Bezpečnostný incident - aktualizácia č. 1 z 2. októbra 2026

Aktualizácia č. 1, zverejnená 2. októbra 2026 a upravená v ten istý deň večer (údaje o rozosielaní oznámení e-mailom). Predchádzajúce oznámenie z 29. septembra 2026 je v dolnej časti tejto stránky. Každú aktualizáciu označíme číslom a dátumom.

V skratke

• Dňa 28. septembra 2026 sme zistili porušenie ochrany osobných údajov. Neoprávnená osoba získala prístup k našim systémom a skopírovala veľkú časť databázy na vlastné servery. Neoprávnený prístup trval od približne 3:20 dňa 27. septembra 2026 do približne 17:45 dňa 28. septembra 2026 (stredoeurópsky letný čas).
• Incident sa týka každého konta v službe, vrátane každého konta v BitFakture. Podrobný rozsah odobraných údajov spolu s hraničnými dátumami uvádzame nižšie.
• Individuálne oznámenia e-mailom vlastníkom všetkých kont a ostatným používateľom týchto kont sme zákazníkom BitFaktury zatiaľ neposlali. Pošleme ich v najbližších dňoch a o začiatku rozosielania budeme informovať na tejto stránke. Podrobnosti sú v časti „Oznámenia e-mailom“.
• Čo urobiť teraz: nastavte si nové heslo, zadajte do svojich integrácií nové API kľúče a každú žiadosť o zmenu čísla bankového účtu si overte telefonicky na čísle, ktoré ste poznali už predtým.

Oznámenia e-mailom

Zákazníkom BitFaktury sme oznámenia e-mailom zatiaľ neposlali. V najbližších dňoch pošleme dva druhy správ:

• vlastníci kont dostanú správu s názvom „Oznámenie o porušení ochrany osobných údajov“. Pre nich je to zároveň oznámenie o porušení ochrany ich vlastných údajov (článok 34 GDPR) aj oznámenie o porušení ochrany údajov, ktoré nám ako prevádzkovatelia zverili (článok 33 ods. 2 GDPR);
• ostatní používatelia konta dostanú správu o porušení ochrany ich vlastných osobných údajov ako používateľov služby.

O začiatku rozosielania budeme informovať na tejto stránke. Vzhľadom na počet adresátov môže rozosielanie trvať niekoľko hodín; ak správu po začiatku rozosielania nedostanete, skontrolujte si priečinok so spamom. Oznámenie si budete môcť prečítať aj po prihlásení do svojho konta.

Vlastníkom kont navyše sprístupňujeme panel v aplikácii s podrobnými informáciami: kategórie údajov, časové rozsahy a počty záznamov.

Ako rozpoznať pravú správu od nás

Naše správy nikdy neobsahujú:

• prílohy s faktúrami alebo potvrdeniami ani žiadne súbory na otvorenie či spustenie;
• žiadosť o heslo, SMS kód, kód dvojfázového overenia ani o údaje platobnej karty;
• žiadosť, aby ste sa prihlásili cez odkaz a „overili konto“ alebo „obnovili prístup“.

Nikdy vás nežiadame o heslo, ani e-mailom, ani telefonicky, ani v chate. Nespoliehajte sa na názov odosielateľa zobrazený vo vašej e-mailovej schránke, pretože sa dá sfalšovať. Ak je správa akokoľvek podozrivá, neklikajte na odkazy v nej. Otvorte si bitfaktura.sk sami tak, že adresu napíšete do prehliadača, a skontrolujte správy vo svojom konte. Všetko dôležité od nás je dostupné aj po prihlásení.

Čo sa stalo?

Neoprávnená osoba získala prístup k našim systémom a skopírovala údaje z databázy na vlastné servery. Typ porušenia: porušenie dôvernosti, čo znamená, že údaje boli skopírované. Incident analyzujeme spoločne s CERT Polska, poľským národným tímom pre riešenie počítačových bezpečnostných incidentov.

Čo sme urobili?

Všetky časy sú uvedené v stredoeurópskom letnom čase.

• 28. septembra 2026, 13:35 - prvé zablokovanie adresy útočníka;
• 28. septembra 2026, 18:01 - zatvorenie zraniteľnosti v aplikácii, čím bol útočníkovi odobratý prístup;
• 28. septembra 2026, 18:56 až 20:14 - zmena kľúčov aplikácie a servisných hesiel;
• 28. septembra 2026, 20:44 až 21:51 - prevedenie prevádzky na nové servery postavené od začiatku, vypnutie starých serverov, deaktivácia ukradnutých kľúčov;
• 28. septembra 2026, 23:10 - dočasné zablokovanie zákazníckeho panela;
• 28. septembra 2026, 23:50 až 29. septembra 2026, 4:03 - výmena zákazníckych API tokenov. Existujúce API kľúče teraz fungujú len z IP adries, ktoré používatelia konta používali predtým;
• 29. septembra 2026, 2:35 - dodatočné zabezpečenie generátora PDF súborov;
• 29. septembra 2026 - nahlásenie porušenia predsedovi Úradu pre ochranu osobných údajov v Poľsku (UODO), ktorý je vedúcim dozorným orgánom pre našu spoločnosť, a nahlásenie incidentu tímu CERT Polska a policajnému úradu pre boj s počítačovou kriminalitou;
• 29. septembra 2026 - informovanie zodpovednej osoby za ochranu osobných údajov a posúdenie rizika pre fyzické osoby;
• 1. októbra 2026 - začiatok rozosielania individuálnych oznámení e-mailom zákazníkom služby Fakturownia v Poľsku;
• Rozoslanie individuálnych oznámení e-mailom zákazníkom BitFaktury pripravujeme; dátum doplníme po jeho začiatku.

Aké údaje boli odobrané?

Pri každej kategórii uvádzame, kto je prevádzkovateľom údajov a aké obdobie kopírovanie zahrnulo. (a) BitFaktura znamená údaje konta a jeho používateľov, ktorých prevádzkovateľom je operátor služby. (b) Zákazník znamená údaje obchodných partnerov a iných osôb, ktoré zákazník zadal do konta a zveril nám ich na spracúvanie ako ich prevádzkovateľ.

Hraničné dátumy sme určili z logov databázových dotazov; môžu sa odchyľovať až o niekoľko týždňov. Kopírovanie najväčších súborov údajov postupovalo od najstarších záznamov a bolo prerušené predtým, ako sa dostalo k novším. Pri faktúrach vystavených 22. marca 2021 a neskôr nebol odobraný ani názov odberateľa, ani číslo faktúry.

Ostatní používatelia kont: odobraná bola ich e-mailová adresa a hash hesla a, ak boli uvedené, aj ich meno a priezvisko, telefónne číslo a identifikátor konta.

Približne 2 250 kont: z týchto kont boli odobrané všetky údaje dostupné v systéme z rokov 2022 až 2026, a to do dátumu, ktorý je pre každé konto iný. Vlastníci týchto kont dostanú oznámenie s informáciami špecifickými pre ich konto.

Čo nebolo odobrané a čo ešte zisťujeme?

Odobrané neboli:

• prihlasovacie údaje do bánk, ktoré služba neuchováva;
• údaje platobných kariet, ktoré služba neuchováva;
• obsah faktúr vystavených 22. marca 2021 a neskôr, okrem súm, doplnkových opisných polí a údajov ďalších strán;
• údaje obchodných partnerov pridaných 16. októbra 2024 a neskôr.

Podľa našich najlepších vedomostí údaje, ktorých sa porušenie týka, doteraz neboli zverejnené. Monitorujeme to spoločne s CERT Polska. Nové zistenia budeme zverejňovať na tejto stránke a v ďalších e-mailových správach.

Čo máte urobiť teraz

Nižšie opisujeme, čo sa môže stať. Neznamená to, že sa to už stalo.

Ak máte podozrenie na podvod alebo neoprávnený prevod, bezodkladne kontaktujte svoju banku. Ak máte podozrenie na trestný čin, oznámte to polícii a uchovajte správy a ďalšie dôkazy. O každom pokuse o využitie údajov, ktorých sa porušenie týka, nám prosím dajte vedieť.

Informácie pre firmy, ktoré vystupujú ako prevádzkovatelia

Pri údajoch zo skupiny (b), teda pri údajoch obchodných partnerov a iných osôb zadaných do konta, je prevádzkovateľom zákazník a my tieto údaje spracúvame na základe pokynov zákazníka podľa zmluvy o spracúvaní údajov, ktorá je súčasťou našich podmienok. E-mailová správa „Oznámenie o porušení ochrany osobných údajov“, ktorú v krátkom čase dostanete, je v tomto rozsahu oznámením porušenia prevádzkovateľovi (článok 33 ods. 2 GDPR). Informácie poskytujeme vo fázach (článok 33 ods. 4 GDPR): v najbližších dňoch sprístupníme vo vašom konte panel s podrobnými informáciami pre toto konto, ktorý zahrnie kategórie údajov, časové rozsahy a počty záznamov a ktorý zároveň uľahčí informovanie vašich obchodných partnerov.

Ako prevádzkovateľ týchto údajov posudzujete riziko a rozhodujete, či a ako informovať dotknuté osoby. Pri údajoch, ktorých prevádzkovateľom sme my, sme riziko vyhodnotili ako vysoké: rozsah údajov je široký a počet osôb veľmi veľký. Môžete to použiť ako referenčný bod pre vlastné posúdenie. Riziká pre tretie strany a kroky, ktoré môžete zvážiť, napríklad informovanie vašich obchodných partnerov o riziku vydávania sa za niekoho iného a o falošných výzvach na zaplatenie, ako aj zmena hesiel do panela obchodného partnera, ktoré boli použité aj inde, budú opísané v e-mailovej správe č. 1.

Lehota 72 hodín na oznámenie vášmu dozornému orgánu beží od momentu, keď ste sa o porušení dozvedeli. Podľa usmernení EDPB 9/2022 (bod 44) sa prevádzkovateľ spravidla považuje za informovaného vo chvíli, keď ho informuje sprostredkovateľ. Ak ste však mali dostatočnú istotu o incidente už skôr, napríklad z nášho oznámenia z 29. septembra 2026, lehota mohla začať bežať skôr. Predbežné oznámenie môžete podať na základe informácií na tejto stránke a doplniť ho neskôr na základe e-mailovej správy č. 1.

Kontakt

• Spoloční prevádzkovatelia: BitFaktura s.r.o., K Pasekám 2984/45, 760 01 Zlín, IČO 14034778, IČ DPH CZ14034778, spoločne s Fakturownia sp. z o.o., Varšava.
• Zodpovedná osoba za ochranu osobných údajov: [email protected]
• Otázky prevádzkovateľov a všetky ostatné otázky k incidentu: použite kontaktný formulár v dolnej časti tejto stránky.

Za túto situáciu sa ospravedlňujeme. Ďalšie zistenia budeme priebežne zverejňovať na tejto stránke a každú aktualizáciu označíme číslom a dátumom.

Časté otázky

Týka sa porušenie ochrany údajov v BitFakture aj mojich údajov?

Áno. Incident sa týka každého konta v službe. To, čo bolo odobrané, sa líši podľa kategórie údajov a podľa dátumu; tabuľka vyššie uvádza rozsah a hraničné dátumy. Vlastníci kont dostanú individuálne oznámenie e-mailom a podrobné informácie pre svoje konto nájdu v aplikácii.

Unikli heslá v čitateľnej podobe?

Nie. Heslá boli uložené ako hashe, nie v čitateľnej podobe, a odobrané boli práve hashe. Aj tak odporúčame nastaviť si nové heslo, zmeniť ho všade, kde ste používali rovnaké, a zapnúť dvojfázové overenie.

Unikli moje faktúry?

Celý obsah faktúr bol odobraný len pri faktúrach vystavených pred 22. marcom 2021 a položky faktúr len pri faktúrach spred 6. júna 2019. Sumy faktúr boli odobrané za celé obdobie. Pri faktúrach vystavených 22. marca 2021 a neskôr nebol odobraný ani názov odberateľa, ani číslo faktúry.

Dostal som e-mail o porušení ochrany údajov. Je pravý?

Naše správy nikdy neobsahujú prílohy, nikdy nežiadajú o heslo, o SMS kód ani o kód dvojfázového overenia, ani o údaje platobnej karty a nikdy nežiadajú, aby ste sa prihlásili cez odkaz a overili konto. Nespoliehajte sa na názov odosielateľa, pretože sa dá sfalšovať. Ak máte pochybnosti, napíšte si bitfaktura.sk do prehliadača sami a po prihlásení skontrolujte správy.

Čo mám teraz urobiť?

Nastavte si nové heslo ku svojmu kontu, zmeňte ho v iných službách, ak bolo rovnaké, zapnite dvojfázové overenie, skontrolujte zoznam používateľov a nastavenia konta, zadajte do svojich integrácií nové API kľúče a každú žiadosť o zmenu čísla bankového účtu si overte telefonicky na čísle, ktoré ste poznali už predtým.

Moja firma je prevádzkovateľom. Čo to pre mňa znamená?

Pri údajoch obchodných partnerov a iných osôb, ktoré ste zadali do svojho konta, ste prevádzkovateľom vy a my sme sprostredkovateľ. Oznámenie e-mailom je oznámením porušenia vám ako prevádzkovateľovi podľa článku 33 ods. 2 GDPR. Riziko posudzujete vy a rozhodujete, či informovať dotknuté osoby. Panel s podrobnými informáciami pre vaše konto, vrátane kategórií údajov, časových rozsahov a počtov záznamov, sprístupníme v najbližších dňoch.

Je bezpečné službu ďalej používať?

Áno. Prístup útočníka bol prerušený 28. septembra 2026, prevádzka bola prevedená na nové servery postavené od začiatku, ukradnuté kľúče boli deaktivované, kľúče aplikácie a servisné heslá boli zmenené a zákaznícke API tokeny boli vymenené. Existujúce API kľúče teraz fungujú len z IP adries, ktoré používatelia konta používali predtým.

Máte otázky k incidentu?

Ak si chcete overiť, či sa vec týka vášho účtu, alebo potrebujete pomoc s jeho zabezpečením, napíšte nám. Rovnakou cestou môžete poslať aj otázky k spracúvaniu vašich osobných údajov.

Napíšte nám

Predchádzajúca verzia: oznámenie z 29. septembra 2026

Toto je oznámenie z 29. septembra 2026, ktoré uchovávame pre úplnosť. Niektoré jeho zistenia boli opravené aktualizáciou č. 1 vyššie, najmä rozsah údajov z faktúr a údajov obchodných partnerov.

Zverejnené 30. septembra 2026. Túto stránku budeme aktualizovať hneď, ako zistíme niečo nové.

Dňa 28. septembra 2026 sme zistili neoprávnený prístup k serverom fakturačného systému, na ktorom beží BitFaktura. V dôsledku incidentu mala neoprávnená osoba náhľad do údajov účtov našich používateľov, do údajov obchodných partnerov a do dokumentov vytvorených prostredníctvom služby.

Rozumieme, že takáto správa môže vyvolať znepokojenie, preto vám chceme odovzdať všetky informácie, ktoré máme v tejto chvíli k dispozícii. Zároveň vysvetľujeme, čo môžete urobiť pre dodatočnú ochranu svojich údajov. Uisťujeme vás, že incident sa netýkal údajov uchovávaných v rámci našich integrácií a doplnkov.

Čo sa stalo?

Neoprávnená osoba dokázala využiť zraniteľnosť v systéme, čoho následkom bol neoprávnený prístup k časti údajov. Po zistení udalosti sme tejto osobe zablokovali prístup, začali sme rotáciu kľúčov a hesiel a spustili sme nové aplikačné servery. Spolu s externými špecialistami na bezpečnosť situáciu naďalej analyzujeme.

V tejto chvíli vieme, že:

• neoprávnený prístup sa mohol týkať údajov účtov všetkých používateľov, ich obchodných partnerov a faktúr vystavených pred rokom 2023 - rozsah úniku ešte zisťujeme
• nedošlo k žiadnemu porušeniu v oblasti integrácií ani údajov platobných kariet
• podľa našich vedomostí nedošlo k úniku faktúr vystavených po roku 2023
• neoprávnená osoba nevymazala žiadne údaje uchovávané v našich systémoch

Čo sme urobili?

• vykonávame rotáciu kľúčov aplikácie a hesiel služieb
• spustili sme nové aplikačné servery a odrezali sme prístup neoprávneným osobám
• spolu s externými špecialistami na bezpečnosť sme začali analýzu incidentu a zaviedli sme rad dodatočných zabezpečení
• incident sme nahlásili polícii (Centrálny úrad pre boj s kybernetickou kriminalitou), organizácii CERT Polska a predsedovi Úradu na ochranu osobných údajov (UODO), ktorý je pre našu spoločnosť vedúcim dozorným orgánom

Ktoré údaje mohli byť dotknuté?

Z doterajších zistení vyplýva, že neoprávnená osoba mohla mať prístup k týmto údajom:

• údaje účtov firiem a používateľov vrátane odtlačkov hesiel
• tokeny relácií, API tokeny a tokeny integrácií generované na našej strane
• bankové účty a údaje o platbách
• údaje obchodných partnerov (všetky) a údaje z faktúr (čiastočne)
• systémové kľúče a heslá aplikácie

Ak ďalšia analýza prinesie nové zistenia, toto oznámenie bezodkladne aktualizujeme.

Čo odporúčame?

Na dodatočné zabezpečenie svojho účtu odporúčame:

• zmeniť heslo k účtu v službe BitFaktura - ako na to
• zmeniť heslo k e-mailovej schránke prepojenej s účtom BitFaktura a k ďalším službám, kde používate rovnaké heslo
• zapnúť dvojstupňové overenie - ako na to
• skontrolovať nastavenia účtu, najmä číslo bankového účtu uvádzané na faktúrach a zoznam používateľov, ktorí majú prístup k účtu
• zrušiť a znova vygenerovať API tokeny, ak používate integrácie

Aké môžu byť následky? Zachovajte ostražitosť

Je možné, že v najbližšom čase dostanete e-maily, SMS správy alebo telefonáty od osôb, ktoré sa vydávajú za známe inštitúcie - banku, úrad, kuriérsku spoločnosť, BitFaktura alebo vašich obchodných partnerov. Takéto správy často vytvárajú časový tlak a nabádajú na rýchle konanie. Prosíme vás:

• pristupujte opatrne k odkazom a prílohám v elektronických správach
• neuvádzajte heslá, overovacie kódy ani údaje platobných kariet - ani v odpovedi, ani na stránke otvorenej z odkazu, ani telefonicky. BitFaktura v takýchto prípadoch nikdy nežiada o heslo
• kontrolujte adresu odosielateľa - naše správy posielame výhradne z domény bitfaktura.sk; pozor na klamlivo podobné adresy, napríklad s pridanými slovami alebo preklepmi
• ak vám volá osoba vydávajúca sa za zamestnanca banky alebo úradu, ukončite hovor a sami zavolajte na číslo uvedené na oficiálnej stránke inštitúcie
• buďte opatrní pri žiadostiach o zmenu čísla bankového účtu - takúto zmenu si telefonicky overte u obchodného partnera na čísle, ktoré poznáte
• podozrivé správy nám nahláste cez kontaktný formulár a zvážte aj hlásenie na národné pracovisko pre riešenie kybernetických incidentov

Stále zisťujeme, ktorých zákazníkov sa únik týka. Každého z nich budeme v najbližšom čase informovať priamo.

Za vzniknutú situáciu sa ospravedlňujeme. Bezpečnosť vašich údajov je pre nás prioritou, preto vec objasňujeme s plným nasadením. O ďalších zisteniach budeme priebežne informovať na tejto stránke.