LastPass wyciek danych 2026 — co grozi użytkownikom?

LastPass, menedżer haseł używany przez ponad 33 miliony ludzi na świecie, ponownie informuje klientów o wycieku danych — tym razem winny nie jest sam LastPass, tylko jedna z firm, z którą współpracuje. Hakerzy wykorzystali włamanie do firmy badawczej Klue, żeby wyciągnąć imiona, adresy, numery telefonów i treść zgłoszeń do supportu tysięcy klientów. To już druga taka sytuacja od 2022 roku, a fala ataków na Klue objęła też HackerOne, Recorded Future i Tanium — czyli firmy, które teoretycznie miały pilnować cudzego bezpieczeństwa.

Co dokładnie wyciekło i skąd o tym wiemy

Sprawa wyszła na jaw dzięki mailowi, który LastPass wysłał do części swoich klientów, a jego treść trafiła do dziennikarza TechCrunch. Firma przyznała, że incydent nie dotyczył jej własnej infrastruktury — źródłem problemu był Klue, zewnętrzny dostawca narzędzi do analizy konkurencji, z którym LastPass współpracuje. Napastnicy uzyskali dostęp do systemów Klue i wykorzystali go do wyciągnięcia danych o klientach LastPass: imion i nazwisk, numerów telefonów, adresów e-mail, adresów fizycznych, a także — co budzi największy niepokój — treści zgłoszeń do działu obsługi klienta oraz danych związanych ze sprzedażą.

LastPass podkreśla, że nie ucierpiały magazyny haseł klientów (czyli tzw. vault) ani reszta wewnętrznej infrastruktury firmy. To ważne rozróżnienie, bo poprzedni incydent z 2022 roku dotyczył właśnie zaszyfrowanych vaultów. Tym razem problem leży gdzie indziej, ale wcale nie jest przez to mniej groźny.

Firma na razie nie odpowiedziała dziennikarzom na pytania o dokładną liczbę poszkodowanych klientów, ani o to, co konkretnie znajdowało się w treści zgłoszeń serwisowych. A to akurat pytanie kluczowe — bo klienci kontaktują się z supportem najczęściej wtedy, gdy mają problem z płatnością albo nie mogą dostać się do własnego konta. W praktyce oznacza to, że w takich zgłoszeniach potrafią znaleźć się fragmenty bardzo wrażliwych informacji, łącznie z danymi logowania czy skanami dokumentów tożsamości — tak było choćby w przypadku wcześniejszych wycieków u Okty czy Discorda.

Klue, Icarus i seria wycieków w branży bezpieczeństwa

Żeby zrozumieć skalę problemu, trzeba cofnąć się do samego źródła. Klue — firma zajmująca się analizą konkurencji (tzw. competitive intelligence) — przyznała w połowie czerwca 2026, że wykryła w swoich systemach obcych intruzów. Za atakiem stoi grupa hakersko-wymuszeniowa działająca pod nazwą Icarus, która już wcześniej groziła publikacją wykradzionych danych, jeśli nie dostanie okupu. To standardowy schemat działania grup ransomware nowej generacji: najpierw kradzież danych, potem szantaż, a dopiero na końcu — jeśli firma nie zapłaci — publiczny zrzut informacji.

Sęk w tym, że Klue nie jest jednorazowym epizodem. LastPass dołączył do coraz dłuższej listy firm poszkodowanych przez ten sam incydent — wcześniej podobne informacje ujawniły HackerOne, Recorded Future i Tanium, czyli marki kojarzone akurat z bezpieczeństwem IT. Ironia jest bolesna: firmy, które sprzedają klientom poczucie bezpieczeństwa, same padły ofiarą ataku na łańcuch dostaw (ang. supply chain attack), bo zaufały zewnętrznemu dostawcy narzędzi.

Dla LastPass to już druga taka lekcja. W grudniu 2022 roku firma przyznała, że napastnicy wykradli całą bazę zaszyfrowanych magazynów haseł klientów. Wtedy hasła główne (master password) chroniły zawartość, ale eksperci ostrzegali, że najsłabsze z nich da się złamać metodą brute force offline. Serwis Krebs on Security później powiązał ten wyciek z falą kradzieży kryptowalut — ktoś łamał słabe hasła główne i wyciągał zawartość portfeli. To pokazuje, że nawet szyfrowanie nie chroni w stu procentach, jeśli użytkownik postawił na hasło typu „wiosna2019”.

Dlaczego dane z supportu są bardziej niebezpieczne, niż się wydaje

Największa część dyskusji wokół tego wycieku koncentruje się słusznie na treści zgłoszeń serwisowych, a nie na samych danych kontaktowych. Imię, telefon i adres e-mail to dane, które i tak krążą w dziesiątkach baz wyciekowych — nieprzyjemne, ale rzadko wystarczające do przejęcia konta. Inaczej jest z historią kontaktu z supportem.

Klienci piszą do obsługi klienta zazwyczaj w dwóch sytuacjach: gdy mają problem z płatnością (czyli w zgłoszeniu mogą pojawić się fragmenty numerów kart czy dane rozliczeniowe) albo gdy stracili dostęp do konta (a wtedy często załączają zrzuty ekranu, skany dowodów tożsamości albo opisują szczegóły, które teoretycznie miały służyć do weryfikacji tożsamości). Krótko mówiąc — to dokładnie ten rodzaj danych, który przestępcy wykorzystują później do phishingu ukierunkowanego (spear phishing) albo do tzw. social engineering, czyli podszywania się pod support i wyłudzania kolejnych informacji.

Eksperci od lat powtarzają, że najsłabszym ogniwem w łańcuchu bezpieczeństwa nie jest szyfrowanie, tylko człowiek i procesy wokół niego. Ten wyciek jest tego podręcznikowym przykładem — nie złamano żadnego algorytmu, nie shakowano głównej infrastruktury LastPass. Wystarczyło, że jeden z partnerów biznesowych miał słabsze zabezpieczenia.

LastPass i wycieki danych w Polsce — skala problemu

Polska nie jest wyspą odciętą od globalnych trendów w cyberbezpieczeństwie — wręcz przeciwnie, dane pokazują, że sytuacja u nas pogarsza się szybciej niż średnia europejska. Według danych przedstawionych przez Urząd Ochrony Danych Osobowych podczas Kongresu Ochrony Danych Osobowych i Nowych Technologii w styczniu 2026 roku, w 2025 roku do UODO wpłynęło aż 22 435 zgłoszeń naruszenia ochrony danych, czyli prawie 8 tysięcy więcej niż w poprzednim roku. To wzrost, który prezes UODO Mirosław Wróblewski określił jako rekordowy — jeszcze dwa lata wcześniej takich zgłoszeń było niespełna 10 tysięcy.

Raport kancelarii DLA Piper dorzuca kolejną liczbę: liczba zgłoszeń naruszenia RODO w Polsce w 2025 roku zwiększyła się o 33 procent, czyli o 4779 przypadków względem 2024 roku, osiągając poziom 19 065 (różnica między tą liczbą a danymi UODO wynika z innej metodologii liczenia, ale kierunek trendu jest identyczny). Analiza UODO wskazuje też konkretną przyczynę tego wzrostu — najczęstszym powodem naruszeń są przejęcia lub ujawnienia poświadczeń, które stanowią około jednej trzeciej wszystkich zgłoszeń, a większość z nich zaczyna się od phishingu.

To właśnie dlatego historia LastPass i Klue ma znaczenie dla polskiego czytelnika, nawet jeśli sam nie korzysta z LastPass. Wyciek danych z supportu jednej firmy w USA napędza globalny ekosystem phishingu, z którego korzystają też przestępcy atakujący polskich internautów — bo baza danych kontaktowych i historii zgłoszeń to gotowy materiał do przygotowania wiarygodnie wyglądających wiadomości wyłudzających kolejne dane.

Warto dodać kontekst rynkowy: przeciętny dorosły Polak ma dziś, według szacunków redakcyjnych portali branżowych, od 80 do 150 aktywnych kont internetowych — poczta, bankowość, e-commerce, streaming, portale rządowe, aplikacje firmowe. Zapamiętanie tylu unikalnych haseł jest fizycznie niewykonalne, co tłumaczy, dlaczego menedżery haseł zdobyły w Polsce tak dużą popularność — i dlaczego każdy kolejny wyciek u dużego gracza w tej branży budzi realne obawy, a nie tylko nagłówki.

Co się zmienia dla użytkowników LastPass i menedżerów haseł w ogóle

Z technicznego punktu widzenia sytuacja jest mniej dramatyczna niż w 2022 roku — magazyny haseł pozostały nietknięte, więc nikt nie musi w panice zmieniać wszystkich zapisanych haseł. Ale to nie znaczy, że nie trzeba nic robić. Klienci, których dane wyciekły, powinni spodziewać się wzmożonej fali prób phishingu — zwłaszcza takich, które podszywają się pod sam LastPass i proszą o „potwierdzenie danych konta” albo „weryfikację płatności”.

Branżowy standard w takich sytuacjach to włączenie uwierzytelniania dwuskładnikowego (2FA) wszędzie, gdzie to możliwe, oraz szczególna czujność wobec maili rzekomo pochodzących od supportu — prawdziwy dział obsługi nigdy nie prosi o hasło główne. Coraz częściej pojawia się też argument za przejściem na klucze dostępu (passkeys), które eliminują ryzyko phishingu haseł, choć — jak pokazują dane z polskiego rynku bankowego, gdzie PKO BP i ING już wdrażają FIDO2, a mBank na razie odkłada temat — pełne przejście na passkeys to wciąż proces rozłożony na lata, nie miesiące.

Sam fakt, że atak przyszedł przez zewnętrznego dostawcę, a nie przez główny system LastPass, to też ważny sygnał dla firm technologicznych w ogóle: bezpieczeństwo łańcucha dostaw stało się realnym, a nie teoretycznym zagrożeniem. Coraz więcej incydentów bezpieczeństwa — także tych dotykających polskie firmy — zaczyna się właśnie od słabszego ogniwa u partnera biznesowego, a nie od bezpośredniego ataku na główny cel.

Co to znaczy dla polskiego rynku

Po pierwsze, ten wyciek to kolejny dowód na to, że wybór menedżera haseł powinien uwzględniać nie tylko funkcje, ale historię bezpieczeństwa dostawcy. LastPass ma teraz na koncie dwa poważne incydenty w niecałe cztery lata, co w oczach części ekspertów podważa zaufanie do firmy — niezależnie od tego, że tym razem winny był partner, a nie sam LastPass.

Po drugie, rosnące statystyki UODO pokazują, że polscy administratorzy danych i konsumenci coraz częściej mierzą się z konsekwencjami wycieków, które wcale nie muszą mieć źródła w Polsce. Globalny łańcuch dostawców oprogramowania oznacza, że atak na amerykańską firmę badawczą może w praktyce wpłynąć na bezpieczeństwo danych osoby mieszkającej w Warszawie czy Krakowie.

Po trzecie, warto zauważyć rozdźwięk między deklarowaną a faktyczną higieną cyfrową Polaków — mimo rosnącej świadomości, wciąż powszechne pozostają proste, powtarzane hasła, a menedżery haseł, choć coraz popularniejsze, nie są jeszcze standardem w każdym gospodarstwie domowym.

Po czwarte, ten przypadek pokazuje ograniczenia komunikacji kryzysowej — LastPass nie odpowiedział na pytania o liczbę poszkodowanych klientów, a Klue milczy w sprawie ewentualnego kontaktu z hakerami. Z perspektywy RODO taka opieszałość w informowaniu użytkowników o pełnej skali incydentu może w Unii Europejskiej rodzić dodatkowe konsekwencje regulacyjne, bo administratorzy danych mają obowiązek zgłaszania naruszeń bez zbędnej zwłoki.

Czy warto zostać przy LastPass, czy szukać alternatywy?

Tak, jeśli:

• Korzystasz z LastPass głównie do generowania i przechowywania haseł, a nie do przechowywania wrażliwych załączników — sam magazyn haseł nie został naruszony.
• Masz włączone 2FA na koncie LastPass i jesteś gotów śledzić dalsze komunikaty firmy oraz zmienić dane kontaktowe, jeśli zajdzie taka potrzeba.
• Jesteś w trakcie umowy firmowej i migracja wiązałaby się z realnymi kosztami wdrożeniowymi, a ryzyko da się ograniczyć dodatkowymi zabezpieczeniami.

Nie, jeśli:

• To już druga sytuacja tego typu, która nadwyrężyła Twoje zaufanie do sposobu, w jaki firma zarządza bezpieczeństwem partnerów zewnętrznych.
• Kontaktowałeś się kiedyś z supportem LastPass i przekazywałeś tam wrażliwe informacje — w takim wypadku warto rozważyć zmianę dostawcy i wzmożoną czujność wobec phishingu.
• Szukasz menedżera haseł z czystszą historią incydentów — Bitwarden (open source, audytowany) czy Proton Pass (europejska jurysdykcja, zero-knowledge) to obecnie częściej rekomendowane opcje przez redakcje branżowe.

W najbliższych miesiącach warto obserwować, czy Klue lub LastPass ujawnią dokładną liczbę poszkodowanych klientów oraz czy grupa Icarus faktycznie opublikuje wykradzione dane, jeśli okup nie zostanie zapłacony. To właśnie ten moment pokaże, jak poważny naprawdę jest ten incydent — na razie mamy więcej pytań niż odpowiedzi, a firmy zamieszane w sprawę wolą milczeć niż tłumaczyć się przed klientami.

Źródła:

• TechCrunch — Password manager maker LastPass says hackers stole customer support case data during Klue breach (23 czerwca 2026)
• rp.pl — Cyberataki i wycieki danych. UODO: liczba zgłoszeń wzrosła do 22 tys. (2026)
• GDPR.pl — Prezes UODO podsumował dwa lata swojej działalności (5 lutego 2026)
• CRN.pl — 19 tys. zgłoszeń naruszenia RODO w Polsce (26 stycznia 2026)
• GDPR Risk Tracker — Cyberprzestępcy na masową skalę polują na dane Polaków. Statystyki 2025 nie pozostawiają złudzeń (2026)