Fakturownia zhackowana: policzyłem, ile dokumentów mogło wyciec i ile kosztuje takie milczenie wobec UODO

👁 119 przeczytań

Rano 29 września 2026 roku klienci Fakturowni dostali e-mail o unieważnieniu kluczy API „ze względów bezpieczeństwa”. Dopiero kilka godzin później, po publikacji Niebezpiecznika, większość z nich dowiedziała się, że chodzi o kradzież danych. Oświadczenie o incydencie spółka umieściła na własnej stronie, ale nie w mailingu, który trafił do skrzynek. Z punktu widzenia przedsiębiorcy, który wystawia w tym systemie faktury od dekady, to różnica między „zmienię klucz przy okazji” a „dzisiaj dzwonię do księgowej i do banku”.

Spółka przyznaje, że atakujący mógł pozyskać dane kont wszystkich użytkowników, dane wszystkich kontrahentów danego klienta oraz faktury wystawione przed 2023 rokiem. Do tego informacje o rachunkach bankowych, dane o płatnościach i - co w oświadczeniu brzmi najgorzej - klucze i hasła systemowe aplikacji. Jednocześnie Fakturownia zapewnia, że nie wyciekły dane integracji z KSeF ani dane kart płatniczych. Zestawienie tych dwóch zdań jest wewnętrznie niespójne: skoro klucze API trzeba było unieważnić, to znaczy, że warstwa integracji została naruszona, a KSeF jest właśnie integracją.

Policzyłem, ile faktur fizycznie mieści się w zbiorze sprzed 2023 roku

Fakturownia nie podała liczby dokumentów. Dało się ją oszacować z danych, które spółka sama publikuje w materiałach marketingowych. Serwis deklaruje ponad 120 tysięcy firm korzystających z systemu. Przyjąłem dwa założenia, które da się sprawdzić na własnym koncie: mikrofirma wystawia realnie od 5 do 30 faktur miesięcznie, a mediana stażu konta w systemie działającym od 2011 roku to około pięciu lat przed cezurą 2023.

Rachunek wygląda tak: 120 000 kont razy 12 faktur miesięcznie (ostrożna mediana, bo dużą część bazy stanowią jednoosobowe działalności z kilkoma dokumentami w miesiącu) razy 60 miesięcy daje 86,4 miliona faktur w zbiorze objętym opisem „sprzed 2023 roku”. Nawet gdyby przyjąć skrajnie konserwatywne 5 faktur miesięcznie i trzy lata stażu, wychodzi 21,6 miliona dokumentów. To jest rząd wielkości, o którym mówimy - dziesiątki milionów, nie dziesiątki tysięcy.

Druga liczba jest ważniejsza, bo dotyczy osób, które nigdy nie zakładały konta w Fakturowni. Każda faktura ma kontrahenta. Przy założeniu, że przeciętne konto ma od 30 do 200 unikalnych kontrahentów w bazie, 120 tysięcy kont generuje od 3,6 do 24 milionów rekordów kontrahenckich. Po deduplikacji (ten sam dostawca prądu występuje w tysiącach baz) realna liczba unikalnych podmiotów i osób fizycznych to prawdopodobnie kilka milionów. Czyli: statystyczny Polak, który kiedykolwiek kupił coś na fakturę od firmy używającej Fakturowni, jest w tym zbiorze, choć nigdy o tym serwisie nie słyszał.

Jedna faktura kosztuje 3,2 grosza, licząc karą za Morele.net

Żeby pokazać, ile taki wyciek wart jest w polskim systemie prawnym, zestawiłem go z dwiema sprawami, które UODO już rozstrzygnął. Morele.net zapłaciło 2 830 410 zł kary za wyciek danych około 2,2 miliona osób. Daje to 1,29 zł na osobę. Kara dla ClickQuickNow wyniosła 201 559,50 zł i dotyczyła utrudniania wycofania zgody, czyli innej kategorii naruszenia - przy wycieku skala rośnie wraz z liczbą poszkodowanych.

Przełożenie stawki z Morele na szacunek z poprzedniej sekcji daje widełki od 4,6 mln zł (przy 3,6 mln kontrahentów) do 31 mln zł (przy 24 mln rekordów). Dla porządku dodam drugi licznik: 2 830 410 zł podzielone przez 86,4 miliona faktur to 3,2 grosza za dokument. Brzmi niewinnie, dopóki nie pomnoży się tego przez wolumen.

Jest jednak sufit, którego kara nie przebije. RODO ogranicza sankcję do 20 milionów euro albo 4 procent globalnego obrotu - w przypadku Fakturowni, spółki o przychodach rzędu kilkudziesięciu milionów złotych, realny pułap to kilka milionów złotych, nie dwadzieścia milionów euro (86 mln zł po kursie 4,30). Innymi słowy: maksymalna kara, jaką UODO może nałożyć, jest niższa niż szkoda, którą wyciek wyrządzi kontrahentom.

Oświadczenie, które sprzecza się samo ze sobą

Najbardziej niepokojący fragment komunikatu spółki dotyczy haseł i sesji. Fakturownia napisała, że atakujący mógł wykraść skróty haseł, tokeny sesji oraz tokeny API, ale unieważniła wyłącznie te ostatnie.

Atak wykryto 28 września 2026 r. (…) Atakujący mógł także wykraść skróty haseł, tokeny sesji i tokeny API/integracji.
Z oświadczenia Fakturowni o incydencie bezpieczeństwa, cytowanego przez Niebezpiecznik.pl

Tokeny sesji pozostawione w mocy oznaczają, że ktoś z kradzionym ciasteczkiem mógł nadal chodzić po koncie po wykryciu ataku. Unieważnienie sesji to jedna linijka w kodzie i wylogowanie wszystkich użytkowników - niewygodne, ale standardowe. Pominięcie tego kroku przy jednoczesnym unieważnieniu kluczy API jest wyborem, którego nie da się wytłumaczyć inaczej niż obawą przed falą zgłoszeń do supportu.

Wektor ataku opisany przez Zaufaną Trzecią Stronę to wyrocznia czasowa wykorzystana do wyciągnięcia klucza głównego Ruby, a następnie sfałszowanie ciasteczka i zdalne wykonanie kodu na serwerze. Ta sama grupa, podpisująca się jako fingerprint, odpowiada za ataki na MyDr i Medyc - oprogramowanie medyczne. Wybór celów nie jest przypadkowy: polski dostawca SaaS dla gabinetów i dla firm to pojedynczy punkt, za którym stoją dane milionów ludzi.

Co z tego ma polski przedsiębiorca: trzy ruchy do wykonania w tym tygodniu

Jeśli wystawiasz faktury w Fakturowni, ryzyko nie polega na tym, że ktoś pozna twój NIP. Polega na tym, że przestępca ma komplet: twoją nazwę, numer rachunku, listę kontrahentów, historię kwot i terminów. To materiał na fakturę idealną - z prawdziwym numerem referencyjnym, prawdziwą kwotą i podmienionym numerem konta. Taki dokument przechodzi przez księgowość, bo zgadza się wszystko poza osiemnastoma cyframi IBAN-u.

Pierwszy ruch: wyślij do stałych kontrahentów krótką informację, że numer rachunku nie uległ zmianie i że każda prośba o przelew na inne konto wymaga potwierdzenia telefonicznego na znany wcześniej numer. Drugi: w swojej firmie wprowadź zasadę weryfikacji rachunku przy fakturach powyżej progu, który ustalisz sam - przy mikrofirmie sensowne jest 2000 zł. Trzeci: zmień hasło do Fakturowni oraz wszędzie tam, gdzie było identyczne lub podobne, i włącz dwuskładnikowe uwierzytelnianie. Osobno sprawdź w panelu, czy w ustawieniach nie wisi aktywna sesja z nieznanego urządzenia.

Warto też pamiętać o obowiązku, który spada na ciebie, a nie na Fakturownię. Jesteś administratorem danych swoich kontrahentów, Fakturownia jest tylko podmiotem przetwarzającym. Jeśli wyciek obejmuje dane osób fizycznych z twojej bazy, to ty masz 72 godziny na zgłoszenie naruszenia do UODO od momentu powzięcia informacji - czyli od e-maila z 29 września. Artykuł 33 RODO nie przewiduje przerzucenia tego obowiązku na dostawcę oprogramowania.

Jak Fakturownia wypada na tle wcześniejszych polskich wycieków

Zestawiłem trzy sprawy, żeby pokazać, że problemem nie jest wielkość bazy, tylko rodzaj danych.

Różnica jest taka: dane z Morele nadawały się do phishingu, dane z Fakturowni nadają się do podmiany rachunku w realnej transakcji między dwoma znanymi sobie podmiotami. Drugi scenariusz jest trudniejszy do wykrycia i kosztowniejszy, bo kończy się przelewem, a nie kliknięciem.

Pozostaje pytanie, które spółka powinna była zamknąć pierwszym mailingiem: dlaczego klienci dowiedzieli się o kradzieży z serwisu branżowego, a nie od dostawcy. Sam incydent może się przydarzyć każdemu - wyrocznia czasowa na kluczu Ruby to błąd klasy, którą trudno wyłapać w audycie. Komunikat, w którym brakuje słowa „włamanie”, a tokeny sesji zostają aktywne mimo przyznania, że mogły wyciec, to już nie pech, tylko decyzja.

Fakty sprawdzone 14 października 2026 r. Źródła: Niebezpiecznik.pl - relacja o włamaniu do Fakturowni, Zaufana Trzecia Strona - opis wektora ataku grupy fingerprint, UODO - decyzja ws. Morele.net, UODO - decyzja ws. ClickQuickNow, Fakturownia.pl - dane o liczbie klientów. Szacunki liczby faktur i kontrahentów są wyliczeniem redakcji na podstawie publicznych danych o liczbie kont, nie pochodzą od spółki.