W nocy z 27 na 28 września 2026 haker znany jako „Fingerprint” włamał się do Fakturownia.pl. Platforma obsługuje ponad 600 000 kont. Okno włamania trwało 38,5 godziny — od 03:20 w sobotę do 17:45 w niedzielę.
1 października Fakturownia wysłała powiadomienia do wszystkich użytkowników. Jeśli korzystasz z platformy — czytaj dalej.
Kim jest „Fingerprint” i dlaczego to istotne?
Nie chodzi o przypadkowego hackera testującego swoje umiejętności. „Fingerprint” to ten sam aktor, który stoi za dwoma głośnymi wyciekami w sektorze medycznym:
- MyDr — około 18 milionów rekordów
- Medyc — około 5 milionów rekordów
- Enel-Med — platforma medyczna
Wzorzec jest wyraźny: atakujący systematycznie celuje w polskie platformy SaaS przechowujące wrażliwe dane finansowe lub medyczne. Fakturownia to kolejny cel — i nie ostatni.
Jak przeprowadzono atak?
Metoda jest technicznie zaawansowana. Atak przebiegał w kilku etapach:
- Znalezienie luki w module szablonów faktur
- Exploitacja błędu w bibliotece PDF używanej do generowania dokumentów
- Wyciągnięcie klucza podpisywania sesji — co dało pełny dostęp do systemu
- Remote Code Execution (RCE) — wykonanie dowolnego kodu na serwerach platformy
38,5 godziny to długo. Na tyle długo, żeby atakujący mógł działać spokojnie, metodycznie i bez pośpiechu.
Co dokładnie wyciekło?
Skala wycieku różni się w zależności od konta:
| Dane | Zakres |
|---|---|
| Imiona, emaile, telefony | ~600 000 kont (wszyscy użytkownicy) |
| NIP, adresy firm | ~600 000 kont |
| Zahashowane hasła (solone) | ~600 000 kont |
| Numery kont bankowych | Konta z integracją bankową |
| Tokeny API do integracji | Konta korzystające z API |
| Stare faktury (sprzed 2021) | ~600 000 kont |
| Dane kontrahentów sprzed 16.10.2024 | ~600 000 kont |
| Pełny dump danych | ~2 250 kont |
Co nie wyciekło: dane KSeF, numery kart płatniczych, dane do logowania do banków.
Hasła są zahashowane z solą — to dobra wiadomość. Oznacza, że atakujący nie ma bezpośredniego dostępu do Twojego hasła w postaci tekstu. Ale ma wystarczająco dużo innych danych, żeby przeprowadzić skuteczne ataki phishingowe.
Reakcja — rząd i platforma
Incydent trafił na poziom rządowy. Wicepremier Gawkowski zabrał głos publicznie. Ministerstwo Finansów potwierdziło, że systemy KSeF nie zostały naruszone — faktury elektroniczne w systemie rządowym są bezpieczne.
Do sprawy włączyły się: CERT Polska, CBZC (Centralne Biuro Zwalczania Cyberprzestępczości) oraz UODO (Urząd Ochrony Danych Osobowych).
Oficjalny komunikat Fakturowni dostępny jest na fakturownia.pl/incydent — tam znajdziesz dokładną listę kategorii danych oraz harmonogram działań podjętych przez firmę. Liczby podane w tym artykule (600 000 kont, okno włamania 38,5h, szczegółowy harmonogram) pochodzą z tego komunikatu. Firma potwierdziła wyciek i wysłała powiadomienia do wszystkich użytkowników 1 października 2026.
6 kroków, które musisz wykonać teraz
Nie „może sprawdź”. Nie „warto rozważyć”. Zrób to dzisiaj.
1. Zmień hasło — natychmiast
Wejdź na Fakturownia.pl i zmień hasło na nowe, silne, unikalne. Nie używaj tego samego hasła nigdzie indziej. Jeśli używałeś hasła z Fakturowni w innym serwisie — zmień je też tam.
2. Odśwież wszystkie tokeny API
Jeśli masz integracje z Fakturownia przez API (n8n, Make, Baselinker, własna aplikacja) — tokeny, które wyciekły, są nadal aktywne do chwili ich ręcznego unieważnienia. Wejdź w ustawienia API Fakturowni, usuń stare tokeny, wygeneruj nowe, zaktualizuj we wszystkich integracjach.
3. Sprawdź dane bankowe w fakturach
Atakujący ma numery kont bankowych z Twoich faktur. Najpierw sprawdź, czy dane na Twoich fakturach nie zostały podmienione w bazie. Następnie — jeśli miałeś integrację bankową — monitoruj swoje rachunki pod kątem nieautoryzowanych operacji.
4. Włącz 2FA
Jeśli jeszcze nie masz dwuskładnikowego uwierzytelniania (2FA) na Fakturowni — włącz teraz. To utrudni dostęp do konta nawet jeśli ktoś ma Twoje hasło.
5. Bądź czujny na phishing
Atakujący ma Twój email, imię i NIP. To wystarczy, żeby wysłać przekonującą wiadomość „od Fakturowni” lub „od urzędu skarbowego” z prośbą o pilne działanie. Każda wiadomość z linkiem i nieoczekiwaną pilnością powinna wzbudzić podejrzenia. Weryfikuj przez oficjalną stronę, nie przez link w mailu.
6. Poinformuj swoich kontrahentów
Jeśli prowadzisz firmę i masz kontrahentów, których dane były w Fakturowni — rozważ poinformowanie ich o incydencie. Ich dane (emaile, NIP, numery kont) również mogły wyciec.
Szerszy kontekst: bezpieczeństwo SaaS finansowych w Polsce
Incydent z Fakturownia.pl to nie jednostkowe zdarzenie — to sygnał o systemowym problemie.
Polskie platformy SaaS obsługujące finanse i dane firmowe rosły dynamicznie przez ostatnią dekadę. Bezpieczeństwo często szło za wzrostem, nie przed nim. Mała firma wybierała platformę przez cenę i UX, nie przez audyt bezpieczeństwa.
Kilka wniosków, które warto wyciągnąć niezależnie od tej konkretnej sprawy:
Każda integracja to wektor ataku. Tokeny API, webhooks, połączenia z systemami płatności — każde z nich to potencjalna furtka. Audytuj regularnie, co jest podłączone i czy nadal jest potrzebne.
Hasła to ostatnia linia obrony. Menedżer haseł (Bitwarden, 1Password) + unikalne hasło per serwis + 2FA. Nie ma drogi na skróty.
Wiedz, gdzie przechowujesz wrażliwe dane. Platformy SaaS zbierają dane przy okazji — numery kont, emaile kontrahentów, historię faktur. Warto co jakiś czas przejrzeć, jakie serwisy mają dostęp do jakich danych.
Twórz kopie zapasowe. Historyczne faktury, dane kontrahentów — eksportuj regularnie do własnego, bezpiecznego miejsca. Nie polegaj wyłącznie na chmurze zewnętrznego dostawcy.
Podsumowanie
Wyciek z Fakturownia.pl to poważny incydent — 600 000 kont, 38,5 godziny włamania, zaawansowana metoda ataku. Dane, które wyciekły, wystarczą do przeprowadzenia skutecznych ataków phishingowych i kradzieży tożsamości.
Sześć kroków z tego artykułu to minimum. Zrób je dziś, nie w weekend.
Prowadzisz firmę i korzystasz z kilkunastu narzędzi SaaS? Warto przeprowadzić audyt bezpieczeństwa integracji i danych — zanim ktoś zrobi to za Ciebie. Skontaktuj się z B2B Solution i sprawdź, co można wzmocnić.
