Wyciek danych z programu do fakturowania – co zrobić

Wyciek danych z programu do fakturowania nie oznacza wycieku z KSeF, ale dla firmy bywa groźniejszy, niż sugeruje uspokajający komunikat. Krajowy System e-Faktur może pozostać nienaruszony, a mimo to oszust może zdobyć listę Twoich kontrahentów, numery rachunków, kwoty i historię płatności. To wystarczy, żeby przygotować wiarygodną wiadomość o "zmianie numeru konta" albo fałszywą fakturę od dostawcy, któremu płacisz od lat. Przykład z końca września 2026 r.: włamanie do serwisu Fakturownia.pl, po którym Ministerstwo Finansów potwierdziło, że dane w KSeF nie zostały naruszone, a dostawca poinformował o skopiowaniu dużej części bazy danych klientów. Poniżej opisuję, co w takim incydencie realnie wycieka, co zrobić w pierwszych dniach po wycieku u dowolnego dostawcy oprogramowania do faktur i jak przez kolejne tygodnie nie zapłacić na rachunek oszusta.

Co wycieka z programu do faktur, a co zostaje w KSeF

Program do fakturowania i KSeF to dwa osobne zbiory danych, a wyciek z jednego nie oznacza wycieku z drugiego. KSeF przechowuje faktury ustrukturyzowane na serwerach Ministerstwa Finansów. Program do fakturowania może przechowywać u swojego dostawcy również inne dane: bazę kontrahentów z danymi kontaktowymi, historię faktur sprzed KSeF, zaimportowane wyciągi bankowe, dane użytkowników konta, a także klucze integracji z bankiem, sklepem internetowym czy samym KSeF.

Incydent w Fakturowni dobrze pokazuje tę różnicę. Według komunikatu dostawcy z 1 października 2026 r. nieuprawniony dostęp trwał od 27 do 28 września, a skopiowane zostały m.in. dane kont i ich użytkowników, dane kontrahentów, numery rachunków bankowych, dane o płatnościach (czyli transakcje zaimportowane z wyciągów i integracji bankowych) oraz kwoty faktur. Zakres zależy od daty utworzenia rekordu — część nowszych danych nie została pobrana. Pełną treść faktur pobrano tylko dla dokumentów sprzed 22 marca 2021 r., a dla około 2 250 kont skopiowano wszystkie dane z lat 2022–2026. Zaktualizowany komunikat jest pod jednym względem poważniejszy niż pierwsza wersja: wśród pobranych danych są też identyfikatory sesji, zaszyfrowane skróty haseł oraz tokeny API i klucze integracji zapisane bezpośrednio w ustawieniach konta. Dostawca podaje, że nie pobrano certyfikatów KSeF, danych integracji z zakładki "Integracje i dodatki", danych logowania do banków ani danych kart płatniczych, ale zaleca wpisanie nowych kluczy API w integracjach. Szczegółowy zakres naruszenia należy sprawdzić w aktualnym komunikacie i indywidualnym zawiadomieniu dotyczącym konta. Ministerstwo Finansów oświadczyło 30 września w komunikacie, że zdarzenie "nie dotyczy danych zawartych w Krajowym Systemie e-Faktur".

Wniosek dla każdego podobnego zdarzenia jest taki sam: pytanie "czy wyciekł KSeF?" ma zwykle odpowiedź przeczącą, ale nie jest najważniejsze. Jeśli interesuje Cię właśnie ta strona sprawy — gdzie realnie dochodzi do ujawnienia faktur z KSeF — opisuję ją w osobnym tekście o tym, czy dane z KSeF mogą wyciec.

Dlaczego wyciek danych z programu do fakturowania to ryzyko oszustwa

Wyciek danych z programu do fakturowania oznacza zarówno ryzyko oszustwa płatniczego, jak i możliwe naruszenie ochrony danych osobowych. Skradziona baza mówi przestępcy, kto komu płaci, ile, jak często, na jaki rachunek i kto po obu stronach prowadzi korespondencję. Te informacje ułatwiają przygotowanie faktury scamowej, czyli próby oszustwa przy użyciu faktury lub procesu fakturowania — w tym przypadku nakłonienia firmy do zapłaty na rachunek przestępcy.

Bez takiej wiedzy oszust strzela na ślepo: wysyła masowo fałszywe faktury i liczy na nieuwagę. Z nią może przygotować wiadomość, która niczym nie odbiega od prawdziwej korespondencji:

• nadawca podpisuje się imieniem i nazwiskiem osoby, która naprawdę wysyła Ci faktury,
• kwota odpowiada typowej fakturze z tej relacji, a termin wypada wtedy, kiedy zwykle płacisz,
• jedyną zmianą jest numer rachunku, uzasadniony "zmianą banku" albo "nowym rachunkiem do rozliczeń".

Działa to w obie strony. Twoi kontrahenci mogą dostać fałszywą fakturę lub prośbę o zmianę rachunku podpisaną nazwą Twojej firmy, bo ich dane również były w Twoim programie. Mechanizm podmiany rachunku i powody, dla których jest tak skuteczny, opisuję szerzej w tekście o tym, dlaczego zmiana numeru konta na fakturze to największe zagrożenie.

Druga fala to phishing, czyli wiadomości podszywające się pod zaufaną instytucję w celu wyłudzenia danych. Po głośnym incydencie oszuści rozsyłają e-maile i SMS-y "od dostawcy programu" o odblokowaniu konta, ponownym wygenerowaniu tokenu albo weryfikacji danych płatniczych. CERT Orange zwracał uwagę, że takie kampanie mogą trafiać nie tylko do klientów poszkodowanego dostawcy, ale do wszystkich przedsiębiorców, także w imieniu innych programów do faktur.

Przykład z danymi fikcyjnymi

Firma "Przykład sp. z o.o." (NIP: 0000000000) co miesiąc płaci hurtowni około 18 tys. zł, zawsze między 10. a 15. dniem miesiąca. Trzy tygodnie po wycieku u dostawcy programu księgowa dostaje e-mail od "Anny z działu rozliczeń hurtowni" — osoby, z którą rzeczywiście koresponduje. W treści jest PDF faktury na 18 240 zł i zdanie: "Od tego miesiąca prosimy o wpłaty na nowy rachunek: PL00 0000 0000 0000 0000 0000 0000". Adres nadawcy różni się od prawdziwego jedną literą w domenie. Dane kontrahentów i kwota wyglądają znajomo, a fałszywy rachunek łatwo przeoczyć przy pobieżnej kontroli.

Czego KSeF nie sprawdza

KSeF nie ochroni Cię przed skutkami wycieku z programu do fakturowania, bo sprawdza formę faktury, a nie sens płatności. System przeprowadza walidację techniczną: sprawdza zgodność dokumentu ze schematem, wypełnienie pól obowiązkowych, uprawnienia wystawcy i poprawność uwierzytelnienia. Kontrola biznesowa, czyli ocena, czy transakcja i płatność są uczciwe, zostaje po stronie firmy.

W kontekście wycieku oznacza to, że KSeF nie sprawdza:

• czy numer rachunku na fakturze należy do wystawcy — kontrola techniczna dokumentu nie potwierdza właściciela rachunku,
• czy e-mail z prośbą o zmianę rachunku pochodzi od kontrahenta, czy od osoby, która zna jego dane z wycieku,
• czy PDF przesłany pocztą odpowiada fakturze, którą wystawca faktycznie wysłał do KSeF,
• jakim kanałem dotarła do Ciebie informacja o płatności.

Faktura z prawidłowym numerem KSeF może więc zawierać rachunek, który ktoś podał wystawcy w spreparowanej korespondencji, a faktura spoza systemu, przesłana mailem, nie przechodzi przez kontrolę KSeF. Granicę między tym, co weryfikuje system, a tym, co zostaje po stronie firmy, rozkładam w tekście o tym, czy KSeF sprawdza rachunek bankowy kontrahenta.

Co zrobić po wycieku danych z programu do faktur – krok po kroku

Po wycieku u dostawcy programu warto jak najszybciej zabezpieczyć konto i integracje oraz równolegle rozpocząć ocenę naruszenia ochrony danych osobowych. Poniższe kroki pomagają uporządkować działania, ale oceny obowiązków z RODO nie należy odkładać do zakończenia prac technicznych.

Zakres obowiązków z RODO zależy od kategorii danych i oceny ryzyka. Dane spółek same w sobie nie są danymi osobowymi, ale dane jednoosobowych działalności, osób kontaktowych i klientów indywidualnych już tak. Przy takiej ocenie warto skonsultować się z osobą odpowiedzialną w firmie za ochronę danych.

Jak nie dać się oszukać w tygodniach po wycieku

Przez kolejne tygodnie i miesiące po wycieku każdą zmianę rachunku na fakturze potwierdzaj innym kanałem niż ten, którym przyszła, i sprawdzaj rachunek w wykazie podatników VAT. Oszuści nie muszą działać od razu — skradziona baza zachowuje wartość tak długo, jak długo aktualne są relacje handlowe, które opisuje.

Praktyczne zasady na ten okres:

• Potwierdzenie telefoniczne pod znany numer. Dzwoń pod numer z umowy lub z wcześniejszej korespondencji, nigdy pod numer podany w wiadomości o zmianie rachunku.
• Sprawdzenie w wykazie podatników VAT. Tak zwana biała lista pokazuje określone rachunki związane z działalnością gospodarczą — szczegóły opisuje Ministerstwo Finansów. Rachunek oszusta zwykle nie będzie przypisany do NIP-u Twojego kontrahenta. Pamiętaj jednak, że wykaz nie potwierdza, kto wysłał wiadomość, a nie każdy kontrahent ma w nim rachunek.
• Porównanie z fakturą w KSeF. Jeśli kontrahent wystawia faktury w KSeF, porównaj rachunek z PDF-a przesłanego mailem z rachunkiem w fakturze pobranej z systemu. Rozbieżność jest mocnym sygnałem ostrzegawczym.
• Zasada dwóch osób. Zmianę rachunku w danych kontrahenta zatwierdza inna osoba niż ta, która wprowadziła przelew.
• Brak wyjątków dla presji czasu. "Pilna płatność" połączona ze zmianą rachunku to klasyczny wzorzec oszustwa, a nie powód do pominięcia weryfikacji.

Gotowy schemat postępowania, który można wdrożyć w dziale księgowości, opisuję w artykule o procedurze bezpieczeństwa przy zmianie rachunku bankowego.

Jak można to zweryfikować automatycznie

Zmianę rachunku u znanego kontrahenta da się wykrywać automatycznie, porównując każdą nową fakturę z historią faktur od tego samego wystawcy. Przy kilkunastu fakturach miesięcznie wystarczy uważne oko, ale przy kilkuset ręczna kontrola po wycieku szybko przestaje być realna.

Automatyczna analiza może obejmować:

• zmianę rachunku względem historii kontrahenta — nowy numer u dostawcy, który od miesięcy podawał inny,
• zgodność rachunku z wykazem podatników VAT na dzień płatności,
• odchylenia od typowej relacji — nietypową kwotę, częstotliwość albo nowego wystawcę podobnego do znanego kontrahenta,
• rozbieżność między fakturą w KSeF a dokumentem otrzymanym innym kanałem.

Taka analiza nie gwarantuje wykrycia każdego oszustwa i nie zastępuje telefonu do kontrahenta. Jej rola jest inna: wskazuje faktury, które wymagają zatrzymania i sprawdzenia, zanim przelew wyjdzie z banku. Po wycieku danych to właśnie czas między pojawieniem się podejrzanej faktury a jej zauważeniem decyduje o tym, czy skończy się na stracie.

Powiązane artykuły

• Wyciek KSeF – czy dane z e-faktur mogą wyciec – gdzie realnie dochodzi do ujawnienia danych z KSeF i jak to sprawdzić
• Zmiana numeru konta na fakturze – jak działa podmiana rachunku i dlaczego jest tak skuteczna
• Procedura bezpieczeństwa przy zmianie rachunku bankowego – jak krok po kroku zweryfikować zmianę rachunku kontrahenta

FAQ

Treść ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani podatkowej.