Każde konto, bez wyjątku: co wyciek z Fakturowni oznacza dla firm, które z niej korzystały

28 września 2026 roku Fakturownia.pl stwierdziła naruszenie ochrony danych osobowych. Osoba nieuprawniona dostała się do systemów firmy i skopiowała dużą część bazy danych na własne serwery.

Okno dostępu, według rekonstrukcji samej firmy, trwało od około 3:20 w dniu 27 września do około 17:45 w dniu 28 września. Podatność zamknięto tego samego dnia o 18:01.

Ocena firmy jest jednoznaczna: „Incydent dotyczy każdego konta w Fakturowni".

Ten przypadek jest wyjątkowo pouczający ze względu na jakość komunikatu. Fakturownia opublikowała szczegółowy wykaz tego, co zostało pobrane, kategoria po kategorii, z datami granicznymi dla każdego typu danych, godzinowy zapis własnej reakcji oraz jawne omówienie obowiązków RODO, które spoczywają teraz na klientach. Taka otwartość zdarza się rzadko i to ona pozwala pisać o tej sprawie konkretnie, a nie spekulacyjnie.

Dla polskich firm praktyczna konsekwencja brzmi tak: jeśli wystawiałeś faktury przez Fakturownię, dane Twoich kontrahentów były przetwarzane pod Twoją kontrolą, a to oznacza, że masz własne obowiązki zgłoszeniowe, niezależne od tych, które Fakturownia już wypełniła.

Co się wydarzyło

Kalendarium reakcji

Fakturownia opublikowała własny zapis działań, który warto przytoczyć, bo tempo opanowania sytuacji jest jednym z niewielu pozytywów tej historii.

Co zostało pobrane

Wykaz firmy rozdziela dane według administratora. Kategoria (a) to dane, których administratorem jest Fakturownia. Kategoria (b) to dane wprowadzone przez klientów i powierzone Fakturowni jako podmiotowi przetwarzającemu.

Pobrane w całości lub w całości tam, gdzie zostały wprowadzone:

• Dane firmy i użytkowników: nazwa firmy, NIP, adres, imiona i nazwiska, adresy e-mail, numery telefonów, identyfikator konta

• Dane działów: adres, NIP, nazwa banku, numer rachunku, IBAN, SWIFT

• Skróty haseł użytkowników (hasła nie były przechowywane jawnie)

• Tokeny API i klucze integracji zapisane w ustawieniach konta

• Identyfikatory sesji

• Kwoty faktur z całego okresu: netto, VAT i brutto według stawek, waluta, kwota zapłacona i pozostała do zapłaty

• Salda rachunków bankowych tam, gdzie aktywna była usługa połączenia z kontem bankowym

• Produkty i cennik

Pobrane wyłącznie do daty granicznej:

Fakturownia wyjaśnia ten wzorzec: kopiowanie największych zbiorów postępowało od najstarszych rekordów i zostało przerwane, zanim dotarło do nowszych. Daty graniczne ustalono z logów zapytań do bazy i mogą być obarczone błędem rzędu kilkunastu dni.

Wyjątek, który ma znaczenie

W komunikacie ukryty jest szczegół, który podważa uspokojenie płynące z dat granicznych.

Dla około 2250 kont pobrano wszystkie dane dostępne w systemie z lat 2022 do 2026, do daty różnej dla każdego konta. Właściciele tych kont otrzymują zawiadomienie z informacją właściwą dla ich konta.

Jeśli prowadzisz firmę na Fakturowni, powyższe daty graniczne mają sens dopiero wtedy, gdy potwierdzisz, że nie jesteś jednym z tych 2250.

Czego nie pobrano

• Certyfikatów KSeF

• Danych logowania do banków, których Fakturownia nie przechowuje

• Danych kart płatniczych, których Fakturownia nie przechowuje

• Treści faktur wystawionych od 22 marca 2021, poza kwotami, dodatkowymi polami opisowymi i danymi stron dodatkowych

• Danych kontrahentów dodanych od 16 października 2024

Dla faktur wystawionych od 22 marca 2021 nie pobrano ani nazwy nabywcy, ani numeru faktury.

Jak napastnik się dostał

Pierwsze oświadczenie Fakturowni mówiło o wykorzystaniu podatności w systemie. W odpowiedziach opublikowanych przez Niebezpiecznik dyrektor techniczny firmy opisał podatności związane z szablonami faktur i generowaniem plików PDF, dzięki którym napastnik pozyskał klucz do podpisywania sesji.

Ten szczegół tłumaczy zapis reakcji. Dodatkowe zabezpieczenia generatora PDF wprowadzono 29 września o 2:35, a identyfikatory sesji figurują na liście danych pobranych.

Atrybucja

Osoba lub grupa posługująca się pseudonimem „Fingerprint" skontaktowała się z Zaufaną Trzecią Stroną, twierdząc, że wykradła 6 TB faktur, i przekazała zrzuty ekranu wskazujące na dostęp do danych Fakturowni. Ten sam pseudonim wiązany jest z wcześniejszymi włamaniami do polskich serwisów medycznych MyDr i Medyc.

Do tego należy dodać kilka zastrzeżeń. Liczba 6 TB to deklaracja samego napastnika i nie została potwierdzona. Fakturownia publicznie nie wskazała sprawcy. Według Rzeczpospolitej Fingerprint deklaruje, że nie zamierza wystawiać danych na sprzedaż, twierdzi, że celem było zwrócenie firmom uwagi na problemy z bezpieczeństwem, oferuje pomoc w ich naprawie i wymienia wiadomości z CERT Polska, a służby podejrzewają, że to Polak.

Nic z tego nie zmniejsza ryzyka dla osób, których dane skopiowano. Deklaracja intencji nie jest mechanizmem kontrolnym. Dane istnieją na cudzych serwerach, a intencje mogą się zmienić, zostać porzucone albo stracić znaczenie wskutek kompromitacji infrastruktury samego napastnika.

Na moment publikacji komunikatu dane nie zostały upublicznione, a firma monitoruje to wspólnie z CERT Polska.

Dlaczego to ma znaczenie

To paliwo do precyzyjnie wymierzonych oszustw fakturowych. Napastnik dysponuje nazwami firm, numerami NIP, numerami rachunków bankowych, kwotami faktur, a przede wszystkim informacją, które faktury są zapłacone, a które pozostają nieopłacone. Fałszywe wezwanie do zapłaty zbudowane na takich danych nie wygląda jak oszustwo. Wygląda jak zaległa faktura, którą rozpoznajesz, od dostawcy, z którego korzystasz, na kwotę, którą faktycznie jesteś winien.

Każdy klient odziedziczył obowiązek prawny. Fakturownia jest administratorem danych kont. Klient jest administratorem danych kontrahentów wprowadzonych do konta. Fakturownia zgłosiła naruszenie do UODO, ale to zgłoszenie dotyczy wyłącznie jej własnego obowiązku. Każda firma korzystająca z platformy musi samodzielnie ocenić ryzyko dla danych swoich kontrahentów i zdecydować o zgłoszeniu.

Zegar 72 godzin mógł już ruszyć. Fakturownia powołuje się na Wytyczne EROD 9/2022, zgodnie z którymi administrator co do zasady stwierdza naruszenie w momencie poinformowania go przez podmiot przetwarzający, co dla większości klientów oznacza e-mail z 1 października. Firma zaznacza jednak, że jeśli klient miał dostateczną pewność wcześniej, na przykład na podstawie oświadczenia z 29 września, termin mógł zacząć biec wcześniej.

Skradzione identyfikatory sesji i tokeny API to żywy dostęp, a nie tylko dane. Fakturownia wymieniła tokeny i ograniczyła istniejące klucze API do wcześniej używanych adresów IP, co jest mocnym ograniczeniem ryzyka. Integracje, których nie zaktualizowano, pozostają luźnym końcem.

To trzeci polski dostawca oprogramowania zaatakowany przez ten sam pseudonim. UODO mówi o danych 19 milionów Polaków w kontekście MyDr i o możliwych danych nawet pięciu milionów w kontekście Medyka. Dostawcy oprogramowania są celem efektywnym: jedno włamanie sięga wszystkich klientów naraz.

Kogo to dotyczy

• Każdego konta w Fakturowni, zgodnie z komunikatem samej firmy.

• Około 2250 kont o znacznie szerszym zakresie pobrania, obejmującym wszystkie dane systemowe z lat 2022 do 2026.

• Kontrahentów klientów Fakturowni, których nazwy, numery NIP, adresy, adresy e-mail, telefony i numery rachunków bankowych wprowadzono do kont przed 16 października 2024.

• Biur rachunkowych korzystających z platformy w imieniu klientów, które najpewniej są administratorami wielu zbiorów danych osób trzecich jednocześnie.

• Pozostałych użytkowników kont poza właścicielem, których adres e-mail i skrót hasła zostały pobrane, a także imię i nazwisko, numer telefonu oraz identyfikator konta tam, gdzie je podano.

Co zrobić teraz

Natychmiast, jako użytkownik Fakturowni

1. Ustaw nowe hasło do Fakturowni i zmień je wszędzie tam, gdzie używałeś tego samego.

2. Włącz weryfikację dwustopniową.

3. Wprowadź nowe klucze API w swoich integracjach. Istniejące klucze są ograniczone do wcześniej używanych adresów IP, ale wymiana to rozwiązanie czyste.

4. Sprawdź ustawienia konta, w szczególności numer rachunku bankowego widoczny na Twoich fakturach, oraz przejrzyj listę użytkowników mających dostęp.

Przeciw oszustwom, które przyjdą później

5. Potwierdzaj telefonicznie każdą prośbę o zmianę numeru rachunku, korzystając z numeru, który znałeś wcześniej, nigdy z tego podanego w wiadomości. To najważniejszy mechanizm kontrolny w tej sprawie, bo napastnik zna Twoje prawdziwe kwoty i nieopłacone faktury.

6. Sprawdzaj rachunki kontrahentów na białej liście podatników VAT.

7. Spodziewaj się przekonującego podszywania się pod Fakturownię, banki, urzędy, kontrahentów i pracodawców. Fakturownia deklaruje, że wiadomości w tej sprawie wysyła wyłącznie z domeny fakturownia.pl, bez załączników, i nigdy nie prosi o hasła, kody weryfikacyjne, kody BLIK ani dane kart.

8. Przesyłaj podejrzane SMS-y do CERT Polska na numer 8080.

9. Jeśli podejrzany przelew już wyszedł, natychmiast skontaktuj się z bankiem, następnie z policją, i zachowaj wiadomości jako dowody.

Twoje własne obowiązki na gruncie RODO

10. Odnotuj datę i godzinę otrzymania zawiadomienia od Fakturowni. Ten moment wyznacza Twój termin 72 godzin.

11. Samodzielnie oceń ryzyko dla danych swoich kontrahentów. Fakturownia oceniła ryzyko dla danych, których jest administratorem, jako wysokie, wskazując na szeroki zakres danych i bardzo dużą liczbę osób, i podaje to jako punkt odniesienia, a nie zastępstwo Twojej własnej oceny.

12. Nie zakładaj, że zgłoszenie Fakturowni do UODO obejmuje Ciebie. Obejmuje Fakturownię.

13. Możesz złożyć zgłoszenie wstępne już teraz i uzupełnić je później, na podstawie art. 33 ust. 4 RODO, bez czekania na szczegółowy panel, który Fakturownia udostępnia w kontach.

14. Rozważ bezpośrednie poinformowanie kontrahentów, zwłaszcza o ryzyku podszywania się i fałszywych wezwań do zapłaty, oraz zalecenie użytkownikom paneli kontrahenta zmiany tego hasła wszędzie, gdzie je powtórzyli.

Podsumowanie

Napastnik nie potrzebował świeżych faktur, żeby uczynić je groźnymi. Znajomość numeru rachunku firmy, listy jej kontrahentów i dokładnej kwoty pozostającej do zapłaty wystarcza, by skonstruować wezwanie do zapłaty, które przetrwa weryfikację. Dlatego daty graniczne, choć wyglądają uspokajająco, znaczą mniej, niż się wydaje. Stare dane fakturowe w połączeniu z aktualnymi danymi kontaktowymi tworzą działający zestaw do oszustwa.

Lekcja: gdy dostawca SaaS zostaje zaatakowany, obowiązek nie zostaje u dostawcy. Tysiące polskich firm obudziły się z informacją, że są administratorami danych, których nigdy nie uważały za swoje do ochrony, przy już biegnącym terminie. Większość nie ma rejestru naruszeń, szablonu oceny ryzyka ani jasnego obrazu tego, których kontrahentów trzeba powiadomić.

Druga lekcja jest dla każdego, kto ocenia dostawców oprogramowania. Komunikat Fakturowni jest, według każdego rozsądnego kryterium, lepszy niż większość: szybkie opanowanie sytuacji, szczegółowy zakres, podane daty graniczne, uczciwie przyznana niepewność co do tych dat oraz jasne wskazówki dotyczące sytuacji prawnej klientów. To właśnie ta przejrzystość umożliwia świadome działanie. Warto pytać potencjalnych dostawców, co opublikowaliby w analogicznej sytuacji, bo odpowiedź mówi Ci, jak wyglądałaby wtedy Twoja własna reakcja.

Dwie rzeczy warte zrobienia w tym tygodniu: potwierdź, czy Twoje konto nie znajduje się wśród 2250 o szerszym zakresie pobrania, oraz sprawdź numer rachunku bankowego widniejący obecnie na Twoich fakturach.