Atak hakerski na popularny system do wystawiania faktur może oznaczać dla tysięcy przedsiębiorców nie tylko problem z bezpieczeństwem danych, ale również konkretne obowiązki wynikające z RODO.
Fakturownia poinformowała, że osoba nieuprawniona uzyskała dostęp do jej systemów i skopiowała dużą część bazy danych. Incydent został stwierdzony 28 września 2026 r.
Dla przedsiębiorcy najważniejsze są jednak dwa pytania: jakie dane zostały pobrane z mojego konta i co powinienem teraz zrobić?
Nie każda firma znajduje się w takiej samej sytuacji. Zakres pobranych danych zależy m.in. od okresu korzystania z Fakturowni, dat utworzenia kontrahentów i faktur oraz funkcji używanych na konkretnym koncie.
Ma to bezpośrednie znaczenie dla obowiązków wynikających z RODO. W niektórych przypadkach wystarczy udokumentowanie i ocena incydentu. W innych może powstać obowiązek zgłoszenia naruszenia Prezesowi UODO, a przy wysokim ryzyku również poinformowania osób, których dane dotyczą.
1. Co wydarzyło się w Fakturowni?
Według komunikatu Fakturowni osoba nieuprawniona uzyskała dostęp do systemów i skopiowała dane z bazy na własne serwery. Nieuprawniony dostęp trwał od 27 września 2026 r. około godz. 3:20 do 28 września 2026 r. około godz. 17:45.
Było to naruszenie poufności danych – dane nie zostały jedynie przypadkowo wyświetlone, lecz zostały skopiowane.
Fakturownia poinformowała o usunięciu dostępu atakującego, zmianie kluczy i haseł usług, wymianie tokenów API, przeniesieniu ruchu na nowe serwery oraz zgłoszeniu incydentu do Prezesa UODO, CERT Polska i Policji.
Dla użytkowników Fakturowni istotne jest jednak to, że w zakresie danych ich kontrahentów to oni mogą pozostawać administratorami danych osobowych. Oznacza to konieczność samodzielnej oceny swoich obowiązków wynikających z RODO.
2. Jakie dane mogły zostać pobrane?
Zakres naruszenia nie jest identyczny dla każdego konta. Fakturownia wskazała różne daty graniczne dla poszczególnych kategorii informacji.
| Rodzaj danych | Zakres wskazany przez Fakturownię |
|---|---|
| Dane kontrahentów: nazwa lub imię i nazwisko, NIP, adres, e-mail, telefon, rachunek bankowy, notatki i pola własne | Kontrahenci dodani przed 16.10.2024 r. |
| Pełna treść faktur | Faktury wystawione przed 22.03.2021 r. |
| Pozycje faktur: towary, ilości i ceny | Faktury sprzed 06.06.2019 r. |
| Kwoty netto, VAT, brutto, waluta, kwota zapłacona i pozostała do zapłaty | Faktury z całego okresu |
| Dodatkowe strony i pola faktury, np. odbiorca, płatnik, uwagi | Z całego okresu, jeżeli pola były uzupełnione |
| Płatności: daty, kwoty, tytuły przelewów, nazwy i numery rachunków nadawców | W zakresie, w jakim zostały wprowadzone |
| Dane importowane z plików | W zakresie, w jakim zostały wprowadzone |
Fakturownia wskazała również, że dla faktur wystawionych od 22 marca 2021 r. co do zasady nie pobrano nazwy nabywcy ani numeru faktury.
3. Mniejszy zakres naruszenia – firma korzysta z Fakturowni od niedawna
Jeżeli przedsiębiorca rozpoczął korzystanie z Fakturowni np. w 2025 albo 2026 r., historyczne kategorie danych mogą go w dużej części nie dotyczyć.
W typowym przypadku potencjalny zakres może ograniczać się przede wszystkim do:
- kwot netto, VAT i brutto,
- waluty i informacji o stanie zapłaty,
- danych wpisanych w dodatkowych polach faktury,
- danych dotyczących płatności,
- danych z plików zaimportowanych do systemu.
Nie oznacza to jednak, że naruszenie można automatycznie uznać za nieistotne. Dane o należnościach, płatnościach i rachunkach mogą ułatwić przygotowanie wiarygodnego phishingu albo fałszywego wezwania do zapłaty.
4. Większy zakres naruszenia – starsze konto Fakturowni
Jeżeli konto było używane przed 16 października 2024 r., naruszenie mogło obejmować także dane kontrahentów, w szczególności:
- imię i nazwisko albo nazwę przedsiębiorcy,
- NIP,
- adres,
- adres e-mail i numer telefonu,
- numer rachunku bankowego,
- notatki i pola własne.
W przypadku jeszcze starszych danych zakres może być szerszy. Dla faktur sprzed 22 marca 2021 r. Fakturownia wskazała możliwość pobrania pełnej treści dokumentu, a dla faktur sprzed 6 czerwca 2019 r. również pozycji faktury.
Im więcej danych pozwala połączyć konkretną osobę z określoną płatnością, zadłużeniem, rachunkiem lub transakcją, tym poważniejszej analizy ryzyka wymaga incydent.
5. Szczególny przypadek około 2 250 kont
Sama data rozpoczęcia korzystania z Fakturowni nie zawsze wystarczy do ustalenia zakresu naruszenia.
Fakturownia poinformowała, że z około 2 250 kont pobrano wszystkie dane dostępne w systemie z lat 2022–2026 – do daty ustalanej indywidualnie dla każdego konta.
Dlatego w pierwszej kolejności należy sprawdzić indywidualny komunikat oraz Panel incydentu dostępny po zalogowaniu do Fakturowni. Informacja przypisana do konkretnego konta jest ważniejsza niż sama ogólna data założenia konta.
6. Co powinien zrobić przedsiębiorca korzystający z Fakturowni?
Proponujemy następującą kolejność:
- Zachowaj wiadomość Fakturowni i odnotuj datę oraz godzinę jej otrzymania.
- Zaloguj się do Fakturowni i sprawdź indywidualny zakres danych w Panelu incydentu.
- Ustal, czy pobrane dane dotyczą osób fizycznych.
- Oceń ryzyko wykorzystania danych np. do phishingu, oszustwa lub fałszywych płatności.
- Udokumentuj incydent w wewnętrznej dokumentacji naruszeń.
- Ustal, czy konieczne jest zgłoszenie do Prezesa UODO.
- Jeżeli występuje wysokie ryzyko – ustal, czy konieczne jest również zawiadomienie osób, których dane dotyczą.
- Zmień hasło, sprawdź użytkowników konta oraz wykorzystywane integracje i klucze API.
7. Czy każde naruszenie trzeba zgłaszać do UODO?
Nie.
Zgodnie z art. 33 ust. 1 RODO naruszenie zgłasza się Prezesowi UODO, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.
Prezes UODO przypomniał w związku z incydentami dotyczącymi baz kontrahentów i systemów fakturowych, że każdy administrator powinien przeprowadzić własną, rzetelną ocenę ryzyka.
Przykładowo inaczej można oceniać ujawnienie danych przedsiębiorcy, które są już publicznie dostępne w CEIDG, a inaczej ujawnienie dodatkowo:
- numerów rachunków bankowych,
- informacji o zaległych fakturach,
- kwot i historii płatności,
- prywatnych danych kontaktowych,
- treści notatek,
- danych umożliwiających przygotowanie wiarygodnej próby oszustwa.
Ważne: brak obowiązku zgłoszenia do UODO również powinien wynikać z przeprowadzonej i udokumentowanej oceny ryzyka, a nie z założenia, że „nic się nie stało”.
8. Termin 72 godzin – od kiedy go liczyć?
Jeżeli naruszenie podlega zgłoszeniu, administrator powinien dokonać zgłoszenia bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.
Jeżeli informację o naruszeniu przekazuje podmiot przetwarzający, moment otrzymania odpowiednio wiarygodnej informacji może mieć znaczenie dla rozpoczęcia biegu tego terminu.
Jeżeli 72 godziny już upłynęły, nie należy rezygnować ze zgłoszenia. Do zgłoszenia należy dołączyć wyjaśnienie przyczyny opóźnienia.
Nie trzeba również czekać na wszystkie szczegóły. Art. 33 ust. 4 RODO pozwala przekazać posiadane informacje, a następnie sukcesywnie uzupełnić zgłoszenie.
9. Wzór zgłoszenia naruszenia do Prezesa UODO
Poniższy wzór ma charakter ogólny. Przed wysłaniem trzeba dopasować go do informacji dotyczących konkretnego konta.
WZÓR – opis naruszenia do formularza UODO
Charakter naruszenia:
Administrator został poinformowany przez Fakturownia sp. z o.o., będącą podmiotem przetwarzającym, o nieuprawnionym dostępie do jej systemu i skopiowaniu części przechowywanych danych. Naruszenie polegało na utracie poufności danych.
Zakres danych:
Na podstawie informacji przekazanych przez podmiot przetwarzający administrator ustalił, że naruszenie mogło obejmować: [WPISAĆ WYŁĄCZNIE KATEGORIE DOTYCZĄCE KONKRETNEGO KONTA].
Na dzień zgłoszenia dokładna liczba osób i rekordów jest [ZNANA / NIEUSTALONA]. Administrator po uzyskaniu dalszych informacji od podmiotu przetwarzającego uzupełni zgłoszenie, jeżeli będzie to konieczne.
Możliwe konsekwencje:
Dane mogą zostać wykorzystane przede wszystkim do przygotowywania prób phishingu, podszywania się pod administratora lub jego kontrahentów, kierowania fałszywych wezwań do zapłaty albo prób przekierowania płatności na inny rachunek bankowy.
Podjęte działania:
Administrator dokonał analizy zakresu naruszenia i oceny ryzyka, zweryfikował dostęp do konta oraz użytkowników systemu, a także zwiększył kontrolę wiadomości dotyczących płatności i zmian rachunków bankowych. Administrator oczekuje na dalsze szczegółowe informacje od podmiotu przetwarzającego i po ich otrzymaniu ponownie oceni ryzyko.
Jeżeli przekroczono 72 godziny:
Po otrzymaniu zawiadomienia konieczne było ustalenie rzeczywistego zakresu danych dotyczących konta administratora oraz przeprowadzenie oceny ryzyka. Zgłoszenie zostaje dokonane niezwłocznie po dokonaniu tej analizy. Brakujące informacje zostaną uzupełnione po ich otrzymaniu.
10. Czy trzeba poinformować klientów i kontrahentów?
Nie każde zgłoszenie do UODO oznacza automatycznie obowiązek wysłania wiadomości do wszystkich klientów.
Zgodnie z art. 34 RODO bezpośrednie zawiadomienie osoby jest wymagane w sytuacji, gdy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności.
Ocena powinna uwzględniać rzeczywisty zakres danych i możliwe skutki ich wykorzystania.
Gotowe wzory wiadomości dla dwóch różnych sytuacji – ograniczonego oraz szerszego zakresu naruszenia – zamieściliśmy w osobnym poradniku:
Wyciek danych z Fakturowni – czy trzeba informować klientów? Gotowe wzory wiadomości
11. Podstawa prawna
- art. 4 pkt 12 RODO – definicja naruszenia ochrony danych osobowych,
- art. 33 ust. 1 RODO – obowiązek zgłoszenia naruszenia Prezesowi UODO oraz termin 72 godzin,
- art. 33 ust. 2 RODO – obowiązek poinformowania administratora przez podmiot przetwarzający,
- art. 33 ust. 4 RODO – możliwość sukcesywnego przekazywania informacji,
- art. 33 ust. 5 RODO – obowiązek dokumentowania naruszeń,
- art. 34 RODO – zawiadomienie osoby w przypadku wysokiego ryzyka.
Korzystasz z Fakturowni i nie wiesz, co powinieneś zrobić?
AIF Kancelaria może pomóc w analizie otrzymanego zawiadomienia, ustaleniu zakresu danych, ocenie ryzyka oraz przygotowaniu zgłoszenia do Prezesa UODO i informacji dla klientów.
Do analizy warto przygotować:
- wiadomość otrzymaną od Fakturowni,
- informację z Panelu incydentu,
- informację, od kiedy firma korzysta z systemu,
- informację o wykorzystywanych importach, płatnościach i integracjach.
Artykuł ma charakter informacyjny. Zakres obowiązków wynikających z RODO należy każdorazowo oceniać na podstawie danych dotyczących konkretnego konta i konkretnego naruszenia.
Skorzystaj z profesjonalnego wsparcia AIF Kancelaria – zleć pomoc AIF Kancelarii