Hakerski atak na Fakturownię: dane 600 tys. firm

Fakturownia potwierdziła, że doszło do nieuprawnionego dostępu do jej systemów. Sprawca pod pseudonimem „Fingerprint” twierdzi, że pobrał z serwera dane dotyczące około 600 tys. przedsiębiorców oraz pliki o łącznej, niezweryfikowanej przez firmę, wielkości do 6 TB.

Według opisu atakera pierwsza faza naruszenia wykorzystywała podatność umożliwiającą wydobywanie danych przez pomiar czasu odpowiedzi serwera, co odpowiada metodzie time-based blind SQL injection. Sprawca wskazał, że dzięki temu zdobył główny klucz aplikacji Ruby, spreparował ciasteczko sesyjne i doprowadził do zdalnego wykonania kodu na serwerze. Następnie miał skopiować materiały do własnego środowiska, używając serwerów pośredniczących do tunelowania ruchu, i nie kasować logów.

Fakturownia prowadzi analizy techniczne i na obecnym etapie nie potwierdziła wszystkich twierdzeń włamywacza. Firma zablokowała dostęp sprawcy, rozpoczęła wymianę kluczy aplikacji i haseł technicznych oraz uruchomiła nowe serwery aplikacyjne. Sprawę zgłoszono organom ścigania, CERT Polska oraz Prezesowi Urzędu Ochrony Danych Osobowych.

Z dokumentów przekazanych przez Fakturownię wynika, że wśród danych, które mogły zostać przejęte, znajdują się informacje o kontach przedsiębiorców i użytkowników, skróty haseł, tokeny aktywnych sesji, tokeny API oraz tokeny integracji. Możliwy jest też wyciek danych kontrahentów, numerów rachunków bankowych, informacji o płatnościach oraz kopii faktur wystawionych przed 2023 r. Firma poinformowała, że na tym etapie nie stwierdzono wycieku faktur wystawionych po 2023 r., naruszenia certyfikatów używanych do integracji z Krajowym Systemem e-Faktur ani ujawnienia danych kart płatniczych.

Fakturownia zaleciła klientom natychmiastową zmianę hasła do serwisu oraz do powiązanej skrzynki e-mail, włączenie uwierzytelniania dwuskładnikowego, sprawdzenie listy osób mających dostęp do kont firmowych oraz weryfikację numerów rachunków bankowych na fakturach. Firma poinformowała, że skontaktuje się bezpośrednio z klientami, których obejmie potwierdzony zakres naruszenia.

Specjaliści zwracają uwagę na ryzyko wzrostu ataków phishingowych wykorzystujących prawdziwe nazwy firm i fragmenty dokumentów. Dochodzenie i analizy prowadzone przez Fakturownię oraz organy ścigania mają ustalić dokładny zakres wykradzionych danych i możliwe konsekwencje incydentu.