Wyciek danych z Fakturowni: jak rozpoznać fałszywą fakturę i co musi zrobić Twoja firma?

Za tydzień, może dwa możesz dostać maila od stałego kontrahenta, ta sama osoba co zwykle, prawdziwy numer poprzedniej faktury, kwota, którą płacisz co miesiąc i jedno zdanie: „zmieniliśmy bank, prosimy o przelew na nowy rachunek”. Po wycieku danych z Fakturowni przygotowanie takiej wiadomości jest dla oszustów wyjątkowo proste.

Nie piszę tego, żeby straszyć, podszywanie się pod kontrahenta to mechanizm znany od lat, a zabezpieczenie przed nim zajmuje w firmie jedno popołudnie. Poniżej pokazuję, jak to zrobić, i co jeszcze musi zrobić Twoja firma, gdy dostawca programu informuje o wycieku danych ze swojej organizacji.

W ataku z 27-28 września 2026 r. atakujący skopiowali dużą część bazy Fakturowni, programu, z którego według mediów korzysta ponad 600 tys. firm. Fakturownia opisała incydent w komunikacie z 29 września i w aktualizacji z 1 października 2026 r. To wyjątkowo szczegółowy komunikat i warto go przeczytać w całości, bo od niego zaczyna się Twoja własna ocena.

Z punktu widzenia oszusta najcenniejsze nie są hasła, tylko wiedza o tym, kto komu i ile płaci.

Czego nie pobrano: certyfikatów KSeF, danych logowania do banków i danych kart płatniczych (tych Fakturownia nie przechowuje). Hasła były zaszyfrowane, a tokeny API Fakturownia unieważniła.

Fakturownia nie jest wyjątkiem. Program do faktur, CRM, system rezerwacji czy sklep internetowy działają tak samo: dane Twoich klientów i kontrahentów leżą na serwerach dostawcy. Dlatego to, co opisuje poniżej, przyda się także przy następnym incydencie, niezależnie od tego, kogo dotknie.

Oszustwo „na podmianę numeru rachunku” polega na tym, że przestępca podszywa się pod Twojego kontrahenta i prosi o zapłatę na nowe konto. Bez wycieku musiał zgadywać, kto z kim współpracuje. Z danymi z programu do faktur zna nazwiska, numery faktur, kwoty i terminy płatności, więc jego wiadomość może wyglądać dokładnie tak jak setki prawdziwych, które księgowość dostała wcześniej.

Z praktyki wiemy, że takie maile rzadko zaczynają się od prośby o pieniądze. Częściej to zwykła korespondencja: „przesyłamy fakturę za październik”, „w załączeniu korekta”, „prosimy o aktualizację danych do przelewów”. Numer konta zmienia się jakby przy okazji.

Jedna ważna uwaga! Prawdziwy adres nadawcy niczego nie dowodzi. Jeśli przestępcy przejęli skrzynkę kontrahenta, wiadomość przyjdzie z jego własnego adresu, w środku trwającej korespondencji. Dlatego zabezpieczeniem nie jest uważne czytanie maili, tylko procedura, która nie zależy od tego, jak dobrze oszust się przygotował.

Ten sam mechanizm działa w drugą stronę. Jeśli dane Twojej firmy wyciekły, oszust może podszyć się pod Ciebie wobec Twoich klientów i to oni zapłacą na cudze konto.

Najskuteczniejsza ochrona przed fałszywą fakturą to prosta zasada zapisana w firmie: żaden nowy numer rachunku nie trafia do przelewu bez potwierdzenia innym kanałem. Poniższe cztery kroki można wprowadzić jeszcze dziś, jednym mailem do osób, które płacą faktury.

Każdą zmianę numeru konta potwierdzaj telefonicznie, pod numerem, który znasz z wcześniejszej współpracy: z umowy, z kartoteki kontrahenta, z wcześniejszych rozmów. Nigdy pod numerem podanym w mailu z prośbą o zmianę. Tak zaleca także sama Fakturownia w komunikacie po incydencie.

W większej firmie warto dodać dwie zasady: zmianę danych do przelewów w systemie wprowadza inna osoba niż ta, która zleca płatność, a w kartotece kontrahenta zostaje notatka, kto i kiedy potwierdził nowy numer.

Jeśli płacisz czynnemu podatnikowi VAT za transakcję o wartości powyżej 15 000 zł, sprawdź jego rachunek w wykazie podatników VAT w dniu zlecenia przelewu. Rachunek oszusta nie będzie przypisany do NIP-u Twojego kontrahenta, więc biała lista działa jak dodatkowy filtr.

To także kwestia podatków, zapłata na rachunek spoza wykazu oznacza, że wydatku nie zaliczysz do kosztów podatkowych, a w VAT możesz odpowiadać solidarnie z kontrahentem. Ratunkiem jest zawiadomienie ZAW-NR, złożone do naczelnika urzędu skarbowego w ciągu 7 dni od zlecenia przelewu.

Kontrahent zwolniony z VAT (na przykład mała jednoosobowa działalność) nie figuruje w wykazie. Wtedy pozostaje krok 1.

Od 1 kwietnia 2026 r. większość firm wystawia faktury w Krajowym Systemie e-Faktur. Jeśli Twój kontrahent już to robi, a nagle przysłał PDF mailem z nowym numerem konta, sprawdź, czy ta faktura w ogóle jest w KSeF. Brak faktury w systemie nie jest jeszcze dowodem oszustwa (część faktur w 2026 r. legalnie powstaje poza KSeF), ale to mocny sygnał, żeby wstrzymać przelew i zadzwonić, zweryfikować informację o zmianie konta do wpłat.

Do KSeF loguj się samodzielnie, z zakładki w przeglądarce albo wpisując adres. CERT Polska ostrzegał w 2026 r. przed fałszywymi mailami, które udają powiadomienia o nowej fakturze w KSeF i prowadzą do złośliwego oprogramowania.

Twoi klienci też mogą dostać fałszywą fakturę wystawioną w Twoim imieniu. Fakturownia zostawia decyzję o ostrzeżeniu kontrahentów użytkownikom i wskazuje, że wobec firm wystarczy ogólna informacja. Krótka wiadomość kosztuje chwilę, a chroni i ich pieniądze i Twoją reputację. Możesz skorzystać z tego wzoru:

Szanowni Państwo, w związku z incydentem bezpieczeństwa u dostawcy programu do fakturowania informujemy, że nie zmieniamy numeru rachunku bankowego. Każdą wiadomość z prośbą o zapłatę na inny rachunek, także wysłaną z naszego adresu, prosimy traktować jako próbę oszustwa i potwierdzić telefonicznie pod numerem [numer znany kontrahentowi]. Dziękujemy za czujność.

Co warto podkreślić, taka wiadomość nie jest zawiadomieniem osób o naruszeniu w rozumieniu RODO. To dobrowolny krok, który warto odnotować w ewidencji naruszenia jako jedno z działań zaradczych.

Liczy się czas, bo pieniądze, które jeszcze są na rachunku odbiorcy, czasem da się zatrzymać. W takiej kolejności:

Co do zasady nie. Pieniądze, które trafiły na konto oszusta, nie trafiły do wierzyciela, więc prawdziwy kontrahent wciąż może żądać zapłaty. Odpowiedzialność bywa jednak dzielona. Jeżeli do oszustwa przyczyniły się zaniedbania kontrahenta, na przykład zostawił przejętą skrzynkę bez reakcji, warto rozmawiać o podziale straty, a w razie sporu ocena zależy od okoliczności konkretnej sprawy. Dlatego tak ważne jest, żeby od pierwszego dnia dokumentować, co się stało i jak Twoja firma weryfikowała płatność.

Mail od dostawcy z informacją o incydencie to moment, w którym zaczynają się obowiązki Twojej firmy. Wobec danych klientów i kontrahentów, które wpisujesz do programu, administratorem jesteś Ty, a dostawca jest podmiotem przetwarzającym. 

Dostawca zgłasza do UODO naruszenie danych, których sam jest administratorem (na przykład danych swoich użytkowników), a Ciebie ma bez zbędnej zwłoki powiadomić. Ocena ryzyka i decyzja o zgłoszeniu należą do Ciebie i Twojej firmy jako Administratora Danych Osobowych swoich kontrahentów, które to zostały powierzone do podmiotu przetwarzającego (w tym przypadku fakturowni). Urząd Ochrony Danych Osobowych napisał to wprost po wycieku z MyDr, w komunikacie z 12 sierpnia 2026 r.: „Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym”.

Na zgłoszenie naruszenia masz 72 godziny od jego stwierdzenia. Według wytycznych Europejskiej Rady Ochrony Danych liczy się je co do zasady od chwili, w której dostawca poinformował Cię o naruszeniu, ale faktem jest, że zidentyfikowanie naruszenia w oparciu o zgłoszenie, musisz dokonać samodzielnie. Jeżeli nie masz pełnych informacji, możesz dokonać zgłoszenia wstępnego, które potem zostanie uzupełnione. Jeśli wcześniej miałeś już dostateczną pewność, na przykład z publicznego komunikatu dostawcy, termin mógł zacząć biec wcześniej. 

Zacznij od informacji od dostawcy, nie od artykułów w internecie. Fakturownia pokazuje w panelu konta kategorie danych, zakresy dat i liczbę rekordów dla konkretnego użytkownika.

Dane spółki (nazwa, NIP, adres siedziby) co do zasady nie są danymi osobowymi. Dane jednoosobowej działalności, konsumenta, pacjenta i osoby kontaktowej w spółce (imię, nazwisko, imienny e-mail, telefon) już tak. Przy Fakturowni nie wystarczy sprawdzić, czy Twoje konto było w grupie około 2 250, bo dane kontrahentów dodanych przed 16.10.2024 pobrano ze wszystkich kont.

Zapytaj, co realnie może się stać ludziom, których dane wyciekły: wiarygodny phishing z prawdziwymi kwotami, podszywanie się, próby kradzieży tożsamości (jeśli w danych był PESEL), wyłudzenia na podstawie prawdziwych danych z faktur. Liczy się rodzaj danych, ich ilość, łatwość zidentyfikowania osób i powaga możliwych skutków. Jeśli brakuje Ci informacji, nie czekaj biernie, tylko zapytaj dostawcę wprost. Co do zasady, większości przypadków klienci Fakturowni powinni oceniać incydent jako ten generujący wysokie ryzyko naruszenia podstawowych praw i wolności. Niskie ryzyko wystąpi raczej tylko tam, gdzie ktoś po założeniu konta w Fakturowni, nie korzystał z tego serwisu i ich usług.

Zasady, kiedy zgłaszać, a kiedy nie, opisujemy w następnej części. Niezależnie od decyzji naruszenie trafia do wewnętrznej ewidencji naruszeń, razem z uzasadnieniem.

Część dostawców, w tym Fakturownia, przygotowała klientom formularz i częściowo wypełniony dokument. To dobra praktyka, ale nie podpisuj go w ciemno. To nadal Twoje zgłoszenie, składane w Twoim imieniu. Sprawdź zwłaszcza datę stwierdzenia naruszenia (Twoją, nie dostawcy), dane kontaktowe Twojego inspektora ochrony danych albo osoby kontaktowej, opis kategorii i przybliżonej liczby osób oraz Twoje działania zaradcze. W samym zgłoszeniu powinno się ponadto wskazać sposoby zabezpieczenia danych osobowych w Twojej firmie oraz środki zaradcze zastosowane po zidentyfikowaniu incydentu. Tego Fakturowani nie zamieści w zgłoszeniu, bo nie zna tak dobrze Twojej firmy.

Zawiadomienie opisuje prostym językiem, co się stało, jakie mogą być konsekwencje, z kim się kontaktować i co dana osoba może zrobić (na przykład zastrzec PESEL albo uważać na wiadomości o zmianie konta). Fakturownia podpowiada, żeby do osób bez adresu e-mail wysłać list, a komunikat publiczny stosować tylko wtedy, gdy indywidualne zawiadomienie wymagałoby niewspółmiernego wysiłku i pokrywa się to z wymaganiami RODO. Warto też wiedzieć, że o tym co dokładnie powinno znaleźć się w informacji do osób, których dane dotyczą, decyduje PUODO w publikowanych przez siebie wytycznych

Zmień hasła, włącz weryfikację dwuetapową, wymień klucze API w integracjach i przejrzyj listę osób z dostępem. Sprawdź też numery kont na własnych fakturach.

Nie masz pewności, czy Twoja ocena ryzyka się obroni? W ENSIS zajmujemy się obsługą incydentów i kontroli UODO na co dzień.

Nie każdy musi zgłaszać, ale każdy musi ocenić i zapisać w wewnętrznym rejestrze naruszeń. Wspomniana analiza będzie podstawą w razie pytania ze strony PUODO o brak dokonania zgłoszenia. Naruszenie zgłaszasz Prezesowi UODO w ciągu 72 godzin, chyba że jest mało prawdopodobne, by spowodowało ryzyko naruszenia praw lub wolności osób, których dane dotyczą (art. 33 ust. 1 RODO). Jeśli ryzyko jest wysokie, dodatkowo zawiadamiasz te osoby (art. 34 RODO).

W praktyce o decyzji przesądzają trzy pytania z poprzedniej części: - czyje to dane, co dokładnie wyciekło i co może się stać tym ludziom.

Firma, która wystawia faktury wyłącznie spółkom i nie ma w programie żadnych osób kontaktowych, może dojść do wniosku, że w wycieku nie ma danych osobowych, za które odpowiada. Ale przekonanie to może być złudne, bo w typowej firmie usługowej, czy sprzedażowej, spora część kontrahentów to jednoosobowe działalności, a przy każdej spółce jest jakiś pan Tomasz z księgowości z imiennym mailem i numerem komórki. Jeśli po uczciwej ocenie nadal masz wątpliwości, bezpieczniej jest zgłosić.

Każde naruszenie wpisujesz do wewnętrznej ewidencji naruszeń (art. 33 ust. 5 RODO). Szczególnie wtedy, gdy decydujesz, że zgłoszenia nie będzie. Do ewidencji trafiają też działania zaradcze: zmiana haseł, ostrzeżenie kontrahentów, wymiana kluczy API.

Zgłoś mimo naruszenie nawet wtedy, gdy termin 72 godzi minął. RODO wprost przewiduje zgłoszenie po terminie, do którego dołączasz wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie). Prawdziwe wyjaśnienie, na przykład takie, że ustalałeś, czy w wycieku są dane Twoich kontrahentów i kim oni są. Jeśli nie masz jeszcze wszystkich informacji, możesz złożyć zgłoszenie wstępne i uzupełnić je później (art. 33 ust. 4).

Zamiatanie sprawy pod dywan to najgorszy wybór. Ustalając wysokość kary, organ bierze pod uwagę m.in. to, w jaki sposób dowiedział się o naruszeniu i czy administrator sam je zgłosił (art. 83 ust. 2 lit. h RODO). Taki przypadek już był: w 2021 r. Prezes UODO nałożył ponad 136 tys. zł kary na dużą spółkę energetyczną, która uznała, że wysłania pliku z danymi do niewłaściwej osoby nie trzeba zgłaszać. Urząd dowiedział się o sprawie od odbiorcy tego maila.

Najwięcej możesz zrobić przed incydentem, a nie po nim. RODO wymaga, żebyś korzystał tylko z dostawcy, który daje wystarczające gwarancje bezpieczeństwa, miał z nim umowę powierzenia i go sprawdzał (art. 28 RODO).

Przy programach w chmurze umowa powierzenia jest zwykle częścią regulaminu i nie da się jej negocjować. Da się ją jednak przeczytać, porównać z ofertą innych dostawców i wybrać świadomie. Przygotowanie i opiniowanie umów powierzenia to część naszego wdrożenia RODO i dokumentacji, a stałą kontrolę dostawców najwygodniej powierzyć zewnętrznemu inspektorowi ochrony danych (IOD).

Drugie ogniwo to ludzie. Fałszywą fakturę zatrzymuje osoba, która zna procedurę i wie, że ma prawo wstrzymać przelew. Dlatego warto, żeby księgowość i osoby płacące faktury przeszły krótkie szkolenie z RODO i bezpieczeństwa informacji.

Jesteś po drugiej stronie, czyli sam dostarczasz oprogramowanie firmom? Zobacz, jak pomagamy w ochronie danych dla aplikacji i SaaS.

Wyciek u dostawcy to jedna sprawa, która dotyka trzech obszarów naraz: RODO (ocena ryzyka, zgłoszenie, ewidencja), pieniędzy i podatków (biała lista VAT, KSeF, ZAW-NR) oraz umów (umowa powierzenia, rozmowa z kontrahentem po nieudanym przelewie). ENSIS Grupa to cztery spółki w jednym zespole: kancelaria radców prawnych, ochrona danych osobowych, księgowość z kadrami i HR oraz doradztwo biznesowe. Prawnik, specjalista od ochrony danych i księgowa siedzą maksymalnie pięć metrów od siebie, więc nie musisz składać odpowiedzi od trzech różnych doradców. 

Po wycieku danych z Fakturowni najbardziej realne zagrożenie dla wielu firm to fałszywa faktura od „stałego kontrahenta” z nowym numerem konta. Chroni przed nią prosta procedura: potwierdzenie zmiany innym kanałem, biała lista VAT, sprawdzenie faktury w KSeF i uprzedzenie własnych kontrahentów.

Równolegle biegną obowiązki z RODO. Wobec danych klientów i kontrahentów wpisanych do programu administratorem jest Twoja firma, więc to Ty oceniasz ryzyko, decydujesz o zgłoszeniu do UODO i wpisujesz naruszenie do ewidencji. Nie każdy musi zgłaszać, ale każdy musi ocenić i zapisać. A jeśli 72 godziny już minęły, zgłoszenie po terminie z wyjaśnieniem jest dużo lepsze niż milczenie.

Prześlij nam powiadomienie od dostawcy albo swoją notatkę z oceny ryzyka. Zespół ENSIS ODO sprawdzi, czy Twoja decyzja o zgłoszeniu się obroni, i podpowie, co zapisać w ewidencji. Jeśli chcesz, sprawdzimy też umowę powierzenia z dostawcą.