Una vulnerabilidad en Fakturownia expone potencialmente datos de clientes

Fakturownia informó de que un atacante no identificado explotó una vulnerabilidad en sus sistemas y obtuvo acceso no autorizado a varios servidores. La empresa todavía está determinando cuántos clientes se vieron afectados.

Entre la información potencialmente comprometida figuran datos de cuentas de usuarios y empresas, hashes de contraseñas, información de cuentas bancarias, tokens de autenticación e integración, además de datos de clientes y socios comerciales. También podrían haberse consultado facturas emitidas a través de Fakturownia antes de 2023.

Los datos de tarjetas de pago y la información almacenada mediante las integraciones de la compañía no resultaron afectados. Fakturownia detectó el acceso el lunes, bloqueó al atacante, inició la rotación de contraseñas y claves de aplicación, puso en servicio nuevos servidores y comunicó el incidente a las autoridades polacas de ciberseguridad y protección de datos.

El incidente ha generado atención por la integración de Fakturownia con el National e-Invoicing System (KSeF). El Ministerio de Finanzas de Polonia indicó que su revisión no detectó una intrusión en la seguridad de KSeF ni una filtración de los datos almacenados por ese sistema. Fakturownia también afirmó que los certificados digitales utilizados para acceder a KSeF permanecieron protegidos.

La publicación polaca Zaufana Trzecia Strona informó de que un atacante que utiliza el nombre “Fingerprint” entregó material que supuestamente mostraba acceso a la infraestructura de Fakturownia. La autenticidad y el alcance de ese material, incluida la afirmación de que se habrían sustraído 6 terabytes de facturas, no han sido verificados de forma independiente.

Fakturownia investiga el incidente con especialistas externos. El ministro polaco de Asuntos Digitales, Krzysztof Gawkowski, señaló que las autoridades trabajan para establecer las circunstancias del ataque. Fuente: The Record.