Wyciek danych z Fakturownia.pl – co zrobić i na co uważać?

Jeżeli korzystasz z Fakturownia.pl, warto poświęcić kilka minut na zabezpieczenie konta i sprawdzenie, czy incydent może dotyczyć również danych Twoich klientów lub kontrahentów.

28 września 2026 roku Fakturownia poinformowała o naruszeniu ochrony danych osobowych. Osoba nieuprawniona uzyskała dostęp do systemów serwisu i skopiowała część znajdujących się tam danych.

Nie oznacza to jednak, że każdy użytkownik powinien teraz wpadać w panikę, masowo informować wszystkich kontrahentów albo automatycznie wysyłać zgłoszenie do UODO.

Najpierw trzeba ustalić, jakie dane rzeczywiście mogły zostać pobrane i jakie ryzyko z tego wynika.

W tym artykule wyjaśniamy, co wiadomo o incydencie, co warto zrobić od razu i kiedy sprawa może mieć znaczenie również z punktu widzenia RODO.

Co wydarzyło się w Fakturowni?

Według informacji przekazanych przez Fakturownię osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dane z bazy na własne serwery.

Nieuprawniony dostęp trwał od około godziny 3:20 dnia 27 września 2026 roku do około godziny 17:45 dnia 28 września.

Luka została usunięta 28 września o godzinie 18:01.

Fakturownia określa zdarzenie jako naruszenie poufności danych, ponieważ dane zostały skopiowane.

To ważne rozróżnienie: nie mamy tutaj informacji o zaszyfrowaniu systemów czy usunięciu dokumentów, lecz o uzyskaniu przez osobę nieuprawnioną dostępu do informacji znajdujących się w bazie.

Jakie dane mogły zostać pobrane?

Zakres jest dość szeroki i zależy od tego, z jakich funkcji Fakturowni korzystała dana firma.

Wśród danych objętych incydentem mogły znaleźć się między innymi:

• nazwa firmy,

• NIP,

• adres firmy,

• imiona i nazwiska użytkowników,

• adresy e-mail,

• numery telefonów,

• numery rachunków bankowych,

• IBAN i SWIFT,

• zaszyfrowane skróty haseł użytkowników,

• tokeny API,

• klucze integracji,

• identyfikatory sesji,

• informacje o kwotach faktur,

• informacje o płatnościach,

• część danych kontrahentów,

• część danych znajdujących się na fakturach,

• dane dotyczące produktów i cenników,

• część danych pochodzących z importów i eksportów.

Fakturownia wskazuje przy tym różne zakresy czasowe dla poszczególnych kategorii danych.

Przykładowo dane kontrahentów mogły dotyczyć rekordów dodanych przed 16 października 2024 roku, natomiast pełna treść faktur została objęta incydentem w przypadku dokumentów wystawionych przed 22 marca 2021 roku.

To oznacza, że nie każdy użytkownik Fakturowni został dotknięty w dokładnie taki sam sposób.

Czego według Fakturowni nie pobrano?

Według informacji przekazanych przez serwis nie zostały pobrane między innymi:

• certyfikaty KSeF,

• dane logowania do banków,

• dane kart płatniczych,

• określone dane przechowywane w ramach integracji,

• dane kontrahentów dodanych od 16 października 2024 roku.

Fakturownia informuje również, że dla faktur wystawionych od 22 marca 2021 roku nie pobrano ich pełnej treści, poza określonymi informacjami, takimi jak kwoty czy dodatkowe pola.

Co powinieneś zrobić, jeżeli korzystasz z Fakturowni?

Niektóre działania warto wykonać niezależnie od tego, czy na Twoim koncie znajdowało się kilka faktur, czy kilka tysięcy dokumentów.

1. Zmień hasło do Fakturowni

To pierwszy i najprostszy krok.

Fakturownia informuje, że pobrane zostały skróty haseł użytkowników. Hasła nie były przechowywane jawnie, ale mimo tego ich zmiana jest właściwym działaniem po takim incydencie.

Jeżeli tego samego hasła używasz również w innym serwisie, zmień je także tam.

A na przyszłość najlepiej przyjąć prostą zasadę:

jedno konto = jedno unikalne hasło.

W praktyce najlepiej korzystać z menedżera haseł.

2. Sprawdź użytkowników swojego konta

Po zalogowaniu warto przejrzeć listę użytkowników i ich uprawnienia.

Sprawdź przede wszystkim:

• czy rozpoznajesz wszystkie konta,

• czy adresy e-mail są prawidłowe,

• czy nikt nie otrzymał dodatkowych uprawnień,

• czy ustawienia konta nie zostały zmienione,

• czy numery rachunków znajdujące się na fakturach są poprawne.

Nie chodzi o to, aby zakładać, że ktoś przejął konto.

Po prostu po incydencie bezpieczeństwa warto zrobić taki przegląd.

3. Korzystasz z API lub integracji? Sprawdź klucze

To szczególnie ważne dla sklepów internetowych, systemów ERP, CRM i innych aplikacji połączonych z Fakturownią.

Wśród danych objętych incydentem mogły znajdować się tokeny API i klucze integracji zapisane w ustawieniach konta.

Jeżeli korzystasz z takich połączeń, sprawdź ich konfigurację i zastosuj aktualne zalecenia Fakturowni dotyczące wymiany kluczy.

Największe ryzyko? 

W praktyce jednym z największych zagrożeń może być teraz phishing i oszustwa związane z płatnościami.

Dlaczego?

Bo wiadomość od oszusta może wyglądać dużo bardziej wiarygodnie niż typowy spam.

Przestępca może dysponować informacjami dotyczącymi:

• Twojej firmy,

• kontrahenta,

• wysokości faktury,

• płatności,

• rachunku bankowego,

• adresu e-mail,

• wcześniejszych relacji biznesowych.

Możesz więc otrzymać wiadomość wyglądającą mniej więcej tak:

„Informujemy o zmianie rachunku bankowego. Prosimy o płatność faktury na nowy numer konta.”

I problem polega na tym, że część informacji w takiej wiadomości może być prawdziwa.

Zmiana numeru rachunku? Najpierw telefon

To chyba najważniejsza praktyczna zasada po tym incydencie.

Jeżeli kontrahent prosi Cię e-mailem o zmianę numeru rachunku bankowego:

nie wykonuj przelewu tylko na podstawie wiadomości.

Zadzwoń do niego i potwierdź zmianę.

Co istotne — skorzystaj z numeru telefonu, który już wcześniej znałeś, znajduje się na oficjalnej stronie firmy albo w poprzedniej korespondencji.

Nie korzystaj wyłącznie z numeru podanego w podejrzanej wiadomości.

Fakturownia sama wskazuje ryzyko fałszywych faktur, wezwań do zapłaty i prób przekierowania płatności na inny rachunek.

Poinformuj księgowość i osoby wykonujące przelewy

Jeżeli w Twojej firmie płatności realizuje ktoś inny, przekaż mu informację o incydencie.

Może to być:

• księgowość,

• sekretariat,

• dział zakupów,

• pracownik administracyjny,

• wspólnik,

• osoba odpowiedzialna za płatności.

Warto przynajmniej przez najbliższy czas przyjąć zasadę:

zmiana rachunku kontrahenta wymaga dodatkowego potwierdzenia.

Jedna krótka rozmowa telefoniczna może ochronić firmę przed znacznie większym problemem.

Uważaj na wiadomości dotyczące samego wycieku

Każdy większy incydent bezpieczeństwa szybko staje się również pretekstem do kolejnych ataków.

Możemy więc spodziewać się wiadomości typu:

• „Sprawdź, czy Twoje dane wyciekły”,

• „Twoje konto zostało zablokowane”,

• „Zaloguj się, aby zabezpieczyć konto”,

• „Potwierdź dane po cyberataku”,

• „Kliknij tutaj, aby sprawdzić zakres wycieku”.

Fakturownia informuje, że wiadomości dotyczące incydentu nie wymagają podawania haseł, kodów BLIK, danych kart ani innych danych uwierzytelniających.

Najbezpieczniejsza metoda?

Jeżeli otrzymujesz wiadomość dotyczącą konta, nie korzystaj z zawartego w niej linku.

Samodzielnie wpisz adres Fakturowni w przeglądarce i sprawdź informacje po zalogowaniu.

A co z RODO?

To część, wokół której łatwo stworzyć niepotrzebną panikę.

Warto więc uporządkować temat.

Czy mając bazę kontrahentów w Fakturowni jesteś administratorem ich danych?

Jeżeli przechowujesz w Fakturowni dane osobowe swoich klientów lub kontrahentów, to co do zasady Twoja firma pozostaje ich administratorem.

Fakturownia jest w takim przypadku podmiotem, któremu powierzono przetwarzanie danych.

Sama Fakturownia wskazuje w swoim komunikacie dwa przypadki:

• dane konta i użytkowników — administratorem jest Fakturownia,

• dane kontrahentów i innych osób wprowadzone przez klienta — administratorem jest właściciel konta.

Ale to nie oznacza, że każdy rekord znajdujący się w bazie automatycznie oznacza poważne naruszenie RODO.

Dane firmy nie zawsze są danymi osobowymi

Warto rozróżnić dwie sytuacje.

Jeżeli kontrahentem jest spółka, a w systemie znajdują się np.:

• nazwa spółki,

• NIP,

• adres siedziby,

• firmowy numer rachunku,

to taki zestaw danych nie musi w ogóle stanowić danych osobowych konkretnej osoby fizycznej.

Inaczej może być w przypadku:

• jednoosobowej działalności gospodarczej,

• imienia i nazwiska przedsiębiorcy,

• imiennego adresu e-mail,

• prywatnego numeru telefonu,

• danych pracownika kontrahenta.

Dlatego nie można wszystkich wpisów w bazie kontrahentów traktować identycznie.

Czy trzeba teraz zgłaszać naruszenie do UODO?

Nie automatycznie.

I to jest jedna z najważniejszych informacji dla firm korzystających z Fakturowni.

Sam fakt wystąpienia naruszenia u dostawcy oprogramowania nie oznacza, że każdy jego klient musi natychmiast wysyłać zgłoszenie do Prezesa UODO.

Najpierw należy ustalić:

• czy naruszenie dotyczyło danych osobowych, za które odpowiada Twoja firma,

• jakie były to dane,

• ilu osób dotyczą,

• jakie mogą być skutki ich wykorzystania,

• jakie jest prawdopodobieństwo wystąpienia negatywnych konsekwencji.

Dopiero na tej podstawie można ocenić ryzyko.

Jeżeli jest mało prawdopodobne, aby naruszenie powodowało ryzyko naruszenia praw lub wolności osób fizycznych, zgłoszenie do UODO nie jest wymagane.

Warto natomiast udokumentować sam incydent i przeprowadzoną ocenę.

Czy trzeba poinformować wszystkich kontrahentów?

Również nie automatycznie.

Obowiązek bezpośredniego zawiadomienia osoby pojawia się przy wyższym poziomie zagrożenia — gdy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności.

Nie ma więc podstaw, aby po prostu wysłać wiadomość o wycieku do całej bazy kontrahentów „na wszelki wypadek”.

Najpierw należy ocenić konkretną sytuację.

„Ale przecież dane firmy są publiczne”

To argument, który w wielu przypadkach rzeczywiście ma znaczenie przy ocenie ryzyka.

Nazwa firmy, NIP czy adres działalności mogą być dostępne publicznie np. w CEIDG lub KRS.

Sam fakt ujawnienia informacji dostępnej już publicznie zazwyczaj będzie miał inne znaczenie niż ujawnienie danych, które wcześniej publiczne nie były.

Trzeba jednak zwrócić uwagę na coś jeszcze:

liczy się nie tylko pojedyncza informacja, ale również zestawienie danych.

Jest różnica pomiędzy informacją:

„Jan Kowalski prowadzi działalność gospodarczą pod takim adresem”

a zestawem:

„Jan Kowalski jest klientem firmy X, otrzymał fakturę na określoną kwotę, część należności nie została jeszcze zapłacona, korzysta z konkretnego rachunku i kontaktuje się pod określonym adresem e-mail”.

W drugim przypadku łatwiej przygotować wiarygodną próbę oszustwa.

Dlatego każdy przypadek powinien być oceniany indywidualnie.

Co zrobić od strony RODO?

Najrozsądniejsza kolejność wygląda następująco:

1. Zachowaj informację otrzymaną od Fakturowni.

2. Zapisz datę i godzinę, kiedy dowiedziałeś się o incydencie.

3. Sprawdź, jakie dane z Twojego konta zostały objęte naruszeniem.

4. Ustal, czy wśród nich znajdują się dane osobowe.

5. Oceń możliwe konsekwencje dla osób, których dane dotyczą.

6. Udokumentuj swoją ocenę.

7. Dopiero wtedy zdecyduj, czy występuje obowiązek zgłoszenia naruszenia do UODO.

8. Jeżeli ryzyko jest wysokie, oceń również konieczność zawiadomienia osób, których dane dotyczą.

Fakturownia zapowiedziała udostępnienie użytkownikom informacji dotyczących zakresu danych pobranych z konkretnych kont, co powinno znacznie ułatwić taką analizę.

Nie panikuj. Zabezpiecz konto i zachowaj czujność

Incydent w Fakturowni jest poważny, ale reakcja również powinna być rozsądna.

Nie ma potrzeby:

• automatycznie informować wszystkich klientów,

• wysyłać zgłoszenia do UODO bez wcześniejszej analizy,

• zakładać, że każde konto zostało przejęte.

Są natomiast działania, które warto wykonać od razu:

• zmienić hasło,

• sprawdzić użytkowników konta,

• zweryfikować integracje i API,

• poinformować osoby odpowiedzialne za przelewy,

• dokładniej sprawdzać zmiany numerów rachunków,

• uważać na phishing,

• ustalić zakres danych objętych incydentem,

• udokumentować sytuację od strony RODO.

Najważniejszy wniosek

W takich incydentach często niebezpieczny jest nie sam fakt, że ktoś poznał nazwę firmy czy NIP.

Znacznie większym zagrożeniem może być możliwość połączenia wielu prawdziwych informacji w jeden wiarygodny scenariusz oszustwa.

Dlatego przez najbliższy czas warto szczególnie uważać na:

• fałszywe faktury,

• wezwania do zapłaty,

• informacje o zmianie rachunku bankowego,

• wiadomości podszywające się pod Fakturownię,

• telefony „z banku” lub „z urzędu”,

• wiadomości zawierające prawdziwe dane dotyczące Twojej firmy.

Jeżeli coś wygląda nietypowo — zweryfikuj to drugim kanałem komunikacji.

W cyberbezpieczeństwie kilka dodatkowych sekund na sprawdzenie wiadomości często wystarcza, aby uniknąć znacznie większego problemu.

Tworzymy strony internetowe i sklepy WooCommerce, ale bezpieczeństwo strony i danych traktujemy jako część całego wdrożenia, a nie dodatkową opcję.

Jeżeli prowadzisz firmę, takie incydenty są dobrym momentem, aby sprawdzić również własne zabezpieczenia: hasła, konta administratorów, kopie zapasowe, integracje, aktualizacje oraz procedury reagowania na incydenty.