Інцидент безпеки - оновлення № 1 від 2 жовтня 2026 року
Оновлення № 1, опубліковано 2 жовтня 2026 року. Попереднє повідомлення від 29 вересня 2026 року наведено внизу цієї сторінки. Кожне оновлення ми позначатимемо номером і датою.
Коротко
- 28 вересня 2026 року ми встановили порушення захисту персональних даних. Неуповноважена особа отримала доступ до наших систем і скопіювала значну частину бази даних на власні сервери. Несанкціонований доступ тривав приблизно з 3:20 27 вересня 2026 року до приблизно 17:45 28 вересня 2026 року (центральноєвропейський літній час).
- Інцидент стосується кожного облікового запису в сервісі, у тому числі кожного облікового запису в BitFaktura. Докладний обсяг скопійованих даних разом із граничними датами описано нижче.
- 2 жовтня 2026 року ми розпочали надсилання індивідуальних повідомлень електронною поштою власникам усіх облікових записів та іншим користувачам цих облікових записів. Подробиці - у розділі «Повідомлення електронною поштою».
- Що зробити зараз: установіть новий пароль, внесіть нові ключі API у своїх інтеграціях і підтверджуйте телефоном кожне прохання змінити номер банківського рахунку, користуючись номером, який ви знали раніше.
Повідомлення електронною поштою
2 жовтня 2026 року ми розпочали надсилання двох видів повідомлень:
- власники облікових записів отримують повідомлення із заголовком «Повідомлення про порушення захисту персональних даних». Для них це водночас повідомлення про порушення щодо їхніх власних даних (стаття 34 GDPR) і повідомлення про порушення щодо даних, які вони довірили нам як контролери (стаття 33(2) GDPR);
- інші користувачі облікового запису отримують повідомлення про порушення захисту їхніх власних персональних даних як користувачів сервісу.
Через кількість одержувачів надсилання може тривати кілька годин. Якщо ви не отримаєте повідомлення, перевірте теку зі спамом. Найближчими днями ви також зможете прочитати повідомлення після входу у свій обліковий запис.
Крім того, ми надаємо власникам облікових записів панель у застосунку з докладною інформацією: категорії даних, діапазони дат і кількість записів.
Як розпізнати справжнє повідомлення від нас
Наші повідомлення ніколи не містять:
- вкладень із рахунками чи підтвердженнями, а також жодних файлів, які потрібно відкрити або запустити;
- прохання надати пароль, код із SMS, код двоетапної перевірки або дані платіжної картки;
- прохання увійти в систему через посилання, щоб «підтвердити обліковий запис» чи «відновити доступ».
Ми ніколи не просимо пароль - ні електронною поштою, ні телефоном, ні в чаті. Не покладайтеся на ім’я відправника, яке показує ваша поштова скринька, бо його можна підробити. Якщо повідомлення викликає будь-які сумніви, не натискайте посилання в ньому. Відкрийте bitfaktura.ua самостійно, ввівши адресу в браузері, і перевірте повідомлення у своєму обліковому записі. Усе важливе від нас доступне також після входу в систему.
Що сталося?
Неуповноважена особа отримала доступ до наших систем і скопіювала дані з бази даних на власні сервери. Вид порушення: порушення конфіденційності, тобто дані були скопійовані. Ми аналізуємо інцидент разом із CERT Polska - національною групою реагування на інциденти комп’ютерної безпеки в Польщі.
Що ми зробили?
Усі години подано за центральноєвропейським літнім часом.
- 28 вересня 2026 року, 13:35 - перше блокування адреси зловмисника;
- 28 вересня 2026 року, 18:01 - усунення вразливості в застосунку, що відрізало доступ зловмиснику;
- 28 вересня 2026 року, з 18:56 до 20:14 - змінено ключі застосунку та сервісні паролі;
- 28 вересня 2026 року, з 20:44 до 21:51 - трафік перенесено на нові сервери, побудовані з нуля, старі вимкнено, викрадені ключі деактивовано;
- 28 вересня 2026 року, 23:10 - панель клієнта тимчасово заблоковано;
- з 23:50 28 вересня 2026 року до 4:03 29 вересня 2026 року - замінено токени API клієнтів. Наявні ключі API тепер працюють лише з IP-адрес, якими раніше користувалися користувачі облікового запису;
- 29 вересня 2026 року, 2:35 - додаткові засоби захисту генератора файлів PDF;
- 29 вересня 2026 року - про порушення повідомлено Голову Управління із захисту персональних даних у Польщі (UODO), який є провідним наглядовим органом для компанії Fakturownia sp. z o.o., а про інцидент повідомлено CERT Polska та підрозділ поліції з боротьби з кіберзлочинністю;
- 29 вересня 2026 року - поінформовано Інспектора із захисту даних і оцінено ризик для осіб;
- 1 жовтня 2026 року - розпочато індивідуальні повідомлення електронною поштою;
- 1 жовтня 2026 року - про порушення повідомлено Управління із захисту персональних даних у Чехії (ÚOOÚ), яке є провідним наглядовим органом для компанії BitFaktura s.r.o.;
- 2 жовтня 2026 року - розпочато індивідуальні повідомлення електронною поштою для клієнтів BitFaktura.
Які дані було скопійовано?
Для кожної категорії ми зазначаємо, хто є контролером (володільцем) даних і який період охопило копіювання. (a) BitFaktura означає дані облікового запису та його користувачів, контролером яких є оператор сервісу. (b) Клієнт означає дані контрагентів та інших осіб, які клієнт вніс в обліковий запис і довірив нам для обробки як їхній контролер.
| Категорія даних | Контролер | Що було скопійовано |
|---|---|---|
| Дані компанії та користувачів: назва компанії, податковий ідентифікаційний номер, адреса, імена та прізвища, адреси електронної пошти й номери телефонів користувачів, ідентифікатор облікового запису | (a) Fakturownia sp. z o.o. | повністю, якщо були внесені |
| Дані підрозділу: адреса, податковий ідентифікаційний номер, назва банку, номер рахунку, IBAN, SWIFT | (a) Fakturownia sp. z o.o. | повністю, якщо були внесені |
| Хешовані паролі користувачів (паролі не зберігалися у відкритому вигляді) | (a) Fakturownia sp. z o.o. | повністю |
| Токени API та ключі інтеграцій, що зберігалися безпосередньо в налаштуваннях облікового запису | (a) Fakturownia sp. z o.o. | повністю, залежно від використовуваних інтеграцій |
| Ідентифікатори сесій | (a) Fakturownia sp. z o.o. | повністю |
| Суми рахунків: нетто, ПДВ і брутто за ставками, валюта, сплачена сума та сума до сплати | (a) Fakturownia sp. z o.o. (b) Клієнт | рахунки за весь період |
| Баланси банківських рахунків, отримані через функцію підключення банківського рахунку | (a) Fakturownia sp. z o.o. | повністю, лише там, де інтеграція була активна |
| Контрагенти: назва або ім’я та прізвище, податковий ідентифікаційний номер, адреса, адреса доставки, електронна пошта, телефон, номер банківського рахунку, примітка, власні поля | (b) Клієнт | лише контрагенти, додані до 16 жовтня 2024 року |
| Панель контрагента: посилання для доступу та, якщо контрагент його встановив, хеш пароля | (b) Клієнт | лише контрагенти, додані до 16 жовтня 2024 року |
| Додаткові сторони рахунку (наприклад, одержувач, платник): назва або ім’я та прізвище, податковий ідентифікаційний номер, адреса, електронна пошта, телефон, примітка; вміст додаткових полів опису (наприклад, «Примітки», «Одержувач», власні назви полів) | (b) Клієнт | рахунки за весь період, у тому обсязі, в якому поля були заповнені |
| Повний вміст рахунків: продавець, покупець, номер, дати, суми, спосіб оплати та термін оплати, примітки | (b) Клієнт | лише рахунки, видані до 22 березня 2021 року |
| Позиції рахунків: назви товарів, кількості, ціни | (b) Клієнт | лише рахунки до 6 червня 2019 року |
| Платежі: дати, суми, призначення переказів, імена та номери рахунків відправників | (b) Клієнт | у тому обсязі, в якому вони були внесені |
| Товари та прайс-лист: назви, коди, описи, ціни | (b) Клієнт | повністю |
| Дані, імпортовані з файлів (рахунки, контрагенти, товари) | (b) Клієнт | у тому обсязі, в якому вони були внесені |
| Вміст експортів та імпортів, замовлених у системі | (b) Клієнт | замовлені до 6 березня 2026 року, у переважній частині |
| Складські документи | (b) Клієнт | лише до 14 липня 2023 року |
| Складські операції | (b) Клієнт | лише до 16 травня 2022 року |
| Історія активності облікового запису | (a) Fakturownia sp. z o.o. | лише до 24 листопада 2021 року |
| Інформація про вкладення: назва, тип, розмір, дата | (b) Клієнт | лише файли, додані до 6 листопада 2025 року |
Граничні дати ми встановили на підставі журналів запитів до бази даних; вони можуть відрізнятися до кількох тижнів. Копіювання найбільших наборів даних відбувалося від найстаріших записів і було перерване, перш ніж дійшло до новіших. Для рахунків, виданих 22 березня 2021 року або пізніше, не було скопійовано ні назви покупця, ні номера рахунку.
Інші користувачі облікових записів: було скопійовано їхню адресу електронної пошти та хеш пароля, а також, якщо були вказані, ім’я та прізвище, номер телефону й ідентифікатор облікового запису.
Близько 2 250 облікових записів: з цих облікових записів було скопійовано всі доступні в системі дані за 2022-2026 роки, до дати, яка для кожного облікового запису різна. Власники цих облікових записів отримують повідомлення з інформацією, специфічною для їхнього облікового запису.
Що не було скопійовано і що ми ще встановлюємо?
Не було скопійовано:
- дані для входу в банк, яких сервіс не зберігає;
- дані платіжних карток, яких сервіс не зберігає;
- вміст рахунків, виданих 22 березня 2021 року або пізніше, крім сум, додаткових полів опису та даних додаткових сторін;
- дані контрагентів, доданих 16 жовтня 2024 року або пізніше.
Наскільки нам відомо, дані, охоплені порушенням, досі не були опубліковані. Ми відслідковуємо це разом із CERT Polska. Нові встановлені факти ми публікуватимемо на цій сторінці та в подальших повідомленнях електронною поштою.
Що потрібно зробити зараз
Нижче ми описуємо, що може статися. Це не означає, що це вже сталося.
| Що може статися | Що ми рекомендуємо |
|---|---|
| Повідомлення та телефонні дзвінки від шахраїв, які видають себе за BitFaktura, банк, державний орган, контрагента або роботодавця. Вони можуть виглядати переконливо, бо містять справжні дані компанії, рахунків і платежів. | Не відкривайте посилання та вкладення в неочікуваних повідомленнях. Ніколи і нікому не повідомляйте паролі, коди перевірки чи дані платіжної картки. Якщо хтось телефонує, представляючись працівником банку, державного органу або нашим працівником, завершіть розмову і зателефонуйте самостійно на номер, опублікований на офіційному сайті цієї установи. Прохання «від керівника» про термінове перерахування коштів підтвердьте іншим каналом. Про підозрілі повідомлення інформуйте групу реагування на інциденти комп’ютерної безпеки у своїй країні. |
| Спроби перехоплення вашого облікового запису, а якщо ви використовували той самий пароль - також облікових записів в інших сервісах. | Установіть новий пароль до свого облікового запису BitFaktura (як це зробити). Змініть пароль в інших сервісах, якщо він був такий самий. Перегляньте список користувачів і налаштування облікового запису. Ми також рекомендуємо увімкнути двоетапну перевірку (як це зробити). |
| Використання викрадених ключів для доступу до вашого облікового запису через інтеграцію. | Внесіть нові ключі API у своїх інтеграціях. |
| Фальшиві рахунки, вимоги оплати та прохання перерахувати кошти на змінений банківський рахунок, надіслані від імені вашої компанії або до вашої компанії «від постачальника». Шахраї знають суми і знають, які рахунки не оплачені. | Кожне прохання змінити номер банківського рахунку та кожен незвичайний переказ підтверджуйте з контрагентом телефоном, користуючись номером, який ви знали раніше, а не номером із підозрілого повідомлення. Якщо у вашій країні діє офіційний реєстр платників податків або банківських рахунків, перевіряйте в ньому номери рахунків своїх контрагентів, а також перевіряйте номери рахунків, зазначені на ваших власних рахунках у застосунку. |
Якщо ви підозрюєте шахрайство або несанкціонований переказ, негайно зв’яжіться зі своїм банком. Якщо ви підозрюєте злочин, повідомте поліцію та збережіть повідомлення й інші докази. Повідомте також нам про будь-яку спробу використання даних, охоплених порушенням.
Інформація для компаній, які є контролерами даних
Цей розділ стосується компаній, які підлягають GDPR, тобто, зокрема, ведуть діяльність у Європейському Союзі або спрямовують свою пропозицію до нього. Якщо ваша компанія не підлягає GDPR, застосовуйте законодавство про захист персональних даних своєї країни.
Щодо даних групи (b), тобто даних контрагентів та інших осіб, внесених в обліковий запис, контролером є клієнт, а ми обробляємо ці дані за дорученням клієнта на підставі договору про обробку даних, який є частиною наших умов. Повідомлення електронною поштою «Повідомлення про порушення захисту персональних даних», яке ви найближчим часом отримаєте, є в цій частині повідомленням про порушення контролеру (стаття 33(2) GDPR). Ми надаємо інформацію поетапно (стаття 33(4) GDPR): найближчими днями ми надамо у вашому обліковому записі панель з докладною інформацією щодо цього облікового запису, яка охоплює категорії даних, діапазони дат і кількість записів, що також полегшить інформування ваших контрагентів.
Як контролер цих даних ви оцінюєте ризик і вирішуєте, чи і яким чином повідомляти осіб, яких це стосується. Щодо даних, контролером яких є ми, ми оцінили ризик як високий: обсяг даних широкий, а кількість осіб дуже велика. Ви можете використати це як орієнтир для власної оцінки. Ризики для третіх осіб і кроки, які ви можете розглянути, зокрема інформування контрагентів про ризик видавання себе за іншу особу та фальшивих вимог оплати, а також зміну паролів до панелі контрагента, які використовувалися й в інших місцях, описано в повідомленні електронною поштою № 1.
72-годинний строк для повідомлення вашого наглядового органу починається з моменту, коли ви дізналися про порушення. Згідно з настановами EDPB (Європейської ради із захисту даних) 9/2022 (пункт 44) контролер, як правило, вважається таким, що дізнався, у момент, коли його поінформував процесор (розпорядник персональних даних). Якщо, однак, ви мали достатню впевненість щодо інциденту раніше, наприклад з нашого повідомлення від 29 вересня 2026 року, строк міг почати спливати раніше. Ви можете подати попереднє повідомлення на підставі повідомлення електронною поштою № 1 і доповнити його пізніше.
Контакт
- Контролер (володілець) даних: Fakturownia sp. z o.o., Варшава, Польща, податковий номер (NIP) PL5213704420.
- Інспектор із захисту даних: [email protected]
- Питання від контролерів даних та всі інші питання щодо інциденту: скористайтеся контактною формою внизу цієї сторінки.
Нам шкода, що виникла ця ситуація. Ми й далі публікуватимемо нові встановлені факти на цій сторінці та позначатимемо кожне оновлення номером і датою.
Часті запитання
Чи торкнулося порушення в BitFaktura моїх даних?
Так. Інцидент стосується кожного облікового запису в сервісі. Те, що саме було скопійовано, різниться залежно від категорії даних і дати; таблиця вище показує обсяг і граничні дати. Власники облікових записів отримують індивідуальне повідомлення електронною поштою і знайдуть докладну інформацію щодо свого облікового запису в застосунку.
Чи витекли паролі у відкритому вигляді?
Ні. Паролі зберігалися у вигляді хешів, а не у відкритому вигляді, і скопійовано було саме хеші. Ми все одно рекомендуємо встановити новий пароль, змінити його всюди, де ви використовували такий самий, та увімкнути двоетапну перевірку.
Чи витекли мої рахунки?
Повний вміст рахунків було скопійовано лише для рахунків, виданих до 22 березня 2021 року, а позиції рахунків - лише для рахунків до 6 червня 2019 року. Суми рахунків було скопійовано за весь період. Для рахунків, виданих 22 березня 2021 року або пізніше, не було скопійовано ні назви покупця, ні номера рахунку.
Я отримав лист про порушення. Чи він справжній?
Наші повідомлення ніколи не містять вкладень, ніколи не просять пароль, код із SMS або код двоетапної перевірки чи дані платіжної картки і ніколи не просять увійти через посилання, щоб підтвердити обліковий запис. Не покладайтеся на ім’я відправника, бо його можна підробити. Якщо маєте сумніви, самостійно введіть bitfaktura.ua у браузері та перевірте повідомлення після входу в систему.
Що мені зробити зараз?
Установіть новий пароль до свого облікового запису, змініть його в інших сервісах, якщо він був такий самий, увімкніть двоетапну перевірку, перегляньте список користувачів і налаштування облікового запису, внесіть нові ключі API у своїх інтеграціях і підтверджуйте телефоном кожне прохання змінити номер банківського рахунку, користуючись номером, який ви знали раніше.
Моя компанія є контролером даних. Що це означає для мене?
Щодо даних контрагентів та інших осіб, які ви внесли у свій обліковий запис, ви є контролером, а ми - процесором (розпорядником персональних даних). Повідомлення електронною поштою є повідомленням про порушення вам як контролеру згідно зі статтею 33(2) GDPR. Ви оцінюєте ризик і вирішуєте, чи повідомляти осіб, яких це стосується. Панель із докладною інформацією щодо вашого облікового запису, зокрема категоріями даних, діапазонами дат і кількістю записів, буде доступна найближчими днями.
Чи безпечно далі користуватися сервісом?
Так. Доступ зловмисника було відрізано 28 вересня 2026 року, трафік перенесено на нові сервери, побудовані з нуля, викрадені ключі деактивовано, ключі застосунку та сервісні паролі змінено, а токени API клієнтів замінено. Наявні ключі API тепер працюють лише з IP-адрес, якими раніше користувалися користувачі облікового запису.
Маєте запитання щодо інциденту?
Якщо хочете перевірити, чи стосується це вашого облікового запису, або потрібна допомога із захистом, напишіть нам. Тим самим каналом можна надіслати запитання щодо обробки ваших персональних даних.
Попередня версія: повідомлення від 29 вересня 2026 року
Це повідомлення від 29 вересня 2026 року, яке ми зберігаємо для повноти. Деякі його висновки виправлено оновленням № 1 вище, зокрема обсяг даних рахунків і даних контрагентів.
Опубліковано 30 вересня 2026 року. Ми оновлюватимемо цю сторінку, щойно з'ясуємо нові обставини.
28 вересня 2026 року ми виявили неправомірний доступ до серверів системи виставлення рахунків, на якій працює BitFaktura. Внаслідок інциденту стороння особа мала змогу переглядати дані облікових записів наших користувачів, дані контрагентів і документи, створені за допомогою сервісу.
Ми розуміємо, що така новина може занепокоїти, тому хочемо передати вам усю інформацію, яку маємо на цей момент. Також пояснюємо, що ви можете зробити для додаткового захисту своїх даних. Водночас запевняємо, що інцидент не торкнувся даних, які зберігаються в межах наших інтеграцій і додатків.
Що сталося?
Стороння особа скористалася вразливістю в системі, наслідком чого став неправомірний доступ до частини даних. Після виявлення події ми заблокували доступ цій особі, розпочали ротацію ключів і паролів та запустили нові сервери застосунку. Разом із зовнішніми фахівцями з безпеки ми продовжуємо аналізувати ситуацію.
Наразі нам відомо, що:
- неправомірний доступ міг охоплювати дані облікових записів усіх користувачів, їхніх контрагентів і рахунків, виставлених до 2023 року - масштаб витоку ми ще встановлюємо
- не сталося порушення у сфері інтеграцій та даних платіжних карток
- за нашими відомостями, рахунки, виставлені після 2023 року, внаслідок інциденту не витекли
- стороння особа не видалила жодних даних, що зберігаються в наших системах
Що ми зробили?
- виконуємо ротацію ключів застосунку та паролів сервісів
- запустили нові сервери застосунку й відрізали доступ стороннім особам
- разом із зовнішніми фахівцями з безпеки розпочали аналіз інциденту та запровадили низку додаткових засобів захисту
- повідомили про інцидент поліцію (Центральне бюро боротьби з кіберзлочинністю), CERT Polska та Голову Управління охорони персональних даних (UODO), який є провідним наглядовим органом для нашої компанії
Які дані могли постраждати?
Зі встановленого на цей час випливає, що стороння особа могла мати доступ до таких даних:
- дані облікових записів компаній і користувачів, зокрема хеші паролів
- токени сесій, API-токени та токени інтеграцій, що генеруються на нашому боці
- банківські рахунки, дані про платежі
- дані контрагентів (усі) та дані з рахунків (частково)
- системні ключі та паролі застосунку
Якщо подальший аналіз принесе нові висновки, ми невідкладно оновимо це повідомлення.
Що ми рекомендуємо?
Щоб додатково захистити свій обліковий запис, радимо:
- змінити пароль до облікового запису в BitFaktura - як це зробити
- змінити пароль до поштової скриньки, пов'язаної з обліковим записом BitFaktura, а також до інших сервісів, де ви використовуєте той самий пароль
- увімкнути двоетапну перевірку - як це зробити
- перевірити налаштування облікового запису, зокрема номер банківського рахунку, що вказується на рахунках, і перелік користувачів, які мають доступ
- відкликати та згенерувати заново API-токени, якщо ви користуєтесь інтеграціями
Якими можуть бути наслідки? Будьте пильні
Можливо, найближчим часом ви отримаєте електронні листи, SMS або дзвінки від осіб, які видають себе за відомі установи - банк, державну установу, кур'єрську компанію, BitFaktura або ваших контрагентів. Такі повідомлення часто створюють тиск часу й спонукають діяти швидко. Просимо вас:
- обережно ставитися до посилань і вкладень в електронних повідомленнях
- не повідомляти паролів, кодів підтвердження чи даних платіжних карток - ні у відповіді, ні на сторінці, відкритій за посиланням, ні телефоном. BitFaktura у таких випадках ніколи не просить назвати пароль
- перевіряти адресу відправника - наші повідомлення ми надсилаємо виключно з домену bitfaktura.ua; звертайте увагу на оманливо схожі адреси, наприклад із додатковими словами або з помилками
- якщо телефонує особа, яка представляється працівником банку чи установи, завершіть розмову й самостійно зателефонуйте за номером, указаним на офіційному сайті установи
- з обережністю ставитися до прохань змінити номер банківського рахунку - таку зміну варто підтвердити у контрагента телефоном за відомим вам номером
- повідомляти нам про підозрілі листи через контактну форму, а також розглянути повідомлення до національної команди реагування на кіберінциденти
Ми й далі встановлюємо, яких клієнтів стосується витік. Кожного з них найближчим часом повідомимо безпосередньо.
Просимо вибачення за цю ситуацію. Безпека ваших даних є для нас пріоритетом, тому ми з'ясовуємо справу з повною віддачею. Про подальші висновки інформуватимемо на цій сторінці.