Bezpečnostní incident v aplikaci Signi: časté dotazy

Poslední aktualizace: 9. 11. 2026

Na této stránce odpovídáme na nejčastější otázky k bezpečnostnímu incidentu, který jsme v aplikaci Signi zjistili 6. 11. 2026. Stránku budeme průběžně doplňovat o nová podstatná zjištění. Pokud zde odpověď na svůj dotaz nenajdete, napište nám na gdpr@signi.com.

Důležité pro zákazníky: ohlášení ÚOOÚ a lhůta 72 hodin

Musím s ohlášením ÚOOÚ čekat, až mi pošlete podklady?

Ne. Lhůta 72 hodin běží od doručení našeho oznámení o incidentu a na naše podklady s ohlášením čekat nemusíte. Ohlášení podejte bez prodlevy s informacemi, které máte z našeho oznámení.

GDPR umožňuje poskytovat informace dozorovému úřadu postupně (čl. 33 odst. 4 GDPR): přesný počet a seznam dotčených kontaktů i další podrobnosti můžete doplnit dodatečně, jakmile vám je pošleme. Formulář ÚOOÚ umožňuje podat prvotní ohlášení i jeho pozdější doplnění.

Podklady připravujeme co nejrychleji, požádat o ně můžete na gdpr@signi.com.

Co se stalo

Co se přesně stalo?

Dne 6. 11. 2026 v 8:32 jsme díky monitoringu zjistili podezřelou aktivitu v aplikaci. Útočník s registrovaným uživatelským účtem zneužil zranitelnost, díky které mohl zobrazovat kontaktní údaje osob i mimo svůj vlastní workspace. Zranitelnost jsme téhož dne v 10:00 opravili a účet útočníka zablokovali.

Čí údaje byly dotčeny?

Údaje kontaktních osob uložených v aplikaci, tedy lidí, kterým uživatelé Signi zasílají dokumenty k podpisu. Údaje samotných uživatelských účtů, včetně přihlašovacích údajů a hesel, zasaženy nebyly. Útočník se nedostal ani k dokumentům ani k dalším jiným údajům.

Jaké údaje útočník získal?

U většiny kontaktů šlo o jméno, příjmení, e-mailovou adresu a telefonní číslo. U omezeného počtu kontaktů také o další údaje, pokud byly ke kontaktu uloženy: adresu, datum narození, název firmy, IČO, DIČ, pracovní pozici nebo vlastní uživatelská pole.

Co útočník naopak nezískal?

Podle dosavadních zjištění nezískal obsah dokumentů uložených v Signi, kontrolní listy, doklady z provedených identifikací, hesla ani jiné přihlašovací údaje. Nedošlo ani k narušení integrity žádného dokumentu. Podepsané dokumenty tak zůstávají platné a nezměněné.

Dostal(a) jsem přes Signi dokument k podpisu

Týká se incident i mě?

Pokud vám někdo prostřednictvím Signi posílal dokument k podpisu, je možné, že se incident týká i vašich kontaktních údajů. Zda a které vaše údaje byly dotčeny, vám může potvrdit organizace, která vám dokument posílala (je správcem vašich údajů), nebo se můžete obrátit přímo na nás na gdpr@signi.com.

Jaké riziko mi hrozí?

Hlavním rizikem je nevyžádaná obchodní komunikace a podvodné e-maily, SMS či telefonáty (phishing a vishing). Pokud byla u vašeho kontaktu uložena i adresa nebo datum narození, může podvodná zpráva působit osobněji a důvěryhodněji. Zatím nemáme žádnou informaci, že by uniklé údaje byly zveřejněny nebo zneužity.

Jak se mám chránit?

• Buďte opatrní u nečekaných e-mailů, SMS a telefonátů, zejména pokud po vás někdo chce heslo, platební údaje nebo kliknutí na odkaz.
• Pokud vám nečekaně přijde výzva k podpisu dokumentu, ověřte si ji u odesílatele jiným kanálem, například telefonicky.
• Nesdělujte nikomu jednorázové ověřovací kódy z SMS.
• Podezřelou zprávu, která se vydává za Signi, nám prosím přepošlete na gdpr@signi.com.

Musím změnit heslo nebo něco dalšího udělat?

Kvůli tomuto incidentu není změna hesla nutná, hesla dotčena nebyla.

Jsem zákazník Signi a mám v aplikaci uložené kontakty

Týká se incident mě jako zákazníka?

Pokud ve svém workspace nemáte uložené žádné kontakty, nebo je používáte výhradně pro osobní potřebu, nevznikají vám z incidentu žádné povinnosti. Pokud v aplikaci evidujete kontakty, kterým posíláte dokumenty k podpisu v rámci podnikání či pracovní činnosti, jste podle GDPR jejich správcem a Signi vystupuje v roli zpracovatele.

Kolik a kterých mých kontaktů se to týká?

Na vyžádání vám pošleme počet a úplný seznam dotčených kontaktů ve vašem workspace včetně kategorií zasažených údajů. Výpis zasíláme bezpečně jako zaheslovaný soubor, heslo předáváme jiným kanálem. Napište nám na gdpr@signi.com.

Musím incident ohlásit Úřadu pro ochranu osobních údajů?

Jako správce posuzujete ohlašovací povinnost vy. Lhůta je 72 hodin od chvíle, kdy jste se o incidentu dozvěděli, tedy v praxi od doručení našeho oznámení. Ohlášení lze podat formulářem na uoou.gov.cz nebo do datové schránky qkbaa2n. Na Slovensku se ohlašuje Úradu na ochranu osobných údajov SR, v jiných zemích příslušnému dozorovému úřadu. Na naše podklady přitom s ohlášením čekat nemusíte, viz otázku na začátku stránky.

Ohlášení není nutné jen tehdy, pokud je nepravděpodobné, že by únik pro dotčené osoby představoval riziko. Vzhledem k riziku cíleného phishingu doporučujeme ohlášení spíše podat. Podrobný postup najdete v našem návodu pro zákazníky.

Musím informovat své kontakty?

Povinnost informovat dotčené osoby vzniká, pokud pro ně únik představuje vysoké riziko. I tak doporučujeme kontakty informovat. Pokud se rozhodnete je neinformovat, zaznamenejte si důvod. Při velkém počtu kontaktů je můžete odkázat alespoň na tuto stránku.

Poskytnete mi podklady pro ohlášení a vlastní záznam o incidentu?

Ano. Na vyžádání vám poskytneme strukturovaný podklad s časovou osou, rozsahem incidentu a přijatými opatřeními. Uchovejte si také naše oznámení a záznam o krocích, které jste na jeho základě učinili. Úřad si je může vyžádat.

Plní Signi své povinnosti zpracovatele?

Ano. Oznámením incidentu plníme oznamovací povinnost zpracovatele podle čl. 33 odst. 2 GDPR, čl. 11.15 Smluvních podmínek pro poskytování služeb Signi a čl. 5.6 smlouvy o zpracování osobních údajů.

Příčina a bezpečnost

Co bylo příčinou?

Příčinou byla zranitelnost v kontrole oprávnění, která registrovanému uživateli umožnila zobrazit údaje kontaktních osob i mimo jeho vlastní workspace.

Je zranitelnost skutečně opravená?

Ano. Zranitelnost jsme 6. 11. 2026 v 10:00 opravili a ověřili, že ji již nelze zneužít. Účet útočníka je zablokovaný. Dále provádíme analýzu provozu a zabezpečení aplikace, abychom vyloučili související rizika a zavedli dodatečná preventivní opatření.

Jak jste incident odhalili?

Podezřelou aktivitu zachytil náš monitoring aplikace. Zranitelnost jsme odstranili do 90 minut od jejího odhalení.

Mohu Signi dál bezpečně používat?

Ano. Zneužitá zranitelnost je opravená a ověřená, podepsané dokumenty dotčeny nebyly a přihlašovací údaje zůstaly v bezpečí.

Vyšetřování a další kroky

Kdo za útokem stojí?

K totožnosti útočníka se s ohledem na probíhající šetření nevyjadřujeme. Záznamy o jeho činnosti jsme zajistili a podáváme trestní oznámení Policii ČR.

Byly údaje zveřejněny nebo prodány?

Zatím nemáme žádnou informaci, že by uniklé údaje byly zveřejněny nebo zneužity. Aktivně sledujeme, zda se neobjeví na internetu, a kontrolujeme zabezpečení našich odesílacích domén proti podvržení.

Informovali jste úřady?

Incident hlásíme Úřadu pro ochranu osobních údajů a dobrovolně také Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB). Logy z incidentu uchováváme pro potřeby orgánů činných v trestním řízení a dozorového úřadu.

Kontakt

Na koho se mohu obrátit?

S jakýmkoli dotazem k incidentu nám pište na gdpr@signi.com. Zástupci médií se mohou obracet na michal.marek@bisonrose.cz.

Ochrana proti phishingu

V souvislosti s nedávným bezpečnostním incidentem doporučujeme zvýšenou obezřetnost při komunikaci prostřednictvím e-mailu i telefonu. Údaje, které unikly, mohou být zneužity k cíleným podvodným zprávám nebo telefonátům, které mohou působit důvěryhodněji, protože útočník může znát vaše jméno, pracovní zařazení, telefonní číslo nebo další osobní údaje.

Doporučujeme proto věnovat zvýšenou pozornost zejména:

• neočekávaným e-mailům a telefonátům, které se odvolávají na Signi nebo vaše obchodní vztahy
• jakýmkoliv zprávám vyzývajícím k otevření odkazu, přihlášení, potvrzení údajů nebo provedení platby
• telefonickým i písemným požadavkům na sdělení hesel, přístupových údajů nebo jiných citlivých informací
• telefonátům, jejichž volající se vydává za zaměstnance Signi, zákaznickou podporu nebo jinou důvěryhodnou osobu (policie, banka, …)
• jakémukoli nátlaku na rychlé jednání, vyvolávání pocitu naléhavosti nebo snaze obejít vaše běžné ověřovací postupy

Důležité: Signi po vás v souvislosti s tímto bezpečnostním incidentem nebude e-mailem ani telefonicky požadovat sdělení jakýchkoliv informací, hesel, přístupových údajů nebo jiných citlivých údajů ani vás vyzývat k jejich změně prostřednictvím odkazu v nevyžádané zprávě.

Pokud si nejste jistí, zda je nějaká zpráva nebo telefonát skutečně od Signi, nereagujte na ně a ověřte si jejich pravost přímo u svého obvyklého kontaktu v Signi, případně na e-mailu help@signi.com.

Zatím nemáme informace o tom, že by získané údaje byly zveřejněny nebo zneužity. Situaci nadále monitorujeme a v případě dalších podstatných zjištění budeme zákazníky informovat.