Szanowni Państwo,

z przykrością informujemy, że 28 września 2026 r. stwierdziliśmy naruszenie ochrony danych

osobowych w serwisie Fakturownia.pl („Fakturownia”) w którym wystawiamy faktury. Osoba nieuprawniona włamała się do systemów fakturowni i skopiowała dużą część bazy danych, w tym danych z naszego konta.

 

Naruszenie obejmuje:

(a)Nasze dane osobowe, których administratorem jest Fakturownia - dane konta i jego

użytkowników;

(b)dane osobowe naszych kontrahentów i treści faktur wprowadzone przez nas do faktur gdzie Fakturownia przetwarza je na nasze polecenie.

 

Informacje przekazujemy etapami (art. 33 ust. 4 RODO). W najbliższych dniach, w uzupełnieniu do niniejszego zawiadomienia oraz z uwagi na poufność danych ,

uruchomimy wysyłkę mailową do kontrahentów których adresy mailowe zostały skopiowane

 

Co się stało?

Osoba nieuprawniona uzyskała dostęp do systemów fakturowni i skopiowała dane z bazy danych na własne serwery.

• Nieuprawniony dostęp trwał od 27.09.2026, ok. godz. 3:20, do 28.09.2026, ok. godz. 17:45.

• Lukę Fakturownia usunęła 28.09.2026 o godz. 18:01.

• Rodzaj naruszenia: naruszenie poufności danych (dane zostały skopiowane).

 

Jakie dane zostały pobrane?

Przy każdej kategorii wskazujemy, kto jest administratorem danych, i jakiego okresu dotyczy

pobranie.

(a) Fakturownia - dane konta i jego użytkowników, których administratorem jest

Fakturownia.

(b) Właściciel konta - dane kontrahentów i innych osób, które klient wprowadził

do konta i powierzył Fakturowni do przetwarzania jako ich administrator.

 

Kategoria danych Administrator Co pobrano

Dane firmy i użytkowników: nazwa firmy, NIP, adres, imiona i nazwiska, adresy e-mail i

telefony użytkowników, identyfikator konta, nr kont jeśli były podane, kwoty z faktur: netto, VAT i brutto według stawek, waluta, kwota zapłacona i pozostała do zapłaty

 

Czego nie pobrano i co jeszcze ustalamy?

 

Nie zostały pobrane:

• certyfikaty KSeF;

• dane logowania do banków - Fakturownia ich nie przechowuje;

• dane kart płatniczych - Fakturownia ich nie przechowuje;

• dane przechowywane w ramach integracji konfigurowanych w zakładce Integracje i dodatki;

• treść faktur wystawionych od 22.03.2021 - poza kwotami, dodatkowymi polami opisowymi i

danymi dodatkowych stron;

• dane kontrahentów dodane od 16.10.2024.

Według naszej wiedzy dane objęte naruszeniem nie zostały dotychczas upublicznione;

monitorujemy to wspólnie z CERT Polska.

 

Możliwe konsekwencje i co mogą Państwo zrobić 

Opisujemy możliwe następstwa. Nie oznacza to, że już wystąpiły.

 

Co może się zdarzyć Co zalecamy

Wiadomości i telefony od oszustów podszywających się pod Fakturownię, bank, urząd lub kontrahenta. Mogą wyglądać wiarygodnie, bo zawierają prawdziwe dane Państwa firmy, faktur i płatności. Ich celem może być wyłudzenie pieniędzy, haseł, kodów autoryzacyjnych lub innych danych. Nie otwierać linków i załączników w nieoczekiwanych wiadomościach. Nie podawać

haseł, kodów weryfikacyjnych, kodów BLIK ani danych kart - ani nam, ani nikomu innemu. Przy telefonie „z banku” lub „z urzędu” rozłączyć się i oddzwonić na numer z oficjalnej strony.

Podejrzane SMS-y przesyłać do CERT Polska na numer 8080.

 

Dla danych, których administratorem jest Fakturownia, oceniliśmy ryzyko jako wysokie: zakres

danych jest szeroki, a liczba osób bardzo duża.

 

Działania podjęte przez fakturownię

• 28.09.2026, 13:35 - pierwsza blokada adresu atakującego;

• 28.09.2026, 18:01 - usunięcie luki w aplikacji;

• 28.09.2026, 18:56-20:14 - zmiana kluczy aplikacji i haseł usług;

• 28.09.2026, 20:44-21:51 - przeniesienie ruchu na nowe serwery zbudowane od zera,

wyłączenie starych, dezaktywacja wykradzionych kluczy;

• 28.09.2026, 23:10 - czasowa blokada panelu klienta;

• 28.09.2026, 23:50 - 29.09.2026, 4:03 - wymiana tokenów API klientów;

• 29.09.2026, 2:35 - dodatkowe zabezpieczenia generatora plików PDF;

• 29.09.2026 - zgłoszenie naruszenia Prezesowi Urzędu Ochrony Danych Osobowych oraz

zgłoszenie incydentu CERT Polska i Policji (CBZC);

• 29.09.2026 - poinformowanie Inspektora Ochrony Danych i ocena ryzyka dla osób

fizycznych;

• 01.10.2026 - rozpoczęcie wysyłki indywidualnych zawiadomień e-mail do właścicieli kont i

użytkowników.

 

Działania podjęte przez Infi Media

zmiana haseł do konta fakturowni

zmiana API

zgłoszenie naruszenia do UODO

informacja na stronie atelierdemomo.com

informacja do kontrahentów których dane zostały skopiowane 

 

Co dalej?

 

• Bieżące ustalenia publikowane są na stronie fakturownia.pl/incydent (prosimy wpisać adres

samodzielnie w przeglądarce).

 

Jak rozpoznać naszą wiadomość?

Ta wiadomość nie zawiera załączników i nie wymaga logowania. Nie prosimy o hasła, kody

weryfikacyjne, kody BLIK ani dane kart. Wiadomości w tej sprawie wysyłamy wyłącznie z

domeny infimedia.pl.

​

W sprawie incydentu kontakt ze strony Infi Media:

• Inspektor Ochrony Danych: rodo@infimedia.pl

• Infi Media Agnieszka Paradowska: telefon +48 508309862;

 

Przepraszamy za tę sytuację.

Z poważaniem

Infi Media Agnieszka Paradowska