Rohlíku unikla zákaznická data. Útočníci získali i komunikaci za posledního půl roku
Kybernetický útok na Rohlík zasáhl zákaznickou podporu a odhalil citlivý obsah komunikace sahající až do dubna letošního roku. Mezi odcizenými daty mohou být také přepisy telefonátů, přílohy z chatů nebo informace o objednávkách. Počet dotčených zákazníků zatím není známý.
Zákaznická komunikace českého online supermarketu Rohlík se dostala do rukou útočníků. Společnost v neděli 11. října potvrdila bezpečnostní incident, při kterém neoprávněná osoba získala přístup k internímu nástroji zákaznické podpory a stáhla z něj část dat. Mezi odcizenými informacemi jsou osobní údaje zákazníků, obsah jejich konverzací a v některých případech také soubory nebo přepisy telefonických hovorů.
Rohlík o incidentu informoval dotčené zákazníky prostřednictvím e-mailu. Případ zároveň nahlásil Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) a Úřadu pro ochranu osobních údajů (ÚOOÚ).
Útočníci získali i obsah chatů a telefonických hovorů
Podle vyjádření společnosti pro ČTK se únik týká údajů uložených v nástroji zákaznické podpory.
Mezi odcizenými informacemi mohou být:
- Jména a e-mailové adresy zákazníků.
- Telefonní čísla u části dotčených osob.
- Obsah e-mailové komunikace se zákaznickou podporou.
- Chatové konverzace s operátory i virtuálním asistentem.
- Přepisy telefonických hovorů a soubory nahrané do chatu.
- Údaje o změnách nákupního košíku a stručné poznámky uložené virtuálním asistentem.
Součástí konverzací mohly být také další informace, které zákazníci podpoře sami poskytli, například doručovací adresy nebo čísla objednávek.
Rozsah uniklých údajů se proto může u jednotlivých zákazníků výrazně lišit.
Data pocházejí z komunikace od dubna do října
Rohlík ve zprávě zákazníkům upřesnil také období, ze kterých odcizená komunikace pochází.
- Chaty: 1. dubna až 5. října 2026.
- Přepisy telefonických hovorů: 28. dubna až 5. října 2026.
- E-maily zaslané zákaznické podpoře: 28. června až 22. září 2026.
Tyto informace zveřejnily Novinky.cz na základě e-mailu zaslaného zákazníkům.
Uvedená období představují časový rozsah komunikace, ze které pocházejí dotčené údaje. Neznamenají, že útočníci měli přístup do systému po celých šest měsíců, ani že byla odcizena veškerá komunikace za tuto dobu.
Počet dotčených zákazníků společnost zatím nezveřejnila.
Přihlašovací a platební systémy zůstaly podle Rohlíku nedotčené
Společnost zdůrazňuje, že útok nezasáhl její přihlašovací ani platební systémy. Internetový obchod i mobilní aplikace nadále fungují bez omezení.
To však neznamená, že se mezi odcizenými informacemi nemohla objevit hesla nebo údaje o platebních kartách.
Někteří zákazníci totiž mohli tyto informace sami uvést při komunikaci s podporou. Rohlík potvrdil, že zákazníky, kteří takové údaje sdělili, kontaktoval individuálně.
Firma uvádí, že po odhalení incidentu zablokovala neoprávněný přístup, opravila chybu a přijala další bezpečnostní opatření.
„Ochrana osobních údajů našich zákazníků je pro nás zásadní. Mrzí nás, že došlo k neoprávněnému přístupu k části jejich komunikace s naší zákaznickou podporou,“ uvedl podle ČTK Erwin Brunner z vedení společnosti.
Odcizené konverzace mohou pomoci při podvodech
Obsah zákaznické komunikace představuje specifické riziko. Pokud útočník zná podrobnosti předchozí reklamace, objednávky nebo problému s doručením, může je využít k vytvoření přesvědčivé podvodné zprávy.
Zákazníkovi může například přijít falešný e-mail, který se odvolává na konkrétní nákup a vyzývá ho k doplacení objednávky nebo přihlášení do účtu.
Dosud však nebylo potvrzeno, že by odcizená data byla tímto způsobem skutečně zneužita.
Rohlík zákazníky upozornil na možné podvodné e-maily, SMS zprávy a telefonáty. Připomíná, že nikdy nepožaduje sdělení hesla nebo údajů o platební kartě. Platební odkazy či pokyny k bankovnímu převodu zasílá pouze po předchozí dohodě se zákazníkem.
Zákazníci by měli být obezřetní zejména u nevyžádaných zpráv odkazujících na nedávné objednávky. Pokud někdo v minulosti sdělil zákaznické podpoře své heslo, měl by ho změnit, včetně dalších účtů, kde používá stejné přihlašovací údaje.
V případě pochybností je vhodné kontaktovat společnost přímo přes její oficiální web nebo aplikaci, nikoliv prostřednictvím odkazů v podezřelé zprávě.
Způsob průniku ani počet dotčených zákazníků zatím neznáme
Z dostupných informací není jasné, jakým způsobem útočník přístup k internímu nástroji zákaznické podpory získal.
Společnost zatím nezveřejnila technickou příčinu incidentu, dobu neoprávněného přístupu ani počet dotčených zákazníků. Není známá ani totožnost útočníka.
Není také jasné, zda byl napadený nástroj vlastním řešením Rohlíku, nebo zda společnost využívala technologii externího dodavatele.
Rohlík incident oznámil NÚKIB a ÚOOÚ. Další informace o okolnostech průniku nebo rozsahu odcizených dat mohou vyplynout z následného vyšetřování.