Włamanie do Fakturowni: unieważnione tokeny API i ryzyko phishingu dla firm

Użytkownicy Fakturowni, popularnego serwisu do wystawiania faktur, dostali e-maile o unieważnieniu wszystkich tokenów API. Według doniesień medialnych serwis padł ofiarą włamania, a mogły zostać ujawnione dane użytkowników i ich kontrahentów. Sprawa dotyczy przede wszystkim firm i jednoosobowych działalności korzystających z Fakturowni, szczególnie tych z integracjami przez API (sklep internetowy, księgowość, CRM), oraz odbiorców ich faktur, którzy mogą stać się celem phishingu.

Stan na 12 października 2026.

Co się dzieje

CERT Orange Polska zamieścił na swojej stronie wpis „Włamanie do Fakturowni. Jak zabezpieczyć konto i uważać na phishing”. Wskazuje on, że 29 września 2026 część przedsiębiorców dostała wiadomości o unieważnieniu wszystkich tokenów API. Media branżowe i gospodarcze opisują sprawę jako nieuprawniony dostęp do serwerów serwisu. Według tytułów publikacji mogły zostać ujawnione dane kont, kontrahentów i faktur, a w jednym z nagłówków pojawia się informacja o 6 TB dokumentów i o grupie określanej jako „Fingerprint”. Te szczegóły pochodzą z doniesień medialnych i nie zostały potwierdzone w źródle pierwotnym.

Kogo dotyczy

• Użytkownicy Fakturowni – każda firma lub działalność, która ma tam konto, w tym wystawiająca faktury dla klientów.
• Firmy z integracjami API – sklepy internetowe, systemy księgowe i CRM, które łączą się z Fakturownią tokenem. Po unieważnieniu tokenów takie integracje mogą przestać działać, dopóki nie zostaną skonfigurowane na nowo.
• Kontrahenci i klienci – osoby, których dane znajdują się na fakturach i w kartotekach, oraz odbiorcy dokumentów, do których mogą trafiać fałszywe wiadomości.

Liczbę dotkniętych podmiotów podają media (mowa o ponad 600 tys. firm korzystających z serwisu), ale to liczba użytkowników platformy, a nie potwierdzona liczba osób, których dane wyciekły.

Szczegóły: co wiadomo, a czego nie

To nie jest klasyczna podatność z numerem CVE. Dostępne źródła nie podają identyfikatora CVE, oceny CVSS ani informacji o wykorzystywanej luce w oprogramowaniu, więc nie możemy ich tu przywołać. Nie ma też wpisu w katalogu KEV związanego z tą sprawą.

Nie wiemy jeszcze:

• jakie dokładnie dane wyciekły (konta, faktury, dane kontrahentów, tokeny, rachunki bankowe),
• kiedy dostawca wykrył włamanie,
• czy CERT Polska lub UODO wydały własne komunikaty.

Opinie o przyczynach włamania („jak prawdopodobnie doszło”) pojawiają się w mediach jako hipotezy – nie traktuj ich jako ustaleń.

Dlaczego tokeny API to ważny element sprawy

Token API działa jak hasło dla programu: pozwala odczytywać i tworzyć dane bez logowania przez człowieka. Jeśli token wycieknie, osoba nieuprawniona może pobierać dane lub działać w imieniu konta. Unieważnienie tokenów jest więc rozsądnym środkiem ostrożności, ale oznacza dla firm pracę: wygenerowanie nowych i podmianę w każdej integracji.

Phishing jako drugi etap

Dane faktur i kontrahentów są cenne dla oszustów. Mogą posłużyć do wiarygodnych wiadomości: „zaległa faktura”, „zmiana numeru rachunku”, „potwierdź dane do płatności”. CERT Orange zwraca uwagę właśnie na ryzyko phishingu po tym zdarzeniu. Wiadomość, która zna twojego kontrahenta i kwotę, wcale nie musi być prawdziwa.

Co zrobić dziś

1. Sprawdź komunikaty dostawcy. Wejdź do Fakturowni bezpośrednio (wpisując adres ręcznie lub z zakładki, nie z maila) i przeczytaj oficjalną informację dla użytkowników. Uważaj na e-maile o „unieważnieniu tokenów” – fałszywe wiadomości mogą się pod nie podszywać.
2. Zmień hasło do konta Fakturowni oraz wszędzie tam, gdzie używasz tego samego hasła. Włącz uwierzytelnianie dwuskładnikowe, jeśli serwis je oferuje.
3. Wygeneruj nowe tokeny API i podmień je w integracjach. Zapisz, gdzie token był używany (sklep, księgowość, CRM, skrypty), żeby niczego nie pominąć.
4. Przejrzyj logi i aktywność konta: nietypowe logowania, eksporty danych, wystawione lub zmienione dokumenty, zmiany danych bankowych.
5. Uprzedź zespół księgowości i sprzedaży, że w najbliższym czasie mogą dostawać wiarygodnie wyglądające fałszywe faktury i prośby o zmianę rachunku. Wprowadź zasadę weryfikacji zmian rachunku drugim kanałem (telefon na znany numer).
6. Zachowaj dowody: maile od dostawcy, zrzuty ekranu, logi. Przydadzą się do oceny naruszenia.
7. Nie klikaj w linki i załączniki z wiadomości dotyczących wycieku. Podejrzane wiadomości możesz zgłaszać do CERT Polska.

Obowiązki zgłoszeniowe

Włamanie do dostawcy usługi nie zwalnia cię z oceny sytuacji we własnej firmie. Ogólne zasady są następujące:

• RODO, art. 33. Jeśli jesteś administratorem danych (np. dane twoich klientów znajdują się w Fakturowni) i doszło do naruszenia ochrony danych osobowych, co do zasady zgłaszasz je Prezesowi UODO bez zbędnej zwłoki, jeśli to możliwe w ciągu 72 godzin od stwierdzenia naruszenia – chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób. Dostawca działający jako podmiot przetwarzający powinien zawiadomić administratora o naruszeniu. Termin liczy się od momentu, gdy dowiedziałeś się o naruszeniu, więc ważne jest, kiedy i jakim kanałem dostałeś informację od dostawcy.
• Dokumentowanie. Nawet jeśli uznasz, że zgłoszenie nie jest wymagane, naruszenie należy odnotować w wewnętrznym rejestrze, razem z uzasadnieniem oceny ryzyka.
• Powiadomienie osób. Gdy ryzyko jest wysokie, może być potrzebne zawiadomienie osób, których dane dotyczą.
• KSC. Jeśli jesteś podmiotem kluczowym lub ważnym w rozumieniu krajowego systemu cyberbezpieczeństwa, sprawdź, czy zdarzenie spełnia kryteria incydentu podlegającego zgłoszeniu do właściwego CSIRT. Szczegóły terminów i kryteriów należy zweryfikować w aktualnych przepisach. Kontekst znajdziesz w artykule Po 3 października 2026 r.: wykaz KSC, kary i co dalej.

Jak ocenić, czy zdarzenie jest naruszeniem danych, omawiamy w tekście Kiedy incydent jest naruszeniem danych osobowych?. Ten artykuł nie jest poradą prawną w konkretnej sprawie.

Inne podatności z ostatnich dni

Dla porządku: CISA dodała 2 października 2026 do katalogu znanych wykorzystywanych podatności (KEV) dwie luki w Zammad – CVE-2026-102489 (Session Fixation) i CVE-2026-102490 (Improper Privilege Management). Jeśli używasz Zammad jako systemu zgłoszeń, sprawdź w komunikacie CISA i u producenta, których wersji dotyczą luki i jaka poprawka jest dostępna. Media branżowe opisują też wykorzystywane podatności w NetScaler i Cisco Catalyst SD-WAN Manager; te informacje nie zostały jeszcze zweryfikowane w źródłach pierwotnych, więc przed działaniem sprawdź biuletyny producentów. Nie są one powiązane z incydentem Fakturowni.

Co zrobić

1. Sprawdź oficjalny komunikat Fakturowni i zapisz datę oraz sposób, w jaki dowiedziałeś się o incydencie.
2. Zmień hasło, włącz uwierzytelnianie dwuskładnikowe i wygeneruj nowe tokeny API; zaktualizuj wszystkie integracje.
3. Przejrzyj aktywność na koncie i w powiązanych systemach pod kątem nieautoryzowanych operacji.
4. Zbadaj, jakie dane osobowe (klientów, kontrahentów, pracowników) przechowujesz w Fakturowni, i oceń ryzyko dla osób.
5. Zdecyduj o zgłoszeniu do UODO (art. 33 RODO) i o zawiadomieniu osób; odnotuj decyzję w rejestrze naruszeń.
6. Jeśli podlegasz KSC, sprawdź obowiązek zgłoszenia incydentu do właściwego CSIRT.
7. Ostrzeż zespół przed phishingiem i wprowadź weryfikację zmian rachunków bankowych dwoma kanałami.
8. Przejrzyj umowę powierzenia z dostawcą i ustal, jakie informacje oraz wsparcie jest zobowiązany ci przekazać.

Synergia Analytic pomaga we wdrożeniu takich działań (audyt, pełnomocnik SZBI, IOD) – jeśli potrzebujesz wsparcia, umów konsultację.

Źródła

• CERT Orange Polska – informacja o włamaniu do Fakturowni i unieważnieniu tokenów API – cert.orange.pl
• PurePC – Fakturownia potwierdza nieuprawniony dostęp do serwerów – purepc.pl
• Zaufana Trzecia Strona – włamanie do Fakturownia.pl – zaufanatrzeciastrona.pl
• Pełnomocnik Cyber – włamanie do Fakturowni i możliwy wyciek danych – pelnomocnikcyber.pl
• Payload – Włamanie do Fakturowni: jak zabezpieczyć konto i uważać na phishing – spolecznosc.payload.pl
• Cyberscope – Fakturownia.pl zhakowana, co z tym zrobić – cyberscope.pl
• CISA – dwie podatności w Zammad dodane do katalogu KEV – cisa.gov