Fakturownia.pl, один із найпопулярніших польських сервісів для виставлення рахунків і ведення бухгалтерії, яким користуються понад 600 тис. підприємців, повідомила 29 вересня 2026 року про виявлення несанкціонованого доступу до своїх серверів. Відповідальність взяв на себе хакер під псевдонімом “Fingerprint”, той самий, хто раніше викрадав дані з медичних платформ MyDr і Medyc.pl. Він стверджує, що завантажив 6 терабайт рахунків, але видання Zaufana Trzecia Strona, яке першим розповіло про інцидент, не змогло підтвердити цю цифру. Про подію повідомили поліції, CERT Polska, Центральному бюро боротьби з кіберзлочинністю та голові Управління захисту персональних даних, а ситуацію публічно прокоментував вице-прем’єр і міністр цифровізації Кшиштоф Гавковскі.

Які дані могли витекти

Згідно з повідомленням Fakturowni, несанкціонований доступ міг стосуватися даних облікових записів усіх користувачів сервісу, включно з хешами паролів, токенами сесій, API та інтеграцій, номерами банківських рахунків, інформацією про платежі, а також ключами й системними паролями самого застосунку. Інцидент також охопив дані контрагентів клієнтів Fakturowni та частину інформації, зафіксованої на рахунках, виставлених до 2023 року. Хакер передав редакції скриншоти, які мають показувати доступ до серверу застосунку, списку клієнтів і експортованих даних з бази, а метод злому описав як використання вразливості time-based blind SQL injection для викрадення головного ключа застосунку, написаного на Ruby. Однак цей опис походить виключно від самого зловмисника і не підтверджений Fakturownią.

Що безпечно і чого інцидент не стосується

Fakturownia запевняє, що рахунки, виставлені після 2023 року, витоком не зачеплені, так само як дані платіжних карток і дані, що зберігаються в інтеграціях з іншими системами, а з серверів нічого не видалено. Особливо важливо для клієнтів, які використовують Національну систему електронних рахунків KSeF, те, що Міністерство фінансів 29 вересня підтвердило, що інцидент не стосувався сертифікатів KSeF і даних, що зберігаються в самій системі міністерства. Fakturownia є зовнішнім постачальником програмного забезпечення, який може підключатися до KSeF, але дані в застосунку Fakturowni і дані в державній системі це два окремі набори.

Що робити, якщо ви користуєтеся Fakturownią

Fakturownia радить змінити пароль від облікового запису та від електронної пошти, прив’язаної до цього запису, а якщо той самий пароль використовувався на інших сервісах, змінити його і там. Варто увімкнути двофакторну автентифікацію, якщо платформа це дозволяє, а також перевірити список людей з доступом до облікового запису компанії та номери банківських рахунків, вказані на ваших рахунках. Тим, хто веде фізичну особу підприємця, варто особливо уважно ставитися до повідомлень, дзвінків і СМС, що видають себе за Fakturownię, банк, державну установу, курʼєрську службу або партнера по бізнесу, особливо якщо в них згадуються реальні деталі минулої угоди і просять змінити банківський рахунок для оплати рахунку. Витік даних контрагентів це саме те, що полегшує підготовку переконливого шахрайства, незалежно від правил розрахунку самого VAT, якого стосуються ці рахунки.

Правовий статус на 1 жовтня 2026 року. Про інцидент повідомили голові Управління захисту персональних даних відповідно до обов’язку повідомлення про порушення за ст. 33 GDPR. На цю дату повний масштаб витоку, включно із заявленою зловмисником цифрою 6 ТБ рахунків, не був незалежно підтверджений ні компанією, ні незалежними дослідниками безпеки, ні державними органами.

Автор: Валерій Кушнірський, юрист-практик у команді MojaFirma.