Wyciek z Fakturowni: co musi zrobić firma, której kontrahenci byli w bazie

Pod koniec września 2026 r. włamano się do systemów Fakturowni, popularnego polskiego programu do wystawiania faktur. Napastnik skopiował dane kont użytkowników, kontrahentów, faktur i płatności. Jeśli Twoja firma korzysta z tej usługi, incydent dotyczy Cię podwójnie: jako klienta, którego dane wyciekły, i jako administratora danych Twoich kontrahentów.

Przebieg incydentu

Według zawiadomienia, które Fakturownia rozesłała klientom, nieuprawniony dostęp trwał od 27 września 2026 r. około 3:20 do 28 września około 17:45. Lukę usunięto 28 września o 18:01. Rodzaj naruszenia firma określiła jako naruszenie poufności, bo dane zostały skopiowane na serwery atakującego.

Jak opisał Niebezpiecznik, pierwszy mail do klientów dotyczył tylko unieważnienia kluczy API „ze względów bezpieczeństwa”, a szczegóły incydentu pojawiły się w komunikacie na stronie usługi. Dyrektor techniczny Fakturowni wyjaśnił później, że napastnik wykorzystał podatność w szablonach faktur, a następnie dziurę w bibliotece do generowania plików PDF. Zdobył w ten sposób klucz do podpisywania sesji, który dał mu dostęp do serwera. Do ataku miała przyznać się grupa, która wcześniej zaatakowała m.in. oprogramowanie medyczne MyDr.

Co wyciekło, a czego nie pobrano

Pobieranie największych zbiorów szło od najstarszych rekordów i zostało przerwane, zanim dotarło do nowszych. Według firmy wyciekły m.in.:

• dane kont i ich użytkowników,
• dane kontrahentów dodane przed 16 października 2024 r.,
• pełne faktury wraz z pozycjami z okresu mniej więcej do 2019 r. oraz faktury bez pozycji z okresu do około 2021 r.,
• dane o płatnościach, czyli transakcje bankowe zaimportowane przez klientów z wyciągów, integracji bankowych i płatności automatycznych.

Fakturownia zaznacza, że daty graniczne ustaliła z dzienników bazy i mogą się one różnić o kilkanaście dni. Nie zostały pobrane certyfikaty KSeF, dane logowania do banków ani dane kart płatniczych (firma ich nie przechowuje), dane z integracji ani treść faktur wystawionych od 22 marca 2021 r., poza kwotami i niektórymi polami dodatkowymi.

Twoja firma też jest administratorem

To najważniejszy, a często pomijany element tej sprawy. Fakturownia rozdzieliła dane na dwie grupy:

• dane konta i jego użytkowników - ich administratorem jest Fakturownia i to ona zawiadamia osoby, których dotyczą,
• dane kontrahentów, faktur i płatności, które klient sam wprowadził - ich administratorem jest firma korzystająca z usługi, a Fakturownia tylko przetwarza je na jej polecenie.

W praktyce oznacza to, że jeśli wystawiałeś faktury na osoby fizyczne albo jednoosobowe firmy, to Ty oceniasz ryzyko dla tych osób i decydujesz, czy zgłosić naruszenie do Prezesa UODO i czy zawiadomić kontrahentów. Fakturownia sama oceniła ryzyko dla danych, którymi administruje, jako wysokie, i wskazała, że może to być punkt odniesienia.

Termin 72 godzin i zgłoszenie wstępne

Termin na zgłoszenie naruszenia do UODO biegnie od momentu, w którym administrator je stwierdził. Fakturownia, powołując się na wytyczne EROD, przypomniała, że zwykle następuje to wtedy, gdy informuje go podmiot przetwarzający. Jeśli jednak wcześniej miałeś wystarczającą pewność co do incydentu, na przykład z komunikatu z 29 września, termin mógł zacząć biec wcześniej.

Nie musisz czekać na pełne dane. Zgłoszenie można złożyć etapami: najpierw wstępne, na podstawie zawiadomienia od dostawcy, a później je uzupełnić. Fakturownia zapowiedziała panel na koncie z kategoriami danych, zakresami dat, liczbą rekordów, imienną listą osób z proponowaną kategorią ryzyka i szkicem zgłoszenia do UODO.

Lista kontrolna dla użytkowników Fakturowni

1. Zapisz datę i godzinę otrzymania zawiadomienia w dokumentacji naruszeń.
2. Oceń ryzyko dla swoich kontrahentów, zwłaszcza osób fizycznych, i zdecyduj o zgłoszeniu do UODO. W razie wątpliwości złóż zgłoszenie wstępne.
3. Zmień hasło do konta i wszędzie tam, gdzie używałeś takiego samego lub podobnego. Firma zapowiedziała wymuszenie zmiany haseł.
4. Włącz uwierzytelnianie dwuskładnikowe i sprawdź listę osób z dostępem do konta.
5. Zweryfikuj numer rachunku bankowego na fakturach, czy nikt go nie podmienił.
6. Wymień klucze API, jeśli łączyłeś Fakturownię z innymi systemami, np. sklepem.
7. Uprzedź zespół o phishingu. Fakturownia podkreśla, że jej wiadomości nie mają załączników, nie wymagają logowania i nie proszą o hasła, kody ani dane kart.

Szerszy wniosek

Ta sprawa dobrze pokazuje, jak wygląda podział ról w praktyce. Dostawca oprogramowania zgłosił naruszenie do UODO, powiadomił CERT Polska i Policję oraz zawiadomił swoich klientów. Ale decyzji za tysiące firm, które wpisały do systemu dane swoich kontrahentów, podjąć nie może. Każda z nich musi samodzielnie ocenić, czy wyciek danych z faktur stwarza ryzyko dla osób, którym te faktury wystawiała, i udokumentować swoją decyzję, nawet jeśli uzna, że zgłoszenie nie jest potrzebne.

Każde narzędzie, któremu powierzasz dane klientów, to Twój podmiot przetwarzający: program do faktur, system mailingowy, CRM, a także skrypty analityczne i reklamowe na stronie. Warto mieć ich listę, umowy powierzenia i plan, co robić, gdy któryś z nich zawiedzie. Wyciek u dostawcy nie jest zdarzeniem, które Cię nie dotyczy, tylko sytuacją, w której musisz działać szybko.

Źródło: Niebezpiecznik

wyciek danychFakturownianaruszenie RODOpodmiot przetwarzającyUODO