- Η Worldbridge (Paylink) επιβεβαίωσε παραβίαση πληροφοριακών συστημάτων στις 27-07-2026, με πρόσβαση μη εξουσιοδοτημένου τρίτου σε περιορισμένο αριθμό αρχείων με προσωπικά δεδομένα.
- Δεν επηρεάστηκαν τραπεζικές κάρτες ή στοιχεία πληρωμών — η εταιρεία δηλώνει ρητά ότι δεν τηρεί τέτοια δεδομένα στα συστήματά της.
- Αν είσαι πελάτης της Paylink, οι πρακτικές ενέργειες που πρέπει να κάνεις τώρα (όχι σε μια εβδομάδα) αναλύονται στην ενότητα Quick-Start παρακάτω.
Τι ακριβώς συνέβη στην Paylink
Στις 27 Ιουλίου 2026 η Worldbridge Ίδρυμα Πληρωμών Α.Ε., γνωστή στην αγορά με το εμπορικό σήμα Paylink, επιβεβαίωσε ότι εντόπισε περιστατικό μη εξουσιοδοτημένης πρόσβασης στα πληροφοριακά της συστήματα. Η ίδια η εταιρεία το χαρακτηρίζει “περιορισμένης έκτασης”, κάτι που στην πράξη σημαίνει ότι δεν μιλάμε για ολική διαρροή βάσης δεδομένων, αλλά για πρόσβαση σε συγκεκριμένο υποσύνολο αρχείων.
Το μοτίβο εδώ είναι σχεδόν πανομοιότυπο με αυτό που περιγράφει η ENISA Threat Landscape για τον χρηματοπιστωτικό τομέα: ο εισβολέας δεν στοχεύει απαραίτητα τα ίδια τα συστήματα πληρωμών, αλλά περιφερειακά αρχεία (logs, back-office βάσεις, αρχεία υποστήριξης πελατών) όπου συχνά “ξεχνιούνται” ευαίσθητα δεδομένα χωρίς το ίδιο επίπεδο κρυπτογράφησης με το core banking σύστημα. Η Paylink ισχυρίζεται ότι τα επηρεαζόμενα συστήματα απομονώθηκαν άμεσα και η πρόσβαση διακόπηκε, κάτι που δείχνει λειτουργικό incident response πλάνο σε εφαρμογή, όχι αυτοσχεδιασμό.
Ποια δεδομένα κινδυνεύουν πραγματικά
Το κρίσιμο σημείο που πρέπει να καταλάβεις εδώ, και που τα περισσότερα δελτία τύπου δεν εξηγούν επαρκώς, είναι η διαφορά ανάμεσα σε δεδομένα πληρωμών και προσωπικά δεδομένα. Η Paylink δηλώνει ρητά ότι δεν τηρεί στοιχεία τραπεζικών καρτών ή άλλων μέσων πληρωμής — αυτό είναι τεχνικά λογικό, καθώς ως ίδρυμα πληρωμών η ίδια συνήθως λειτουργεί ως ενδιάμεσος (payment orchestration layer) και όχι ως θεματοφύλακας δεδομένων κάρτας, ρόλο που καλύπτεται από PCI-DSS compliant παρόχους.
Αυτό όμως δεν σημαίνει μηδενικό ρίσκο. Τα “περιορισμένα αρχεία με προσωπικά δεδομένα” που αναφέρει η ανακοίνωση μπορεί να περιλαμβάνουν ονοματεπώνυμο, email, τηλέφωνο, διεύθυνση ή ακόμα και ιστορικό συναλλαγών χωρίς στοιχεία κάρτας. Αυτού του τύπου τα δεδομένα είναι ακριβώς αυτά που χρησιμοποιούνται σε επιθέσεις phishing και social engineering — όχι για άμεση οικονομική απάτη, αλλά για στοχευμένες παραπλανητικές επικοινωνίες που μιμούνται την επωνυμία της εταιρείας, κάτι που η ίδια η Paylink αναγνωρίζει ότι παρακολουθεί.
Τι πρέπει να κάνεις αν είσαι πελάτης
Αν έχεις λογαριασμό ή χρησιμοποιείς υπηρεσίες της Paylink, η λογική “θα με ενημερώσουν αν με αφορά” δεν αρκεί. Οι υποχρεωτικές ατομικές ειδοποιήσεις βάσει GDPR ενεργοποιούνται μόνο όταν το ρίσκο για τα δικαιώματα των υποκειμένων κρίνεται υψηλό — κι αυτό αργεί.
- Άλλαξε τον κωδικό πρόσβασης του λογαριασμού σου στην Paylink, ακόμα κι αν δεν έχεις ειδοποιηθεί ατομικά.
- Ενεργοποίησε δικαθορισμό (2FA) αν η υπηρεσία το υποστηρίζει και δεν το έχεις ήδη κάνει.
- Αγνόησε email ή SMS που ζητούν “επιβεβαίωση στοιχείων” μετά την ανακοίνωση — είναι το πρώτο πράγμα που εκμεταλλεύονται οι επιτήδειοι σε τέτοια περιστατικά.
- Έλεγξε το ιστορικό συναλλαγών σου για ασυνήθιστη δραστηριότητα τις επόμενες 4-6 εβδομάδες, όχι μόνο τις πρώτες μέρες.
- Αν λάβεις επικοινωνία που εμφανίζεται ως από Paylink αλλά σου φαίνεται ύποπτη, επιβεβαίωσε μέσω επίσημου καναλιού πριν κάνεις κλικ σε οτιδήποτε.
Οι νομικές υποχρεώσεις της εταιρείας
Η Paylink, ως υπεύθυνη επεξεργασίας δεδομένων, οφείλει βάσει του άρθρου 33 του Γενικού Κανονισμού Προστασίας Δεδομένων (GDPR) να ενημερώσει την εποπτεύουσα αρχή —στην Ελλάδα την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ)— εντός 72 ωρών από τη στιγμή που αντιλήφθηκε το περιστατικό. Η ανακοίνωση αναφέρει ότι αυτό έγινε “άμεσα”, κάτι που τυπικά ικανοποιεί την απαίτηση, αλλά δεν λέει τίποτα για το αν και πότε θα ενημερωθούν ατομικά οι θιγόμενοι, όπως προβλέπει το άρθρο 34 του ίδιου κανονισμού όταν το ρίσκο κρίνεται υψηλό.
Αξίζει να σημειωθεί κάτι που η ανακοίνωση παραλείπει εντελώς: αν η ΑΠΔΠΧ κρίνει τελικά ότι τα μέτρα ασφαλείας ήταν ανεπαρκή για τον όγκο και την ευαισθησία των δεδομένων που διαχειρίζεται ένα ίδρυμα πληρωμών, τα πρόστιμα GDPR μπορούν να φτάσουν έως 20 εκατομμύρια ευρώ ή το 4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι μεγαλύτερο. Το αν η υπόθεση θα κλείσει ως απλή γνωστοποίηση ή θα ανοίξει σε πλήρη έρευνα εξαρτάται αποκλειστικά από τα ευρήματα των forensics που η εταιρεία έχει ήδη προσλάβει.
Η άποψή μας στο TechNoid
Εμείς στο TechNoid θεωρούμε ότι η διαχείριση επικοινωνίας εδώ είναι σχετικά σωστή σε ταχύτητα — ανακοίνωση την ίδια μέρα, όχι μετά από διαρροή στα social media όπως έχουμε δει σε άλλα ελληνικά περιστατικά. Ταυτόχρονα, η διατύπωση “περιορισμένης έκτασης” χωρίς κανέναν αριθμό —ούτε καν κατά προσέγγιση πλήθος επηρεαζόμενων λογαριασμών— μας φαίνεται στρατηγική επικοινωνιακή επιλογή παρά πλήρης διαφάνεια. Αν ήμασταν πελάτες, θα περιμέναμε συγκεκριμένο timeline για το πότε θα ολοκληρωθεί η έρευνα forensics και πότε θα υπάρξει, αν χρειαστεί, ατομική ειδοποίηση. Μέχρι τότε, η στάση που προτείνουμε είναι απλή: μην περιμένεις να σε ενημερώσουν πρώτοι, πάρε μόνος σου τα βασικά μέτρα ασφαλείας που αναφέραμε παραπάνω, και παρακολούθησε αν η ΑΠΔΠΧ εκδώσει δική της ανακοίνωση τις επόμενες εβδομάδες — αυτό θα δείξει πραγματικά πόσο “περιορισμένο” ήταν το περιστατικό.
Συχνές Ερωτήσεις για την παραβίαση δεδομένων της Paylink
Επηρεάστηκαν οι κάρτες μου αν είμαι πελάτης Paylink;
Όχι, σύμφωνα με την επίσημη ανακοίνωση η εταιρεία δεν τηρεί στοιχεία τραπεζικών καρτών ή άλλων μέσων πληρωμής στα συστήματά της.
Τι δεδομένα διέρρευσαν στο περιστατικό της Paylink;
Η εταιρεία αναφέρει πρόσβαση μη εξουσιοδοτημένου τρίτου σε περιορισμένο αριθμό αρχείων που περιέχουν προσωπικά δεδομένα, χωρίς να διευκρινίζει τον ακριβή τύπο ή τον αριθμό επηρεαζόμενων χρηστών.
Πρέπει να αλλάξω τον κωδικό μου στην Paylink τώρα;
Ναι, συνιστάται άμεση αλλαγή κωδικού και ενεργοποίηση διπλού παράγοντα πιστοποίησης, ανεξάρτητα από το αν έχεις λάβει ατομική ειδοποίηση.
Πότε ενημερώθηκαν οι αρχές για το περιστατικό;
Η εταιρεία δηλώνει ότι προέβη άμεσα στις προβλεπόμενες ενημερώσεις προς τις αρμόδιες κρατικές αρχές μετά την επιβεβαίωση του περιστατικού στις 27-07-2026.
Θα ενημερωθούν ατομικά όσοι επηρεάστηκαν;
Το GDPR προβλέπει ατομική ειδοποίηση όταν το ρίσκο κρίνεται υψηλό για τα δικαιώματα των υποκειμένων, κάτι που θα εξαρτηθεί από τα ευρήματα της έρευνας forensics που βρίσκεται σε εξέλιξη.
Πώς μπορώ να αναγνωρίσω παραπλανητικές επικοινωνίες που χρησιμοποιούν το όνομα Paylink;
Απόφυγε κλικ σε links από μηνύματα που ζητούν επιβεβαίωση στοιχείων και επικοινώνησε απευθείας μέσω των επίσημων καναλιών της εταιρείας για επιβεβαίωση γνησιότητας.
Μπορεί η Paylink να τιμωρηθεί με πρόστιμο για το περιστατικό;
Αν η ΑΠΔΠΧ κρίνει ότι τα μέτρα ασφαλείας ήταν ανεπαρκή, το GDPR προβλέπει πρόστιμα έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου κύκλου εργασιών.
