WyślijBezpiecznieProducent: ransomware przez nieaktualizowany serwer, kary dla firmy i jej usługodawcy IT
- Podmiot
- Delta KTW Sp. z o. o.
- Branża
- Inne
- Rodzaj
- Atak ransomware
- Status
- Decyzja nieprawomocna (sprawdzony )
Co się stało
W listopadzie 2019 r. atak ransomware wykorzystał podatność nieaktualizowanego serwera i na cztery dni odciął dostęp do danych klientów oraz około 200 pracowników przedsiębiorstwa, w tym numerów PESEL i danych dokumentów tożsamości. Prezes UODO ustalił, że administrator nie przeprowadził analizy ryzyka, nie testował zabezpieczeń, nie sprawdzał usługodawcy IT i nie podał osobom, których dane dotyczą, pełnej informacji o skutkach naruszenia. Usługodawca IT wiedział o wadach oprogramowania serwera, ale nie poinformował o nich administratora. Prezes UODO nałożył kary 353 589 zł na Delta KTW i 9 822 zł na wspólników InterSYS, a WSA w Warszawie oddalił skargi 3 lipca 2025 r.
Data zdarzenia według źródła: .
Skala
- Dane: numery PESEL, seria i numer dokumentu tożsamości, imiona i nazwiska, numery rachunków bankowych, adresy, dane kontaktowe
Rozstrzygnięcie
- Kara pieniężna 353 589 zł: Administrator (Delta KTW jako następca prawny przedsiębiorcy)
- Kara pieniężna 9 822 zł: Wspólnicy spółki cywilnej InterSYS jako podmiot przetwarzający
- Nakaz: Przeprowadzenie analizy ryzyka i wdrożenie na jej podstawie środków bezpieczeństwa, testowania i odtwarzania danych
Status decyzji
Decyzja nieprawomocna, stan sprawdzony Wyrok WSA w Warszawie z 3.07.2025 (II SA/Wa 2056/24) oddalił skargę Delta KTW w całości i skargę InterSYS w zakresie pkt II decyzji; brak informacji o prawomocności.
Czego według organu zabrakło
- Analiza ryzyka przed naruszeniem i przed wdrożeniem nowych środków
- Regularne testowanie, mierzenie i ocena skuteczności zabezpieczeń
- Zdolność do szybkiego przywrócenia dostępności danych
- Weryfikacja podmiotu przetwarzającego (audyty, inspekcje), a nie tylko umowa powierzenia
- Pełna informacja dla osób o możliwych konsekwencjach naruszenia i środkach zaradczych
- Informacja od podmiotu przetwarzającego o podatnościach i potrzebie aktualizacji serwera
Źródła
- UODO: WSA oddalił skargi Delta KTW i InterSYS (DKN.5131.1.2021) (źródło pierwotne), stan na 12 listopada 2026 r.
- UODO: decyzja DKN.5131.1.2021 (kary dla administratora i podmiotu przetwarzającego) (źródło pierwotne), stan na 12 listopada 2026 r.
Więcej
Powiadomienia o nowych sprawach i ostrzeżeniach
Raz w tygodniu, tylko gdy pojawią się nowe sprawy w przeglądzie albo nowe ostrzeżenia o oszustwach „na dokument”: tytuł, jedno zdanie i link. Wypisanie jednym kliknięciem w każdym mailu.
Opis zawiera fakty ze źródeł wymienionych wyżej, bez ocen. Błąd w opisie albo zmiana statusu decyzji: napisz na kontakt@wyslijbezpiecznie.pl, poprawimy opis i datę aktualizacji. Przegląd ma charakter informacyjny i nie jest poradą prawną.