Co się stało z ePUAP?
We wtorek 10 listopada 2026 r. wieczorem minister cyfryzacji poinformował w mediach społecznościowych, że „wykryty i zatrzymany został cyberatak na państwowy system ePUAP”. Według komunikatu, który przytaczają RMF24, Polsat News, Interia i WP, zespoły odpowiedzialne za bezpieczeństwo platformy od razu podjęły działania, a prace nad przywróceniem jej pełnej funkcjonalności trwają. Do wyjaśnienia incydentu, zgodnie z procedurami, włączono Agencję Bezpieczeństwa Wewnętrznego. Minister zapewnił też, że infrastruktura Centralnego Ośrodka Informatyki jest bezpieczna.
ePUAP to platforma, przez którą obywatele i firmy wysyłają pisma do urzędów i odbierają od nich korespondencję. Polsat News i Interia zwracają uwagę, że w serwisie Downdetector użytkownicy zgłaszali problemy z domeną służącą do logowania. WP podało nad ranem, że w nocy system prewencyjnie odłączono od sieci, aby chronić dane. Tej informacji nie potwierdził jeszcze drugi serwis z naszej listy źródeł, dlatego traktujemy ją ostrożnie.
Co wiemy, a czego nie wiemy
| Wiemy | Nie wiemy |
|---|---|
| Atak wykryto i zatrzymano - tak brzmi komunikat ministra z 10 listopada wieczorem | Kiedy dokładnie atak się zaczął i na czym polegał |
| Platforma nie działa w pełni, trwają prace techniczne | Kiedy ePUAP wróci do normalnej pracy - nie podano terminu |
| Sprawą zajmuje się ABW | Czy jakiekolwiek dane użytkowników zostały skopiowane - żaden ze źródeł tego nie podaje |
| Według ministra infrastruktura COI jest bezpieczna | Czy utrudnienia objęły inne usługi, np. logowanie profilem zaufanym w innych serwisach |
Nie spekulujemy o sprawcach. Minister zapowiedział, że o ustaleniach będzie informować na bieżąco - zaktualizujemy wpis, gdy pojawią się potwierdzone fakty.
Co to znaczy dla rodziny i dla firmy?
- Termin w urzędzie mija dziś albo jutro? Jeśli ePUAP nie działa, nie czekaj do ostatniej godziny. Pismo można złożyć osobiście albo nadać w placówce pocztowej operatora wyznaczonego - data nadania listu poleconego liczy się w większości postępowań administracyjnych. Zachowaj potwierdzenie nadania.
- Zrób zrzut ekranu błędu z datą i godziną. Gdy nie uda się wysłać pisma w terminie z powodu awarii, taki ślad ułatwi wniosek o przywrócenie terminu.
- Uważaj na wiadomości „od ePUAP” i „od ministerstwa”. Głośny incydent to typowy pretekst dla oszustów: SMS albo mail o „konieczności ponownej weryfikacji konta” czy „zmianie hasła po ataku” z linkiem. Na platformę wchodź tylko przez ręcznie wpisany adres, a podejrzane wiadomości zgłaszaj przez incydent.cert.pl albo w usłudze „Bezpiecznie w sieci” w aplikacji mObywatel.
- Hasło takie samo jak gdzie indziej? Zmień je tam, gdzie się powtarza - to dobra praktyka niezależnie od tego, czy dane wyciekły.
- Firma wysyła pisma tylko elektronicznie? Warto mieć zapisane, jak działać, gdy kanał urzędowy przestaje działać: kto decyduje o nadaniu pisma pocztą, gdzie leżą pełnomocnictwa, kto pilnuje terminów. W szablonie planu ciągłości działania jest kolumna „sposób obejścia” przy każdym procesie krytycznym i karta scenariusza utraty danych - można w nich wprost wpisać awarię e-usług publicznych.
Więcej: dokumenty i dane w kryzysie, jak rozpoznać fałszywe komunikaty, plan ciągłości działania w małej firmie.
Kontekst na osi czasu
To kolejny w ostatnich tygodniach incydent, który dotyka usług używanych przez miliony osób. Na osi opisywaliśmy wyciek danych z eWUŚ, po którym rośnie ryzyko telefonów „z przychodni”, oraz falę fałszywych maili podszywających się pod bank. W każdej z tych spraw najskuteczniejsza ochrona jest ta sama: nie klikać w linki z wiadomości, które nawiązują do głośnego zdarzenia, i sprawdzać informacje u źródła.
Najczęstsze pytania
Czy moje dane z ePUAP wyciekły?
Na razie nie ma takiej informacji. Komunikat mówi o wykryciu i zatrzymaniu ataku, a żaden z serwisów, z których korzystaliśmy, nie podaje, że dane zostały skopiowane. Gdyby administrator platformy stwierdził naruszenie ochrony danych, które niesie wysokie ryzyko dla użytkowników, musi ich o tym zawiadomić (art. 34 RODO).
ePUAP nie działa, a mam termin. Co zrobić?
Złóż pismo osobiście w urzędzie albo wyślij je listem poleconym przez operatora wyznaczonego i zachowaj potwierdzenie nadania. Zapisz też zrzut ekranu błędu - przyda się, gdyby trzeba było wnioskować o przywrócenie terminu.
Dostałem SMS o konieczności weryfikacji konta ePUAP po ataku. Czy to prawda?
Traktuj taką wiadomość jak próbę wyłudzenia. Nie klikaj w link, wejdź na platformę samodzielnie i zgłoś wiadomość przez incydent.cert.pl albo w aplikacji mObywatel.