Największe cyberataki w Hiszpanii

Rok 2026 zaczął się kiepsko dla hiszpańskich firm. Już w pierwszych tygodniach roku potwierdzono atak na Endesę, Ministerstwo Skarbu wszczęło dochodzenie w sprawie włamania, a jako ofiary ataków zgłoszono port w Vigo, sieć klubów fitness Basic Fit, Inditex i grupę supermarketów Ahorramás.

Poprzedni rok też nie był łaskawszy: doszło do wycieku danych klientów takich firm jak Telefónica, El Corte Inglés, Mango, Santander i ING. W tym artykule omówiono osiem udokumentowanych przypadków, co dokładnie wyciekło oraz wspólny motyw łączący prawie wszystkie z nich.

Największe cyberataki w Hiszpanii

1. Endesa (2026): 20 milionów klientów zgłosiło roszczenia

Firma energetyczna potwierdziła naruszenie bezpieczeństwa, w wyniku którego ujawniono dane osobowe klientów, w tym dane kontaktowe, numery DNI, numery kont bankowych IBAN oraz szczegóły umów. Osoba stojąca za atakiem, działająca pod pseudonimem „Spain”, twierdziła, że wykradła bazę danych o wielkości ponad jednego terabajta, zawierającą informacje o ponad 20 milionach osób.

Endesa powiadomiła klientów, których to dotyczyło, a INCIBE, hiszpański krajowy instytut ds. cyberbezpieczeństwa, opublikował ostrzeżenie.

2. Ministerstwo Skarbu (2026): analiza 47 milionów rekordów

Ministerstwo Finansów zbadało zgłoszone włamanie do swoich baz danych. Według sprawcy włamania ujawniono dane osobowe, bankowe i podatkowe ponad 47 milionów obywateli. Firma Hackmanac, zajmująca się analizą zagrożeń, wskazała podmiot nazywający się HaciendaSec. Liczba ta pochodzi od sprawcy, a nie od ministerstwa, i należy ją traktować raczej jako twierdzenie niż potwierdzoną liczbę.

3. Telefónica (2025): 22 miliony rekordów klientów

W tej grupie telekomunikacyjnej doszło do naruszenia bezpieczeństwa, w wyniku którego ujawniono dane około 22 milionów klientów. Telefónica to jedna z najczęściej atakowanych hiszpańskich firm, częściowo ze względu na ogromną ilość danych abonentów, które przechowuje.

4. El Corte Inglés (2025): dostawca był kluczem do sukcesu

2 marca 2025 roku El Corte Inglés poinformował klientów, że u jednego z jego zewnętrznych dostawców doszło do nieuprawnionego dostępu do danych osobowych. Ujawniono dane identyfikacyjne oraz dane kart płatniczych, choć firma zaznaczyła, że same wyciekające informacje o kartach nie mogą posłużyć do dokonania płatności.

To, co nastąpiło potem, warto dokładnie przeanalizować. W ciągu kilku dni ruszyła kampania smishingowa: przestępcy podszywali się w SMS-ach pod dział finansowy tej sieci handlowej, próbując wyłudzić dane logowania. Organizacja konsumencka OCU opublikowała ostrzeżenie.

5. Mango (2025): też przez dostawcę

Sieć sklepów odzieżowych padła ofiarą ataku, gdy jej zewnętrzny dostawca usług marketingowych umożliwił nieuprawniony dostęp do danych osobowych. To ten sam schemat, co w przypadku El Corte Inglés: atakujący nie przedostał się przez „główne drzwi” marki.

6. Użytkownicy serwisu Booking (2025): atak nastąpił po wycieku danych

Użytkownicy platformy turystycznej stali się celem kampanii łączącej skradzione dane rezerwacyjne z przekonującymi wiadomościami uzupełniającymi. Ponieważ przestępcy dysponowali prawdziwymi danymi rezerwacji, ich wiadomości były o wiele trudniejsze do zignorowania niż typowe próby phishingu. To najwyraźniejszy przykład z tej listy pokazujący, dlaczego kradzież danych rzadko oznacza koniec incydentu, a raczej początek kolejnego.

7. Santander i ING (2025): tysiące klientów bankowych

W obu bankach doszło do wycieku danych klientów. W branży, w której jedna przekonująca wiadomość może wpłynąć na przepływ pieniędzy, wyciek danych klientów ma natychmiastowe konsekwencje.

8. Fala 2026: Vigo, Basic Fit, Inditex, Ahorramás

Oprócz tych głośnych przypadków, w pierwszych tygodniach 2026 roku odnotowano incydenty w porcie w Vigo, sieci klubów fitness Basic Fit, firmie Inditex oraz grupie supermarketów Ahorramás. Porty, kluby fitness, handel detaliczny – nie ma już branży, która wydawałaby się mało prawdopodobnym celem.

Co łączy te ataki

Na tej liście widać dwie tendencje, ale żadna z nich nie ma charakteru technicznego.

Dostawca to punkt wejścia. W przypadku El Corte Inglés i Mango haker nigdy nie miał dostępu do systemów samych marek. Dostał się przez zewnętrznego dostawcę, który przechowywał dane klientów. Twoje bezpieczeństwo jest tak silne, jak bezpieczeństwo podmiotu, z którym udostępniłeś swoją bazę danych – a większość organizacji współpracuje z dziesiątkami takich podmiotów.

Wyciek to dopiero początek, a nie koniec. Sprawa El Corte Inglés pokazuje to jasno: już w ciągu kilku dni od wycieku przestępcy wysyłali SMS-y, podszywając się pod dział finansowy firmy. Mieli prawdziwe dane klientów, co sprawiało, że wiadomości wyglądały na wiarygodne. To samo spotkało użytkowników serwisu Booking, gdzie autentyczne szczegóły rezerwacji sprawiały, że trudno było odróżnić fałszywą wiadomość od prawdziwej. Wyciek to tylko amunicja; atak, który kosztuje pieniądze, następuje później i jest wymierzony w ludzi.

Właśnie na tym drugim etapie organizacja wciąż może coś zrobić. Zapora sieciowa nie powstrzyma pracownika przed podjęciem działania na podstawie wiadomości zawierającej prawdziwe informacje o rzeczywistej transakcji. Ale przeszkolony pracownik – tak. Działa to na tej samej zasadzie, co przynęta: atakujący podaje powód do działania, a decyzja zapada w ciągu kilku sekund.

Jak chronić swoją organizację

Kopie zapasowe, instalowanie poprawek i kontrola dostępu to podstawa. Poza tym, jeśli chodzi o powyższe wzorce, liczą się trzy rzeczy:

• Sprawdź, kto przechowuje twoje dane. Jeśli twoją bazę klientów ma dostawca usług marketingowych albo partner logistyczny, to ich zabezpieczenia stają się teraz twoim ryzykiem. Zapytaj, co robią w kwestii szkoleń uświadamiających, a nie tylko szyfrowania.
• Przygotuj się na drugą falę. Załóż, że kiedyś, gdzieś dojdzie do wycieku danych. O skali szkód zadecyduje to, czy twoi pracownicy rozpoznają przekonujący komunikat, który pojawi się po tym wydarzeniu.
• Ćwicz zamiast pouczać. Realistyczne symulacje ataków phishingowych pokazują, które działy potrzebują wsparcia, zanim atakujący sam to odkryje.

Dla organizacji objętych dyrektywą NIS2 szkolenia uświadamiające nie są już opcjonalne. Jest to wyraźnie zaznaczone w dyrektywie, a nasz przewodnik po NIS2 wyjaśnia, co to oznacza w praktyce.