Fakturownia: trzy komunikaty w jeden dzień, a klienci dowiedzieli się o włamaniu ze strony, nie z maila

👁 111 przeczytań

Najpierw klienci Fakturowni dostali maila o tym, że spółka „ze względów bezpieczeństwa” unieważni im klucze API. Dopiero potem - i nie w mailu, tylko w komunikacie na stronie serwisu - pojawiła się informacja, że doszło do włamania i że wykradzione mogły zostać dane kont wszystkich użytkowników. Niebezpiecznik opisał to 29 września 2026 o 19:39, dopisując do tekstu drugą aktualizację tego samego dnia.

Kolejność ma tu znaczenie większe niż treść. Przedsiębiorca, który rano przeczytał maila o kluczach API, mógł uznać, że to rutynowa rotacja poświadczeń - coś, co dostawcy robią cyklicznie. O tym, że ktoś mógł wyjść z jego bazą kontrahentów, numerami rachunków bankowych i fakturami, dowiadywał się tylko wtedy, gdy z własnej inicjatywy wszedł na stronę Fakturowni albo przeczytał media branżowe.

Oś czasu jednej doby: 28 września, rano 29 września, wieczór 29 września

Zestawienie dat z materiału Niebezpiecznika daje trzy punkty. 28 września 2026 - wykrycie ataku. Rano 29 września - mailing do klientów o unieważnieniu kluczy API, bez słowa o kradzieży danych. Wieczór 29 września - oświadczenie na stronie Fakturowni z opisem zakresu incydentu plus druga aktualizacja wpisu w Niebezpieczniku.

Doba od wykrycia do publicznego oświadczenia to tempo, którego wiele polskich firm nie osiąga - i Niebezpiecznik to odnotowuje, pisząc o „sprawnym przygotowaniu oświadczenia”. Problem leży gdzie indziej: w tym, że dwa kanały komunikacji tego samego dnia mówiły dwie różne rzeczy o tej samej sprawie. Jeden mówił o higienie technicznej, drugi o wycieku.

„Spółkę trzeba pochwalić za sprawne przygotowanie oświadczenia, ale ciężko oprzeć się wrażeniu, że wdarło się do niego trochę chaosu, co w takim przypadku nie jest pożądane i może powodować dezinformacje.”

- Niebezpiecznik, 29 września 2026

Co dokładnie spółka przyznała, a co wykluczyła - i gdzie to się nie zgadza

Oświadczenie Fakturowni dzieli dane na dwie kategorie. Po stronie „pozyskane” znalazły się informacje o rachunkach bankowych, dane o płatnościach, częściowe dane z faktur oraz klucze i hasła systemowe aplikacji. Spółka dopisała też, że atakujący mógł wykraść skróty haseł, tokeny sesji oraz tokeny API i integracji. Po stronie „nie pozyskane” - dane dotyczące integracji z KSeF, pozostałych integracji oraz dane kart płatniczych.

Niebezpiecznik wskazuje na dwie sprzeczności w tym podziale. Pierwsza: jeśli spółka deklaruje, że dane o integracjach nie wyciekły, to po co unieważnia klucze API, które właśnie do integracji służą. Druga: jeśli przyznaje, że mogły wyciec tokeny sesji i skróty haseł, to dlaczego unieważnia wyłącznie tokeny API, a nie wymusza wylogowania wszystkich sesji i resetu haseł. Redakcja zadała spółce pytania o te niejasności i zapowiedziała aktualizację tekstu po otrzymaniu odpowiedzi.

Zakres czasowy faktur jest w komunikacie określony jako „wystawione w Fakturowni przed 2023 rokiem”. To cięcie, które w praktyce oznacza najstarsze dane - kontrahentów, z którymi wielu użytkowników dawno przestało współpracować i których danych nie ma już nawet w bieżących systemach. Trudniej będzie ich powiadomić, choć obowiązek nie wygasa z powodu przeterminowanej współpracy.

Trzecia ofiara tej samej grupy w ciągu kilku miesięcy

Do ataku przyznała się grupa fingerprint - ta sama, która wcześniej uderzyła w oprogramowanie medyczne MyDr oraz w Medyc. Informację o przyznaniu się podał serwis Zaufana Trzecia Strona, cytowany przez Niebezpiecznik. Wektor ataku opisano jako „wyrocznię czasową do wyciągnięcia klucza głównego (master key) Ruby”, a następnie sfałszowanie ciasteczka, które dało zdalne wykonanie kodu na serwerze.

Trzy cele, jeden schemat. Polski dostawca SaaS, w którym zgromadzone są dane nie jednej firmy, lecz wszystkich jej klientów i kontrahentów. W przypadku oprogramowania medycznego - pacjentów całych przychodni. W przypadku systemu do faktur - kontrahentów każdego z użytkowników, czyli danych firm i osób, które same nigdy konta w Fakturowni nie zakładały i o jej istnieniu mogą nie wiedzieć.

Różnica między atakiem na pojedynczą firmę a atakiem na jej dostawcę jest arytmetyczna: w pierwszym przypadku napastnik dostaje bazę jednego podmiotu, w drugim - sumę baz wszystkich klientów tego podmiotu. Niebezpiecznik nazywa to wprost strategią „wybitnie bolesną dla obywateli”, bo do lekarza chodzi każdy i faktury dostaje każdy.

Dlaczego to nie jest wyłącznie problem Fakturowni, tylko każdego jej klienta

Tu wchodzi RODO i tu większość poszkodowanych przedsiębiorców ma kłopot, którego jeszcze nie zauważyła. Fakturownia jest w tej relacji podmiotem przetwarzającym - przetwarza dane kontrahentów na zlecenie swoich klientów. Administratorem danych tych kontrahentów jest firma, która wystawiała faktury. To ona, a nie Fakturownia, odpowiada za zawiadomienie Prezesa UODO i za poinformowanie osób, których dane dotyczą.

Artykuł 33 RODO daje administratorowi 72 godziny od stwierdzenia naruszenia na zgłoszenie do organu nadzorczego. Artykuł 34 nakazuje bez zbędnej zwłoki zawiadomić same osoby, jeśli naruszenie może powodować wysokie ryzyko naruszenia ich praw. Przy wycieku obejmującym numery rachunków bankowych i dane kontrahentów trudno argumentować, że ryzyko jest niskie - te dane są paliwem dla oszustw na fałszywą fakturę, gdzie przestępca podstawia własny numer konta pod prawdziwą relację handlową.

Zegar 72 godzin biegnie od momentu, w którym administrator stwierdził naruszenie, a nie od daty incydentu u dostawcy. Dla klienta Fakturowni, który przeczytał tylko poranny mail o kluczach API, ten moment mógł w ogóle nie nastąpić - bo mail nie mówił o naruszeniu ochrony danych. Dopiero oświadczenie na stronie serwisu uruchamiało u klientów własne obowiązki. Stąd kolejność komunikatów przestaje być kwestią stylu, a staje się kwestią terminu ustawowego.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Co ma zrobić mikrofirma z bazą kontrahentów sprzed 2023 roku

Niebezpiecznik radzi założyć najgorsze: że atakujący pozyskał wszystkie dane, które użytkownik umieścił na koncie. Praktyczna lista zaczyna się od zmiany hasła do Fakturowni i do każdego miejsca, gdzie było ono takie samo lub podobne, oraz od włączenia drugiego składnika uwierzytelniania.

Równolegle warto zrobić coś, czego w komunikacie dostawcy nie będzie: wyeksportować listę kontrahentów z faktur wystawionych przed 2023 rokiem i ocenić, czyje dane tam są. Jeśli to firmy jednoosobowe, czyli osoby fizyczne prowadzące działalność, ich dane są danymi osobowymi w rozumieniu RODO i obowiązek informacyjny ich obejmuje. Jeśli to spółki - formalnie RODO nie, ale ryzyko oszustwa na fałszywy rachunek dotyczy ich tak samo i zwykła informacja mailowa jest po prostu w interesie obu stron.

Trzecia rzecz dotyczy procedury płatniczej wewnątrz firmy. Wyciek numerów rachunków bankowych razem z danymi kontrahentów oznacza, że przestępca ma materiał do wiarygodnego podszycia się pod stałego dostawcę z prośbą o zmianę konta. Telefoniczna weryfikacja każdej zmiany numeru rachunku - pod numer z własnej bazy, nie z maila - to zabezpieczenie, które działa niezależnie od tego, ile tokenów unieważnił dostawca.

Niebezpiecznik zapowiedział aktualizację wpisu po otrzymaniu odpowiedzi od Fakturowni na pytania o zakres unieważnionych poświadczeń i o to, dlaczego nie objęto nimi tokenów sesji - na 9 listopada 2026 w artykule pozostają dwie aktualizacje z 29 września.

Źródła:

• Niebezpiecznik - [AKTUALIZACJA 2] Fakturownia.pl zhackowana - wykradziono faktury i dane kontrahentów, 29 września 2026
• Zaufana Trzecia Strona - ustalenia dotyczące grupy fingerprint i wektora ataku, wrzesień 2026
• UODO - obowiązek zgłaszania naruszeń ochrony danych osobowych (art. 33 i 34 RODO), stan na 9 listopada 2026