Komunikat w sprawie naruszenia ochrony danych osobowych u naszego dostawcy systemu do fakturowania
Data publikacji: 02.10.2026 r.

Informujemy, że między 27 a 28 września 2026 r. doszło do włamania do systemów spółki Fakturownia sp. z o.o., z której usług korzystamy przy wystawianiu faktur. Osoba nieuprawniona skopiowała dużą część bazy danych serwisu. Według Fakturowni zdarzenie dotyczy wszystkich klientów tego serwisu, w tym naszego konta.

Kogo dotyczy. Naszych kontrahentów i klientów, którym wystawialiśmy faktury, osób wskazanych na fakturach jako odbiorca lub płatnik oraz osób, od których otrzymaliśmy wpłaty.

Jakie dane i z jakiego okresu. Według Fakturowni skopiowane zostały następujące dane, w zależności od daty ich wprowadzenia do systemu:
1) dane z kartoteki kontrahenta, wyłącznie jeżeli kontrahent został dodany do naszego konta przed 16 października 2024 r.: imię i nazwisko albo nazwa firmy, NIP, adres, adres dostawy, adres e-mail, numer telefonu, numer rachunku bankowego oraz wpisane przez nas notatki i pola własne; dla tych samych kontrahentów także link do panelu kontrahenta i, jeżeli ustawiono hasło do panelu, jego zaszyfrowany skrót;
2) kwoty z faktur z całego okresu, w którym korzystaliśmy z Fakturowni: kwoty netto, VAT i brutto według stawek, waluta, kwota zapłacona i pozostała do zapłaty;
3) dane dodatkowych stron faktury z całego okresu, np. odbiorcy lub płatnika: imię i nazwisko albo nazwa, NIP, adres, adres e-mail, numer telefonu, notatka oraz treść dodatkowych pól opisowych, w zakresie, w jakim pola te były wypełnione;
4) pełna treść faktur wystawionych przed 22 marca 2021 r.: sprzedawca, nabywca, numer, daty, kwoty, sposób i termin płatności, uwagi; nazwy towarów i usług, ilości i ceny wyłącznie z faktur wystawionych przed 6 czerwca 2019 r.; z faktur wystawionych od 22 marca 2021 r. nie skopiowano nazwy nabywcy ani numeru faktury;
5) dane o płatnościach bez ograniczenia okresu, w zakresie, w jakim zostały wprowadzone do systemu: daty, kwoty, tytuły przelewów oraz imię i nazwisko albo nazwa i numer rachunku nadawcy;
6) dane zaimportowane z plików (faktury, kontrahenci) w zakresie, w jakim zostały wprowadzone, oraz w większości zawartość importów i eksportów zleconych do 6 marca 2026 r.;
Według Fakturowni pobieranie danych postępowało od najstarszych zapisów i zostało przerwane, zanim objęło nowsze, dlatego zakres zależy od daty wprowadzenia danych. Daty graniczne ustalono na podstawie dzienników systemu i mogą one różnić się o kilkanaście dni.

W praktyce oznacza to, że osoby, które zostały naszymi kontrahentami od 16 października 2024 r., nie są objęte naruszeniem w zakresie danych z kartoteki kontrahenta, ale mogą być objęte w zakresie kwot z faktur, danych dodatkowych stron faktury i płatności.

Nie zostały skopiowane dane kart płatniczych ani dane logowania do banków. Według Fakturowni dane nie zostały dotychczas opublikowane.

Możliwe skutki. Dane mogą zostać wykorzystane do oszustw: fałszywych faktur, wezwań do zapłaty, próśb o przelew na zmieniony numer rachunku albo wiadomości podszywających się pod naszą firmę, bank, urząd lub innych kontrahentów. Takie wiadomości mogą zawierać prawdziwe dane i kwoty.

Co zrobiliśmy. Zabezpieczyliśmy dostęp do naszego konta, sprawdziliśmy jego ustawienia, zgłosiliśmy naruszenie Prezesowi Urzędu Ochrony Danych Osobowych i zawiadamiamy osoby, z którymi mamy kontakt e-mail. Fakturownia zablokowała dostęp sprawcy i analizuje zdarzenie wspólnie z CERT Polska.

Co zalecamy.
1) Zachowanie ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem Internetu czy telefonu;
2) Prosimy nie otwierać linków i załączników w nieoczekiwanych wiadomościach i nie podawać nikomu haseł, kodów weryfikacyjnych, kodów BLIK ani danych kart.
3) Podejrzane SMS-y można przesłać do CERT Polska na numer 8080. W razie podejrzenia oszustwa należy niezwłocznie skontaktować się z bankiem i Policją.
4) Przy telefonie „z banku”, „z urzędu” lub „z Fakturowni” rozłączyć się i oddzwonić na numer z oficjalnej strony. Prośbę „od przełożonego” o pilny przelew potwierdzić innym kanałem.
5) Nie zmieniamy numeru naszego rachunku bankowego. Każdą wiadomość o jego zmianie prosimy traktować jako próbę oszustwa i zgłosić nam telefonicznie pod numerem 517 268 821
6) Prośby o pilny przelew albo o zmianę numeru rachunku, także od innych firm, prosimy potwierdzać telefonicznie pod numerem znanym wcześniej. Przed przelewem warto sprawdzić rachunek firmy na białej liście podatników VAT.
7) Osoby, które ustawiły hasło w panelu kontrahenta Fakturowni i używają go także w innych serwisach, powinny zmienić je w tych serwisach.
8) Weryfikację występowania Państwa danych w bazie znanych wycieków danych, za pośrednictwem rządowego portalu https://bezpiecznedane.gov.pl.

Kontakt.
Kontakt. W sprawach dotyczących naruszenia i ochrony danych:
Martyna Stanek, e-mail: biuro@carbonestate.pl, tel. 577 600 878.
Justyna Pawlisz, e-mail: justyna.pawlisz@carbonestate.pl, tel. 517 268 821

Komunikat będziemy aktualizować, jeżeli Fakturownia przekaże nowe ustalenia.