Co się stało z serwisem Fakturownia.pl?

28 września 2026 r. Fakturownia, popularny internetowy system do wystawiania faktur, wykryła nieuprawniony dostęp do swoich serwerów. Według komunikatu firmy trwał on od nocy z 27 na 28 września do popołudnia 28 września. Sprawę upubliczniono 29 września, a o incydencie poinformowano CERT Polska, policję i Prezesa UODO. Serwis deklaruje ponad 600 tysięcy klientów w Polsce i za granicą.

Temat wraca w mediach także teraz, bo firmy wciąż przechodzą przez zalecane zmiany haseł i kluczy, a eksperci ostrzegają przed oszustwami wykorzystującymi prawdziwe dane o fakturach. Dlatego zbieramy w jednym miejscu to, co potwierdzono, i to, co firma może zrobić jeszcze dziś.

Co wiemy, a czego nie wiemy

Wiemy Nie wiemy
Dane zostały skopiowane, a nie tylko wyświetlone (według relacji mediów i komunikatu firmy) Czy i gdzie dane zostaną opublikowane lub sprzedane - na razie nie odnotowano publikacji
W grę wchodzą m.in. dane kont i skróty haseł, numery rachunków, dane kontrahentów, tokeny i klucze aplikacji Dokładnej skali: pojawia się liczba 6 TB faktur, ale pochodzi od atakującego i nie została potwierdzona
Firma twierdzi, że faktury wystawione po 2023 roku i dane kart płatniczych nie zostały objęte wyciekiem Kto stoi za atakiem - powiązanie z wcześniejszymi wyciekami z systemów medycznych to doniesienia mediów, nie ustalenia służb
Ministerstwo Finansów: KSeF nie został naruszony, nie wyciekły dane z tego systemu Czy wszystkie integracje klientów zadziałają bez odnowienia tokenów

Opisanej w sieci metody ataku nie powtarzamy: nie została potwierdzona przez firmę ani niezależnych ekspertów.

Co to znaczy dla firmy?

Największe ryzyko to nie sam wyciek haseł (zapisano je jako skróty), tylko wiarygodne oszustwa. Ktoś, kto zna Twoich kontrahentów i kwoty faktur, może wysłać wiadomość „w sprawie faktury” z prośbą o przelew na zmieniony numer rachunku. Co zrobić:

  1. Zmień hasło do konta w serwisie, do powiązanej skrzynki e-mail i wszędzie, gdzie użyto tego samego hasła. Włącz uwierzytelnianie dwuskładnikowe.
  2. Wymień tokeny API w integracjach (sklep internetowy, księgowość, bank), jeśli z nich korzystasz.
  3. Sprawdź ustawienia konta: numer rachunku widoczny na fakturach i listę osób z dostępem do firmy.
  4. Zasada dla przelewów: każdą prośbę o zmianę rachunku potwierdzaj telefonicznie, pod numerem, który znasz wcześniej, nie z maila.
  5. Obowiązki wobec UODO. Fakturownia jest podmiotem przetwarzającym, a administratorem danych kontrahentów jesteś Ty. To Ty oceniasz, czy zgłosić naruszenie (zasadniczo w ciągu 72 godzin od uzyskania informacji). Serwis udostępnia przycisk do przygotowania zgłoszenia. W razie wątpliwości zapytaj inspektora ochrony danych albo prawnika.
  6. Podejrzane wiadomości przekaż CERT Polska (SMS na 8080, e-mail lub formularz na incydent.cert.pl).

Wyciek u dostawcy to też test ciągłości działania: co zrobisz, gdy przez kilka dni nie możesz wystawiać faktur albo ufać swoim danym? Szablon planu ciągłości działania ma kartę scenariusza utraty danych, kaskadę powiadamiania z wzorem komunikatu i arkusz kontaktów zewnętrznych, więc gotowy układ do wypełnienia na takie sytuacje.

Więcej: kopie zapasowe i dane firmy, plan ciągłości działania w małej firmie, jak rozpoznać fałszywe komunikaty.

Kontekst na osi czasu

To kolejna sprawa o danych w ostatnich dniach. Pisaliśmy o wycieku z eWUŚ, który dotyczy ok. 11,1 mln osób. Łączy je jedno: dane z jednego miejsca stają się paliwem dla oszustw w zupełnie innym, więc ostrożność trzeba zachować także wobec wiadomości, które brzmią, jakby pisał je ktoś, kto wszystko o nas wie.

Najczęstsze pytania

Czy mój KSeF jest zagrożony po wycieku z Fakturowni?

Według Ministerstwa Finansów nie doszło do naruszenia KSeF ani do wycieku danych z tego systemu. Firma podaje też, że certyfikaty autoryzacyjne KSeF nie zostały skopiowane. Mimo to warto sprawdzić uprawnienia i tokeny przypisane do integracji.

Skąd mam wiedzieć, czy moje konto jest objęte wyciekiem?

Firma pisze o incydencie dotyczącym kont w serwisie i informuje bezpośrednio klientów, których dane pobrano w całości. Przyjmij ostrożnie, że dotyczy to Ciebie, i wykonaj kroki z listy powyżej. Szczegóły sprawdzisz w komunikacie samego serwisu.

Czy muszę zgłaszać wyciek do UODO?

To zależy od oceny ryzyka dla osób, których dane dotyczą. Gdy ryzyko jest mało prawdopodobne, zgłoszenie nie jest wymagane, a gdy wysokie, trzeba też zawiadomić te osoby. Decyzja należy do administratora, czyli do Ciebie. Skonsultuj ją ze specjalistą.