Poważny incydent bezpieczeństwa w Fakturownia.pl – masowy wyciek danych
W dniach 27-28 września 2026 r. doszło do poważnego włamania do popularnego systemu księgowego Fakturownia.pl. Osoba nieuprawniona uzyskała dostęp do infrastruktury i skopiowała znaczną część bazy danych na własne serwery. Naruszenie dotyczy wszystkich kont założonych w systemie.
Co dokładnie wyciekło?
Zakres skradzionych informacji jest bardzo szeroki, choć zależy od daty wprowadzenia danych. W ręce atakujących trafiły m.in.:
Dane firm, użytkowników i kontrahentów (nazwy, NIP, adresy, e-maile, telefony). Baza kontrahentów dotyczy wpisów przed 16.10.2024.
Zaszyfrowane hasła użytkowników.
Tokeny API i klucze integracji przypisane do konta.
Pełna treść faktur wystawionych do 22.03.2021 r.
Kwoty, waluty i pola opisowe z faktur ze wszystkich okresów.
Baza produktów, cenniki i eksporty danych.
Salda rachunków bankowych (jeśli aktywna była usługa pobierania wyciągów).
Czego nie skradziono? Bezpieczne pozostały certyfikaty KSeF, dane kart płatniczych, dane logowania do banków (Fakturownia ich nie przechowuje) oraz pełna treść faktur wystawionych po 22 marca 2021 roku (poza wymienionymi wyżej danymi fragmentarycznymi).
Co musisz zrobić natychmiast?
Każdy użytkownik systemu powinien natychmiast wdrożyć procedury naprawcze:
Zmień hasło do Fakturowni oraz we wszystkich innych miejscach, jeśli było ono używane wielokrotnie.
Wygeneruj i podmień klucze API we wszystkich systemach zintegrowanych z Fakturownią.
Zachowaj maksymalną czujność przy płatnościach – przestępcy dysponują prawdziwymi kwotami i danymi o fakturach. Każdą prośbę o zmianę rachunku bankowego weryfikuj telefonicznie u kontrahenta.
Uważaj na ukierunkowany phishing (maile, SMS-y) podszywający się pod banki, urzędy i samą Fakturownię.
Reakcja platformy
Fakturownia po wykryciu ataku zablokowała dostęp intruzowi, przeniosła system na nowe serwery zbudowane od zera i wymusiła wymianę tokenów API klientów (nowe działają tylko z dotychczasowych adresów IP). Incydent został zgłoszony do UODO, CERT Polska oraz Centralnego Biura Zwalczania Cyberprzestępczości (CBZC). Od 1 października 2026 r. trwa rozsyłanie indywidualnych powiadomień do użytkowników platformy.
