В одной из популярных в Польше систем выставления счетов произошел серьезный инцидент, связанный с безопасностью. Брокер по выставлению счетов сообщил клиентам, что неуполномоченное лицо взломало его системы и скопировало значительную часть базы данных. Компрометированная информация включала данные о компаниях и пользователях, банковские счета, платежную информацию, токены API, а также некоторые данные о клиентах и счетах. Компания предупреждает о мошеннических счетах, попытках подмены номеров счетов и фишинговых атаках.
28 сентября 2026 года в системе выставления счетов был обнаружен несанкционированный доступ. Первоначально компания сообщила, что неуполномоченное лицо получило доступ к данным пользователей и подрядчиков, а также к некоторым документам. Впоследствии компания предоставила более подробную информацию в индивидуальных уведомлениях, отправленных клиентам.
«Неуполномоченный пользователь взломал наши системы и скопировал значительную часть базы данных, включая данные из вашей учетной записи», — говорится в уведомлении, отправленном компанией Fakturownia одному из своих клиентов.
По данным компании, несанкционированный доступ продолжался. с 27 сентября приблизительно в 3:20 утра до 28 сентября приблизительно в 17:45.. Устранение уязвимости было запланировано на 28 сентября в 18:01.
В счете-фактуре событие определяется следующим образом: Нарушение конфиденциальности данных – информация была скопирована неуполномоченным лицом..
Произошла утечка данных о компаниях, пользователях и банковских счетах.
Объем перехваченной информации весьма широк.
Согласно уведомлению Fakturownia, скопированные данные включали, среди прочего, названия компаний и пользователей, налоговые идентификационные номера, адреса, имена и фамилии, адреса электронной почты, номера телефонов и идентификаторы учетных записей.
В случае утечки данных, хранящихся в отдельных подразделениях компании, она может также включать в себя следующее: номера банковских счетов, IBAN, IWIFT и названия банков..
Также были скопированы зашифрованные хеши паролей пользователей. Компания Fakturownia подчеркивает, что сами пароли не хранились в открытом виде.
Инцидент также затронул идентификаторы сессий и – в зависимости от конфигурации учетной записи – API-токены и ключи интеграции сохраняются непосредственно в настройках..
В публичном заявлении компании Fakturownia подтверждается, что несанкционированный доступ мог затрагивать данные учетных записей пользователей, информацию о подрядчиках, токены сессий и API, банковские счета и платежные данные.
Злоумышленник мог бы узнать суммы счетов и информацию об платежах.
Особенно важно то, что инцидент не ограничивается лишь предоставлением основных контактных данных.
Согласно уведомлению, они были скопированы. Суммы счетов-фактур – нетто, НДС и брутто, валюта, уже оплаченная сумма и оставшаяся сумма к оплате.. Это относится ко всем счетам-фактурам за весь период.
Если пользователь использовал сервис подключения счетов-фактур с банковским счетом, загруженные файлы также могли сохраняться в системе. остатки на банковских счетах.
Платежные данные могут также включать даты, суммы, названия переводов, имена отправителей и номера счетов — в той мере, в какой такая информация была доступна в системе.
Именно такой объем информации может повысить достоверность будущих попыток мошенничества.
Преступник, располагающий информацией о подрядчике, сумме задолженности или неоплаченном счете, может попытаться выдать себя за реальную компанию и отправить ложное требование об оплате с измененным номером счета.
В число скопированной информации также были включены данные подрядчиков.
Проблема касается не только предпринимателей, имеющих аккаунт в Fakturownia.
Компания проинформировала клиентов о том, что в случае с подрядчиками были добавлены до 16 октября 2024 года Среди прочего, можно было скопировать следующие элементы:
Названия компаний или имя и фамилия, налоговые идентификационные номера, адреса, адреса доставки, адреса электронной почты, номера телефонов, номера банковских счетов, примечания и данные, введенные в пользовательские поля.
В случае более старых документов область применения может быть еще шире.
Согласно информации, предоставленной компанией Fakturownia Полный текст счетов-фактур, выставленных до 22 марта 2021 года. Возможно, были скопированы. Это включает в себя данные продавца и покупателя, номер документа, даты, суммы, способ и срок оплаты, а также примечания.
В отношении счетов-фактур, выставленных начиная с 22 марта 2021 года, компания заявляет, что имя покупателя и номер счета-фактуры не были оплачены. Однако суммы и информация, содержащиеся в дополнительных полях и на дополнительных страницах документа, могли быть скопированы.
В разделе «Выставление счетов» содержится предупреждение о весьма вероятных мошеннических схемах.
Одним из наиболее серьезных последствий инцидента могут стать попытки мошенничества с использованием реальной информации из системы.
Система выставления счетов предупреждает пользователей о сообщениях и телефонных звонках от лиц, выдающих себя за других. банк, офис, расчетный центр или фактический подрядчик.
Подобные сообщения могут выглядеть гораздо более правдоподобно, чем типичные фишинговые атаки, поскольку мошенник может располагать реальной информацией о компании, счетах-фактурах или платежах.
Компания уделяет особое внимание возможности отправки поддельные счета-фактуры и требования об оплате, а также просьбы о переводе средств на измененный номер банковского счета..
Поэтому любое необычное сообщение об изменении учетной записи следует подтверждать непосредственно у подрядчика, используя ранее известный номер телефона, а не контактные данные, указанные в подозрительном сообщении.
Пароли не были записаны на видном месте. Но их нужно сменить.
Согласно отчетам, злоумышленник получил зашифрованные хеши паролей, а не пароли, записанные в открытом виде.
Несмотря на это, компания рекомендует немедленная смена пароля на Fakturownia. Если пользователь использовал тот же пароль на других сайтах, ему следует изменить его и там.
Компания также рекомендует сменить пароль для адреса электронной почты, связанного с учетной записью, и включить двухфакторную аутентификацию.
Пользователям также следует проверить список лиц, имеющих доступ к учетной записи, и, прежде всего, подтвердить его подлинность. Номер банковского счета указан в выставленных счетах-фактурах..
Утечка данных сертификатов и карт KSeF не произошла.
Сервис выставления счетов также указывает, какая информация не была собрана.
По данным компании, инцидент… не охватывали сертификаты KSeF. Данные для входа в онлайн-банкинг также не были разглашены, поскольку Fakturownia их не хранит, как и данные платежных карт.
Компания также гарантирует, что никакие данные, хранящиеся в рамках интеграций, настроенных в разделе «Интеграции и дополнения», не были перехвачены.
Министерство финансов также сообщило, что инцидент с компанией Fakturownia не означает нарушения безопасности данных, хранящихся в Национальной системе электронных счетов-фактур.
В счете-фактуре указано, что дело передано в Управление по защите персональных данных, в CERT Polska и в полицию.
Компания сообщила, что уведомила о взломе 29 сентября. Президент Управления по защите персональных данных, CERT Polska и Центрального бюро по борьбе с киберпреступностью.
Согласно хронологии, представленной компанией, первая блокировка адреса, использованного злоумышленником, произошла 28 сентября в 13:35. Уязвимость в приложении была устранена в 18:01.
Затем были изменены ключи приложений и пароли служб, трафик был перенаправлен на новые серверы, созданные с нуля, а старые серверы были отключены. Также были заменены токены API клиентов.
Согласно имеющимся данным Fakturownia, скопированные данные они еще не были опубликованы. Компания заявляет, что следит за ситуацией совместно с CERT Polska.
У компаний, использующих Fakturownia, также возникают проблемы.
Этот инцидент имеет еще один важный аспект, связанный с GDPR.
Система выставления счетов является администратором данных, относящихся к ее собственным пользователям, но в случае данных подрядчиков, хранящихся в системе у предпринимателей, она выступает в качестве обработчика данных. Контроллером этой информации остается владелец счета.
Это означает, что предприниматели, использующие Fakturownia, должны оценить риск нарушения прав и свобод лиц, данные которых хранились в их учетных записяхи решить, существует ли обязанность сообщить о нарушении Президенту Управления по защите персональных данных и уведомить конкретных лиц.
Управление по защите персональных данных (UODO) в своих рекомендациях по аналогичным инцидентам у обработчиков данных напоминает, что контролер должен провести анализ рисков и на этой основе определить свои обязательства в соответствии со статьями 33 и 34 GDPR.
Компания Invoicing объявила о запуске специальной панели для клиентов. Она будет содержать точный объем данных, извлеченных из конкретного аккаунта, количество записей, список лиц, пострадавших от утечки, предполагаемую категорию риска, а также проект уведомления для Президента Управления по защите персональных данных.
Однако компания подчеркивает, что предприятиям не нужно ждать начала работы комиссии. Первоначальный отчет о нарушении можно подать раньше, а затем дополнить его.
Вы используете Fakturownia? Вот на что вам сейчас нужно быть особенно осторожными.
Наибольшую практическую угрозу в случае подобной утечки может представлять не само разглашение информации, а ее последующее использование.
Пользователям, работающим с выставлением счетов, следует сменить пароль, включить двухфакторную аутентификацию, проверить, какие пользователи имеют доступ к их учетной записи, и подтвердить номера счетов в выставленных счетах.
В настоящее время следует проявлять особую осторожность при работе с сообщениями, касающимися просроченных платежей, новых счетов-фактур и запросов на изменение номеров банковских счетов.
Управление по защите персональных данных (UODO) также рекомендует людям, пострадавшим от утечек, проявлять большую осторожность в отношении текстовых сообщений, электронных писем и телефонных звонков, которые могут представлять собой фишинг или попытку получить дополнительную информацию.
В случае с Fakturownia риск особенно значителен, поскольку перехваченная информация может позволить преступникам создавать сообщения, содержащие реальные данные компании, подрядчика, счета или платежа.
Источник: Fakturownia.pl, UODO
© Nowiny Wschodnie. Публикация и распространение данного материала разрешены только при указании авторства и наличии активной ссылки на оригинальную статью.
Журналист и главный редактор информационного портала Nowiny Wschodnie, за которым в социальных сетях следят более 140 тысяч человек. Выпускник специальности «Журналистика и социальные коммуникации». С 2017 года участвует в создании и развитии Nowiny Wschodnie. Профессиональный опыт приобрёл, сотрудничая с местными и международными СМИ.
Специализируется на проверке информации, противодействии дезинформации и пропаганде, а также информационной безопасности. В своей работе фокусируется на Польше, Украине, Восточной Европе и польско-украинских отношениях. Также является основателем некоммерческой организации, работающей в сфере интеграции и межкультурного диалога.
Что вы думаете об этом материале?
Присоединяйтесь к обсуждению. Комментарии должны относиться к теме публикации.
Написать комментарий