Gawkowski: państwo będzie publicznie wskazywać firmy, które nie dbają o cyberbezpieczeństwo
Po wyciekach z MyDr i Medyc rząd zapowiada publiczne wskazywanie firm bez zabezpieczeń. Co zmiana podejścia oznacza dla zarządów firm.
Polska
Wyciek z Fakturowni: co wiemy po tygodniu i co musi zrobić Twoja firma
Ponad 600 tys. klientów, około 6 TB faktur, dane kontrahentów i numery kont. Podsumowujemy fakty o ataku na Fakturownię i podpowiadamy, jak ograniczyć skutki, w tym zgłoszenie do UODO.
Wyciek z Fakturowni to jeden z największych incydentów w polskim internecie w tym roku. Serwis do wystawiania faktur, z którego korzysta ponad 600 tysięcy klientów, potwierdził, że napastnik miał dostęp do jego serwerów. Minął tydzień. Oto, co wiemy i co powinna teraz zrobić Twoja firma.
Co się stało
Według informacji przekazanych przez firmę i opisanych przez CyberDefence24 włamanie trwało od 27 września (ok. 3:20) do 28 września (ok. 17:45). Napastnik znalazł lukę w szablonach faktur, a następnie dziurę w bibliotece generującej pliki PDF. Dzięki temu zdobył klucze, którymi serwis podpisuje sesje użytkowników. Sprawa wyszła na jaw 29 września, gdy sprawca, podpisujący się „Fingerprint”, sam skontaktował się z mediami.
Jakie dane wyciekły
Według komunikatów firmy i doniesień prasy zagrożone są:
- adresy e-mail, imiona i nazwiska, numery telefonów, identyfikatory kont,
- skróty haseł (z tzw. solą),
- dane kontrahentów i numery rachunków bankowych,
- faktury. Mowa o około 6 TB dokumentów, a dla około 2250 kont pobrano wszystkie dostępne dane z lat 2022–2026.
Nie wyciekły dane z Krajowego Systemu e-Faktur (KSeF), co potwierdziło Ministerstwo Finansów, ani dane kart płatniczych. Sprawą zajmują się CERT Polska i Centralne Biuro Zwalczania Cyberprzestępczości. Wyciek dotknął też francuski serwis VosFactures, który korzystał z Fakturowni technicznie.
Co musi zrobić Twoja firma
- Zmień hasło do Fakturowni i do skrzynki e-mail powiązanej z kontem, zwłaszcza jeśli hasło było używane gdzie indziej.
- Włącz logowanie dwuetapowe i sprawdź ustawienia konta, szczególnie numery rachunków bankowych na fakturach.
- Oceń obowiązek zgłoszenia do UODO. Fakturownia przetwarzała dane w Twoim imieniu, więc to Ty, jako administrator danych kontrahentów, oceniasz ryzyko. Na zgłoszenie naruszenia RODO daje 72 godziny od stwierdzenia naruszenia. W dniach 3–4 października formularze w serwisie biznes.gov.pl działały z przerwami. Jeśli nie udało się wysłać zgłoszenia, zachowaj dowody prób.
- Ostrzeż księgowość przed oszustwami. Prawdziwe faktury i dane kontrahentów to idealny materiał do podmiany numeru konta w „korekcie” albo w wiadomości „od dostawcy”. Każdą zmianę rachunku potwierdzaj telefonicznie, pod znanym wcześniej numerem.
Komentarz SecurHUB
Ten incydent dobrze pokazuje ryzyko łańcucha dostaw: dane Twojej firmy wyciekły, choć Twoje systemy nikt nie zaatakował. NIS2 i nowa ustawa o KSC wymagają, by oceniać bezpieczeństwo dostawców usług. W praktyce oznacza to wiedzieć, komu powierzamy dane, mieć z nim umowę powierzenia i plan na dzień, w którym to on padnie ofiarą ataku.
Pomagamy przeprowadzić ocenę naruszenia i przygotować zgłoszenie do UODO. Skontaktuj się z nami.
Źródła: CyberDefence24, dobreprogramy, RMF24, dlahandlu.pl
