В одній з популярних польських систем виставлення рахунків стався серйозний інцидент безпеки. Брокер рахунків-фактур повідомив клієнтів, що неавторизована особа зламала його системи та скопіювала значну частину бази даних. Скомпрометована інформація включала дані компанії та користувачів, банківські рахунки, платіжну інформацію, токени API та деякі дані клієнтів і рахунків-фактур. Компанія застерігає від шахрайських рахунків-фактур, спроб заміни номерів рахунків та фішингових атак.
Служба виставлення рахунків виявила несанкціонований доступ до своїх систем 28 вересня 2026 року. Спочатку компанія повідомила, що неавторизована особа мала доступ до даних користувачів та підрядників, а також до деяких документів. Відтоді компанія надала більш детальну інформацію в окремих повідомленнях, надісланих клієнтам.
«Неавторизована особа зламала наші системи та скопіювала значну частину бази даних, включаючи дані з вашого облікового запису», – йдеться у повідомленні Fakturownia, надісланому одному зі своїх клієнтів.
За даними компанії, несанкціонований доступ продовжувався з 27 вересня приблизно о 3:20 ранку до 28 вересня приблизно о 17:45.. Виправлення вразливості було заплановано на 28 вересня о 18:01.
У рахунку-фактурі подія визначена як порушення конфіденційності даних – інформація була скопійована неавторизованою особою.
Стався витік даних про компанії, користувачів та банківські рахунки
Обсяг перехопленої інформації широкий.
Згідно з повідомленням Fakturownia, скопійовані дані включали, серед іншого, назви компаній та користувачів, ідентифікаційні податкові номери, адреси, ім’я та прізвище, адреси електронної пошти, номери телефонів та ідентифікатори облікових записів.
У випадку даних, що зберігаються в окремих відділах компанії, витік також може включати номери банківських рахунків, IBAN, SWIFT та назви банків.
Також було скопійовано зашифровані хеші паролів користувачів. Фактуровня наголошує, що самі паролі не зберігалися у вигляді простого тексту.
Інцидент також стосувалося ідентифікаторів сеансу та – залежно від конфігурації облікового запису – Токени API та ключі інтеграції, збережені безпосередньо в налаштуваннях.
У публічній заяві Fakturownia підтверджується, що несанкціонований доступ міг стосуватися даних облікових записів користувачів, підрядників, токенів сеансів та API, банківських рахунків та платіжної інформації.
Зловмисник міг дізнатися суми рахунків-фактур та інформацію про оплату
Особливо важливо, щоб інцидент не обмежувався лише основними контактними даними.
Згідно з повідомленням, їх було скопійовано суми рахунків – нетто, ПДВ та брутто, валюта, вже сплачена сума та сума, що залишилася до сплати. Це стосується рахунків-фактур за весь період.
Якщо користувач використовував послугу підключення рахунків-фактур з банківським рахунком, завантаження також могли бути збережені в системі. залишки на банківських рахунках.
Дані про платежі також можуть включати дати, суми, назви переказів, а також імена відправників та номери рахунків – у тій мірі, в якій така інформація була доступна в системі.
Саме цей спектр інформації може підвищити достовірність майбутніх спроб шахрайства.
Злочинець, маючи інформацію про підрядника, суму заборгованості або неоплачений рахунок-фактуру, може спробувати видати себе за справжню компанію та надіслати фальшивий платіжний запит зі зміненим номером рахунку.
Дані підрядників також були включені до скопійованої інформації.
Проблема стосується не лише підприємців, які мають рахунок у Fakturownia.
Компанія повідомила клієнтів, що у випадку додавання підрядників до 16 жовтня 2024 року Серед іншого, можна було скопіювати такі елементи:
назви компаній або ім’я та прізвище, ідентифікаційні податкові номери, адреси, адреси доставки, адреси електронної пошти, номери телефонів, номери банківських рахунків, примітки та дані, введені в користувацькі поля.
Для старіших документів обсяг може бути ще ширшим.
Згідно з інформацією, наданою Fakturownia повний текст рахунків-фактур, виданих до 22 березня 2021 року можливо, було скопійовано. Це включає дані продавця та покупця, номер документа, дати, суми, спосіб та термін оплати, а також примітки.
Для рахунків-фактур, виписаних з 22 березня 2021 року, компанія заявляє, що ім’я покупця та номер рахунку-фактури не були зібрані. Однак, суми та інформація, що містяться в додаткових полях та на додаткових сторінках документа, могли бути скопійовані.
Виставлення рахунків застерігає від дуже правдоподібних шахрайств
Одним із найсерйозніших наслідків інциденту можуть бути спроби шахрайства з використанням реальної інформації із системи.
Виставлення рахунків попереджає користувачів про повідомлення та телефонні дзвінки від людей, які видають себе за інших банк, офіс, відділ виставлення рахунків-фактур або фактичний підрядник.
Такі повідомлення можуть виглядати набагато правдоподібніше, ніж типовий фішинг, оскільки шахрай може мати реальну інформацію про компанію, рахунки-фактури чи платежі.
Компанія приділяє особливу увагу можливості відправлення фальшиві рахунки-фактури та вимоги щодо оплати, а також прохання здійснити переказ коштів на змінений номер банківського рахунку.
Тому будь-яке незвичне повідомлення про зміну облікового запису слід підтверджувати безпосередньо у підрядника, використовуючи раніше відомий номер телефону, а не контактні дані, вказані в підозрілому повідомленні.
Паролі не були записані на видноті. Але їх потрібно змінити.
У звіті Invoices зазначено, що зловмисник отримав зашифровані хеші паролів, а не паролі, написані у звичайному тексті.
Незважаючи на це, компанія рекомендує негайна зміна пароля на Fakturownia. Якщо користувач використовував той самий пароль на інших веб-сайтах, йому також слід змінити його там.
Компанія також рекомендує змінити пароль для адреси електронної пошти, пов’язаної з обліковим записом, та ввімкнути двофакторну автентифікацію.
Користувачам також слід перевірити список осіб, які мають доступ до облікового запису, і, перш за все, підтвердити номер банківського рахунку, що відображається у виписаних рахунках-фактурах.
Сертифікати KSeF та дані карток не витікали
У сервісі виставлення рахунків також вказується, яка інформація не була зібрана.
За даними компанії, інцидент не покривав сертифікати KSeF. Дані для входу в онлайн-банкінг також не були розголошені, оскільки Fakturownia їх не зберігає, як і дані платіжних карток.
Компанія також гарантує, що жодні дані, що зберігаються в рамках інтеграцій, налаштованих у розділі «Інтеграції та доповнення», не були передані.
Міністерство фінансів також повідомило, що інцидент щодо Фактуровні не означає порушення безпеки даних, що зберігаються в Національній системі електронних рахунків-фактур.
Рахунок-фактура повідомив про це Управління захисту персональних даних, CERT Polska та поліцію.
Компанія заявила, що повідомила про порушення 29 вересня. Президент Управління захисту персональних даних, CERT Polska та Центрального бюро боротьби з кіберзлочинністю.
Згідно з хронологією, представленою компанією, перше блокування адреси, яку використовував зловмисник, сталося 28 вересня о 13:35. Вразливість у застосунку була закрита о 18:01.
Потім було змінено ключі програм та паролі служб, трафік переміщено на нові сервери, створені з нуля, а старі сервери вимкнено. Також було замінено токени клієнтського API.
Згідно з поточними знаннями Фактуровнії, скопійовані дані ще не були оприлюднені. Компанія заявляє, що стежить за ситуацією разом із CERT Polska.
Компанії, що використовують Fakturownia, також мають проблеми.
Цей інцидент має ще один важливий аспект, пов’язаний з GDPR.
Виставлення рахунків є адміністратором даних, що стосуються його власних користувачів, але у випадку даних підрядників, що зберігаються підприємцями в системі, воно виступає в ролі обробника. Контролером цієї інформації залишається власник облікового запису.
Це означає, що підприємці, які користуються послугами Fakturownia, повинні оцінити ризик порушення прав і свобод осіб, чиї дані зберігалися в їхніх облікових записах, та вирішити, чи існує зобов’язання повідомляти про порушення Голові Управління із захисту персональних даних та інформувати конкретних осіб.
Управління із захисту персональних даних (UODO) у своїх рекомендаціях щодо аналогічних інцидентів у обробників нагадує, що контролер повинен провести аналіз ризиків і на цій основі визначити свої зобов’язання згідно зі статтями 33 та 34 GDPR.
Компанія Invoicing оголосила про запуск спеціальної панелі для клієнтів. Вона міститиме точний обсяг даних, отриманих з конкретного облікового запису, кількість записів, список осіб, яких торкнулося порушення, запропоновану категорію ризику та проєкт повідомлення для президента Управління захисту персональних даних.
Однак компанія наголошує, що підприємствам не потрібно чекати на запуск комісії. Початковий звіт про порушення можна подати раніше, а потім доповнити.
Ви використовуєте Фактуровнію? Ось на що вам потрібно бути особливо обережними зараз.
Найбільшою практичною загрозою після такого витоку може бути не саме розголошення інформації, а її подальше використання.
Користувачам рахунків-фактур слід змінити свій пароль, увімкнути двофакторну автентифікацію, перевірити, які користувачі мають доступ до їхнього облікового запису, та перевірити номери рахунків у своїх рахунках-фактурах.
Тепер потрібна особлива обережність під час роботи з повідомленнями щодо прострочених платежів, нових рахунків-фактур та запитів на зміну номерів банківських рахунків.
Управління із захисту персональних даних (UODO) також рекомендує людям, які постраждали від витоків інформації, бути обережнішими щодо текстових повідомлень, електронних листів та телефонних дзвінків, які можуть являти собою фішинг або спробу отримання додаткової інформації.
У випадку з Fakturownia ризик є особливо значним, оскільки перехоплена інформація може дозволити злочинцям створювати повідомлення, що містять реальні реквізити компанії, підрядника, рахунку або платежу.
Джерело: Fakturownia.pl, UODO
© Новини Сходу. Публікація та поширення цього матеріалу дозволено лише із зазначенням автора та активним посиланням на оригінальну статтю.
Журналіст і головний редактор інформаційного порталу Nowiny Wschodnie, за яким у соціальних мережах стежать понад 140 тисяч людей. Випускник спеціальності «Журналістика та соціальні комунікації». З 2017 року співтворить і розвиває Nowiny Wschodnie. Професійний досвід здобував, співпрацюючи з місцевими та міжнародними медіа.
Спеціалізується на перевірці інформації, протидії дезінформації та пропаганді, а також інформаційній безпеці. У своїй роботі зосереджується на Польщі, Україні, Східній Європі та польсько-українських відносинах. Також є засновником неприбуткової організації, що працює у сфері інтеграції та міжкультурного діалогу.
Що ви думаєте про цей матеріал?
Долучайтеся до розмови. Коментарі мають стосуватися теми публікації.
Написати коментар