Zawiadomienie o naruszeniu ochrony danych osobowych

Szanowni Państwo,

informujemy, że w związku z cyberatakiem na system fakturownia.pl, z którego usług korzystamy jako Humancare Polska Sp. z o.o.. w zakresie wystawiania faktur i prowadzenia dokumentacji kontrahentów, mogło dojść do naruszenia ochrony danych osobowych Państwa danych, które przetwarzamy w ramach naszej działalności.

Niniejsze zawiadomienie przekazujemy na podstawie art. 34 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

  1. Co się stało?

W dniu 28 września 2026 r. firma Fakturownia sp. z o.o. (ul. Juliana Smulikowskiego 6/8, 00-389 Warszawa; e-mail: tel. +48 22 398 7771) stwierdziła naruszenie ochrony danych osobowych w swoich systemach. Zgodnie z przekazanymi informacjami incydent ten został już zgłoszony Prezesowi Urzędu Ochrony Danych Osobowych, CERT Polska oraz Policji (Centralnemu Biuru Zwalczania Cyberprzestępczości).

Jako administrator danych, otrzymaliśmy informację na ten temat w dniu 1 października 2026 r. o godz. 20:08.

Zgodnie z przekazanymi informacjami nieuprawniona osoba uzyskała dostęp do systemów Fakturownia sp. z o.o. i skopiowała ona dane z bazy danych na własne serwery. Incydent ten trwał od 27 września 2026 r. (godz. 3:20) do 28 września 2026 r. (godz. ok. 17:45). Luka została usunięta 28 września
2026 r. o godz. 18:01.

Szczegółowe informacje na temat przebiegu incydentu znajdą Państwo fakturownia.pl/incydent. Pod ww. adresem Fakturownia sp. z o.o. opublikowała zawiadomienie, którego treść jest aktualizowana.

  1. Jakie dane mogły zostać naruszone?

Jako administrator danych osobowych informujemy, że w wyniku opisanego incydentu mogły zostać naruszone następujące kategorie Państwa danych, które zostały wprowadzone przez nas do systemu Fakturownia:

Kategoria danych Co pobrano
Kwoty z faktur: netto, VAT i brutto według stawek, waluta, kwota zapłacona

i pozostała do zapłaty

 faktury z całego okresu
Dodatkowe strony faktury (np. odbiorca, płatnik): nazwa lub imię i nazwisko, NIP, adres, e-mail, telefon, notatka; treść dodatkowych pól opisowych (np. „Uwagi”, „Odbiorca”, własne etykiety) faktury z całego okresu – w zakresie, w jakim pola były uzupełnione
Płatności: daty, kwoty, tytuły przelewów, nazwy i numery rachunków nadawców w zakresie, w jakim zostały wprowadzone
Produkty i cennik: nazwy, kody, opisy, ceny w całości
Dane zaimportowane z plików (faktury, kontrahenci, produkty) w zakresie, w jakim zostały wprowadzone

 

Powyższe kategorie mają charakter ogólny. Nie wszystkie wymienione dane musiały dotyczyć każdego kontrahenta ani zostać pobrane z naszego konta. Rzeczywisty zakres naruszenia dotyczący poszczególnych osób zależy od danych wprowadzonych przez nas do systemu oraz od zakresu naruszenia, który zostanie ustalony przez Fakturownia sp. z o.o. dla naszego konta.

Na moment kierowania do Państwa tej wiadomości Fakturownia sp. z o.o. nie udostępniła właścicielom kont paneli ze szczegółowymi informacjami o zakresie danych pobranych z danego konta. Po przeanalizowaniu tych danych w razie potrzeby przekażemy Państwu uzupełniające informacje. Zaznaczyć przy tym należy, że Fakturownia sp. z o.o. wskazała, że daty graniczne zostały ustalone na podstawie dzienników zapytań bazy danych i mogą się różnić o kilkanaście dni.

  1. Jakie są potencjalne konsekwencje naruszenia?

Zgodnie z informacjami przekazanymi przez Fakturownię sp. z o.o., do których się odwołujemy, możliwe konsekwencje naruszenia obejmują w szczególności:

  1. otrzymywanie wiadomości e-mail i telefonów od oszustów podszywających się pod naszą firmę, Fakturownia sp. z o.o., bank lub urząd, które mogą zawierać prawdziwe dane Państwa lub Państwa firmy i odnosić się do prawdziwych faktur;
  1. próby wyłudzenia pieniędzy, haseł, kodów autoryzacyjnych, kodów BLIK lub innych danych;
  2. otrzymywanie fałszywych faktur, wezwań do zapłaty lub próśb o przelew na zmieniony numer rachunku bankowego, wysyłanych w naszym imieniu lub od naszego rzekomego dostawcy;
  3. próby wykorzystania skopiowanego linku do panelu kontrahenta lub Państwa hasła w innych serwisach.

Uwzględniając zakres danych oraz ocenę przedstawioną przez Fakturownia sp. z o.o., uznajemy, że naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.

  1. Jakie są zalecane przez nas działania?

W związku z powyższym zalecamy:

  1. nieotwieranie linków i załącznikóww nieoczekiwanych wiadomościach, nawet jeśli zawierają one prawdziwe dane Państwa firmy lub nasze dane;
  1. niepodawanie haseł, kodów weryfikacyjnych, kodów BLIK ani danych kart ani nam, ani żadnemu innemu podmiotowi w odpowiedzi na nieoczekiwaną wiadomość;
  2. weryfikację każdej prośby o zmianę numeru rachunku bankowego lub wykonanie nietypowego przelewu poprzez kontakt telefoniczny na numer znany z wcześniejszej współpracy (nie z wiadomości, która budzi wątpliwości);
  3. sprawdzanie numerów rachunków bankowych na białej liście podatników VAT dostępnej na stronie Ministerstwa Finansów;
  4. rozłączenie się i oddzwonienie na numer z oficjalnej strony w przypadku telefonów „z banku”, „z urzędu” lub „od dostawcy”, które budzą wątpliwości;
  5. zgłoszenie podejrzanych SMS-ów do CERT Polska na numer 8080;
  6. zmianę hasła do panelu kontrahenta fakturownia.pl (jeśli Państwo je ustawili) oraz w innych serwisach, jeśli używali Państwo tego samego hasła.

W przypadku podejrzenia oszustwa lub nieuprawnionego przelewu prosimy o niezwłoczny kontakt z bankiem, zawiadomienie Policji i zachowanie wiadomości oraz innych dowodów.

  1. Jakie działania podjęliśmy?
  2. odnotowaliśmy datę i godzinę otrzymania zawiadomienia od Fakturowni sp. z o.o. (1 października 2026 r., godz: 20:08) w naszej dokumentacji naruszenia;
  1. zamierzamy zgłosić naruszenie ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych na podstawie art. 33 RODO;
  2. wdrożyliśmy wewnętrzne procedury weryfikacji nietypowych próśb o przelewy i zmiany danych kontrahentów;
  3. monitorujemy bieżące ustalenia publikowane przez Fakturownia sp. z o.o. na stronie fakturownia.pl/incydent, do czego zachęcamy również Państwa.
  1. Z kim mogą się Państwo kontaktować w tej sprawie?

W sprawach związanych z niniejszym zawiadomieniem prosimy o kontakt pod adresem e-mail: 

Dodatkowe informacje o incydencie dostępne są również u Inspektora Ochrony Danych Fakturowna sp. z o.o.: tel. +48 22 398 7771.

 

Z poważaniem,

Marcin Związek
Prezes Zarządu Humancare Polska Sp. z o.o.