Fakturownia.pl, один из самых популярных польских сервисов для выставления счетов и ведения бухгалтерии, которым пользуются более 600 тыс. предпринимателей, сообщила 29 сентября 2026 года об обнаружении несанкционированного доступа к своим серверам. Ответственность взял на себя хакер под псевдонимом «Fingerprint», тот же, кто ранее похитил данные с медицинских платформ MyDr и Medyc.pl. Он утверждает, что скачал 6 терабайт счетов, но издание Zaufana Trzecia Strona, первым рассказавшее об инциденте, не смогло подтвердить эту цифру. О происшествии сообщили полиции, CERT Polska, Центральному бюро по борьбе с киберпреступностью и председателю Управления по защите персональных данных, а ситуацию публично прокомментировал вице-премьер и министр цифровизации Кшиштоф Гавковски.

Какие данные могли утечь

Согласно сообщению Fakturowni, несанкционированный доступ мог затронуть данные аккаунтов всех пользователей сервиса, включая хеши паролей, токены сессий, API и интеграций, номера банковских счетов, информацию о платежах, а также ключи и системные пароли самого приложения. Инцидент также затронул данные контрагентов клиентов Fakturowni и часть информации, зафиксированной на счетах, выставленных до 2023 года. Хакер передал редакции скриншоты, которые должны показывать доступ к серверу приложения, списку клиентов и экспортированным данным из базы, а метод взлома описал как использование уязвимости time-based blind SQL injection для кражи главного ключа приложения, написанного на Ruby. Однако это описание исходит исключительно от самого злоумышленника и не подтверждено Fakturownią.

Что безопасно и чего инцидент не касается

Fakturownia заверяет, что счета, выставленные после 2023 года, утечкой не затронуты, равно как и данные платежных карт и данные, хранящиеся в интеграциях с другими системами, а с серверов ничего не удалено. Особенно важно для клиентов, использующих Национальную систему электронных счетов KSeF, то, что Министерство финансов 29 сентября подтвердило, что инцидент не затронул сертификаты KSeF и данные, хранящиеся в самой системе министерства. Fakturownia является внешним поставщиком программного обеспечения, который может подключаться к KSeF, но данные в приложении Fakturowni и данные в государственной системе это два отдельных набора.

Что делать, если вы пользуетесь Fakturownią

Fakturownia рекомендует сменить пароль от аккаунта и от электронной почты, привязанной к этому аккаунту, а если тот же пароль использовался на других сервисах, сменить его и там. Стоит включить двухфакторную аутентификацию, если платформа это позволяет, а также проверить список людей с доступом к аккаунту компании и номера банковских счетов, указанные на ваших счетах. Тем, кто ведет индивидуальную предпринимательскую деятельность, стоит особенно внимательно относиться к сообщениям, звонкам и СМС, выдающим себя за Fakturownię, банк, госучреждение, курьерскую службу или партнера по бизнесу, особенно если в них упоминаются реальные детали прошлой сделки и просят сменить банковский счет для оплаты счета. Утечка данных контрагентов это именно то, что облегчает подготовку убедительного мошенничества, независимо от правил расчета самого VAT, которого касаются эти счета.

Правовой статус на 1 октября 2026 года. Инцидент был сообщен председателю Управления по защите персональных данных в соответствии с обязанностью уведомления о нарушении по ст. 33 GDPR. На эту дату полный масштаб утечки, включая заявленную злоумышленником цифру в 6 ТБ счетов, не был независимо подтвержден ни компанией, ни независимыми исследователями безопасности, ни государственными органами.

Автор: Валерий Кушнирский, юрист-практик в команде MojaFirma.