Hakerski atak na Fakturownię ujawnia kolejne konsekwencje. Z popularnego systemu do wystawiania faktur korzysta m.in. polska sieć ekskluzywnych cukierni Deseo, która właśnie poinformowała klientów, że podczas włamania do Fakturownia.pl doszło do skopiowania części danych. Firma podała, że nieuprawniony dostęp miał miejsce w dniach 27–28 września 2026 r.

Fakturownia to jeden z najpopularniejszych w Polsce serwisów do obsługi faktur – obsługuje ponad 600 tys. klientów w kraju i za granicą. Atak potwierdził publicznie wicepremier i minister cyfryzacji Krzysztof Gawkowski. Z ustaleń cytowanych przez bankier.pl wynika, że sprawca wykorzystał lukę w systemie, a wśród przejętych danych znalazły się starsze faktury sprzed 2023 r., hasła w formie skrótów, numery bankowe, dane o płatnościach oraz klucze i hasła wykorzystywane w systemie.

Deseo: jakie dane mogły wyciec?

Sieć cukierni przekazała, że Fakturownia poinformowała ją, iż incydent objął również dane powierzone do przetwarzania. Naruszenie mogło zatem dotyczyć danych klientów Deseo, w tym imion i nazwisk lub nazw firm, adresów, numerów NIP oraz informacji znajdujących się na wystawionych dokumentach sprzedażowych. Chodzi o numery i daty dokumentów, kwoty, terminy i sposoby płatności. Deseo zaznacza, że dane zostały skopiowane, ale nie zmodyfikowane w systemie.

KSeF poza zasięgiem

Dla firm rozliczających się elektronicznie kluczowa jest deklaracja Ministerstwa Finansów: nie doszło do naruszenia integracji z Krajowym Systemem e-Faktur. Fakturownia zapewnia też, że incydent nie objął danych pochodzących z integracji, dodatków ani certyfikatów KSeF. Nad wyjaśnieniem zdarzenia pracuje serwis razem z zewnętrznymi specjalistami od bezpieczeństwa.

Co robić po wycieku?

Dla przedsiębiorców to ryzyko poważniejsze niż zwykły wyciek adresów e-mail – w rękach przestępców mogły znaleźć się dane pozwalające podszywać się pod firmy i podmieniać rachunki na fakturach. Fakturownia rozesłała klientom instrukcję postępowania. Serwis zaleca natychmiastową zmianę hasła do konta, a także do skrzynki e-mail i innych serwisów, w których używane było to samo hasło. Warto włączyć weryfikację dwustopniową i przejrzeć ustawienia konta. Podejrzane wiadomości można zgłaszać do CERT Polska pod numerem 8080.

Przedsiębiorcy powinni przede wszystkim weryfikować numery rachunków bankowych na fakturach. Podmiana numeru konta w dokumencie to najprostszy sposób monetyzacji takiego wycieku. Firma przestrzega też przed wiadomościami wyłudzającymi hasła, kody weryfikacyjne, kody BLIK i dane kart.

Deseo radzi klientom

Deseo odradza wykonywanie płatności na zmieniony numer rachunku wyłącznie na podstawie wiadomości e-mail; taką zmianę należy potwierdzić innym, znanym wcześniej kanałem kontaktu. Sieć prosi też, by nie podawać haseł, kodów autoryzacyjnych, kodów BLIK ani danych kart płatniczych w odpowiedzi na niespodziewane wiadomości, a także dokładnie sprawdzać nadawcę, linki i załączniki. Deseo zaleca również szczególną ostrożność wobec e-maili, SMS-ów i telefonów wykorzystujących dane.

Firma podkreśla, że pozyskane dane mogą zostać wykorzystane do podszywania się pod Deseo, Fakturownię lub inne podmioty, kierowania wiadomości phishingowych oraz prób wyłudzenia dodatkowych informacji albo pieniędzy.

Śledztwo i kontekst

Według informacji od Fakturowni udało się odciąć nieuprawniony dostęp, wymienić klucze i zabezpieczenia systemowe, a działanie serwisu przeniesiono na nowe serwery. Incydent został zgłoszony prezesowi Urzędu Ochrony Danych Osobowych, CERT Polska i policji. Sprawą zajmują się CERT Polska, Centralne Biuro Zwalczania Cyberprzestępczości oraz prezes UODO. Wicepremier Gawkowski zapewnił, że sprawcy są ścigani i poniosą surowe konsekwencje, a wsparcie państwowych instytucji działa całodobowo.

To kolejny głośny atak na polskie usługi cyfrowe. Bankier.pl zwraca uwagę, że za włamaniem do Fakturowni mogą stać ci sami sprawcy, którzy wcześniej zaatakowali systemy medyczne MyDr i Medyc. W tamtych przypadkach chodziło o dane odpowiednio ok. 19 mln i ok. 5 mln osób.

Deseo informuje, że analizuje zakres incydentu i ocenia ryzyko dla osób, których dane dotyczą. Firma weryfikuje też informacje przekazane przez Fakturownię i podejmuje działania wymagane przepisami o ochronie danych osobowych.