Po wycieku z systemu fakturowego trzeba sprawdzić więcej niż hasło. W grę wchodzą również dostępy używane przez sklep internetowy lub CRM, informacje o kontrahentach oraz dane pozwalające przygotować wiarygodną prośbę o zapłatę.
Dla przedsiębiorcy najważniejsze są teraz trzy pytania: czy ktoś może nadal korzystać z dostępu do konta, czy dokumenty zawierają właściwe dane do płatności i czy pracownicy potrafią zweryfikować nietypową prośbę kontrahenta?
Odpowiedzi wymagają konkretnych czynności. Poniżej opisujemy, od czego zacząć.
Stan informacji: 30 września 2026 r.
Co wiadomo o wycieku z Fakturowni?
Fakturownia poinformowała, że 28 września wykryła nieuprawniony dostęp do serwerów wskutek wykorzystania luki w systemie. Możliwy zakres obejmuje dane kont wszystkich użytkowników, kontrahentów oraz część faktur. Firma wymienia też skróty haseł, tokeny sesji i API, rachunki bankowe oraz informacje o płatnościach. Dokładna skala naruszenia nadal jest ustalana.
Dostawca zapewnia, że incydent nie objął danych kart płatniczych ani danych przechowywanych w ramach integracji i dodatków, w tym certyfikatów KSeF. Jednocześnie wymienia tokeny generowane po stronie Fakturowni jako potencjalnie objęte naruszeniem. Certyfikat KSeF i token dostępu do Fakturowni nie są tym samym zabezpieczeniem.
Jest też niejasność dotycząca dat: komunikat wskazuje faktury sprzed 2023 roku, a następnie deklaruje brak znanego firmie wycieku faktur wystawionych po 2023 roku. Nie rozstrzyga to jednoznacznie statusu dokumentów z samego 2023 roku.
Z tych informacji nie wynika, że każdy dokument każdego klienta został skopiowany. Wynika natomiast, że warto zabezpieczyć konto i sprawdzić dostępy już teraz, zanim zakończy się ustalanie pełnego zakresu zdarzenia.
1. Zmień hasło i zabezpiecz powiązaną pocztę
Zmień hasło do Fakturowni na nowe i unikalne. Jeżeli używałeś go również w innych usługach, zmień je także tam — szczególnie w skrzynce e-mail powiązanej z kontem. Włącz uwierzytelnianie dwuskładnikowe. Takie działania zaleca również Fakturownia.
W firmie z kilkoma użytkownikami wyznacz osobę, która sprawdzi wykonanie tych działań. Wiadomość „wszyscy zmieńcie hasła” nie daje jeszcze potwierdzenia, że zrobili to pracownicy, właściciel i biuro rachunkowe.
2. Sprawdź integracje — mogą korzystać z osobnego dostępu
Jeżeli faktury wystawiają się automatycznie po zamówieniu w sklepie albo dane trafiają do innego programu, sprawą powinna zająć się osoba obsługująca tę integrację.
Token API jest kluczem pozwalającym programowi korzystać z konta. Dokumentacja Fakturowni wyjaśnia, że w wywołaniach API zastępuje on login i hasło. Dlatego nie należy zakładać, że zmiana hasła użytkownika automatycznie unieważniła również wszystkie takie klucze.
Przekaż administratorowi konkretne zadanie:
- ustalić, które tokeny dostawca już unieważnił;
- wymienić pozostałe potencjalnie ujawnione tokeny i odwołać stare;
- zaktualizować dane dostępowe w połączonych programach;
- sprawdzić, czy wystawianie i przesyłanie dokumentów ponownie działa.
Usunięcie tokenu może przerwać działanie powiązanego połączenia — dokumentacja Fakturowni opisuje takie zależności. Wymianę trzeba więc przeprowadzić świadomie, a następnie sprawdzić działanie automatyzacji.
Osobno poproś wsparcie o potwierdzenie unieważnienia wcześniejszych sesji użytkowników. Nie traktuj wylogowania jednej przeglądarki jako dowodu zakończenia wszystkich dostępów.
3. Skontroluj dane do płatności i uprawnienia
Sprawdź numer rachunku w ustawieniach firmy, na ostatnio wygenerowanych dokumentach oraz na fakturach wysłanych klientom. Porównuj go z niezależnym, zatwierdzonym źródłem — na przykład firmową bankowością.
Przejrzyj również listę użytkowników. Każde konto powinno mieć rozpoznawalnego właściciela i uzasadniony dostęp. Nieznany użytkownik lub nieoczekiwane uprawnienia wymagają wyjaśnienia.
To kontrola zapobiegawcza, a nie stwierdzenie, że podczas opisywanego incydentu podmieniono rachunki lub dodano obce konta.
Jeśli znajdziesz nieprawidłowość, zachowaj dokumenty i dostępne informacje o zmianie. Ustal, do kogo trafiły błędne dane i czy doszło do płatności. Zaangażuj osobę odpowiedzialną za system oraz księgowość; sama poprawka w ustawieniach nie rozwiąże problemu dokumentów już wysłanych odbiorcom.
4. Zmieniaj rachunek kontrahenta dopiero po niezależnym potwierdzeniu
Wyciek informacji o fakturach może ułatwić przygotowanie oszustwa z prawidłową nazwą firmy, numerem dokumentu i kwotą. To praktyczny wniosek dotyczący możliwego wykorzystania danych, nie potwierdzenie konkretnej kampanii po tym incydencie.
Mechanizm podmiany rachunku na fakturze jest znany: CERT Polska opisywał ingerencję w korespondencję biznesową i przekazywanie odbiorcom zmienionych danych do przelewu.
Dlatego warto wprowadzić jedną obowiązującą wszystkich zasadę:
Prośbę o zmianę konta do zapłaty potwierdzamy u znanej osoby, korzystając z wcześniej zweryfikowanego numeru telefonu.
Odpowiedź w tym samym wątku e-mail nie jest niezależną weryfikacją. Numer telefonu zamieszczony w podejrzanej wiadomości również nią nie jest.
Przy większych płatnościach dodaj akceptację drugiej osoby. Zanotuj, kto i kiedy potwierdził zmianę. Ta procedura ma działać także wtedy, gdy wiadomość wygląda profesjonalnie, zgadza się kwota, a nadawca powołuje się na pilny termin.
5. Uwzględnij klientów i kontrahentów, którzy nie mają konta w Fakturowni
Dane odbiorcy faktury mogą znajdować się w systemie, mimo że nigdy nie zakładał w nim konta. Dlatego zasięg problemu nie kończy się na użytkownikach aplikacji.
Jeżeli Twoja firma przechowywała tam informacje o klientach i kontrahentach, ustal, jakie dane mogły zostać objęte naruszeniem. Poproś dostawcę o informacje dotyczące Twojego konta: zakres danych, okres, którego dotyczą, oraz dostępne ustalenia. Zachowaj odpowiedź i kolejne aktualizacje.
Komunikację do klientów oprzyj na tym, co potrafisz potwierdzić. Praktyczne ostrzeżenie przed oszustwami powinno wyjaśniać, jak firma zatwierdza zmianę rachunku i jak można niezależnie zweryfikować prośbę o zapłatę.
Co warto teraz przećwiczyć z pracownikami?
W kontekście tego incydentu przydatny test phishingowy powinien przypominać sytuację z pracy księgowości, sprzedaży lub administracji. Może dotyczyć:
- korekty faktury zawierającej nowy numer rachunku;
- wiadomości od rzekomego wsparcia z prośbą o ponowne połączenie integracji;
- pilnej weryfikacji konta po naruszeniu bezpieczeństwa.
Ćwiczenie przeprowadź na fikcyjnych danych. Sprawdź, czy pracownik potwierdza nietypową prośbę innym kanałem, wie, komu ją zgłosić, i potrafi szybko poinformować o błędzie.
Wynikiem powinno być wskazanie konkretnej poprawki: brak znanego numeru do kontrahenta, niejasna ścieżka zgłoszenia albo możliwość samodzielnej zmiany rachunku bez dodatkowej akceptacji.
Zmiana hasła zabezpiecza jeden rodzaj dostępu. Wymiana tokenów porządkuje połączenia między systemami. Weryfikacja rachunku chroni decyzję o przelewie. Po tym incydencie firma potrzebuje wszystkich trzech działań.
