# Oszuści podszywają się pod UODO i chcą wyłudzić od firm instalujących monitoring dane o kamerach CSIRT GOV poinformował urząd 19 października 2026 r. o fałszywych wezwaniach, w których nadawca żąda m.in. adresów IP, numerów seryjnych i wersji firmware kamer. UODO podaje, że takich pism nie rozsyła i takich informacji nie zbiera. - Adres: - Rodzaj: Streszczenie - Data publikacji: 02.11.2026 - Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/) - Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/) - Źródło: [UODO](https://uodo.gov.pl/pl/138/4612) (20 października 2026) - Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl) W poniedziałek 19 października 2026 r. CSIRT GOV poinformował Urząd Ochrony Danych Osobowych o kampanii phishingowej skierowanej do firm instalujących monitoring wizyjny. O zgłoszeniu wiadomo z komunikatu, który UODO opublikował 20 października. Nadawca podszywa się pod urząd i żąda zestawienia instalacji wykonanych w ostatnich 12 miesiącach: danych kontaktowych użytkownika końcowego, lokalizacji z dokładnymi współrzędnymi geograficznymi, adresów IP urządzeń, numerów seryjnych, wersji firmware i modelu kamery. Wiadomość powołuje się na art. 5 ust. 1 lit. f, art. 25 i art. 32 RODO. Według UODO podaje prawie poprawne dane teleadresowe urzędu i ma tabelkę do wypełnienia. Na końcu jest ponaglenie: „Prosimy o przekazanie kompletnego zestawienia w formacie XLSX w terminie 7 dni roboczych od otrzymania niniejszego pisma” oraz zdanie „Niniejszy wniosek stanowi urzędowe wezwanie UODO”. UODO wyjaśnia, że takie informacje pozwalają ustalić, czy urządzenie może mieć nieaktualne oprogramowanie. Przestępcy mogą też wykorzystać fabryczne ustawienia, jeśli instalator lub użytkownik ich nie zmienił, by przejąć nad urządzeniem kontrolę. Urząd dodaje, że żądane dane mogą umożliwić ustalenie adresów użytkowników końcowych, a przejęcie obrazu może wpływać na bezpieczeństwo osób i mienia. Jeśli kamery w twojej organizacji montowała firma zewnętrzna, jej odpowiedź na taki e-mail ujawniłaby także dane twojej instalacji. UODO podaje, że nie wysłał tej wiadomości, **nigdy takich pism ani ankiet nie rozsyła** i nie zbiera takich informacji. Zaleca każdorazowe sprawdzenie, czy korespondencja rzeczywiście pochodzi od podmiotu, który podaje się za jej nadawcę. Sekurak zwraca uwagę, że żaden z artykułów wymienionych w wiadomości sam w sobie nie stanowi podstawy prawnej do przekazania tych informacji, i radzi kontakt z domniemanym nadawcą innym kanałem komunikacji. Sekurak wiąże kampanię ze sprawą z lipca, a komunikat UODO o tym związku nie mówi. Urząd poinformował 15 lipca 2026 r. o pierwszej karze Prezesa UODO związanej z prywatnym monitoringiem: osoba, która nie wykonała nakazu zaprzestania przetwarzania danych za pomocą kamer obejmujących drogę publiczną i sąsiednie nieruchomości, ma zapłacić 26 711 zł. ## Źródła - [UODO: Oszuści podszywają się pod UODO i chcą wyłudzić dane](https://uodo.gov.pl/pl/138/4612) - [Sekurak: Phishing na UODO - oszuści wyłudzają dane o monitoringu wizyjnym](https://sekurak.pl/phishing-na-uodo-oszusci-wyludzaja-dane-o-monitoringu-wizyjnym/) - [UODO: Pierwsza kara Prezesa UODO związana z prywatnym monitoringiem](https://uodo.gov.pl/pl/138/4492) ## Pojęcia w tym tekście - [CSIRT](https://pelnomocnikcyber.pl/slownik/csirt/): Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). - [Urząd Ochrony Danych Osobowych](https://pelnomocnikcyber.pl/slownik/uodo/): Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych. - [RODO](https://pelnomocnikcyber.pl/slownik/rodo/): Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych. ## Jak powstała ta wiadomość Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 2 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.