Fakturownia zhackowana: co ustawić dziś, zanim ktoś podmieni numer konta na Twojej fakturze

👁 232 przeczytań

Fakturownia wykryła 28 września 2026 atak, w którym - jak podaje w swoim oświadczeniu - napastnik mógł pozyskać dane kont wszystkich użytkowników, dane kontrahentów oraz faktury wystawione przed 2023 rokiem. W pierwszym mailu do klientów spółka napisała tylko o unieważnieniu kluczy API „ze względów bezpieczeństwa”, bez słowa o włamaniu. Jeśli fakturujesz przez Fakturownię, masz dziś do wykonania kilka konkretnych ruchów - i nie wszystkie dotyczą Twojego konta.

Co dokładnie wiadomo, a co nie

Rozdzielmy to twardo, bo oświadczenie spółki jest w kilku miejscach nieprecyzyjne.

Niebezpiecznik zwraca uwagę na sprzeczność: spółka pisze, że dane integracji nie wyciekły, a jednocześnie unieważnia klucze API, które właśnie do integracji służą. Nie wiadomo, która z tych informacji jest dokładniejsza. Nie wiadomo też, ile kont łącznie dotyczy incydent - takiej liczby w materiale nie ma.

Kto atakuje i dlaczego to nie jednorazowy przypadek

Według Zaufanej Trzeciej Strony do ataku przyznała się grupa fingerprint - ta sama, która wcześniej uderzyła w MyDr, Medyc i Enel-Med. Wektorem miała być wyrocznia czasowa pozwalająca wyciągnąć klucz główny Ruby, a następnie podrobić ciasteczko i uzyskać zdalne wykonanie kodu na serwerze.

To techniczny szczegół, ale ma praktyczną konsekwencję: jeśli atakujący miał master key aplikacji, mógł podpisywać dowolne sesje. Dlatego samo zmienienie hasła bez wylogowania istniejących sesji może nie wystarczyć.

Wzór jest czytelny: polskie SaaS-y dla firm i dla ochrony zdrowia. Jeden atak, dane setek tysięcy albo milionów osób. Moja opinia: to nie jest ostatni taki incydent w tym roku i warto przestać traktować każdy z nich jako pojedynczy wypadek, a zacząć jako stan otoczenia, do którego trzeba dostosować procedury.

Ryzyko, o którym prawie nikt nie mówi: faktura z podmienionym kontem

Klasyczny scenariusz po takim wycieku: Twój kontrahent dostaje mail z fakturą wyglądającą jak Twoja - te same dane firmy, ten sam numer, ta sama kwota, właściwy termin. Zmieniony jest tylko numer rachunku. Atakujący ma z wycieku wszystko, co potrzebne, żeby to złożyć wiarygodnie: Twoje dane, dane odbiorcy, historię faktur, numery kont. Ile dokumentów mogło wyciec i jaka kara grozi firmie, policzyłem w tekście Fakturownia zhackowana: ile faktur i kara UODO.

W Polsce działa tu jedno zabezpieczenie, które jest darmowe i natychmiastowe: biała lista podatników VAT. Numer rachunku z faktury sprawdzasz w wykazie KAS. Przy płatnościach powyżej 15 tysięcy złotych sprawdzenie i tak jest w Twoim interesie podatkowym, ale w tej sytuacji warto zjechać z progiem niżej.

Co zrobić u siebie

1. Zmień hasło do Fakturowni - i do każdego innego serwisu, gdzie miałeś takie samo lub podobne. Podobne też, bo skrót hasła w rękach atakującego to materiał do łamania offline.
2. Włącz dwuskładnikowe uwierzytelnienie w Fakturowni, jeśli jeszcze nie masz. Aplikacja TOTP, nie SMS.
3. Wyloguj wszystkie aktywne sesje - jeśli panel to umożliwia. Spółka unieważniła tylko klucze API, a o tokenach sesji pisze, że mogły wyciec.
4. Wygeneruj nowe klucze API i podmień je w każdej integracji - sklep, księgowość, automatyzacje. Stare przestaną działać, więc zrób listę miejsc, gdzie były użyte, zanim coś zacznie cicho nie dowozić danych.
5. Wyślij kontrahentom krótkie ostrzeżenie: „nie zmieniliśmy numeru konta, przed każdym przelewem sprawdź rachunek na białej liście”. Jedno zdanie, wysłane dziś, jest warte więcej niż tłumaczenia po przelewie.
6. Sam sprawdzaj przychodzące faktury na białej liście KAS - przez najbliższe tygodnie bez wyjątków, niezależnie od kwoty.
7. Ustaw alerty w bankowości firmowej na każdy przelew wychodzący i na zmianę danych odbiorcy zdefiniowanego.
8. Zapisz datę 28 września 2026 i treść oświadczenia - zrób zrzut ekranu. Jeśli pojawią się roszczenia albo zgłoszenie do UODO, będziesz mieć własną dokumentację tego, co i kiedy dostawca komunikował.
9. Jeśli masz procedurę zmiany rachunku u kontrahentów, dodaj do niej potwierdzenie telefoniczne na numer z wcześniejszej korespondencji, nie z nowego maila.

Czego jeszcze nie wiemy

Niebezpiecznik wysłał do Fakturowni pytania doprecyzowujące i zapowiada aktualizację artykułu. Otwarte pozostaje: jakie konkretnie części faktur wyciekły, co oznaczają „dane o płatnościach”, jakie klucze i hasła systemowe aplikacji zostały pozyskane, ilu użytkowników dotyczy incydent i czy spółka wyśle pełne zawiadomienie do klientów. Do czasu odpowiedzi rozsądne jest założenie najgorsze: wyciekło wszystko, co miałeś na koncie.

Więcej o tym temacie: Przewagi - AI w firmie i SaaS policzone