Útočník stáhl z nástroje zákaznické podpory Rohlíku část konverzací se zákazníky

Internetový supermarket Rohlík poslal v neděli 11. října části zákazníků e-mail o bezpečnostním incidentu. Neoprávněná osoba podle něj získala přístup k internímu nástroji zákaznické podpory a stáhla z něj část uložených dat. Firma píše, že přístup zablokovala, chybu opravila a incident ohlásila Úřadu pro ochranu osobních údajů a NÚKIB. Úryvky z e-mailu otiskly Novinky.cz a Lupa.cz, týž den incident potvrdil ČTK mluvčí firmy Ondřej Obergruber.

Kolika lidí se únik týká, Rohlík neuvedl. Novinky se mluvčího ptaly i na to, kdy firma na průnik přišla, jestli zná viníka a zda věc oznámila policii; odpověď na tyto otázky v následné tiskové zprávě podle redakce nebyla. Jak se útočník do nástroje dostal, firma také nepopsala. V e-mailu jen slibuje, že bude zabezpečení posilovat, „abychom dokázali předcházet podobným sofistikovaným útokům“.

Co v nástroji zákaznické podpory leželo

Základ tvoří jméno, e-mailová adresa a obsah komunikace s Rohlíkem. Co přesně k tomu přibude, záleží na tom, jak se zákazník na podporu obracel. Mohou to být e-maily, které poslal, chaty a soubory do nich nahrané, nebo přepis telefonního hovoru i s telefonním číslem. Týká se to rozhovorů s operátory i s virtuálním asistentem.

Uniknout mohlo i to, co lidé do konverzace napsali sami, například doručovací adresa nebo číslo objednávky. Dvě položky jsou méně obvyklé: přehled zboží, které zákazník v poslední době přidal do košíku nebo z něj odebral, a „krátké poznámky, které si virtuální asistent z rozhovorů s vámi uložil“, jak stojí v e-mailu.

Rohlík uvádí, z jakého období uložená komunikace pochází:

• chaty od 1. dubna do 5. října 2026,
• přepisy telefonních hovorů od 28. dubna do 5. října 2026,
• e-maily zaslané od 28. června do 22. září 2026.

Jde o rozsah toho, co nástroj obsahoval. Kolik z toho útočník opravdu stáhl, z e-mailu nevyplývá; firma mluví o „části dat“.

Přihlašovací a platební systémy útok podle firmy minul

„Incident se týkal obsahu konverzací se zákaznickou podporou. Naše přihlašovací a platební systémy narušeny nebyly a e-shop i aplikace fungují bez omezení,“ řekl podle Novinek Erwin Brunner, Retail CEO skupiny Rohlik Group. Databáze s hesly a platebními údaji tedy podle firmy prolomené nebyly.

Výjimkou jsou lidé, kteří heslo nebo číslo karty v rozhovoru s podporou sami uvedli. Ty podle ČTK firma kontaktovala zvlášť. Kdo podpoře heslo kdy napsal, tomu Rohlík v e-mailu doporučuje změnit ho všude, kde ho používá.

Podvodník bude znát poslední nákup

Proti holému seznamu adres nese tenhle únik i kontext: co si člověk objednal, s čím měl potíže a co řešil s podporou. Na to upozorňuje i sám Rohlík. „Podvodníci by v nich mohli zmínit i zboží, které jste nedávno nakupovali, aby zpráva působila důvěryhodněji,“ píše zákazníkům o falešných e-mailech, SMS a telefonátech.

Rohlík k tomu uvádí, co sám nedělá. Po zákaznících nikdy nechce heslo ani údaje o kartě a platbu mimo svůj web a aplikaci běžně nepožaduje. Výjimkou jsou platební odkazy a podklady k bankovnímu převodu, které podle e-mailu posílá „výhradně po předchozí dohodě“. Zpráva, která se odvolá na konkrétní objednávku a chce doplatek přes odkaz nebo převod na jiný účet, tedy do běžného postupu firmy nezapadá.

Věrohodná zpráva je přitom to, na čem podvodníci stojí: podle společné zprávy evropských regulátorů EBA a ECB nesli u podvodných převodů 85 % ztrát sami klienti. Kdo dostane podezřelou zprávu, ověří ji nejspolehlivěji tak, že se Rohlíku ozve sám přes jeho web, aplikaci nebo linku 800 730 740, ne přes kontakt ze zprávy. Podvodný web, na který odkaz vede, jde nahlásit týmu CSIRT.CZ přes Strážce internetu.

Virtuální asistent si o zákaznících dělal poznámky

Rohlík provozuje AI asistentku jménem Maia, kterou podle Lupa.cz pustil mezi zákazníky v polovině května. Na akci Innovation Week o ní Katarína Turnová z Rohlik Group řekla, že má přes 400 tisíc uživatelů. Lupa.cz k tomu píše, že asistentka umí v rozhovoru sestavit košík, vybrat čas doručení a zaplatit uloženou kartou a pomáhá i s problémy s objednávkami. E-mail o úniku mluví jen o „virtuálním asistentovi“ a jménem ho neoznačuje.

Krátké poznámky, které si asistent z rozhovorů ukládal, ležely podle e-mailu ve stejném nástroji jako konverzace s operátory. Co v nich stálo, Rohlík nepopsal.

Neznámé zůstává i to, jestli byl napadený nástroj vlastním systémem Rohlíku, nebo službou externího dodavatele. E-mail ani vyjádření pro média neříkají, kdo ho provozuje.

Zdroje: ČTK, České noviny, Novinky.cz, Lupa.cz o úniku, Lupa.cz o asistentce Maia.