace během komunikace poskytli, kontaktoval přímo.
Incident proto zdůrazňuje důležitost zabezpečení celého životního cyklu osobních údajů, nikoliv pouze jednotlivých technických součástí služby.
Největším rizikem může být zneužití důvěry
Odcizená komunikace může být použitelná pro přípravu cílených podvodných zpráv, pokud obsahuje podrobnosti o skutečných objednávkách nebo reklamacích.
Pachatel nemusí nutně útočit na technickou infrastrukturu zákazníka. Může se pokusit přesvědčit jej, aby citlivé údaje poskytl dobrovolně.
„Největší riziko nemusí představovat samotná ztráta e-mailové adresy, ale její propojení s obsahem zákaznické komunikace. Útočník může díky konkrétním informacím připravit podvod, který působí jako legitimní pokračování předchozího kontaktu se společností,“ uvádí Tomáš Kuneš, expert na AI a bezpečnost.
Podobné útoky jsou známé jako spear-phishing. Jejich charakteristickým znakem je přizpůsobení komunikace konkrétnímu příjemci.
Veřejně dostupné informace však neprokazují, že by odcizená data Rohlik.cz již byla pro takové útoky využita.
Jaká bezpečnostní opatření mají obecně význam?
Z tohoto typu incidentu lze vyvodit několik obecných zásad pro provozovatele digitálních služeb.
Důležitá je především kontrola oprávnění zaměstnanců a dalších osob přistupujících k zákaznickým systémům. Přístup by měl odpovídat jejich skutečné pracovní potřebě.
Význam má také vícefaktorové ověřování, sledování neobvyklých přístupů a omezení možnosti hromadného exportu dat.
Dalším principem je minimalizace osobních údajů a přiměřené nastavení doby jejich uchovávání. Organizace by měla průběžně vyhodnocovat, které údaje potřebuje pro provoz služby a jak dlouho.
Tato opatření jsou obecnými doporučeními pro řízení bezpečnosti. Nejsou důkazem, že by některé z nich v případě Rohlik.cz chybělo.
Co o příčině incidentu nevíme?
Z veřejného oznámení nelze spolehlivě určit přesnou cestu, kterou útočník získal přístup.
Není doloženo, zda šlo o zneužití přihlašovacích údajů, technickou zranitelnost, chybné nastavení oprávnění nebo jiný mechanismus.
Stejně tak nelze nezávisle vyhodnotit účinnost přijatých opatření bez znalosti konkrétní architektury a výsledků technického vyšetřování.
Společnost uvedla, že přístup zablokovala, chybu opravila a zabezpečení posílila. Incident také podle svého vyjádření ohlásila příslušným úřadům.
Útok může skončit, riziko zneužití dat přetrvávat
„Zablokování útoku je zásadním bezpečnostním krokem, ale nelze ho zaměňovat za odstranění všech následků. Pokud útočník data již získal, samotná oprava systému nezaručuje, že jejich kopie přestaly existovat,“ upozorňuje Tomáš Kuneš.
Uvedené riziko je obecnou vlastností incidentů spojených s odcizením dat. Není potvrzeno, že by údaje Rohlik.cz byly následně distribuovány dalším osobám.
Případ připomíná, že bezpečnost zákaznické podpory je součástí celkové ochrany organizace. Zákaznická komunikace totiž není jen provozním záznamem, ale může obsahovat informace využitelné k další manipulaci s konkrétními lidmi.
Zdroj: redakce
Často kladené otázky
1. Jakým způsobem došlo k úniku zákaznických dat Rohlik.cz?
Podle vyjádření společnosti Rohlik.cz získala neoprávněná osoba přístup k internímu nástroji zákaznické podpory a odcizila část osobních údajů a zákaznické komunikace. Konkrétní technický způsob získání přístupu nebyl veřejně upřesněn. Není proto možné potvrdit, zda útočník využil zranitelnost systému, odcizené přihlašovací údaje nebo jiný způsob napadení.
2. Proč je únik dat ze zákaznické podpory bezpečnostním rizikem?
Systémy zákaznické podpory mohou obsahovat nejen kontaktní údaje, ale také historii objednávek, reklamace, přepisy rozhovorů a další informace o konkrétních zákaznících. Kombinace těchto údajů může útočníkovi umožnit připravit přesvědčivější podvodnou komunikaci. Znalost skutečných detailů objednávky však neznamená, že je odesílatel zprávy důvěryhodný.
3. Znamená únik zákaznické komunikace Rohlik.cz také napadení platebních systémů?
Ne. Podle vyjádření společnosti Rohlik.cz nebyly její přihlašovací ani platební systémy narušeny. To však nevylučuje, že se v odcizené zákaznické komunikaci mohly nacházet jednotlivé platební nebo přihlašovací údaje, které zákazníci sami poskytli. Společnost uvedla, že takové zákazníky kontaktovala přímo.
4. Jaká bezpečnostní opatření mohou zabránit podobným únikům dat?
Mezi obecně doporučovaná opatření patří vícefaktorové ověřování, omezení přístupových oprávnění, sledování neobvyklé aktivity, ochrana před hromadným exportem dat a minimalizace uchovávaných osobních údajů. Důležité jsou také pravidelné bezpečnostní kontroly. Tato doporučení neznamenají, že by některé z uvedených opatření ve společnosti Rohlik.cz prokazatelně chybělo.
5. Mohou být odcizená data Rohlik.cz zneužita i po odstranění bezpečnostní chyby?
Ano. Pokud útočník získal kopie osobních údajů, samotné odstranění bezpečnostní chyby automaticky nezaručuje jejich smazání. Informace by teoreticky mohly být využity například k cílenému phishingu nebo podvodným telefonátům i s časovým odstupem. V souvislosti s incidentem Rohlik.cz však zatím nebylo veřejně potvrzeno následné šíření nebo konkrétní zneužití odcizených údajů.