W komunikacie opublikowanym 29 września Fakturownia wyjaśniła, że osoba nieuprawniona wykorzystała lukę w systemie i uzyskała dostęp do części przechowywanych danych.

Po wykryciu zdarzenia firma zablokowała ten dostęp, uruchomiła nowe serwery aplikacji i rozpoczęła rotację kluczy oraz haseł usług. Analizę prowadzi przy wsparciu zewnętrznych specjalistów do spraw bezpieczeństwa. Wprowadziła również dodatkowe zabezpieczenia.

Jakie dane mogły zostać naruszone?

Według dotychczasowych ustaleń dostęp mógł obejmować dane kont firm i użytkowników, w tym skróty haseł, a także tokeny sesji, tokeny API oraz tokeny integracji generowane po stronie Fakturowni. Wśród potencjalnie naruszonych informacji firma wymienia również numery rachunków bankowych, dane o płatnościach, dane kontrahentów klientów, część danych z faktur oraz klucze i hasła systemowe aplikacji.

Fakturownia wskazuje, że zagrożone mogły być faktury wystawione przed 2023 rokiem. Zastrzega przy tym, że według jej obecnej wiedzy nie doszło do wycieku faktur wystawionych po 2023 roku. Komunikat nie precyzuje osobno sytuacji dokumentów wystawionych w samym 2023 roku.

Firma zapewnia, że zdarzenie nie objęło danych przechowywanych w ramach integracji i dodatków, w tym certyfikatów KSeF. Nie stwierdzono również naruszenia danych kart płatniczych. Osoba nieuprawniona nie usunęła danych z systemów.

— Jeśli dalsza analiza przyniesie nowe ustalenia, niezwłocznie zaktualizujemy niniejszy komunikat — zapowiedziała Fakturownia.

Sprawę zgłoszono policji, CERT Polska i UODO

Firma poinformowała o zgłoszeniu zdarzenia do Centralnego Biura Zwalczania Cyberprzestępczości, CERT Polska oraz Prezesa Urzędu Ochrony Danych Osobowych.

Wspólnie z CERT Polska i CBZC nadal ustala, których klientów dotyczy wyciek. Zapowiedziała, że powiadomi ich bezpośrednio w najbliższym czasie.

Do sprawy odniósł się również minister cyfryzacji Krzysztof Gawkowski, który poinformował o pracach służb nad ustaleniem okoliczności cyberataku.

— Sprawcy są ścigani i poniosą surowe konsekwencje — napisał.

W swojej wypowiedzi zwrócił również uwagę na potrzebę zwiększenia ochrony firm przed podobnymi zagrożeniami.

— Ostatnie ataki pokazują, że sektor prywatny musi zwiększyć nakłady i wysiłki na rzecz ochrony cyberbezpieczeństwa. Wsparcie ze strony instytucji i służb państwa jest dostępne 24/7 — podkreślił Gawkowski.

Zmiana haseł i sprawdzenie ustawień konta

Fakturownia zaleca użytkownikom zmianę hasła do konta, a także do powiązanej skrzynki pocztowej i innych serwisów, w których używali tego samego hasła. Rekomenduje również włączenie dwustopniowej weryfikacji.

Użytkownicy powinni sprawdzić ustawienia konta, szczególnie numer rachunku bankowego umieszczany na fakturach oraz listę osób mających dostęp do konta.

Firma ostrzega przed możliwymi próbami oszustwa. Użytkownicy mogą otrzymywać wiadomości e-mail, SMS-y lub telefony od osób podszywających się pod banki, urzędy, firmy kurierskie, Fakturownię albo kontrahentów. Presja czasu i nakłanianie do szybkiego działania powinny wzbudzić czujność.

Fakturownia apeluje o ostrożność przy otwieraniu linków i załączników oraz o nieprzekazywanie haseł, kodów weryfikacyjnych, kodów BLIK ani danych kart płatniczych.

— Fakturownia nigdy nie prosi w takich przypadkach o podanie hasła — przypomina firma.

Prośbę o zmianę rachunku bankowego warto potwierdzić u kontrahenta, dzwoniąc pod znany wcześniej numer. W przypadku podejrzanego telefonu od rzekomego pracownika banku lub urzędu firma zaleca zakończenie rozmowy i samodzielny kontakt z instytucją.

Podejrzane wiadomości można zgłaszać Fakturowni przez formularz kontaktowy, wybierając temat „Podejrzenie oszustwa”. Podejrzane SMS-y można bezpłatnie przesyłać do CERT Polska na numer 8080.