Wyciek z Fakturowni: co musi zrobić twoja firma

Fakturownia to internetowy program do wystawiania faktur. Według Polskiego Radia 24 korzysta z niego ponad 600 tys. klientów biznesowych, a wicepremier Krzysztof Gawkowski potwierdził 29 września 2026, że serwis padł ofiarą cyberataku. Ten tekst zbiera to, co spółka podała w oficjalnym komunikacie, oraz obowiązki, jakie przepisy RODO nakładają na firmy, które trzymały w serwisie dane kontrahentów. Stan na 13 października 2026.

1. Przebieg ataku

Według Fakturowni nieuprawniony dostęp trwał od 27 września około 3:20 do 28 września około 17:45. 28 września o 13:35 spółka po raz pierwszy zablokowała adres napastnika, o 18:01 usunęła lukę w aplikacji, a wieczorem przeniosła ruch na nowe serwery zbudowane od zera, wyłączyła stare i wymieniła klucze aplikacji oraz tokeny API klientów. 29 września zgłosiła naruszenie Prezesowi UODO, a incydent CERT Polska i Policji (Centralnemu Biuru Zwalczania Cyberprzestępczości). 1 października wysłała indywidualne e-maile do właścicieli i użytkowników wszystkich kont.

Serwis Zaufana Trzecia Strona opisał relację sprawcy, który podpisuje się „Fingerprint” i według serwisu stał wcześniej za włamaniami do dwóch serwisów medycznych. Według tej relacji atak zaczął się od podatności typu SQL injection i fałszywego ciasteczka sesji. Fakturownia nie opisała publicznie technicznej przyczyny, a zapowiedź napastnika, że pobrał 6 TB faktur, nie została potwierdzona. Spółka podała, że według jej wiedzy dane nie zostały dotychczas upublicznione i że monitoruje to razem z CERT Polska.

2. Co wyciekło, a czego nie pobrano

Fakturownia pisze wprost, że incydent dotyczy każdego konta. Zakres zależy od daty, kiedy dane trafiły do systemu:

• dane firm i użytkowników kont: nazwy, NIP, adresy, e-maile i telefony,
• pełna treść faktur wystawionych przed 22 marca 2021,
• przy nowszych fakturach kwoty i pola opisowe, ale bez nazwy nabywcy i numeru faktury,
• dane kontrahentów dodanych przed 16 października 2024,
• numery rachunków bankowych i informacje o płatnościach,
• skróty haseł, tokeny API i klucze integracji.

Fakturownia zaznacza, że daty graniczne ustaliła z dzienników zapytań bazy danych i mogą się one różnić o kilkanaście dni. W większości kont pobieranie szło od najstarszych rekordów i zostało przerwane, zanim objęło nowsze. Wyjątkiem jest około 2250 kont, z których według aktualizacji komunikatu z 1 października napastnik pobrał wszystkie dane z lat od 2022 do 2026, do daty granicznej różnej dla każdego konta. Właściciele tych kont dostają osobne powiadomienia ze szczegółami. Spółka podaje też, czego napastnik nie pobrał. Są to certyfikaty KSeF, dane logowania do banków, dane kart płatniczych i dane kontrahentów dodanych od 16 października 2024.

3. Zabezpiecz konto

Według Fakturowni hasła nie były zapisane jawnie, wyciekły ich skróty. Spółka i tak zaleca ustawienie nowego hasła. Jeśli to samo lub podobne hasło działało w innych usługach, zmień je również tam. Pomoże w tym menedżer haseł, a dodatkową barierę da weryfikacja dwuetapowa.

Wyciek objął tokeny API i klucze integracji, więc w każdym sklepie internetowym, programie magazynowym czy systemie księgowym połączonym z Fakturownią trzeba wpisać nowe klucze. Spółka radzi też przejrzeć listę użytkowników i ustawienia konta, żeby wykryć zmiany, których nie robiłeś.

4. Fałszywe faktury od „znajomych” firm

Wśród pobranych danych są nazwy firm, dane kontrahentów, numery rachunków i informacje o płatnościach. Podobne dane wykorzystuje oszustwo, w którym przestępca podszywa się pod dostawcę i prosi o przelew na nowe konto. Mechanizm i przykłady takich strat opisaliśmy w tekście o fałszywej zmianie konta.

Fakturownia sama ostrzega, że oszuści mogą znać kwoty i wiedzieć, które faktury są nieopłacone. Zaleca, żeby każdą prośbę o zmianę numeru rachunku albo nietypowy przelew potwierdzać z kontrahentem pod numerem telefonu znanym wcześniej, a nie podanym w wiadomości. Radzi też sprawdzać rachunki kontrahentów na białej liście podatników VAT i numery rachunków na własnych fakturach w serwisie. Podejrzane SMS-y można przesyłać do CERT Polska na numer 8080.

5. RODO: jesteś administratorem danych kontrahentów

Komunikat rozdziela dane na dwie grupy. Za dane kont i ich użytkowników odpowiada Fakturownia. Za dane kontrahentów i innych osób, które wpisałeś do konta, odpowiadasz ty jako administrator, a Fakturownia tylko je przetwarza. E-mail od spółki jest w tym zakresie zgłoszeniem naruszenia od podmiotu przetwarzającego, o którym mówi art. 33 ust. 2 RODO.

Art. 33 ust. 1 wymaga zgłoszenia naruszenia do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości do 72 godzin od jego stwierdzenia, chyba że naruszenie raczej nie spowoduje ryzyka dla osób, których dane dotyczą. Fakturownia, powołując się na pkt 44 wytycznych EROD 9/2022, pisze, że administrator co do zasady stwierdza naruszenie wtedy, gdy poinformuje go podmiot przetwarzający. Zastrzega jednak, że termin mógł zacząć biec wcześniej, jeśli firma miała dostateczną pewność co do incydentu już z komunikatu z 29 września. Spółka zaleca zapisanie w dokumentacji daty i godziny otrzymania e-maila.

Fakturownia pisze wprost, że decyzja o zawiadomieniu kontrahentów i jej wykonanie należą do klienta jako administratora. Dla danych, których sama jest administratorem, oceniła ryzyko jako wysokie i podaje tę ocenę jako punkt odniesienia. Według strony incydentu po zalogowaniu do konta pojawia się komunikat z przyciskiem „Przygotuj zgłoszenie do UODO”.

Obowiązek dotyczy także firm, które z Fakturowni już nie korzystają, bo przepisy podatkowe wymagają przechowywania dokumentów przez lata. Według iMagazine operator ładowarek GreenWay Polska, który używał serwisu do końca 2023 roku, zgłosił naruszenie do UODO 8 października, a 9 października wysłał e-maile do klientów z lat od 2018 do 2023.

5.1. Zgłoszenie po terminie i etapami

Spóźnione zgłoszenie nadal jest możliwe. Art. 33 ust. 1 wymaga wtedy dołączenia wyjaśnienia przyczyn opóźnienia. Art. 33 ust. 4 pozwala przekazywać informacje stopniowo, a wytyczne EROD 9/2022 zalecają, żeby już w pierwszym zgłoszeniu zaznaczyć, że szczegóły zostaną uzupełnione. Fakturownia wskazuje, że zgłoszenie wstępne można oprzeć na treści jej e-maila i uzupełnić później.

5.2. Kogo to dotyczy

RODO chroni dane osób fizycznych. Motyw 14 rozporządzenia wyłącza dane osób prawnych, na przykład nazwę i formę prawną spółki. Art. 4 pkt 1 definiuje dane osobowe jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, więc obejmują one na przykład imię, nazwisko i telefon osoby kontaktowej albo klienta indywidualnego. Niezależnie od decyzji o zgłoszeniu art. 33 ust. 5 każe udokumentować każde naruszenie, a art. 34 wymaga zawiadomienia samych osób, gdy naruszenie może powodować wysokie ryzyko dla ich praw.

6. Kontakt z Fakturownią

W sprawie incydentu Fakturownia podaje telefon +48 22 398 77 71 i adres inspektora ochrony danych iod@fakturownia.pl. Aktualizacje publikuje na stronie fakturownia.pl/incydent i prosi, żeby wpisywać ten adres samodzielnie w przeglądarce. Według spółki jej wiadomości w tej sprawie nie mają załączników, nie wymagają logowania i przychodzą wyłącznie z domeny fakturownia.pl.

7. Podsumowanie

Dla firmy korzystającej z Fakturowni są trzy osobne zadania. Pierwsze to nowe hasło i nowe klucze API. Drugie to telefoniczne potwierdzanie każdej prośby o przelew na zmieniony rachunek. Trzecie to decyzja o zgłoszeniu naruszenia do UODO, którą jako administrator danych kontrahentów podejmujesz sam, także wtedy, gdy 72 godziny już minęły.