Wyciek z Fakturowni: co wiemy po tygodniu i co musi zrobić Twoja firma

Wyciek z Fakturowni to jeden z największych incydentów w polskim internecie w tym roku. Serwis do wystawiania faktur, z którego korzysta ponad 600 tysięcy klientów, potwierdził, że napastnik miał dostęp do jego serwerów. Minął tydzień. Oto, co wiemy i co powinna teraz zrobić Twoja firma.

Co się stało

Według informacji przekazanych przez firmę i opisanych przez CyberDefence24 włamanie trwało od 27 września (ok. 3:20) do 28 września (ok. 17:45). Napastnik znalazł lukę w szablonach faktur, a następnie dziurę w bibliotece generującej pliki PDF. Dzięki temu zdobył klucze, którymi serwis podpisuje sesje użytkowników. Sprawa wyszła na jaw 29 września, gdy sprawca, podpisujący się „Fingerprint”, sam skontaktował się z mediami.

Jakie dane wyciekły

Według komunikatów firmy i doniesień prasy zagrożone są:

• adresy e-mail, imiona i nazwiska, numery telefonów, identyfikatory kont,
• skróty haseł (z tzw. solą),
• dane kontrahentów i numery rachunków bankowych,
• faktury. Mowa o około 6 TB dokumentów, a dla około 2250 kont pobrano wszystkie dostępne dane z lat 2022–2026.

Nie wyciekły dane z Krajowego Systemu e-Faktur (KSeF), co potwierdziło Ministerstwo Finansów, ani dane kart płatniczych. Sprawą zajmują się CERT Polska i Centralne Biuro Zwalczania Cyberprzestępczości. Wyciek dotknął też francuski serwis VosFactures, który korzystał z Fakturowni technicznie.

Co musi zrobić Twoja firma

1. Zmień hasło do Fakturowni i do skrzynki e-mail powiązanej z kontem, zwłaszcza jeśli hasło było używane gdzie indziej.
2. Włącz logowanie dwuetapowe i sprawdź ustawienia konta, szczególnie numery rachunków bankowych na fakturach.
3. Oceń obowiązek zgłoszenia do UODO. Fakturownia przetwarzała dane w Twoim imieniu, więc to Ty, jako administrator danych kontrahentów, oceniasz ryzyko. Na zgłoszenie naruszenia RODO daje 72 godziny od stwierdzenia naruszenia. W dniach 3–4 października formularze w serwisie biznes.gov.pl działały z przerwami. Jeśli nie udało się wysłać zgłoszenia, zachowaj dowody prób.
4. Ostrzeż księgowość przed oszustwami. Prawdziwe faktury i dane kontrahentów to idealny materiał do podmiany numeru konta w „korekcie” albo w wiadomości „od dostawcy”. Każdą zmianę rachunku potwierdzaj telefonicznie, pod znanym wcześniej numerem.

Komentarz SecurHUB

Ten incydent dobrze pokazuje ryzyko łańcucha dostaw: dane Twojej firmy wyciekły, choć Twoje systemy nikt nie zaatakował. NIS2 i nowa ustawa o KSC wymagają, by oceniać bezpieczeństwo dostawców usług. W praktyce oznacza to wiedzieć, komu powierzamy dane, mieć z nim umowę powierzenia i plan na dzień, w którym to on padnie ofiarą ataku.

Pomagamy przeprowadzić ocenę naruszenia i przygotować zgłoszenie do UODO. Skontaktuj się z nami.

Źródła: CyberDefence24, dobreprogramy, RMF24, dlahandlu.pl