Ataque à Fakturownia pode expor dados de empresas e clientes na Polônia
A Fakturownia, plataforma de faturamento eletrônico utilizada por mais de 600 mil empresas na Polônia, investiga um ataque cibernético que pode ter permitido o acesso a informações de usuários, clientes e parceiros comerciais. A companhia ainda não divulgou quantas organizações foram afetadas nem confirmou a extensão total do incidente.
Segundo a empresa, um invasor não identificado explorou uma vulnerabilidade nos sistemas e obteve acesso indevido a servidores. Entre os dados que podem ter sido expostos estão informações de contas pessoais e empresariais, hashes de senhas, dados bancários e tokens usados para autenticação ou integração com outros serviços. Também existe a possibilidade de acesso a faturas emitidas antes de 2023.
A Fakturownia informou que os dados de cartões de pagamento não foram comprometidos. A empresa também declarou que as informações armazenadas por meio das integrações da plataforma permaneceram protegidas. Essas afirmações dizem respeito às categorias de dados mencionadas pela companhia; a apuração ainda está em andamento.
O caso chamou atenção devido à conexão da plataforma com o Krajowy System e-Faktur (KSeF), o sistema nacional de faturamento eletrônico administrado pelas autoridades fiscais polonesas e obrigatório para muitas empresas. O Ministério das Finanças afirmou que, até o momento, a análise não encontrou sinais de violação da segurança do KSeF nem vazamento de dados mantidos diretamente pelo sistema. A Fakturownia acrescentou que os certificados digitais utilizados para acessar o serviço também não foram afetados.
A invasão foi identificada em uma segunda-feira, segundo a empresa. Depois de detectar a atividade não autorizada, a plataforma bloqueou o acesso do invasor, iniciou a substituição de senhas e chaves de aplicações e colocou novos servidores em funcionamento. Especialistas externos em segurança digital foram chamados para apoiar a investigação.
O incidente também foi comunicado às autoridades polonesas responsáveis por cibersegurança e proteção de dados. O ministro de Assuntos Digitais, Krzysztof Gawkowski, afirmou que o governo trabalha para esclarecer como ocorreu o ataque e identificar quem está por trás dele.
Uma pessoa que usa o nome “Fingerprint” alegou ter invadido a infraestrutura da Fakturownia. Entre os materiais que diz possuir estariam capturas de tela de diretórios de aplicações, informações de clientes e cópias de bancos de dados. O indivíduo também afirma ter roubado 6 terabytes de faturas. Até agora, porém, não foi possível confirmar de forma independente a autenticidade desses materiais, o volume indicado ou a quantidade de registros eventualmente obtidos.
O mesmo nome foi relacionado a ataques contra as empresas polonesas de software de saúde MyDr e Medyc. Em agosto, autoridades de cibersegurança informaram que o incidente envolvendo a MyDr possibilitou acesso não autorizado a dados históricos que poderiam estar relacionados a aproximadamente 18,8 milhões de pessoas e mais de 12 mil unidades médicas. A invasão associada ao sistema Medyc, desenvolvido pela Qbusoft e usado por prestadores de serviços de saúde, é investigada separadamente.
Para Gawkowski, a sequência de incidentes reforça a necessidade de ampliar os investimentos e os esforços do setor privado em segurança cibernética. No caso da Fakturownia, as autoridades e a empresa ainda precisam determinar o alcance efetivo do ataque e quais informações foram acessadas.
O que empresas e usuários devem fazer
Enquanto a investigação não esclarece a dimensão do vazamento, clientes da plataforma devem acompanhar as comunicações oficiais da empresa e verificar se receberam avisos sobre suas contas. Caso a Fakturownia recomende a troca de senha, é importante criar uma credencial nova e exclusiva, sem reutilizar combinações empregadas em outros serviços.
Também é prudente revisar acessos e integrações vinculados à plataforma. Tokens de autenticação funcionam como credenciais para permitir a comunicação entre sistemas; por isso, quando há suspeita de exposição, sua substituição ou revogação pode reduzir o risco de uso indevido. A recomendação deve ser seguida conforme as orientações da empresa e dos responsáveis pela infraestrutura de cada negócio.
Organizações que emitem ou armazenam faturas no serviço podem conferir registros de acesso, atividades incomuns e alterações em contas ou documentos. Se houver transações financeiras suspeitas, a área responsável deve contatar a instituição bancária pelos canais oficiais. A informação de que os dados de cartões não foram afetados não elimina a necessidade de atenção a possíveis tentativas de fraude com outros dados.
É importante desconfiar de mensagens que usem o incidente como pretexto para solicitar senhas, códigos de autenticação ou informações bancárias. Criminosos podem explorar notícias de vazamentos para criar comunicações falsas, imitando empresas ou autoridades. Em caso de dúvida, o usuário deve acessar a plataforma diretamente, sem seguir instruções recebidas em mensagens inesperadas.
As empresas também podem aproveitar o caso para revisar medidas preventivas: limitar o acesso a dados conforme a função de cada colaborador, manter sistemas atualizados, utilizar autenticação multifator e definir procedimentos para resposta a incidentes. Essas práticas não impedem todos os ataques, mas ajudam a dificultar invasões e a reduzir os danos caso uma conta ou sistema seja comprometido.
Por fim, a distinção entre sistemas conectados é essencial. A possível exposição de informações na Fakturownia não significa, por si só, que o KSeF tenha sido invadido. Até aqui, o Ministério das Finanças declarou não ter encontrado comprometimento do sistema nacional; novas conclusões dependerão do avanço das análises técnicas e da divulgação de informações confirmadas pelas autoridades e pela plataforma.