Wyciek danych Hertz: co wyciekło i jak chronić swoje dane

Wyciek danych Hertz: co wyciekło i jak chronić swoje dane 

Hertz, jeden z największych na świecie wypożyczalni samochodów, potwierdził, że w wyniku ataku hakerskiego do cyberprzestępców trafiły dane klientów. Wśród nich mogą być numery kart płatniczych i skany dokumentów tożsamości. Jeśli wynajmowałeś auto w Hertzu, Dollar lub Thrifty, przeczytaj, co możesz zrobić już dziś. 

Co się stało? Najważniejsze fakty 

Atak nie dotyczył bezpośrednio systemów rezerwacyjnych Hertza. Hakerzy wykorzystali luki w oprogramowaniu Cleo, służącym do bezpiecznej wymiany plików między firmami. Atak miał miejsce między październikiem a grudniem 2024 roku. Hertz potwierdził kradzież danych 10 lutego 2025 roku, a skalę wycieku ustalił po analizie 2 kwietnia 2025 roku. 

Hertz poinformował organy ścigania, załatał podatności i zaczął rozsyłać powiadomienia do poszkodowanych klientów w USA, Kanadzie, Wielkiej Brytanii, Australii i Unii Europejskiej, w tym w krajach UE. 

Kto stoi za atakiem na Cleo? 

Podatności w produktach Cleo (m.in. CVE-2024-50623 i CVE-2024-55956) zostały wykorzystane przez grupę ransomware Clop, znaną z masowych ataków na oprogramowanie do transferu plików. To ważny kontekst: Hertz nie był jedynym celem. Ten sam łańcuch ataku dotknął wiele firm korzystających z Cleo. Dla klienta oznacza to, że dane mogły wyciec nie z jednego, ale z kilku miejsc jednocześnie. 

Jakie dane mogły wyciec? 

imię i nazwisko,  

data urodzenia,  

dane prawa jazdy,  

numer karty kredytowej lub debetowej użytej do płatności za najem,  

w części przypadków dane dowodu osobistego lub paszportu.  

Skala zależy od kraju i okresu wynajmu, dlatego warto sprawdzić, czy dostałeś wiadomość od Hertza. Pamiętaj, że oszuści często podszywają się pod takie powiadomienia. 

Czym grozi wyciek takich danych? 

Same numery kart są najmniejszym problemem. Karta da się zablokować w minutę. Poważniejsze są dane dokumentów, bo nie można ich "zastrzec" tak łatwo jak kartę: 

Phishing spersonalizowany. Oszust, który zna Twoją datę urodzenia i fakt wynajmu auta, brzmi wiarygodnie ("Dotyczy Twojej rezerwacji…").  

Wyłudzenia kredytów i usług na podstawie danych z dokumentu.  

Fałszywe wynajmy aut na Twoje dane.  

Handel danymi na forach przestępczych, czasem miesiącami po wycieku.  

Co zrobić, jeśli wynajmowałeś auto w Hertzu? 

1. Skontaktuj się z bankiem. Zablokuj kartę użytą do płatności i zamów nową. Włącz powiadomienia o każdej transakcji.  

2. Zastrzeż PESEL, jeśli wyciekły dane dowodu. Można to zrobić za darmo w aplikacji mObywatel lub w urzędzie gminy. Zastrzeżenie utrudnia wzięcie kredytu na Twoje dane.  

3. Wymień zagrożony dokument, jeśli wyciekł jego skan i masz co do tego uzasadnione obawy. Zgłoś utratę w urzędzie lub ambasadzie.  

4. Włącz monitoring w BIK i sprawdź raport kredytowy pod kątem zobowiązań, których nie zaciągałeś.  

5. Uważaj na wiadomości podszywające się pod Hertza lub bank. Nie klikaj w linki. Loguj się tylko przez oficjalną stronę lub aplikację.  

6. Zmień hasła do konta w serwisie wypożyczalni i wszędzie tam, gdzie używałeś tego samego hasła. Włącz uwierzytelnianie dwuskładnikowe.  

Twoje prawa według RODO 

Jako klient z UE masz konkretne uprawnienia: 

Prawo do informacji. Administrator ma obowiązek zawiadomić Cię o naruszeniu, jeśli grozi ono wysokim ryzykiem dla Twoich praw (art. 34 RODO).  

Prawo dostępu. Możesz zażądać informacji, jakie dane o Tobie przetwarza firma.  

Skarga do organu nadzorczego. W Polsce jest to Prezes UODO.  

Odszkodowanie. Art. 82 RODO daje prawo do dochodzenia odszkodowania za szkodę majątkową lub niemajątkową. Szanse zależą od konkretnych okoliczności, więc warto skonsultować się z prawnikiem.  

Czy wyciek Hertza to wyjątek? Czego uczy ta historia 

Ten atak pokazuje mechanizm, który powtarza się w wielu wyciekach: dane klientów wyciekają często nie od firmy, którą znasz, ale od jej dostawcy. Wypożyczalnia mogła mieć dobre zabezpieczenia, a luka siedziała w narzędziu do przesyłania plików. 

Jeśli prowadzisz firmę, która przetwarza dane klientów, nie czekaj na incydent. Wynajmij hakera, a dokładniej etycznego hakera lub zespół wykonujący testy penetracyjne (pentesty). Za kontrolowany atak zapłacisz ułamek tego, co kosztuje prawdziwy wyciek: kary, odszkodowania i utrata zaufania. Sprawdź też, jakie dane przechowujesz i czy naprawdę musisz je trzymać. Czego nie masz, tego nikt nie ukradnie. 

Jak ograniczyć ryzyko przy wynajmie auta w przyszłości? 

Płać kartą z niskim limitem lub kartą wirtualną, jeśli bank ją oferuje.  

Używaj płatności mobilnych (Apple Pay, Google Pay), które nie ujawniają numeru karty.  

Nie wysyłaj skanów dokumentów mailem. Jeśli musisz, poproś o bezpieczny kanał.  

Zapytaj, jak długo wypożyczalnia przechowuje kopię Twojego dokumentu.  

Ustaw w banku powiadomienia push o każdej płatności.  

Najczęściej zadawane pytania (FAQ) 

Czy mój numer karty z Hertza jest bezpieczny? 
Jeśli wynajmowałeś auto w okresie objętym incydentem, zakładaj, że mógł wyciec. Najbezpieczniej zablokować kartę i zamówić nową. 

Jak sprawdzić, czy moje dane wyciekły? 
Poszukaj w skrzynce (także w spamie) powiadomienia od Hertza. Możesz też sprawdzić swój adres e-mail w serwisie Have I Been Pwned. Pamiętaj jednak, że nie każdy wyciek tam trafia. 

Czy mogę dostać odszkodowanie? 
RODO daje taką możliwość, ale trzeba wykazać szkodę. W praktyce warto skontaktować się z prawnikiem lub zgłosić się do UODO. 

Czy zastrzeżenie PESEL jest darmowe? 
Tak. Można je zrobić w mObywatelu lub w urzędzie. 

Czy Hertz jest bezpieczny po ataku? 
Firma poinformowała, że załatała luki w oprogramowaniu Cleo. Ryzyko dotyczy przede wszystkim danych, które już wyciekły, a nie przyszłych wynajmów.