Incydent bezpieczeństwa w Fakturownia.pl. Co powinni zrobić użytkownicy i firmy korzystające z integracji?

Stan informacji na 29 września 2026 r.

29 września Fakturownia poinformowała o nieuprawnionym dostępie do swoich serwerów, wykrytym dzień wcześniej. Trwa ustalanie skali zdarzenia i tego, których klientów mogło ono dotyczyć. Dla firmy korzystającej z Fakturowni razem ze sklepem, marketplace lub systemem obsługi zamówień ważne są teraz dwa zadania: zabezpieczenie konta oraz sprawdzenie działania połączonych procesów.

Poniżej oddzielamy informacje przekazane przez operatora od praktycznych zaleceń dotyczących konfiguracji e-commerce. Podstawą opisu incydentu jest oficjalny komunikat Fakturowni. Potencjalnego zakresu dostępu nie należy utożsamiać z potwierdzonym wykradzeniem wszystkich danych wszystkich klientów.

Co wydarzyło się w Fakturownia.pl?

Według operatora 28 września wykryto dostęp osoby nieuprawnionej, która wykorzystała lukę w systemie. Fakturownia zablokowała ten dostęp, rozpoczęła rotację kluczy i haseł oraz uruchomiła nowe serwery aplikacji. Analizę prowadzi z zewnętrznymi specjalistami ds. bezpieczeństwa.

W komunikacie z 29 września firma informuje o zgłoszeniu sprawy do Centralnego Biura Zwalczania Cyberprzestępczości, CERT Polska i Prezesa UODO. Podaje również, że sprawca nie usunął danych. Zachowanie danych w systemie nie wyklucza jednak wcześniejszego nieuprawnionego wglądu lub skopiowania ich części.

Incydent opisał również Niebezpiecznik, który zwrócił uwagę m.in. na wcześniejszą komunikację dotyczącą kluczy API. W zakresie skali i rodzaju naruszonych danych opieramy się przede wszystkim na aktualnym komunikacie operatora.

Jakie dane mogły zostać naruszone?

Fakturownia wskazuje następujący potencjalny zakres dostępu:

• dane kont firm i użytkowników, w tym skróty haseł;
• dane kontrahentów klientów oraz częściowo dane z faktur;
• tokeny sesji, API i integracji generowane po stronie Fakturowni;
• numery rachunków bankowych i informacje o płatnościach;
• klucze oraz hasła systemowe aplikacji.

Operator dopuszcza możliwość objęcia zdarzeniem danych kont wszystkich użytkowników, ale nadal ustala rzeczywistą skalę. Skrót hasła nie jest hasłem zapisanym jawnym tekstem. Jego potencjalne przejęcie jest jednak powodem, aby zastosować zalecaną zmianę hasła i nie używać ponownie starego.

Uwaga dotycząca dat faktur: komunikat mówi o możliwym dostępie do faktur sprzed 2023 roku i braku stwierdzonego wycieku faktur wystawionych po 2023 roku. Nie wyjaśnia jednoznacznie sytuacji dokumentów z samego 2023 roku. Nie rozszerzamy więc tych zapewnień na ten okres.

Jakich danych według Fakturowni incydent nie objął?

Według aktualnego komunikatu nie naruszono danych kart płatniczych ani danych przechowywanych w integracjach i dodatkach. Operator wskazuje również brak naruszenia integracji KSeF, bezpieczeństwo certyfikatów KSeF oraz brak naruszenia innych integracji z Fakturownią. Według jego obecnej wiedzy nie wyciekły faktury wystawione po 2023 roku.

Dane integracji i tokeny wygenerowane po stronie Fakturowni to odrębne kwestie. Informacja o możliwym dostępie do tokenów nie jest potwierdzeniem wycieku danych z Base, Sellasist czy sklepu internetowego. Uzasadnia natomiast sprawdzenie połączeń i wykonanie zaleceń operatora dotyczących dostępów. Dochodzenie trwa, dlatego warto wracać do aktualizowanego komunikatu.

Co powinien zrobić użytkownik Fakturowni?

Zacznij od kont i ustawień. Do panelu wejdź przez samodzielnie wpisany adres, a nie link z niespodziewanej wiadomości. Poniższa lista łączy zalecenia Fakturowni z kontrolą działania integracji:

1. Zmień hasło do Fakturowni. Ustaw unikalne hasło i przechowuj je w menedżerze haseł.
2. Zmień powtórzone lub podobne hasła w innych usługach. Sama drobna modyfikacja starego hasła nie jest dobrym rozwiązaniem.
3. Zmień hasło powiązanej skrzynki e-mail. Takie zalecenie podała Fakturownia. Skrzynka umożliwia odzyskiwanie dostępu do innych systemów.
4. Włącz uwierzytelnianie dwuskładnikowe. Sprawdź jego działanie oraz bezpieczne przechowywanie kodów odzyskiwania.
5. Przejrzyj użytkowników i uprawnienia. Wyjaśnij nieznane konta, sprawdź administratorów oraz dostępy byłych pracowników i wykonawców.
6. Zweryfikuj rachunek bankowy na dokumentach. Sprawdź ustawienia firmy i dane widoczne na ostatnio wystawionych fakturach.
7. Uprzedź osoby obsługujące płatności o ryzyku podszywania się. Zmiany numeru konta potwierdzaj niezależnym kanałem.
8. Sprawdź API i komunikaty o tokenach. Jeżeli operator unieważnił klucz lub wymaga jego wymiany, zaktualizuj go we właściwym połączeniu zgodnie z instrukcją.
9. Przetestuj automatyczne procesy. Potwierdź, że zamówienia i dokumenty trafiają we właściwe miejsca, bez błędów oraz powtórzeń.

Nowe hasła, tokeny i kody weryfikacyjne pozostają poufne. Nie wysyłaj ich w zwykłym zgłoszeniu pomocy ani nie wpisuj do formularza kontaktowego.

Fakturownia połączona z Base, Sellasist lub sklepem internetowym

W sprzedaży wielokanałowej fakturowanie zwykle jest częścią większej całości. Przykładowy proces może wyglądać następująco:

Marketplace lub sklep → Base albo Sellasist → system fakturowania lub ERP → obsługa magazynowa → dokument i przesyłka do klienta.

To schemat poglądowy. Kolejność wystawienia dokumentu i wydania towaru zależy od konfiguracji firmy. W części środowisk faktury powstają w ERP, np. Subiekcie lub Comarch, a system OMS obsługuje zamówienia i automatyczne akcje. W innych odpowiada za nie Fakturownia.

Przy sprawdzaniu środowiska Base lub Sellasist wybierz jeden kontrolowany scenariusz i prześledź go od zamówienia do dokumentu. Sprawdź odbierane dane, statusy, uprawnienia, rachunek bankowy oraz logi błędów API. Porównaj wynik z założonym działaniem automatycznych akcji.

Przed ponownym uruchomieniem zaległej kolejki ustal, które dokumenty już powstały. Bez tego naprawa połączenia może spowodować duplikaty. Test wykonuj w uzgodniony sposób, bez przypadkowego wysyłania dokumentów lub powiadomień klientom. Zmiana hasła do panelu nie musi sama wymienić tokenu API, ponieważ mogą to być niezależne mechanizmy dostępu.

Chmura czy lokalny ERP? Liczy się podział odpowiedzialności

Subiekt GT, Subiekt nexo i nexo PRO oraz Comarch ERP Optima mogą działać na infrastrukturze kontrolowanej przez firmę. Mogą również korzystać z serwera utrzymywanego przez zewnętrznego dostawcę. Comarch oferuje ponadto wariant Optima w chmurze. Sama nazwa programu nie przesądza, kto administruje środowiskiem.

W modelu SaaS operator odpowiada za znaczną część infrastruktury, aktualizacje aplikacji, jej dostępność i zabezpieczenia po swojej stronie. Firma nadal zarządza użytkownikami, uprawnieniami, konfiguracją i urządzeniami pracowników. Zakres odpowiedzialności oraz zasady odzyskania danych trzeba sprawdzić w warunkach konkretnej usługi.

Przy własnym serwerze więcej obowiązków spoczywa na przedsiębiorcy i jego administratorze. Dotyczy to aktualizacji Windows, SQL i aplikacji, konfiguracji zapory, ochrony serwera, monitoringu oraz bezpiecznego dostępu zdalnego. RDP, VPN, konta administracyjne i uprawnienia wymagają świadomej konfiguracji. Potrzebne są także kopie zapasowe poza głównym serwerem, ochrona przed ransomware i sprawdzanie możliwości odtworzenia danych.

Lokalny serwer nie jest automatycznie bezpieczniejszy od chmury. Są to różne modele odpowiedzialności za dane i infrastrukturę. Publicznie dostępny, źle zabezpieczony RDP, słabe hasło i niesprawdzone kopie mogą tworzyć poważne ryzyko. Z kolei SaaS wymaga oceny dostawcy, jego zabezpieczeń i reakcji na zdarzenia. Przy wdrożeniu systemów InsERT warto ustalić odpowiedzialność za utrzymanie równie dokładnie jak zakres funkcjonalny.

W e-commerce często mamy środowisko hybrydowe

Wiele firm łączy usługi internetowe z ERP i zapleczem magazynowym. Przykładowa architektura obejmuje:

Allegro, Amazon lub sklep → Base albo Sellasist → Subiekt GT, nexo PRO lub Comarch ERP Optima → magazyn, kurierzy, księgowość i dokumenty.

Do tego mogą dochodzić Fakturownia, WMS, integrator i zewnętrzne API. Połączenia bywają dwukierunkowe: zamówienia trafiają do obsługi, a stany, numery dokumentów i informacje o wysyłce wracają do kanałów sprzedaży.

Każde połączenie może mieć własne konto, token, klucz i zakres uprawnień. Dlatego przegląd integracji e-commerce powinien obejmować mapę przepływu danych: co jest przesyłane, między jakimi systemami i kto odpowiada za dostęp. Warto wskazać właściciela każdego połączenia oraz procedurę wymiany klucza i zgłaszania błędów.

Praktycznym wynikiem takiego przeglądu jest lista dostępów i zależności. Pozwala szybciej ocenić, które procesy wymagają testów po zmianie konfiguracji oraz gdzie wystąpi przerwa, jeśli jeden z systemów przestanie odpowiadać.

Uważaj na phishing i fałszywe zmiany numerów rachunków

Znajomość danych kontrahenta lub faktury może ułatwić przygotowanie wiarygodnie wyglądającej wiadomości. Zachowaj ostrożność wobec nowych faktur, ponagleń płatności i próśb o zmianę konta. Nadawca może podszywać się pod dostawcę, bank, Fakturownię lub firmę kurierską.

Presja czasu w e-mailu, SMS-ie albo rozmowie telefonicznej powinna skłonić do dodatkowej weryfikacji. Zmianę rachunku potwierdź telefonicznie na wcześniej znany numer kontrahenta. Nie korzystaj wyłącznie z numeru podanego w podejrzanej wiadomości. Pracownik obsługujący płatności powinien mieć możliwość zatrzymania przelewu do wyjaśnienia sprawy.

Czy trzeba rezygnować z Fakturowni?

Pojedynczy incydent nie jest wystarczającą podstawą do automatycznej rekomendacji migracji. Ocenie powinny podlegać wymagania firmy, rodzaje danych, procesy księgowe, integracje, zabezpieczenia i sposób reakcji producenta. Znaczenie mają też możliwości techniczne, koszty przeniesienia i ryzyko przerwy w obsłudze.

Teraz najważniejsze są zabezpieczenie konta, sprawdzenie konfiguracji i procesów oraz śledzenie dalszych ustaleń. Ewentualną zmianę systemu warto poprzedzić analizą i testami. Przeniesienie danych bez uporządkowania dostępów nie rozwiąże problemów organizacyjnych.

Jesteś klientem Finemo? Pomożemy Ci to sprawdzić

Incydent jest powodem do uporządkowanej kontroli całego środowiska. Bezpieczeństwo zależy także od tego, kto ma dostęp do danych i jak współpracują sklep, marketplace, OMS, ERP, magazyn oraz logistyka. Regularny przegląd kont i integracji pomaga utrzymać nad tym kontrolę.

Źródła i aktualność informacji

• Fakturownia: komunikat z 29.09.2026, źródło nadrzędne dotyczące incydentu.
• Niebezpiecznik: opis incydentu Fakturowni z 29.09.2026, źródło dodatkowe.
• Microsoft: podział odpowiedzialności za bezpieczeństwo w chmurze.
• InsERT: wymagania systemowe Subiekta nexo.
• Comarch: ERP Optima w chmurze.

Informacje o zakresie zdarzenia mogą się zmieniać wraz z dalszą analizą. Przed wykonaniem zmian sprawdź aktualne instrukcje operatora.