Fakturownia.pl, jeden z najpopularniejszych polskich serwisów do wystawiania faktur i prowadzenia księgowości, z którego korzysta ponad 600 tys. przedsiębiorców, poinformowała 29 września 2026 roku o wykryciu nieuprawnionego dostępu do swoich serwerów. Do incydentu przyznał się haker podpisujący się jako „Fingerprint”, ten sam, który wcześniej wykradł dane z platform medycznych MyDr i Medyc.pl. Twierdzi, że pobrał 6 terabajtów faktur, ale serwis Zaufana Trzecia Strona, który pierwszy opisał sprawę, nie był w stanie tej liczby zweryfikować. Sprawę zgłoszono policji, CERT Polska, Centralnemu Biuru Zwalczania Cyberprzestępczości oraz Prezesowi Urzędu Ochrony Danych Osobowych, a incydent skomentował wicepremier i minister cyfryzacji Krzysztof Gawkowski.

Jakie dane mogły wyciekć

Według komunikatu Fakturowni nieuprawniony dostęp mógł obejmować dane kont wszystkich użytkowników serwisu, w tym skróty haseł, tokeny sesji, API i integracji, numery rachunków bankowych, informacje o płatnościach oraz klucze i hasła systemowe samej aplikacji. Incydent objął też dane kontrahentów klientów Fakturowni oraz część informacji zapisanych na fakturach wystawionych przed 2023 rokiem. Haker przekazał redakcji zrzuty ekranu, które mają pokazywać dostęp do serwera aplikacyjnego, listy klientów i wyeksportowanych danych z bazy, a swoją metodę włamania opisał jako wykorzystanie podatności typu time-based blind SQL injection do wykradzenia głównego klucza aplikacji napisanej w Ruby. Ten opis pochodzi jednak wyłącznie od samego sprawcy i nie został potwierdzony przez Fakturownię.

Co jest bezpieczne a czego nie dotyczy incydent

Fakturownia zapewnia, że faktury wystawione po 2023 roku nie zostały objęte wyciekiem, podobnie jak dane kart płatniczych i dane przechowywane w integracjach z innymi systemami. Z serwerów niczego nie usunięto. Szczególnie ważne dla klientów korzystających z Krajowego Systemu e-Faktur jest to, że Ministerstwo Finansów potwierdziło 29 września, że incydent nie objął certyfikatów KSeF ani danych przechowywanych w samym systemie resortu. Fakturownia jest zewnętrznym dostawcą oprogramowania, który może się z KSeF łączyć, ale dane w aplikacji Fakturowni i dane w państwowym systemie to dwa odrębne zbiory.

Co powinieneś zrobić, jeśli korzystasz z Fakturowni

Fakturownia zaleca zmianę hasła do konta oraz do skrzynki e-mail powiązanej z kontem, a jeśli to samo hasło było używane w innych serwisach, zmianę go również tam. Warto włączyć uwierzytelnianie dwuskładnikowe, jeśli platforma je udostępnia, oraz sprawdzić listę osób z dostępem do firmy i numery rachunków bankowych umieszczane na fakturach. Prowadzącym jednoosobową działalność gospodarczą szczególnie zalecamy czujność na wiadomości, telefony i SMS-y podszywające się pod Fakturownię, bank, urząd, firmę kurierską lub kontrahenta, zwłaszcza gdy zawierają prawdziwe dane wcześniejszej transakcji i proszą o zmianę numeru rachunku do zapłaty faktury. Taki wyciek danych kontrahentów jest dokładnie tym, co ułatwia przygotowanie przekonującego oszustwa, niezależnie od zasad rozliczania samego podatku VAT, którego te faktury dotyczą.

Stan prawny na dzień 1 października 2026. Incydent zgłoszono Prezesowi Urzędu Ochrony Danych Osobowych zgodnie z obowiązkiem wynikającym z art. 33 RODO. Pełna skala wycieku, w tym liczba 6 TB faktur podawana przez sprawcę, nie została na ten dzień niezależnie zweryfikowana przez firmę, niezależnych badaczy bezpieczeństwa ani organy państwowe.

Autor: Walery Kusznirski, prawnik-praktyk w zespole MojaFirma.