Fakturownia: fingerprint doszedł do faktur i rachunków
Po MyDr i Medyc ta sama logika, inny silos. Nie dokumentacja medyczna. Faktury, kontrahenci i rachunki bankowe u jednego z największych polskich SaaS-ów księgowych. Fakturownia. Firma chwali się ponad 600 tys. klientów. Wykrycie: 28 września 2026. Komunikat: 29 września. Dopowiedzi CTO u Niebezpiecznika: 30 września.
Zaufana Trzecia Strona wiąże sprawę z Fingerprintem, tym samym tropem co przy softzie medycznym i Enel-Med. To wersja sprawcy i redakcji, nie wyrok. Bez pseudonimu mechanika i tak siedzi: jeden procesor, wiele firm, jeden dump.
Co potwierdza Fakturownia
Nieuprawniony dostęp do serwerów. Firma zablokowała sprawcę, uruchomiła nowe serwery aplikacji, zaczęła rotację kluczy i haseł usług. Zgłoszenia: CBZC, CERT Polska, UODO.
Pierwszy komunikat na fakturownia.pl/incydent mówił szeroko: dane kont użytkowników (w tym skróty haseł), tokeny sesji i API/integracji generowane po stronie Fakturowni, rachunki bankowe, dane o płatnościach, kontrahenci, częściowe dane z faktur, klucze i hasła systemowe aplikacji. Zakres faktur: wystawione przed 2023. Karty płatnicze i certyfikaty KSeF: według firmy nietknięte. Ministerstwo Finansów potwierdziło osobno, że incydent nie dotyczy danych w Krajowym Systemie e-Faktur.
30 września CTO Paweł Charyło doprecyzował u Niebezpiecznika kilka rzeczy, które w pierwszym PDF-ie siedziały w mgle.
Atakujący został zablokowany zanim zdążył pobrać więcej. Według analizy logów pobrał mniej niż wczorajsze komunikaty sugerowały. Częściowy dostęp: faktury utworzone do marca 2021, pozycje na fakturach do czerwca 2019, kontrahenci do 2024. “Dane o płatnościach” to transakcje bankowe zaimportowane przez klientów: wyciągi, integracje bankowe, płatności automatyczne. Firma twierdzi, że nie kontaktowała się ze sprawcą i nie dostała żądania okupu.
Hasła: zahashowane z solą. Sesje unieważnione. W najbliższych dniach wymuszenie zmiany hasła dla wszystkich. Tokeny API: rotacja (w mailach padał termin wokół 1 października). Pierwszy mail do klientów mówił o unieważnieniu kluczy API “ze względów bezpieczeństwa”, bez pełnego opisu wycieku. Szczegóły poszły na stronę incydentu. Chaos informacyjny jak po MyDr: część ludzi dostała techniczny mail, część czytała ZTS i Niebezpiecznika.
Wektor: dwie wersje, żadnej PoC
ZTS przytacza opis Fingerprinta: wyrocznia czasowa (redakcja czyta to jako time-based blind SQL injection), wyciągnięcie master key aplikacji Ruby, sfałszowane ciasteczko, zdalne wykonanie kodu. Sprawca miał mówić o 6 TB faktur. ZTS nie zweryfikowała tej liczby. Traktuję 6 TB jak deklarację, nie pomiar.
CTO u Niebezpiecznika mówi inaczej: podatność w szablonach faktur, potem dziura w bibliotece do generowania PDF-ów, stąd klucz do podpisywania sesji, stąd dostęp do serwera. Pełne szczegóły techniczne idą do CERT i organów ścigania, nie na bloga.
Nie rozstrzygam, która ścieżka jest kompletna. Obie kończą się tym samym: z aplikacji fakturowej dało się dojść do kontroli sesji albo serwera. Nie rozpisuję kroków. Klasa błędu wystarczy: stack SaaS z PDF-ami i szablonami to nie “APT z filmu”, to powierzchnia ataku, którą branża zna od lat.
Dlaczego to boli inaczej niż “kolejna baza PESEL”
Faktura to NIP, adres, kwoty, opis usługi, czasem PESEL przy B2C, zawsze numer rachunku do przelewu. Kontrahent w książce adresowej Fakturowni to nie anonimowy rekord z darknetu. To lista, po której da się budować phishing “zmień rachunek na fakturze”, fałszywe wezwania do zapłaty i classic invoice fraud.
Dlatego w zaleceniach firmy (i Niebezpiecznika) siedzi punkt, którego nie wolno odhaczyć myślą “zmieniłem hasło”: sprawdź numer rachunku podawany na fakturach. Sprawdź listę użytkowników z dostępem do konta. Załóż, że tokeny API poszły.
KSeF centralny według MF stoi. To nie znaczy, że Twoja historia faktur w Fakturowni sprzed 2021 jest bezpieczna. Dwa różne silosy. Komunikat “KSeF OK” uspokaja resort, nie czyści dumpa u procesora.
Fingerprint i sezon SaaS
Jeśli trop ZTS się utrzyma, Fakturownia to kolejny polski dostawca oprogramowania w łańcuchu po MyDr, Medyc i Enel-Med. Strategia jest prosta i wredna: nie atakujesz jednego gabinetu ani jednej firmy. Atakujesz warstwę, na której siedzi pół miliona kont. Raz. Skala robi się państwowa bez państwowej infrastruktury.
Gawkowski znów zapowiada konsekwencje. Słyszeliśmy to przy medycynie. Tu dorzuca się Ministerstwo Finansów, bo faktury i KSeF to ich narracja. CBZC i UODO dostają papiery. Pacjent i przedsiębiorca dostają mail o zmianie hasła i checklistę phishingu.
Co robić, jeśli masz konto
Zmień hasło w Fakturowni i wszędzie, gdzie było takie samo. Włącz 2FA. Wyloguj sesje (firma i tak je kasowała). Sprawdź rachunek na fakturach i listę użytkowników. Zrotuj klucze API w swoich integracjach, nie czekaj na kolejny mail. Certyfikaty KSeF firma każe zostawić w spokoju; rotacja “na wszelki wypadek” to osobna decyzja operacyjna, nie obowiązek z komunikatu.
Jeśli ktoś dzwoni albo pisze “bo wyciek Fakturowni, kliknij / przelej / podaj BLIK”: to drugi etap, nie techniczny epilog. Numer rachunku kontrahenta potwierdzaj znanym kanałem, nie linkiem z maila.
Dla reszty rynku morał z medycyny wraca bez zmian. Umowa z SaaS nie przenosi fizycznej kontroli nad bazą. Szablony faktur i biblioteki PDF to nie detal UI. To powierzchnia, która właśnie poszła w komunikacie CTO.
Źródła
Jak pracuję ze źródłami i poprawiam błędy. Znalazłeś błąd? Podaj fragment i źródło.
Czytaj w kontekście
Wycieki danych. Co właściwie wyciekło?
Fakturownia, FELG Dent, Medyc, MyDr i Wakacje.pl. Czytanie komunikatów o incydentach bez mieszania dostępu do systemu z potwierdzoną kradzieżą danych.