Wyciek Fakturownia: jakie dane wyciekły i co zrobić

Fakturownia poinformowała o nieuprawnionym dostępie do swoich systemów i skopiowaniu dużej części bazy danych. Incydent dotyczy każdego konta, choć zakres pobranych informacji zależy od rodzaju i wieku danych. Użytkownicy, ich pracownicy i kontrahenci mogą dostać wiarygodnie wyglądające e-maile, SMS-y lub telefony wykorzystujące prawdziwe dane firmy, faktury albo płatności. Nie loguj się z linku i nie zmieniaj rachunku do przelewu na podstawie samej wiadomości: otwórz Fakturownię samodzielnie, a zmianę rachunku potwierdź telefonicznie pod wcześniej znanym numerem.

Jeśli masz konto w Fakturowni, ustaw nowe hasło niezależnie od tego, czy dostałeś podejrzaną wiadomość. Jeśli używasz integracji z kluczami API, wpisz w nich nowe klucze API.

Co wiadomo o wycieku z Fakturowni

Nieuprawniony dostęp trwał od 27 września 2026 około godz. 3:20 do 28 września około godz. 17:45. Fakturownia podała, że skopiowano m.in. dane firm i użytkowników, skróty haseł — wartości używane do weryfikacji hasła zamiast przechowywania go jawnie — tokeny API, czyli klucze używane przez integracje do dostępu do konta, identyfikatory sesji, czyli oznaczenia aktywnych sesji logowania, dane kontrahentów dodanych przed 16 października 2024 oraz pełną treść faktur wystawionych przed 22 marca 2021. W bazie znajdowały się też niektóre informacje o płatnościach, kwotach i rachunkach.

Certyfikaty KSeF nie zostały pobrane. Fakturownia informuje też, że nie przechowuje danych logowania do banków ani danych kart płatniczych.

Jak może wyglądać wiadomość wykorzystująca wyciek

Źródła nie publikują jednego potwierdzonego wzoru wiadomości phishingowej po tym incydencie. Poniżej przykład pokazujący scenariusz, przed którym ostrzega Fakturownia:

Przykład: „Dzień dobry, w związku z aktualizacją danych prosimy zalogować się do Fakturowni i potwierdzić nowy rachunek do płatności: [link].”

Prawdziwe dane firmy lub kwota z faktury nie potwierdzają autentyczności takiej wiadomości. Podobny mechanizm wykorzystania skradzionych danych do uwiarygodnienia fałszywych faktur opisaliśmy przy Operation Master.

Co zdradza próbę oszustwa po wycieku

• Wiadomość rzekomo od Fakturowni przychodzi spoza domeny fakturownia.pl albo wymaga logowania z przesłanego linku. Zawiadomienia Fakturowni o incydencie nie wymagają logowania.
• Nadawca prosi o hasło, kod weryfikacyjny, kod BLIK lub dane karty. Fakturownia podaje, że jej zawiadomienia o naruszeniu o takie dane nie proszą.
• Kontrahent lub osoba podszywająca się pod niego przesyła nowy numer rachunku i naciska na szybki przelew.
• Wiadomość zawiera prawdziwe dane firmy, kontrahenta, faktury lub płatności. Po tym wycieku właśnie taki szczegół może zwiększać wiarygodność oszustwa.

Co zrobić, jeśli tylko dostałeś wiadomość

Nie używaj linku z wiadomości o logowaniu do Fakturowni ani o zmianie rachunku. Wpisz fakturownia.pl samodzielnie lub użyj zapisanej zakładki i sprawdź konto. Prośbę o zmianę rachunku potwierdź z kontrahentem telefonicznie pod numerem, którego używałeś wcześniej, nie pod numerem z wiadomości.

Podejrzany SMS prześlij bez zmian na numer 8080. Podejrzany e-mail, stronę lub incydent zgłoś przez incydent.cert.pl.

Co zrobić po kliknięciu lub podaniu danych

Jeśli wpisałeś hasło, otwórz Fakturownię samodzielnie i ustaw nowe. Jeżeli używałeś tego samego hasła do poczty lub innego serwisu, zmień je również tam i zakończ aktywne sesje. Sprawdź użytkowników konta, ustawienia logowania oraz czy uwierzytelnianie dwuskładnikowe (2FA) nadal korzysta z Twojego numeru telefonu lub aplikacji.

CERT Orange Polska, zespół bezpieczeństwa działający w Orange Polska, ostrzega, że e-maile i SMS-y wykorzystujące ten wyciek mogą zawierać złośliwe oprogramowanie albo linki prowadzące do stron wyłudzających kolejne dane. Jeśli po takiej wiadomości pobrałeś plik albo strona uruchomiła nietypowe pobieranie, przekaż urządzenie osobie odpowiedzialnej za IT lub bezpieczeństwo razem z adresem strony i godziną zdarzenia.

Co zrobić po przelewie lub podaniu kodu

Jeśli wykonałeś przelew na rachunek podany w podejrzanej wiadomości, natychmiast zadzwoń do swojego banku i zgłoś oszustwo. Zachowaj wiadomość, numer rachunku, potwierdzenie przelewu i dane kontaktu z nadawcą. Jeśli podałeś kod BLIK lub bankowy kod autoryzacyjny, natychmiast skontaktuj się z bankiem. Jeśli podałeś kod weryfikacyjny dotyczący Fakturowni lub innej usługi, zabezpiecz konto w tej usłudze. W obu przypadkach zgłoś incydent przez incydent.cert.pl.

Czego nie robić

Nie traktuj prawidłowego NIP-u, nazwiska kontrahenta, kwoty faktury ani numeru rachunku jako dowodu, że nadawca jest prawdziwy. Nie zmieniaj rachunku do płatności na podstawie e-maila lub SMS-a i nie oddzwaniaj na numer podany w tej samej wiadomości.

Jak działa ta technika?

To spear phishing: przestępca wykorzystuje konkretne dane firmy, relacji z kontrahentem lub płatności, aby dopasować wiadomość do odbiorcy i zwiększyć jej wiarygodność.