Przejdź do treści

Wyciek danych w Scribd. Maile od Epiq są prawdziwe, hasło zmień też w Fable i Everand

Adam Marzec
Karta pomiarowa z pomarańczową pieczątką ZMIEN HASLO i danymi wycieku: cztery dotknięte marki Scribd Inc., wyciekłe dane bez pełnego numeru karty, oficjalny komunikat z 1 października; nagłówek WYCIEK DANYCH W SCRIBD; odczyty 31.10.2026

W nocy z piątku na sobotę, 31 października nad ranem, wątek na Hacker News wyniósł na pierwszą stronę sprawę, która od blisko miesiąca siedzi w skrzynkach użytkowników Scribd. Nadawcą powiadomienia nie jest przypadkowy adres: to Epiq, firma usług prawnych, którą Scribd Inc. wprost nazywa na swojej stronie wsparcia partnerem notyfikacyjnym. Wyciek dotyczy całej rodziny marek: Scribd, Slideshare, Everand i Fable. Z treści maila wynika, że atakujący mogli dostać adres e-mail, ostatnie cztery cyfry karty płatniczej razem z krajem, wydawcę karty, datę ważności i historię płatności bez numeru karty. Scribd potwierdza incydent oficjalnie, ale jej komunikat stoi na stronie wsparcia od 1 października, a w odczytach z 31 października nie znalazłem żadnego doniesienia prasowego. Poniżej rozkładam, co dokładnie wiadomo, czego nadal nie wiadomo i co zrobić w pierwszej kolejności.

Najważniejsze informacje

CoSzczegóły
Kogo dotyczyScribd Inc. i cztery marki: Scribd, Slideshare, Everand, Fable
Oficjalny komunikatArtykuł pomocy Scribd, aktualizacja 1 października 2026, 19:29
PowiadomieniaMaile od Epiq wysyłane w fazach; odczyty odbiorów z 26 i 30 października
Co wyciekło wg mailaAdres e-mail, ostatnie 4 cyfry karty z krajem, wydawca, data ważności, historia płatności; pełnego numeru karty brak
HasłaKomunikat nie mówi o wycieku haseł, ale zaleca reset we wszystkich czterech markach
Nadużycie danychBrak dowodów według firmy: „no evidence that this data has been misused”
Call center+1-877-361-9887, dla Europy: poniedziałek-piątek 11:00-23:00 CET
SkalaLiczba dotkniętych kont nieznana, firma jej nie podała

Co pisze powiadomienie od Epiq

Mail, którego pełną treść czytelnik wkleił w wątku Hacker News, nosi temat „Notice of Security Incident” i otwiera się zdaniem, że Scribd Inc. „recently experienced a security incident that may have affected your data”. Dalej pada lista danych, do których „unauthorized third party may have gained access”: adres e-mail, ostatnie cztery cyfry karty kredytowej razem z krajem, wydawca karty, data jej ważności i historia płatności, z dopiskiem, że numeru karty tam nie ma. Firma pisze, że nie ma dowodów na wykorzystanie tych danych, ale powiadamia „out of an abundance of caution”, z nadmiaru ostrożności. Wersja dla Europy jest wygodna dla polskiego odbiorcy: call center działa w godzinach 11:00-23:00 czasu środkowoeuropejskiego, od poniedziałku do piątku.

Najważniejsze jest jednak to, czego na liście nie ma: pełnego numeru karty, kodu CVV ani haseł. Cztery cyfry z wydawcą i datą ważności same nie wystarczą do żadnej transakcji, więc realne ryzyko zaczyna się za progiem samego wycieku, przy wiadomościach podszywających się pod Scribd, Slideshare, Everand albo Fable, które poproszą o hasło albo kliknięcie linku. To klasyczna sekwencja po każdym przecieku: lista adresów e-mail trafia na rynek, a spam wychodzi w tygodnie po ogłoszeniu. Mail radzi wpisywać domeny scribd.com, slideshare.net, everand.com i fable.co bezpośrednio w przeglądarce, zamiast klikać w przyciski z załącznika.

Oficjalny komunikat: cicho od 1 października

Scribd nie skomentowała incydentu w reakcji na Hacker News. Potwierdza go artykuł pomocy, który stoi online od dłuższego czasu: data aktualizacji to 1 października 2026, 19:29. Treść jest tam szczersza niż w mailu. Firma pisze, że nieautoryzowana osoba dostała się do systemów i dostęp zamknięto natychmiast, a dodaje, że atakujący „used their access to reach other internal systems”, czyli przeszedł głębiej, do kolejnych systemów wewnętrznych. Znajomość skali też jest tam szersza: dla większości kont chodziło o podstawowe dane konta, dla mniejszej liczby o informacje bardziej wrażliwe. To zdanie tłumaczy, dlaczego treść maili może się między odbiorcami różnić, i jest jednym z niewielu twardych faktów, jakie firma podała.

Komunikat wymienia też, co zrobiła firma: zamknęła lukę, zaangażowała zewnętrznych ekspertów od analizy śledczej i cyberbezpieczeństwa, powiadomiła organy ścigania oraz właściwe organy ochrony danych. Powiadomienia wysyła Epiq w fazach; strona mówi o „this week” względem 1 października, a odbiorcy raportują maile od początku miesiąca, z odczytami z 26 i 30 października. Na pytanie „czy jestem dotknięty” strona odpowiada zaskakująco uczciwie: brak maila nie znaczy, że cię nie dotyczy, trzeba zajrzeć do spamu albo zadzwonić. Dla każdego, kto ma w Scribd stare konto i czeka na wiadomość, to najważniejsze zdanie całego komunikatu, bo fazy rozsyłki mogą się ciągnąć tygodniami.

Czego nie wiadomo

Największa dziura to liczba. Scribd nie podała, ile kont objął wyciek ani ile z nich miało więcej niż podstawowe dane, więc każda liczba krążąca po sieci jest zgadywaniem. Nie wiadomo też, który konkretnie system wpadł, jaka była luka i kiedy dokładnie doszło do włamania; komunikat mówi tylko „recently”. Nie ma słowa o tym, czy hasła były dostępne dla atakującego, choć reset i tak firma zaleca „out of caution”. W mailu i na stronie wsparcia nie widać oferty ochrony tożsamości ani monitoringu kredytowego, którymi przy wyciekach płatniczych amerykańskie firmy częstują odbiorców.

Brakuje również reakcji prasy. Sprawdziłem dziś BleepingComputer, TechCrunch, The Register i aktualności Google News: w żadnym z tych miejsc nie ma bieżącego incydentu. status.scribd.com w ogóle nie odpowiada w DNS, więc jedynym oficjalnym miejscem pozostaje artykuł pomocy, który firma obiecuje aktualizować. Żadna z dostępnych relacji nie potwierdza powiązania z innymi październikowymi incydentami, na przykład z backdoorem w rozszerzeniu Claude Code; w dyskusji na Hacker News padły spekulacje, ale twardego dowodu brak. Kto za tym stoi, nie wiadomo.

Co zrobić po kolei

Jeśli masz konto w którejkolwiek z czterech marek, kolejność działań jest prosta i nie wymaga czekania na mail. Ja bym zaczął od haseł, bo to jedyna czynność, która nie ma wady:

  1. Zmień hasło w Scribd, Slideshare, Everand i Fable. Zaleca je oficjalny komunikat, a jeśli to samo hasło używasz gdzie indziej, wyciek z jednej usługi otwiera drzwi do drugiej.
  2. Sprawdź, czy mail od Epiq nie siedzi w spamie; jeśli go nie ma, to nie znaczy, że jesteś czysty. Weryfikacja idzie przez oficjalny artykuł pomocy albo call center.
  3. Nie klikaj linków w mailach o incydencie, nawet tych wyglądających wiarygodnie. Domeny wpisywane ręcznie nie mają alternatywy.
  4. Przejrzyj historię płatności na karcie, którą płaciłeś za subskrypcję. Pełnego numeru w wycieku nie ma, a jeśli coś wygląda podejrzanie, zablokuj kartę i wypuść nową.
  5. Gdy dostaniesz mail o incydencie, porównaj jego treść z oficjalną stroną, zanim odpowiesz. Fałszywe powiadomienia o takim wycieku krążą zwykle dłużej niż sama akcja informacyjna firmy.

Dane wyciekły raz, a maile o „weryfikacji konta” będą przychodzić latami, więc druga warstwa obrony to nawyk, nie jednorazowa akcja. Do sprawdzania, czy dany adres pojawia się w starszych wyciekach, służy serwis Have I Been Pwned. Sprawdziłem go dziś rano: wpisów o Scribd nie ma wcale, ani z 2013 roku, ani z bieżącego miesiąca, bo firma nie opublikowała pliku z danymi, a serwis indeksuje tylko wycieki, które się ukazały.

Fable: dziś dwie rzeczy o tej nazwie

Przy okazji trzeba rozdzielić dwie rzeczy, które nazywają się tak samo. Fable z powiadomienia to aplikacja do czytania z rodziny Scribd Inc., opisana na fable.co mottem „Stories for everyone”; konta w niej objęła ta sama rekomendacja zmiany hasła. Tymczasem Fable 5.1 to model Anthropicu, o którym pisaliśmy w kontekście chowania wiadomości w obrazach, i poza brzmieniem te dwie rzeczy nie mają ze sobą nic wspólnego. Jeśli wklepujesz w Google frazę „fable scribd”, szukasz prawdopodobnie tej pierwszej: aplikacji należącej do spółki, która właśnie potwierdza wyciek.

Nie pierwszy wyciek w historii Scribd

To już drugi publicznie znany incydent tej firmy, choć różnica skali jest duża. W kwietniu 2013 roku pojawiło się ostrzeżenie, że atak na zapis haseł mógł ujawnić je części użytkowników; opisał go bit-tech.net 5 kwietnia 2013, a katalog BreachHistory prowadzi dla Scribd dwa incydenty z tamtego roku i około 600 tysięcy rekordów. Bieżący wyciek jest więc pierwszym skatalogowanym od trzynastu lat. Wątek na Hacker News przyjął to z mieszanymi uczuciami: część komentujących współczuje odbiorcom maili, a część pisze wprost, że firmie nie współczuje.

Sama struktura incydentu jest zresztą znajoma z tego roku. W październiku opisywaliśmy, jak Meta Muse wycieka rozmowami przez 6800 publicznych linków, a Google dopisało maile do materiału reklamowego w polityce prywatności. Mechanizm w każdym z tych przypadków jest inny, ale skutki zlewają się w jedno: dane użytkownika wyjeżdżają z systemu bez jego wiedzy, a firma powiadamia z opóźnieniem albo niepowiadomiła wcale, dopóki ktoś nie zagadał publicznie.

Najczęstsze pytania

Scribd co to jest?

Scribd to amerykańska platforma biblioteki cyfrowej i subskrypcji czytania, działająca od 2007 roku, a razem ze Slideshare, Everand i Fable wchodzi w skład spółki-matki Scribd Inc. W Polsce kojarzona głównie z dokumentami udostępnianymi przez studentów, stąd żywe frazy „scribd po polsku” i „scribd sprawdziany”. W kontekście tego wpisu chodzi o dane jej użytkowników, nie o treści, które hostuje.

Scribd Inc. via Epiq: czy ten mail jest prawdziwy?

Może być, bo oficjalny komunikat Scribd potwierdza, że powiadomienia o incydencie wysyła Epiq, partner notyfikacyjny Scribd Inc. Prawdziwość konkretnego maila sprawdzasz jednak nie po nadawcy, tylko po treści: jeśli prosi o hasło albo o kliknięcie linku, to oszustwo, bo Scribd pisze wprost, że nigdy o takie dane nie prosi. Otwórz artykuł pomocy, wpisując adres support.scribd.com ręcznie, i porównaj.

Wyciek danych co robić?

Najpierw zmiana hasła w dotkniętej usłudze, potem przegląd skrzynki i historii płatności, na końcu czujność wobec phishingu, który po wyciekach zawsze rośnie. Jeśli wyciek objął dane płatnicze, monitoruj wyciągi z karty przez kilka miesięcy. Przy poważnych wyciekach danych osobowych przysługuje ci też prawo do informacji od administratora, co wynika z RODO.

Jak sprawdzić czy moje dane wyciekły?

Najprościej w serwisie Have I Been Pwned, który indeksuje opublikowane wycieki po adresie e-mail. W przypadku Scribd z października 2026 to obecnie jedyny pośredni sposób, bo firma nie opublikowała pliku z danymi, a powiadomienia idą tylko do części odbiorców. Brak trafienia nie jest dowodem bezpieczeństwa, więc przy tej rodzinie marek polecam reset hasła niezależnie od wyniku.

Źródła

Powiązane artykuły