Włamanie do Fakturownia.pl: jakie dane mogły wyciec i co zrobić
Serwis do fakturowania online, który deklaruje ponad 600 tys. klientów, potwierdził nieuprawniony dostęp do swoich serwerów. Wyciek może dotyczyć także kontrahentów, którzy nigdy nie mieli tam konta.
Fakturownia.pl wykryła 28 września 2026 nieuprawniony dostęp do swoich serwerów. Do włamania przyznaje się sprawca podpisujący się jako „Fingerprint”. Redakcji Zaufanej Trzeciej Strony przekazał zrzuty ekranu: katalogi aplikacji, wycinek listy klientów i listę plików wyglądających na eksport bazy danych. Według doniesień ten sam sprawca stoi za wyciekami z systemów medycznych MyDr (ok. 19 mln osób) i Medyc (ok. 5 mln osób).
Część informacji pochodzi wyłącznie od hakera. Twierdzi, że ukradł 6 TB faktur, ale Zaufana Trzecia Strona zaznacza, że nie mogła tego zweryfikować. Opis metody ataku również pochodzi od niego. Według tej relacji wydobył klucz główny aplikacji, sfałszował nim ciasteczko sesji i uruchomił własny kod na serwerze.
Fakturownia w oficjalnym komunikacie podaje, że mogły wyciec:
- dane kont firm i użytkowników, w tym skróty haseł,
- tokeny sesji, które utrzymują zalogowanie, oraz tokeny API i integracji, czyli klucze do łączenia z innymi systemami,
- rachunki bankowe i dane o płatnościach,
- dane kontrahentów wszystkich klientów i część danych z faktur, prawdopodobnie do 2023 roku,
- klucze i hasła systemowe aplikacji.
Według firmy nie naruszono certyfikatów KSeF (Krajowego Systemu e-Faktur), danych kart płatniczych ani faktur wystawionych po 2023 roku. Niebezpiecznik.pl zwraca uwagę na niespójność komunikatu: firma przyznaje, że mogły wyciec tokeny sesji i API, ale unieważniła tylko tokeny API.
Fakturownia uruchomiła nowe serwery, wymienia klucze i hasła, a incydent analizuje z zewnętrznymi specjalistami. Sprawę zgłosiła do Centralnego Biura Zwalczania Cyberprzestępczości, CERT Polska i Prezesa Urzędu Ochrony Danych Osobowych. Wicepremier i minister cyfryzacji Krzysztof Gawkowski potwierdził atak i zapowiedział ściganie sprawców.
Firma i Niebezpiecznik zalecają użytkownikom zmianę hasła w Fakturowni, w skrzynce e-mail i wszędzie tam, gdzie używano tego samego hasła. Warto też włączyć weryfikację dwuetapową, czyli drugi składnik logowania, np. kod z aplikacji. Kolejne kroki to wylogowanie wszystkich sesji, wymiana kluczy API w integracjach oraz sprawdzenie numeru rachunku i listy użytkowników w ustawieniach konta.
W bazie są też dane kontrahentów, więc ostrożność dotyczy również firm bez konta w serwisie. Wiadomości i telefony podszywające się pod banki lub partnerów biznesowych, zwłaszcza z prośbą o zmianę numeru konta, trzeba sprawdzać innym kanałem. Nie należy też nikomu podawać haseł ani kodów weryfikacyjnych.