Важно съобщение относно сигурността на данните на нашите клиенти
Уважаеми клиенти,
На 20 октомври 2026 г. установихме, че неоторизирано лице е получило достъп до данни от клиентските профили и поръчките в plesio.bg и b2b.plesio.bg и че тези данни се предлагат на трети лица. Неоторизираният достъп е извършен в периода 18–21 октомври 2026 г. и е прекратен на 21 октомври 2026 г.
Съжаляваме, че това се случи. По-долу описваме какво точно е засегнато и какво Ви препоръчваме да направите, за да се защитите.
Какви данни са засегнати
Засегнати са всички клиентски профили и всички поръчки в двата магазина. Приемете, че Вашите данни са засегнати, ако имате профил или сте правили поръчка при нас.
Конкретно са достъпени:
- данни за профила: потребителско име, имена, имейл адрес и парола за вход;
- данни за контакт и доставка: телефон и мобилен телефон, адрес за фактуриране и адрес за доставка, име на получателя;
- фирмени данни (при фирмени клиенти): фирма, материално отговорно лице, ЕИК/БУЛСТАТ;
- данни за поръчките: номер, дата, статус, начин на доставка и съдържание на поръчката.
За паролите. Паролите в plesio.bg (B2C) се съхраняваха в хеширан вид чрез SHA-1 със статичен ключ. Тъй като и самият ключ е изтекъл, трябва да се приеме, че паролите могат да бъдат разчетени. Паролите във фирмения магазин b2b.plesio.bg се съхраняваха в четим вид. И в двата случая считайте паролата си за компрометирана.
За ЕГН. При малък брой клиенти в полето за идентификационен номер на поръчката е въведено ЕГН вместо ЕИК/БУЛСТАТ. Тези лица уведомяваме и лично.
Какви данни НЕ са засегнати
- Данни за банкови карти. Не ги съхраняваме — плащанията с карта се обработват от БОРИКА. Номера, срокове и кодове на карти не са и не са могли да бъдат достъпени.
- Данъчните номера, както и данните за фактуриране, съхранявани в профила (БУЛСТАТ и данъчен номер за фактура), не са извличани.
Какви са възможните последици за Вас
- Опити за влизане в други Ваши профили — имейл, онлайн банкиране, социални мрежи — ако там използвате същата парола.
- Фишинг: имейли, SMS-и или телефонни обаждания от името на Plesio, на куриер или на банка, които изглеждат достоверни, защото съдържат реални данни за Вас и за Вашите поръчки.
- За фирмени клиенти: фалшиви фактури или искания за плащане по нови банкови сметки от името на Plesio.
- Опити за злоупотреба със самоличността Ви, например искане на кредит от Ваше име.
Какво направихме
- Прекратихме неоторизирания достъп и отстранихме уязвимостите, през които е осъществен.
- Засилихме защитата на системите и ограничихме достъпа до административните интерфейси.
- Нулирахме паролите на всички клиентски профили — при следващото влизане ще Ви бъде поискана нова парола.
- Уведомихме Комисията за защита на личните данни и подадохме сигнал до ГДБОП — МВР.
- Продължаваме да изясняваме инцидента с помощта на специалисти по киберсигурност и запазихме всички дневници за нуждите на разследването.
Какво Ви препоръчваме
- Задайте нова парола при следващото си влизане в plesio.bg или b2b.plesio.bg. Не използвайте отново старата.
- Ако сте използвали същата парола и на други сайтове — имейл, онлайн банкиране, социални мрежи — сменете я и там незабавно. Където е възможно, включете двуфакторна защита.
- Бъдете внимателни с имейли, SMS-и и обаждания от името на Plesio или на куриер, които искат парола, данни за карта, плащане или кликване върху линк. Plesio никога няма да Ви поиска паролата. Влизайте в сайта, като пишете адреса в браузъра, а не през линк от съобщение.
- Фирмени клиенти: не плащайте по фактури и по нови банкови сметки, получени по имейл, без да проверите по познат Ви телефон на Plesio. Банковите ни сметки не са променяни. Предупредете счетоводството си.
- Ако сте въвели ЕГН във фирмените данни към поръчка, следете за искания за кредити или договори от Ваше име. Можете да проверите данните за себе си в Централния кредитен регистър на БНБ.