.svg)
Informace o bezpečnostním incidentu u našeho dodavatele Signi
Chtěli bychom Vás informovat o bezpečnostním incidentu, ke kterému došlo 6. listopadu 2026 u platformy Signi, našeho externího poskytovatele služeb pro elektronický podpis dokumentů. Systémy Flowpay nebyly incidentem nijak zasaženy a finanční údaje klientů jsou u nás v bezpečí.
Incident se týkal výhradně platformy Signi, kde mohlo dojít k neoprávněnému přístupu ke jménu, e-mailové adrese a telefonnímu číslu. U omezeného počtu kontaktů mohl útočník získat přístup také k adrese, datu narození, názvu firmy, IČO, DIČ a pracovní pozici.
Podle informací od Signi nebyly dotčeny podepisované dokumenty, jejich obsah ani přihlašovací údaje. Údaje o financování našich klientů, jejich bankovních účtech a platbách máme bezpečně uložené ve vlastních systémech.
K elektronickému podpisu dokumentů využíváme aplikaci Signi společnosti Digital Factory s.r.o. Dne 7. listopadu 2026 nás Signi informovalo, že útočník zneužil chybu v jeho aplikaci a dočasně získal přístup ke kontaktům osob, kterým byly přes Signi zasílány dokumenty k podpisu. Signi chybu opravilo do 90 minut a účet útočníka zablokovalo. Zatím nemáme potvrzeno, že tyto údaje útočník skutečně získal, ani žádné informace o jejich zveřejnění či zneužití.
Je potřeba říct, že o žádném zneužití údajů nevíme. Přesto však doporučujeme zvýšenou obezřetnost vůči neobvyklým e-mailům, SMS a telefonátům. Někdo by se například mohl vydávat za Flowpay nebo Signi a žádat změnu čísla účtu pro splácení financování. Buďte proto opatrní u nečekaných e-mailů, SMS a telefonátů, které se na nás odvolávají, zvlášť když po vás chtějí:
Heslo, kód z SMS nebo změnu hesla přes zaslaný odkaz
Platbu nebo změnu čísla bankovního účtu
Kliknutí na odkaz nebo otevření přílohy
Pro Vaši bezpečnost připomínáme
Oficiální e-maily ohledně financování Vám Flowpay zasílá pouze z adres končících na @flowpay.io (v některých schránkách se u nich zobrazuje také modrá značka ověření). Pozor na podobně vypadající adresy, například flowpay.co nebo flovvpay.io a podobně.
Dokumenty k elektronickému podpisu přes Signi Vám zasíláme pouze z adresy system@m.signi.com.
Platné platební údaje vždy najdete ve své smlouvě a splátkovém kalendáři.
Pokud obdržíte podezřelou zprávu nebo telefonát, nebo si nejste jistí jejich pravostí, obraťte se na nás na support@flowpay.io. Na stejné adrese Vám rádi zodpovíme jakékoliv dotazy.
Incident jsme 10. listopadu 2026 ohlásili Úřadu pro ochranu osobních údajů. Informace od Signi jsme vyhodnotili a posuzujeme další bezpečnostní opatření včetně naší spolupráce s tímto dodavatelem.
Podrobnější informace zveřejnilo Signi také na svých stránkách, kde se můžete dozvědět další informace: https://signi.com/bezpecnostni-incident-caste-dotazy/.
Mrzí nás, že k této situaci došlo, a děkujeme Vám za důvěru.
Časté dotazy o incidentu
Jak Flowpay Signi používá?
Signi je náš externí poskytovatel služeb pro elektronický podpis dokumentů. Všechny Signi podpisy splňují normy pro vzdálenou identifikaci.
Co se stalo?
U Signi, dodavatele řešení pro elektronické podpisy, útočník zneužil zranitelnost v aplikaci a dočasně mohl získat přístup ke kontaktním údajům osob, kterým byly přes Signi zasílány dokumenty k podpisu. Signi incident zjistilo 6. listopadu 2026 a chybu do 90 minut opravilo.
Jakých údajů se incident týká?
Útočník mohl získat přístup pouze ke jménu, e-mailové adrese, IČO a případně telefonnímu číslu, DIČ, adrese, datu narození a pozici (pokud byly uvedeny). Zatím nemáme potvrzeno, že tyto údaje skutečně získal, ani žádné informace o jejich zveřejnění či zneužití.
Měl útočník přístup ke smlouvám, výši úvěru, nebo bankovním údajům?
Podepisované dokumenty, ani jejich obsah nebyl incidentem dotčen.
Údaje o financování našich klientů, jejich bankovních účtech a platbách máme bezpečně uložené ve vlastních systémech, kterých se incident nijak netýkal.
Měl útočník přístup k přihlašovacím údajům?
Incident byl izolovaný jenom na některé kategorie osobních údajů a útočník nezískal přístup k přihlašovacím údajům.
Přístup do aplikace Flowpay incidentem dotčený nijak nebyl.
Musím něco udělat?
Není třeba podnikat žádné kroky. Buďte opatrní u nečekaných zpráv a telefonátů jménem Flowpay. Oficiální komunikace probíhá výhradně prostřednictvím e-mailu support@flowpay.io a webové aplikace.
Jak poznám podvodnou zprávu?
Vždy zkontrolujte doménu, ze které vám zpráva přichází. Flowpay používá výhradně adresy končící na @flowpay.io. Flowpay navíc nikdy nežádá o osobní údaje nebo hesla po telefonu, SMS ani e-mailem. Oficiální komunikace probíhá výhradně prostřednictvím e-mailu support@flowpay.io a webové aplikace.
Jak postupujete vůči úřadům?
Incident jsme 10. listopadu 2026 ohlásili Úřadu pro ochranu osobních údajů. Toto ohlášení budeme doplňovat ještě o další zjištění, jakmile je budeme mít k dispozici.
