Bezpieczeństwo

FAQ — Bezpieczeństwo płatności kartą na mpm.pl

1. Co się dokładnie wydarzyło?

Na stronie płatności został wykryty i usunięty nieautoryzowany skrypt. Skrypt ten mógł przechwytywać dane kart płatniczych wpisywane bezpośrednio na stronie. Problem dotyczył okresu 28.08–30.09.2025.

2. Jakie dane mogły zostać przechwycone?

Imię i nazwisko, adres, e-mail, telefon oraz dane karty (numer, data ważności, CVC/CVV, nazwa na karcie). Nie przechowujemy CVC/CVV w systemach sklepu — ryzyko wynika z wpisania ich w formularz w tym okresie.

3. Kto może być dotknięty?

Osoby, które w tym okresie wpisywały dane karty bezpośrednio na stronie mpm.pl. Jeśli używałeś płatności BLIK, przelewem, PayPo lub po bezpiecznym przekierowaniu do operatora (Przelewy24/PayU) – nie jesteś dotknięty.

4. Co powinienem zrobić teraz?

a)     Natychmiast zastrzec kartę i poprosić o nową.

b)     Sprawdzić historię transakcji i zgłosić nieautoryzowane operacje (chargeback).

c)     Włączyć powiadomienia SMS/aplikacyjne o transakcjach.

d)     W razie używania tych samych haseł gdzie indziej — zmienić hasła i aktywować 2FA.

5. Czy moje zamówienie zostało zrealizowane?

Tak, zamówienia są realizowane normalnie. Incydent dotyczył wyłącznie płatności kartą.

6. Czy moje dane osobowe (PESEL, dowód osobisty) też wyciekły?

Nie. Sklep nie zbiera takich danych przy zamówieniu. Zakres ryzyka ogranicza się do danych kontaktowych i danych karty.

7. Co się stanie, jeśli nie zastrzegę karty?

Istnieje ryzyko wykorzystania danych karty do nieautoryzowanych transakcji. Banki zwykle zwracają środki w ramach reklamacji/chargeback, ale wymaga to zgłoszenia. Dlatego zalecamy niezwłoczną wymianę karty.

8. Co zrobił sklep, aby to się nie powtórzyło?

a)     usunęliśmy skrypt,

b)     wyłączyliśmy możliwość wpisywania karty na stronie (pozostało wyłącznie bezpieczne przekierowanie do operatora płatności),

c)     wprowadziliśmy dodatkowe zabezpieczenia (WAF, monitoring integralności plików, przegląd modułów i aktualizacji, rotacja haseł i kluczy),

d)     zgłosiliśmy sprawę Prezesowi UODO, współpracujemy z operatorem płatności
i zespołem ekspertów ds. cyberbezpieczeństwa.

9. Skąd mam wiedzieć, że to już bezpieczne?

Aktualnie dane kart nie są wpisywane na stronie mpm.pl — płatności odbywają się wyłącznie poprzez zewnętrzny, szyfrowany system operatora płatności. Dodatkowo wdrożyliśmy monitoring bezpieczeństwa i testy integralności.

10. Czy sklep zwróci pieniądze, jeśli ktoś użyje mojej karty?

Procedura zwrotu odbywa się poprzez Twój bank (chargeback/reklamacja transakcji). Banki standardowo zwracają środki, jeśli transakcja była nieautoryzowana. Zalecamy szybki kontakt z bankiem.

11. Czy będę informowany o kolejnych krokach?

Tak. Jeśli pojawią się nowe informacje, opublikujemy je na stronie mpm.pl w tej sekcji oraz wyślemy uzupełniający komunikat do klientów.

12. Jak mogę się skontaktować?

Uruchomiliśmy specjalny adres e-mail: security@mpm.pl gdzie można zgłaszać pytania i wątpliwości

Osoby wskazane do kontaktu:
Łukasz Grabowski, Inspektor Ochrony Danych  , nr tel: +48 883-942-060
Jakub Grabowski, Z-ca Inspektora Ochrony Danych, , nr tel: +48 535-500-919