Atak hakerski na Fakturownię. Wyciekły dane klientów, faktur i kluczy API. Firmy muszą sprawdzić swoje konta

Haker miał dostęp do systemu przez ponad dobę

Fakturownia poinformowała, że naruszenie wykryto 28 września 2026 roku. Z późniejszej analizy wynika, że nieuprawniony dostęp rozpoczął się już 27 września około godziny 3:20 i trwał do 28 września około 17:45.

W tym czasie osoba nieuprawniona nie tylko uzyskała wgląd do systemów, ale również skopiowała dane z bazy Fakturowni na własne serwery.

Firma określa zdarzenie jako naruszenie poufności danych i analizuje incydent wspólnie z CERT Polska. Sprawa została również zgłoszona do Prezesa Urzędu Ochrony Danych Osobowych oraz Centralnego Biura Zwalczania Cyberprzestępczości.

Incydent dotyczy każdego konta w Fakturowni

To jedna z najważniejszych informacji opublikowanych przez firmę.

Fakturownia potwierdziła, że incydent dotyczy każdego konta w systemie. Nie oznacza to jednak, że z każdego konta pobrano dokładnie te same informacje.

Zakres danych zależy m.in. od tego, kiedy zostały wprowadzone do systemu oraz z jakich funkcji korzystała dana firma. Fakturownia przygotowała dla właścicieli kont indywidualne informacje pokazujące, jakie kategorie danych i ile rekordów mogło zostać skopiowanych.

Jakie dane mogły trafić w ręce atakującego?

Lista jest długa.

Według oficjalnego komunikatu skopiowane zostały m.in. dane firmy i użytkowników konta, takie jak:

• nazwa firmy i NIP,
• adres,
• imiona i nazwiska użytkowników,
• adresy e-mail,
• numery telefonów,
• numery rachunków bankowych, IBAN i SWIFT,
• zaszyfrowane skróty haseł,
• tokeny API i część kluczy integracji,
• identyfikatory sesji.

Pobrane zostały również dane dotyczące kwot na fakturach, w tym wartości netto, VAT i brutto, waluty oraz informacje o tym, jaka część należności została już zapłacona.

Wyciekły także dane kontrahentów

Problem nie dotyczy wyłącznie osób posiadających konta w serwisie.

W bazie Fakturowni przedsiębiorcy przechowują przecież informacje o swoich klientach i dostawcach. Atakujący mógł więc uzyskać również dane osób, które same nigdy nie zakładały konta w Fakturowni.

W przypadku kontrahentów dodanych przed 16 października 2024 roku skopiowane mogły zostać m.in. nazwa firmy lub imię i nazwisko, NIP, adres, adres dostawy, e-mail, telefon, numer rachunku bankowego, notatki oraz dane znajdujące się w polach własnych.

Co z fakturami?

Tutaj zakres naruszenia zależy przede wszystkim od daty wystawienia dokumentu.

Fakturownia podała, że pełna treść faktur została pobrana dla dokumentów wystawionych przed 22 marca 2021 roku. W przypadku jeszcze starszych dokumentów, sprzed 6 czerwca 2019 roku, wykradzione zostały także pozycje faktur, czyli m.in. nazwy towarów i usług, ilości oraz ceny.

W przypadku późniejszych faktur sytuacja wygląda inaczej. Według firmy nie pobrano pełnej treści dokumentów wystawionych od 22 marca 2021 roku, ale atakujący mógł zdobyć informacje o kwotach oraz niektórych dodatkowych polach.

To istotne, bo takie informacje mogą być wykorzystane do tworzenia bardzo wiarygodnych prób oszustwa.

Szczególnie niebezpieczne mogą być fałszywe faktury

Po tego rodzaju wycieku największym zagrożeniem nie musi być samo opublikowanie danych w internecie.

Znacznie bardziej niebezpieczna może okazać się wiedza, którą zdobył przestępca.

Jeśli ktoś zna nazwę kontrahenta, wartość wystawionej faktury, termin płatności czy informację o tym, że dokument pozostaje nieopłacony, może przygotować wiadomość, która będzie wyglądać niezwykle wiarygodnie.

Fakturownia ostrzega przed wiadomościami w rodzaju:

"Zmienił się numer naszego rachunku bankowego. Prosimy o opłacenie faktury na nowe konto".

Firma zaleca, aby każdą nietypową prośbę o przelew lub zmianę rachunku potwierdzać z kontrahentem innym kanałem, najlepiej telefonicznie pod numerem znanym jeszcze przed otrzymaniem wiadomości.

Hasła były zaszyfrowane, ale trzeba je zmienić

Fakturownia podkreśla, że hasła użytkowników nie były zapisane w bazie w jawnej postaci. Atakujący zdobył ich zaszyfrowane skróty.

To jednak nie oznacza, że użytkownicy mogą zignorować problem.

Firma przyznaje, że w przypadku prostych haseł możliwe może być ich odtworzenie. Dlatego wszystkim użytkownikom zaleca zmianę hasła do Fakturowni.

Jeśli identyczne hasło było wykorzystywane także w poczcie elektronicznej, sklepie internetowym, bankowości lub innych serwisach, należy zmienić je również tam.

Korzystasz z API? Koniecznie sprawdź integracje

Szczególnie ważna informacja dotyczy przedsiębiorców korzystających z zewnętrznych integracji.

Wśród skopiowanych danych znajdowały się tokeny API i klucze integracji zapisane bezpośrednio w ustawieniach konta. Fakturownia podjęła działania ograniczające możliwość wykorzystania dotychczasowych tokenów, ale zaleca użytkownikom zewnętrznych integracji wygenerowanie nowych kluczy.

Firma zaznacza, że przed zmianą klucza w usłudze zewnętrznego dostawcy warto sprawdzić, w jaki sposób przeprowadzić operację, aby integracja nie przestała działać.

Certyfikaty KSeF nie zostały wykradzione

Wśród złych wiadomości jest też kilka istotnych uspokajających informacji.

Według Fakturowni atakujący nie pobrał certyfikatów KSeF. Nie wyciekły również dane kart płatniczych ani dane logowania do banków, ponieważ Fakturownia ich nie przechowuje.

Na podstawie obecnych ustaleń firma twierdzi także, że dane objęte incydentem nie zostały dotychczas publicznie udostępnione. Sytuacja jest monitorowana wspólnie z CERT Polska.

Około 2250 kont ucierpiało szczególnie mocno

W oficjalnym komunikacie pojawiła się jeszcze jedna ważna informacja.

W przypadku około 2250 kont pobrane zostały wszystkie dane dostępne w systemie z lat 2022-2026, do daty ustalonej indywidualnie dla każdego konta.

Ich właściciele mają otrzymać informację odnoszącą się bezpośrednio do zakresu danych pobranych z ich konta.

Firmy mogą mieć obowiązek zgłoszenia wycieku do UODO

Sprawa komplikuje się jeszcze bardziej ze względu na RODO.

Fakturownia jest administratorem danych swoich użytkowników. W przypadku danych kontrahentów wprowadzonych do systemu sytuacja wygląda jednak inaczej. Administratorem pozostaje przedsiębiorca korzystający z Fakturowni, natomiast serwis jest podmiotem przetwarzającym te informacje.

Dlatego właściciel firmy musi ocenić, czy naruszenie danych jego klientów powoduje ryzyko dla ich praw i wolności.

Jeśli tak, może istnieć obowiązek zgłoszenia naruszenia Prezesowi UODO. Termin wynosi co do zasady 72 godziny od momentu stwierdzenia naruszenia przez administratora.

Fakturownia uruchomiła na kontach narzędzie, które ma pomóc w przygotowaniu takiego zgłoszenia. Po zalogowaniu przedsiębiorca może sprawdzić, czy z jego konta skopiowano dane osobowe kontrahentów i czy pojawiła się opcja "Przygotuj zgłoszenie do UODO".

Co powinien zrobić użytkownik Fakturowni?

Najważniejsze jest teraz sprawdzenie własnego konta, ponieważ dokładny zakres wycieku nie jest identyczny dla wszystkich użytkowników.

Fakturownia zaleca przede wszystkim zmianę hasła, wymianę kluczy API używanych w zewnętrznych integracjach oraz szczególną ostrożność wobec wiadomości dotyczących faktur i płatności. Firma ostrzega także przed telefonami od osób podszywających się pod bank, urząd, kontrahenta czy samą Fakturownię.

W praktyce najbliższe tygodnie mogą być szczególnie niebezpieczne. Oszuści posiadający prawdziwe dane firm, kontrahentów i płatności mogą tworzyć wiadomości znacznie bardziej przekonujące niż typowy masowy phishing.

Dlatego mail z prawidłową nazwą firmy, numerem faktury lub kwotą nie powinien być automatycznie uznawany za wiarygodny.

To nie jest tylko problem Fakturowni

Incydent pokazuje również coś jeszcze.

System do wystawiania faktur może zawierać ogromną ilość informacji o działalności przedsiębiorstwa: dane klientów, dostawców, płatności, rachunki bankowe, historię sprzedaży, ceny produktów czy informacje o nieuregulowanych zobowiązaniach.

Po ich przejęciu przestępca otrzymuje materiał, który może posłużyć nie tylko do phishingu, ale także do podszywania się pod kontrahentów i tworzenia niezwykle przekonujących fałszywych wezwań do zapłaty.

Na ten moment nie ma informacji, że wykradzione dane zostały publicznie udostępnione. Sytuacja nadal jest jednak analizowana, a Fakturownia zapowiada publikowanie kolejnych ustaleń.

Jeżeli korzystasz z Fakturowni, tego komunikatu zdecydowanie nie warto ignorować. Najważniejsze jest zalogowanie się do swojego konta i sprawdzenie, jaki zakres danych został objęty incydentem.

PMP

^{Fot. Wygenerowano AI}