Cyberatak nie musi być wymierzony bezpośrednio w przedsiębiorstwo, aby wywołać dla niego konsekwencje. Wystarczy, że zaatakowany zostanie zewnętrzny dostawca, któremu firma powierzyła dane albo od którego systemów uzależniła część swojej działalności.
Najnowszym przykładem jest incydent w Fakturowni. Firma poinformowała, że 28 września 2026 r. wykryła nieuprawniony dostęp do swoich serwerów. Według aktualnego komunikatu dostęp mógł obejmować m.in. dane kont użytkowników, ich kontrahentów oraz część danych znajdujących się na fakturach.
Z punktu widzenia branży ubezpieczeniowej to znacznie więcej niż kolejny przypadek naruszenia bezpieczeństwa danych. To dobry przykład ryzyka związanego z coraz większym uzależnieniem przedsiębiorstw od zewnętrznych usług cyfrowych.
Co wydarzyło się w Fakturowni?
Według komunikatu opublikowanego przez Fakturownię osoba nieuprawniona wykorzystała lukę w systemie i uzyskała dostęp do części danych.
Firma podała, że nieuprawniony dostęp mógł obejmować dane kont wszystkich użytkowników Fakturowni, dane ich kontrahentów oraz dane z faktur wystawionych przed 2023 r. Wśród informacji, do których potencjalnie uzyskano dostęp, Fakturownia wymienia również m.in. skróty haseł, tokeny sesji, API i integracji generowane po stronie serwisu, numery rachunków bankowych oraz informacje o płatnościach.
Pełna skala zdarzenia nadal jest ustalana.
Jednocześnie Fakturownia poinformowała, że według jej aktualnej wiedzy incydent nie objął integracji z KSeF, innych integracji z serwisem ani danych kart płatniczych. Nie stwierdzono również wycieku faktur wystawionych po 2023 r.
Po wykryciu incydentu firma zablokowała nieuprawniony dostęp, rozpoczęła rotację kluczy i haseł usług oraz uruchomiła nowe serwery. Zdarzenie zostało zgłoszone Centralnemu Biuru Zwalczania Cyberprzestępczości, CERT Polska oraz Prezesowi Urzędu Ochrony Danych Osobowych.
Jeden dostawca, ryzyko wielu przedsiębiorstw
Właśnie ten aspekt jest szczególnie interesujący z perspektywy ubezpieczeń.
Przedsiębiorstwo może mieć dobrze zabezpieczoną własną sieć, regularnie wykonywać kopie zapasowe i szkolić pracowników, a mimo to zostać dotknięte skutkami cyberincydentu, którego źródło znajduje się poza jego organizacją.
Firmy coraz częściej korzystają z usług dostarczanych w modelu SaaS (Software as a Service): systemów księgowych i fakturowych, CRM, programów kadrowych, systemów do obsługi klientów, chmury, platform sprzedażowych czy narzędzi marketingowych.
Dane przedsiębiorstwa nie funkcjonują więc wyłącznie w jego własnej infrastrukturze.
Co więcej, dostawca może posiadać nie tylko dane swojego bezpośredniego klienta. Przypadek Fakturowni pokazuje kolejną warstwę tej zależności – w zewnętrznym systemie mogą znajdować się także informacje dotyczące kontrahentów klienta.
Powstaje swoisty łańcuch ryzyka:
dostawca technologii → przedsiębiorstwo korzystające z usługi → jego kontrahenci i klienci.
Incydent w jednym miejscu może więc wywołać konsekwencje w wielu innych organizacjach.
Wyciek danych to tylko jeden z możliwych scenariuszy
W przypadku Fakturowni firma ostrzegła użytkowników m.in. przed możliwością pojawienia się prób phishingu oraz podszywania się pod banki, urzędy, kontrahentów czy samą Fakturownię.
Szczególnie istotne są dane dotyczące rozliczeń i rachunków bankowych. Fakturownia zaleciła użytkownikom sprawdzenie numeru rachunku widocznego na wystawianych fakturach i zwróciła uwagę na próby nakłaniania przedsiębiorców do zmiany numeru rachunku.
Z ubezpieczeniowego punktu widzenia warto jednak spojrzeć na ryzyko szerzej niż na sam wyciek.
W innym scenariuszu cyberatak na kluczowego dostawcę technologii może spowodować niedostępność usługi. Jeżeli przedsiębiorstwo nie może bez niej realizować procesów biznesowych, problem dostawcy zaczyna wpływać na ciągłość działalności jego klienta.
W zależności od rodzaju wykorzystywanego systemu skutkiem może być utrudniona obsługa klientów, brak dostępu do danych, problemy z realizacją zamówień czy dodatkowe koszty związane z przywróceniem normalnego funkcjonowania.
Dlatego jednym z kluczowych pytań w analizie ryzyka cyber powinno być nie tylko: „Jak zabezpieczona jest firma?”, ale również: „Od jakich zewnętrznych systemów jest uzależniona?”
Czy cyberpolisa zadziała, gdy zaatakowano dostawcę?
Nie ma jednej odpowiedzi właściwej dla wszystkich produktów.
Zakres ubezpieczeń cyber dostępnych na polskim rynku jest zróżnicowany i odpowiedzialność ubezpieczyciela zawsze należy oceniać na podstawie konkretnej umowy, OWU, definicji zdarzeń objętych ochroną, limitów i wyłączeń.
Na rynku dostępne są produkty obejmujące m.in. odpowiedzialność cywilną związaną z incydentami cyber, koszty informatyków śledczych, obsługę prawną i komunikację kryzysową, przywracanie danych czy straty wynikające z przerwy w działalności spowodowanej cyberincydentem.
Nie oznacza to jednak automatycznie, że każdy taki zakres zadziała również wtedy, gdy bezpośrednio zaatakowany został zewnętrzny dostawca usług.
To właśnie tutaj przy analizie ochrony istotne stają się definicje dotyczące dostawców zewnętrznych, systemów informatycznych, przerwy w działalności i zdarzeń zachodzących poza infrastrukturą samego ubezpieczonego.
Agent lub broker powinien więc zweryfikować, czy ochrona ogranicza się do incydentów dotyczących systemów należących do ubezpieczonego, czy może obejmować również określone zdarzenia u zewnętrznych dostawców usług.
SaaS zmienia sposób, w jaki należy rozmawiać o ryzyku cyber
Przypadek Fakturowni jest również ciekawym punktem wyjścia do rozmowy z przedsiębiorcą.
Klasyczne pytanie o zabezpieczenia informatyczne firmy może już nie wystarczyć. W analizie ryzyka warto ustalić także, z jakich kluczowych usług cyfrowych przedsiębiorstwo korzysta i co wydarzyłoby się, gdyby jedna z nich przestała działać albo doszło do naruszenia przechowywanych tam danych.
W praktyce istotne mogą być pytania o to, gdzie przechowywane są dane klientów i kontrahentów, jakie zewnętrzne platformy obsługują kluczowe procesy firmy, czy istnieje możliwość pracy bez dostępu do nich oraz jak długo przedsiębiorstwo może funkcjonować w takim trybie.
To szczególnie ważne w MŚP, gdzie korzystanie z gotowych usług chmurowych i abonamentowych często zastępuje rozbudowaną własną infrastrukturę IT.
Cyber to coraz częściej ryzyko całego ekosystemu
Incydent w Fakturowni pokazuje szerszą zmianę w charakterze ryzyka cyber.
Przedsiębiorstwa tworzą dziś sieć technologicznych zależności. Jeden podmiot przechowuje dokumenty, drugi obsługuje płatności, kolejny pocztę, CRM, sprzedaż czy kopie zapasowe. Naruszenie bezpieczeństwa jednego elementu tego ekosystemu może oddziaływać na firmy, które same nie były bezpośrednim celem ataku.
Dla branży ubezpieczeniowej oznacza to konieczność patrzenia nie tylko na zabezpieczenia samego ubezpieczonego, ale także na jego zależności od zewnętrznych dostawców technologii.
Właśnie tam może znajdować się ryzyko, którego przedsiębiorca na co dzień nawet nie postrzega jako własnego.
Podsumowanie
Cyberatak na Fakturownię jest przede wszystkim realnym incydentem, którego pełna skala jest nadal ustalana. Nie należy więc przesądzać ani liczby podmiotów dotkniętych wyciekiem, ani jego ostatecznych konsekwencji.
Dla rynku ubezpieczeniowego już teraz płynie z niego jednak ważna lekcja. Transformacja cyfrowa powoduje, że granice infrastruktury przedsiębiorstwa przestają wyznaczać granice jego ryzyka.
Firma może stać się częścią cyberincydentu, nawet jeżeli atakujący nigdy nie włamał się bezpośrednio do jej systemu.
A to oznacza, że przy rozmowie o cyberubezpieczeniu coraz ważniejsze staje się pytanie nie tylko „jak chronisz swoje systemy?”, ale również „komu powierzasz swoje dane i od czyich systemów zależy Twój biznes?”
