Wyciek z Fakturowni: co zrobić i jak ostrzec kontrahentów

Fałszywa faktura z nowym numerem konta, która w październiku przyjdzie od stałego dostawcy, może mieć właściwą kwotę, nazwę firmy, z którą współpracujesz od lat, i dotyczyć płatności, której naprawdę jeszcze nie zrobiłeś. Po wycieku z Fakturowni oszuści mogą mieć takie dane pod ręką. Serwis do wystawiania faktur wykrył włamanie 28 września 2026 roku, a 1 października potwierdził, że sprawca skopiował dużą część bazy danych i incydent dotyczy każdego konta. Od 6 października zawiadomienia wysyłają też klienci Fakturowni, w tym byli, jak sieć ładowarek GreenWay i Gdański Archipelag Kultury, bo archiwalne faktury zostały w serwisie.

Co wyciekło z Fakturowni, a czego nie pobrano

Stan na 10 października 2026. Według aktualizacji komunikatu Fakturowni z 1 października osoba nieuprawniona miała dostęp do systemów od 27 września ok. 3:20 do 28 września ok. 17:45. W tym czasie skopiowała dużą część bazy danych na własne serwery. Incydent dotyczy każdego konta, ale zakres zależy od tego, kiedy dane trafiły do systemu. W największych zbiorach pobieranie szło od najstarszych rekordów i zostało przerwane, zanim doszło do nowszych. Daty graniczne firma ustaliła z dzienników bazy i zastrzega, że mogą się różnić o kilkanaście dni.

Nie pobrano certyfikatów KSeF, danych kontrahentów dodanych od 16 października 2024 roku ani, poza grupą ok. 2 250 kont, pełnej treści nowszych faktur. Przy fakturach od 22 marca 2021 roku sprawca nie dostał nazwy nabywcy ani numeru dokumentu. Danych logowania do banków i danych kart Fakturownia w ogóle nie przechowuje. Ministerstwo Finansów w komunikacie z 29 września podało, że zdarzenie nie dotyczy danych w Krajowym Systemie e-Faktur. Według Fakturowni skopiowane dane nie zostały dotąd upublicznione, a firma monitoruje to razem z CERT Polska.

Jak doszło do włamania i co mówi sprawca

Pierwszy komunikat z 29 września był ostrożniejszy. Mówił o danych, które “mogły” wyciec, i o fakturach sprzed 2023 roku. 30 września CTO Fakturowni Paweł Charyło odpowiedział na pytania Niebezpiecznika. Jako wektor ataku wskazał podatność w szablonach faktur, a potem lukę w bibliotece do generowania plików PDF. Przez nią sprawca zdobył klucz do podpisywania sesji, a z nim dostęp do serwera. Firma unieważniła aktywne sesje, ograniczyła działanie starych kluczy API i zapewnia, że nikt nie żądał okupu.

Część informacji w obiegu pochodzi od samego sprawcy. Serwis Zaufana Trzecia Strona dostał od niego zrzuty ekranu i opis ataku. Sprawca twierdzi, że pobrał 6 TB faktur, czego redakcja nie była w stanie zweryfikować. Tak samo traktujemy jego relację o technice włamania.

Zawiadomienia e-mail: jak odróżnić prawdziwe od fałszywych

Od 1 października od 15:50 Fakturownia wysyła indywidualne zawiadomienia do właścicieli i użytkowników kont. Przychodzą wyłącznie z domeny fakturownia.pl, nie mają załączników i nie wymagają logowania. Prawdziwe zawiadomienie nie prosi o hasła, kody weryfikacyjne, kody BLIK ani dane kart. Wiadomość, która o to prosi, trzeba traktować jak próbę oszustwa. Jeśli zawiadomienie nie dotarło, warto zajrzeć do spamu, a jego treść pojawi się też po zalogowaniu. Na koncie właściciela ma się pojawić panel z kategoriami danych, zakresami dat i liczbą rekordów. Firma uruchomiła infolinię w sprawie incydentu: +48 22 398 77 71, w dni robocze od 9 do 17.

Druga fala zawiadomień: piszą firmy, które wystawiały ci faktury

Zawiadomienie o wycieku z Fakturowni może przyjść od sieci ładowarek, domu kultury albo urzędu gminy. Wynika to z podziału ról w RODO. Dla danych nabywców wpisanych do konta administratorem jest firma, która wystawiła fakturę, a Fakturownia tylko przetwarza je w jej imieniu. To firma ocenia ryzyko, zgłasza naruszenie do UODO i, gdy ryzyko jest wysokie, zawiadamia osoby, których dane dotyczą.

Część piszących od dawna nie korzysta z programu. Gdański Archipelag Kultury (GAK) w komunikacie z 8 października nazywa Fakturownię byłym dostawcą, z którego korzystał do 31 marca 2026 roku. GreenWay według zawiadomienia, które cytuje iMagazine, przestał używać Fakturowni pod koniec 2023 roku. Archiwalne faktury mimo zakończenia współpracy zostały jednak w serwisie. iMagazine wiąże to z obowiązkiem wieloletniego przechowywania dokumentacji księgowej. W największych zbiorach pobieranie szło od najstarszych rekordów, więc stare faktury trafiły do wycieku w szerszym zakresie niż nowe.

Lista nie jest pełna. Z Fakturowni korzystały tysiące firm, więc zawiadomienia mogą nadal przychodzić od kolejnych firm i instytucji. Przy wysokim ryzyku trzeba zawiadomić osobę, której dane dotyczą. Gdy firma nie ma jej adresu e-mail, “Rzeczpospolita” wskazuje list pocztą. GAK powołuje się na Fakturownię, według której skopiowane dane nie zostały dotąd nigdzie upublicznione. Żaden z tych komunikatów nie podaje liczby osób.

Co zrobić po zawiadomieniu od firmy, z którą rozliczałeś się przez Fakturownię

• Sprawdź wiadomość innym kanałem. Wejdź na stronę firmy, wpisując adres samodzielnie, i porównaj komunikat. Numer telefonu bierz z tej strony, a nie z treści e-maila. GAK podaje, że w sprawie płatności pisze wyłącznie z adresów w domenie gak.gda.pl.
• Nie płać faktury ani wezwania z nowym numerem konta, dopóki nie potwierdzisz zmiany innym kanałem. GAK wprost ostrzega przed fakturą “wyglądającą jak nasza, ale z podmienionym kontem bankowym”. Według iMagazine GreenWay nie zmienił swojego rachunku.
• Spodziewaj się SMS-ów i telefonów, jeśli w zakresie był numer telefonu. U GreenWay był. Oszust wie wtedy, że masz samochód elektryczny i ile płaciłeś za ładowanie. iMagazine przewiduje SMS-y o “zaległości za sesję ładowania” z groźbą blokady karty RFID, czyli zbliżeniowej karty do uruchamiania ładowarki, i linkiem do fałszywej płatności. Podejrzane SMS-y przesyłaj do CERT Polska na numer 8080.
• Nie podawaj haseł, kodów BLIK, kodów SMS ani danych karty. Prawdziwe zawiadomienie o ich nie prosi. Linków i załączników z nieoczekiwanych wiadomości o płatnościach nie otwieraj.
• Zapytaj o swoje dane. Jeśli nie wiesz, co dokładnie wyciekło, napisz do inspektora ochrony danych firmy, która cię zawiadomiła. Płońsk podaje adres iod@plonsk.pl, GAK sekretariat@gak.gda.pl. PESEL warto zastrzec, jeśli był na fakturach, co opisujemy w pytaniach na końcu tekstu.

Jeśli sam prowadzisz firmę i kiedyś wystawiałeś faktury w Fakturowni, a konto nadal istniało, stare faktury też są w zakresie wycieku. Ocena ryzyka i decyzja o zgłoszeniu do UODO należą wtedy do ciebie, tak samo jak przy obecnych klientach. Opisujemy to niżej, w sekcji o UODO.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.

Zacznij Pierwszą Misję →

Co zrobić po wycieku z Fakturowni: lista kontrolna na dziś

Kroki są ułożone tak, żeby najpierw odciąć dostęp do konta, a potem sprawdzić, czy ktoś zdążył coś w nim zmienić. Zajmują zwykle kilkanaście minut. Gdzie to możliwe, opieramy się na zaleceniach samej firmy.

Hasło, poczta i sesje

1. Zmień hasło do Fakturowni. Ustaw nowe, którego nie używasz nigdzie indziej. Hasła były zapisane jako skróty, ale firma sama przyznaje, że proste hasło da się ze skrótu odtworzyć. Jeśli to samo hasło działało w innych serwisach, zmień je także tam. CTO firmy zapowiedział w odpowiedziach dla Niebezpiecznika wymuszenie zmiany haseł u wszystkich, ale nie ma powodu na to czekać. Najprościej trzymać takie hasła w menedżerze haseł.
2. Zmień hasło do skrzynki e-mail, na którą założone jest konto. Kto przejmie pocztę, ten zresetuje hasła do reszty usług.
3. Włącz weryfikację dwuetapową w Fakturowni i w poczcie. Firma zaleca to wprost i ma instrukcję w swojej bazie wiedzy.
4. Wyloguj wszystkie sesje. Skradziony identyfikator sesji może działać jak zalogowana przeglądarka. Według CTO firma unieważniła już wszystkie aktywne sesje, więc ten krok jest dodatkowym zabezpieczeniem. Jeśli w ustawieniach konta nie widzisz opcji zamknięcia innych sesji, zapytaj o to pomoc techniczną Fakturowni.

Numer rachunku, użytkownicy i integracje

1. Sprawdź numer rachunku w danych firmy i na szablonach faktur. Porównaj go cyfra po cyfrze z umową banku albo z aplikacją bankową. Sprawdź też dokumenty, które program wystawia automatycznie, jeśli z tego korzystasz.
2. Przejrzyj listę użytkowników konta. Usuń osoby, których nie znasz, i dostępy, które nie są już potrzebne, na przykład po byłym pracowniku.
3. Wymień klucze API w systemach, które łączą się z Fakturownią: sklepie, CRM, n8n, Zapierze czy arkuszu. Stare klucze działają już tylko z dotychczasowych adresów IP, ale sprawca je skopiował. Przy integracji zewnętrznego dostawcy najpierw ustal z nim termin wymiany. Integracji z zakładki “Integracje i dodatki” incydent według firmy nie objął.
4. KSeF. Według Fakturowni certyfikaty KSeF nie zostały pobrane, a według ministerstwa incydent nie dotyczył danych w KSeF. Jak nadawać i odbierać uprawnienia w systemie, opisaliśmy w tekście o KSeF dla jednoosobowych firm.

Co powiedzieć kontrahentom: oszustwo na zmianę numeru konta

Sprawca skopiował dane kontrahentów dodanych przed 16 października 2024 roku oraz kwoty z faktur z całego okresu, łącznie z tym, ile zostało do zapłaty. Fakturownia ostrzega wprost, że oszuści “znają kwoty i wiedzą, które faktury są nieopłacone”. Takie dane pozwalają przygotować wiadomość, która wygląda jak dalszy ciąg prawdziwej korespondencji. Może to być “korekta faktury” z innym rachunkiem, przypomnienie o zaległej płatności albo informacja o zmianie banku.

Działa to w obie strony. Twoi klienci mogą dostać fałszywą fakturę podpisaną twoją firmą, a ty możesz dostać taką od swoich dostawców, jeśli także korzystają z Fakturowni. Firma ostrzega też przed telefonami “z banku”, “z urzędu” i “z Fakturowni” oraz przed pilną prośbą o przelew “od przełożonego”. Taką prośbę potwierdza się innym kanałem, a podejrzane SMS-y można przesłać do CERT Polska na numer 8080. Jak rozpoznać fałszywy e-mail, opisujemy w przewodniku phishing: co to jest i jak go rozpoznać. Jak oszust podmienia numer, żeby połączenie wyglądało na telefon z banku, wyjaśniamy w tekście o spoofingu telefonicznym.

Wzór wiadomości do kontrahentów

Wyślij ją ze swojego zwykłego adresu, bez linków i załączników:

Dzień dobry, korzystamy z programu Fakturownia, z którego pod koniec września skopiowano część danych, w tym dane kontrahentów i kwoty z faktur. Mogły się wśród nich znaleźć Państwa dane. Nasz numer rachunku się nie zmienił i nie planujemy go zmieniać. Jeśli dostaną Państwo wiadomość o nowym numerze konta, korekcie faktury z innym rachunkiem albo pilnej dopłacie, prosimy o telefon pod znany Państwu numer przed wykonaniem przelewu.

Fakturownia zapowiedziała też własny wzór zawiadomienia na stronie komunikatu.

Jak sprawdzić, do kogo należy numer konta

Pierwsza zasada pochodzi z komunikatu Fakturowni: prośbę o zmianę rachunku potwierdzasz telefonicznie, pod numerem, który już znasz. Numer podany w podejrzanym e-mailu odpada.

Drugi sposób działa przy firmach zarejestrowanych jako podatnicy VAT. W wykazie podatników VAT Ministerstwa Finansów, zwanym białą listą, wyszukasz podmiot także po numerze konta. Jeśli numeru z faktury nie ma w wykazie przy danych tej firmy, wstrzymaj przelew i zadzwoń. Wykaz nie pomoże przy kontrahencie, który nie jest zarejestrowany jako podatnik VAT.

Czy firma korzystająca z Fakturowni musi zgłosić wyciek do UODO

Regulamin Fakturowni opisuje ją jako podmiot, któremu klient powierza przetwarzanie danych osobowych. Aktualizacja komunikatu mówi to samo wprost: dla danych kontrahentów i innych osób wprowadzonych do konta administratorem jest klient. To on ocenia ryzyko i decyduje o zgłoszeniu. Biuro rachunkowe wystawiające faktury w imieniu klientów może mieć inną rolę, zależną od umowy. RODO obejmuje przy tym tylko osoby fizyczne: jednoosobowe działalności, osoby kontaktowe w firmach i klientów indywidualnych.

Od kiedy liczyć 72 godziny

E-mail “Zawiadomienie o naruszeniu ochrony danych osobowych”, wysyłany od 1 października, jest według firmy formalnym zgłoszeniem naruszenia administratorowi (art. 33 ust. 2 RODO). Termin 72 godzin na zgłoszenie do Prezesa UODO biegnie od chwili, w której administrator dowiedział się o naruszeniu z dostateczną pewnością. Fakturownia, powołując się na wytyczne EROD 9/2022, wskazuje, że zwykle jest to moment odebrania tego e-maila. Przy wiadomości odebranej 1 października po południu termin upływał więc 4 października po południu. Kto go nie dotrzymał, nadal musi zgłosić naruszenie, wyjaśniając przyczynę opóźnienia. Kto wiedział wcześniej, na przykład z komunikatu z 29 września, mógł zacząć liczyć wcześniej. Godzinę odbioru warto zapisać w dokumentacji naruszenia.

Na panel ze szczegółami nie trzeba czekać. Można złożyć zgłoszenie wstępne na podstawie e-maila i uzupełnić je później. Zgłoszenie po terminie nadal jest wymagane, trzeba w nim tylko wyjaśnić przyczynę opóźnienia. Właściciele kont, z których skopiowano dane kontrahentów, widzą po zalogowaniu przycisk “Przygotuj zgłoszenie do UODO” z częściowo wypełnionym formularzem.

Ocena ryzyka i zawiadomienie osób

Zgłoszenia nie trzeba składać tylko wtedy, gdy ryzyko dla praw lub wolności osób jest mało prawdopodobne. Taką ocenę trzeba umieć uzasadnić i udokumentować, co wynika też z poradnika UODO o naruszeniach. Dla danych, których administratorem jest sama Fakturownia, firma oceniła ryzyko jako wysokie i podaje to jako punkt odniesienia. Osobny obowiązek dotyczy zawiadomienia samych osób (art. 34 RODO). Według Fakturowni chodzi o tych, dla których ryzyko jest wysokie, na przykład gdy na fakturach był PESEL, prywatny numer rachunku albo dane pozwalające wnioskować o zdrowiu. Kontrahentom-firmom można przekazać zwykłe ostrzeżenie, takie jak wzór wyżej. Osobno trzeba jednak ocenić ryzyko dla osób fizycznych w tych relacjach, na przykład jednoosobowych działalności.

Aktualizacja 5 października 2026: UODO opublikował komunikat, który wiąże z incydentami w bazach kontrahentów i systemach fakturowych. Według urzędu zgłoszenie zwykle nie jest potrzebne, gdy wyciekły wyłącznie dane jawne w CEIDG: imię i nazwisko przedsiębiorcy, nazwa firmy, NIP i adres działalności. Ryzyko “zapewne wystąpi” natomiast przy numerze PESEL, danych wskazujących na zdrowie i informacjach finansowych, w tym przy ryzyku fałszywych faktur. Z Fakturowni pobrano kwoty z faktur i dane kontrahentów z numerami rachunków, więc w naszej ocenie dla większości kont komunikat nie zwalnia ze zgłoszenia. Kto zgłoszenia nie składa, musi udokumentować ocenę ryzyka i wpisać jej uzasadnienie do rejestru naruszeń. Kategorie danych zebraliśmy w tabeli w tekście kiedy wyciek z programu do faktur trzeba zgłosić do UODO.

Przy wycieku z MyDr do UODO wpłynęło do połowy września ponad 2 tys. zawiadomień od administratorów, czyli od placówek korzystających z oprogramowania. Mechanizm opisaliśmy szerzej w tekście wyciek u dostawcy, zegar 72 godzin biegnie tobie. Przy wątpliwościach warto zapytać inspektora ochrony danych albo prawnika.

Fakturownia po MyDr i Medycu: dlaczego celem są dostawcy oprogramowania

Według Zaufanej Trzeciej Strony za atakiem stoi ten sam sprawca, który włamał się do dwóch serwisów medycznych, MyDr i Medyc. Przy MyDr UODO mówi o danych 19 milionów Polaków, przy Medycu o możliwych danych nawet pięciu milionów. “Rzeczpospolita” napisała 2 października, powołując się na swoje źródło, że sprawca przedstawia się jako “etyczny haker”, a analizy sugerują, że może to być ktoś z Polski. To na razie nieoficjalne ustalenia.

Wzór ataków się powtarza. Jedno włamanie do polskiego dostawcy oprogramowania w chmurze daje dostęp do danych tysięcy firm i ich klientów naraz. Dla małej firmy wniosek jest prosty: bezpieczeństwo danych jej kontrahentów zależy w dużej części od wybranego programu. O weryfikację dwuetapową, powiadomienia o incydentach i umowę powierzenia warto więc pytać już przy wyborze dostawcy. Na początku października incydent z 29 września potwierdził też serwis turystyczny, o czym piszemy w tekście o wycieku z Wakacje.pl. Co pacjenci mogli zrobić po wycieku z MyDr, opisywaliśmy w sierpniu.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy wyciek z Fakturowni dotyczy KSeF?

Według Fakturowni certyfikaty KSeF nie zostały pobrane. Ministerstwo Finansów podało 29 września, że zdarzenie nie dotyczy danych w Krajowym Systemie e-Faktur i nie stwierdzono naruszenia bezpieczeństwa systemu. Faktury wysłane do KSeF przechowuje system ministerstwa.

Czy po wycieku z Fakturowni trzeba zastrzec PESEL?

PESEL nie jest osobną kategorią na liście pobranych danych, a faktury zwykle go nie zawierają. Jeśli jednak wystawiałeś faktury osobom prywatnym z numerem PESEL, Fakturownia zaleca tym osobom zastrzeżenie numeru i rozważenie alertów BIK. Co zastrzeżenie realnie blokuje, wyjaśniamy w tekście o zastrzeżeniu PESEL. Czy twój adres e-mail albo telefon był w innych wyciekach, sprawdzisz w serwisie Bezpieczne Dane.

Dostałem zawiadomienie o wycieku z Fakturowni od firmy, z której usług już nie korzystam. Czy jest prawdziwe?

Może być. GreenWay i Gdański Archipelag Kultury piszą do klientów sprzed lat, bo archiwalne faktury zostały w Fakturowni po zakończeniu współpracy. Prawdziwość sprawdzisz na stronie firmy, otwartej z samodzielnie wpisanego adresu, albo pod numerem telefonu z tej strony. Wiadomość, która prosi o hasło, dane karty, kod BLIK albo dopłatę, nie jest zawiadomieniem, tylko próbą oszustwa.

Podsumowanie

Fakturownia potwierdziła 1 października, że sprawca skopiował dużą część bazy danych i incydent dotyczy każdego konta. Dane firmy, numery rachunków, skróty haseł, klucze API i kwoty ze wszystkich faktur pobrano w całości, dane kontrahentów do października 2024 roku, a pełną treść faktur do marca 2021 roku, z wyjątkiem ok. 2 250 kont, z których wzięto więcej. Certyfikaty KSeF, dane kart i dane logowania do banków są poza wyciekiem. Na koncie warto dziś zmienić hasło do serwisu i poczty, włączyć weryfikację dwuetapową, sprawdzić numer rachunku i listę użytkowników oraz wymienić klucze API w podpiętych systemach. Fałszywe faktury to jedno z głównych ryzyk, więc warto ostrzec kontrahentów. Firma jako administrator danych kontrahentów ocenia też, czy zgłosić naruszenie do UODO, licząc 72 godziny zwykle od e-maila z 1 października. Od 6 października zawiadomienia wysyłają też klienci Fakturowni, także byli, jak GreenWay. Każdą prośbę o płatność warto wtedy sprawdzić innym kanałem.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.