Jeśli Wasza firma korzysta lub kiedykolwiek korzystała z Fakturownia.pl, ten incydent dotyczy Was bezpośrednio. Według komunikatu spółki atak objął każde konto w serwisie, a część skopiowanych danych to dane Waszych klientów, za które to Wy odpowiadacie jako administrator. Oznacza to obowiązki prawne po Waszej stronie, nie tylko zmianę hasła.
Co się stało i jak długo trwał dostęp
Nieuprawniona osoba miała dostęp do systemów Fakturowni od 27 września 2026 r. (ok. 3:20) do 28 września (ok. 17:45). Według dyrektora technicznego spółki atakujący wykorzystał błąd w szablonach faktur, następnie lukę w bibliotece generującej pliki PDF, i w ten sposób zdobył klucz podpisujący sesje, który dał mu dostęp do serwera. Lukę zamknięto 28 września o 18:01, a tokeny API klientów wymieniono w nocy. 29 września spółka zgłosiła naruszenie do UODO, CERT Polska i policji (CBZC), a od 1 października wysyła powiadomienia e-mailem do właścicieli i użytkowników kont. Serwis obsługuje ponad 600 tys. klientów w Polsce i za granicą.
Spółka podaje, że według jej wiedzy dane nie zostały opublikowane. Atakujący twierdził, że skopiował 6 TB faktur; tego nie potwierdzono, a analiza logów wskazuje na mniejszy zakres.
Jakie dane wyciekły
Pierwsza grupa to dane, za które Fakturownia odpowiada sama, i dotyczy wszystkich kont:
- dane firmy i użytkowników: nazwa, NIP, adres, imiona i nazwiska, e-maile, telefony;
- numery rachunków bankowych działów (z IBAN i SWIFT);
- skróty haseł (z solą, nie w postaci jawnej), identyfikatory sesji;
- klucze API i klucze integracji zapisane w ustawieniach konta.
Druga grupa to dane Waszych kontrahentów i dokumentów, za które administratorem jesteście Wy:
- kontrahenci dodani przed 16 października 2024 r.;
- pełna treść faktur sprzed 22 marca 2021 r., pozycje faktur sprzed 6 czerwca 2019 r.;
- kwoty faktur (netto, VAT, brutto) z całego okresu, dane płatności, katalog produktów, część danych magazynowych.
Z około 2250 kont założonych w latach 2022–2026 wyciekł szerszy zakres danych; ich właściciele dostają osobną informację. Według spółki nie wyciekły certyfikaty KSeF, dane logowania do banku, dane kart ani dane z sekcji „Integracje i dodatki”. Ministerstwo Finansów potwierdziło, że incydent nie dotyczy danych w KSeF.
Byli klienci też są w zbiorze
Wyciek objął głównie najstarsze rekordy, więc firmy, które dawno przestały korzystać z Fakturowni, nie mogą zakładać, że ich to nie dotyczy. GreenWay Polska, operator ładowarek samochodów elektrycznych, zrezygnował z tego serwisu pod koniec 2023 r., a mimo to 9 października powiadomił klientów z lat 2018–2023 o wycieku imion i nazwisk, adresów, e-maili, telefonów i danych z faktur.
Co zrobić w firmie, która korzysta z Fakturowni
- Ustawcie nowe hasło w Fakturowni i zmieńcie je wszędzie, gdzie używaliście tego samego lub podobnego, zwłaszcza w poczcie. Proste hasło da się odtworzyć ze skrótu.
- Włączcie weryfikację dwuetapową i wylogujcie wszystkie sesje.
- Wygenerujcie nowe klucze API dla integracji (sklep, księgowość, CRM) i unieważnijcie stare po stronie dostawcy integracji.
- Sprawdźcie numery rachunków na szablonach faktur i listę użytkowników z dostępem do konta.
- Wprowadźcie zasadę: każdą prośbę o zmianę numeru konta lub pilny przelew potwierdzacie telefonicznie, pod numerem znanym wcześniej. Większe przelewy zatwierdza druga osoba.
Najbardziej prawdopodobny skutek wycieku to oszustwa na fakturę. Przestępca, który zna Waszych kontrahentów, kwoty i terminy płatności, może wysłać wiarygodną wiadomość o „nowym numerze konta”. Uprzedźcie księgowość i kluczowych kontrahentów. Podejrzane SMS-y przekazujcie bezpłatnie na numer 8080 (CERT Polska).
Obowiązek zgłoszenia do UODO w 72 godziny
Dla danych kontrahentów to Wasza firma jest administratorem w rozumieniu RODO. Zgłoszenie Fakturowni nie zwalnia Was z własnej oceny ryzyka. Termin 72 godzin liczy się od chwili, gdy dowiedzieliście się o naruszeniu; według spółki jest to zwykle e-mail z 1 października, a jeśli znaliście wcześniej komunikat z 29 września, termin biegnie od tej daty. Można złożyć zgłoszenie wstępne i uzupełnić je później; Fakturownia udostępnia częściowo wypełniony wzór.
Nie każde naruszenie wymaga zgłoszenia. Dane firm jawne w CEIDG zwykle oznaczają niskie ryzyko, ale decyzję trzeba udokumentować. Jeśli na fakturach były numery PESEL, prywatne numery kont albo informacje o zdrowiu, ryzyko jest wysokie i trzeba też powiadomić te osoby bezpośrednio. Osobom, których PESEL mógł wyciec, warto doradzić zastrzeżenie numeru PESEL w aplikacji mObywatel.
Wniosek dla innych firm
Dane klientów żyją u dostawców SaaS dłużej niż umowa. Przy rezygnacji z usługi żądajcie usunięcia danych i potwierdzenia na piśmie, a w rejestrze czynności przetwarzania trzymajcie listę wszystkich podmiotów przetwarzających, także byłych. Klucze API traktujcie jak hasła: z ograniczonymi uprawnieniami i z procedurą szybkiej wymiany.