--- title: "Fakturownia-lek: echte data, nepnota" date: 2026-10-02 author: "beheer" featured_image: "https://humanfirewall.nl/wp-content/uploads/2026/10/fakturownia-factuur-controleren.jpg" categories: - name: "Beveiligingsnieuws" url: "/category/beveiligingsnieuws.md" --- # Fakturownia-lek: echte data, nepnota [Home](https://humanfirewall.nl/) › [Briefing](https://humanfirewall.nl/blog/) › Fakturownia-lek Beveiligingsnieuws # Fakturownia-lek: echte data, nepnota Door **Human Firewall** · 2 oktober 2026 ![Redactionele illustratie van een medewerker die belt om een rekeningwijziging op een factuur te controleren](https://humanfirewall.nl/wp-content/uploads/2026/10/fakturownia-factuur-controleren.jpg)Redactionele illustratie, gemaakt met AI; geen beeld van het incident. Je opent een betaalverzoek van een bekende leverancier. Het bedrag klopt, de bedrijfsnaam klopt, alleen het rekeningnummer is veranderd. Na het Fakturownia-lek kunnen zulke echte details ook bij een oplichter liggen. Een juiste factuurregel maakt de opdracht om te betalen nog niet echt. Fakturownia, een Pools factuurplatform, bevestigt dat een aanvaller op 27 en 28 september 2026 gegevens heeft gekopieerd. Volgens de [verklaring van 1 oktober](https://fakturownia.pl/incydent) raakt het incident ieder account, maar verschilt de hoeveelheid gestolen informatie per gegevenssoort en periode. Ook handelspartners kunnen geraakt zijn zonder zelf een account te hebben. Dit raakt ook de internationale versie [InvoiceOcean](https://invoiceocean.com/security-incident). Die bevestigt op 2 oktober dat ieder account in de dienst betrokken is. Het incident is dus niet beperkt tot gebruikers van de Poolstalige website. Dat maakt dit lek zo bruikbaar voor [factuurfraude](https://humanfirewall.nl/factuurfraude-voorkomen/): een aanvaller kan zakelijke context gebruiken om een vals betaalverzoek overtuigend te maken. Het bedrijf waarschuwt voor dat risico. Dat is nog geen bevestiging dat zulke frauduleuze betalingen al hebben plaatsgevonden. ## Welke gegevens zijn uit Fakturownia gekopieerd? De eerste berichten spraken over facturen van vóór 2023. De bijgewerkte verklaring is preciezer en op sommige punten ernstiger. Deze verschillen tellen als je wilt weten welke gegevens een oplichter kan kennen. GegevensBereik volgens FakturowniaBedrijfs- en gebruikersgegevens, rekeninggegevensAlle ingevoerde gegevens in de genoemde categorieën.Wachtwoordhashes en sessie-ID’sIn hun geheel gekopieerd; wachtwoorden waren niet als gewone tekst opgeslagen.API-tokens en sleutels in accountinstellingenGekopieerd, afhankelijk van gebruikte integraties. Niet hetzelfde als álle integraties.Handelspartners, inclusief contact- en rekeninggegevensRelaties toegevoegd vóór 16 oktober 2024.Betalingen: datum, bedrag, omschrijving en afzenderrekeningVoor zover ingevoerd.FactuurbedragenUit alle perioden.Volledige factuurinhoudDoorgaans facturen van vóór 22 maart 2021; factuurregels van vóór 6 juni 2019.Circa 2.250 accountsAlle beschikbare gegevens uit 2022–2026, tot een afkapdatum die per account verschilt.Bron: de bijgewerkte bedrijfsverklaring. De datumgrenzen zijn uit databaselogboeken afgeleid en kunnen volgens Fakturownia ongeveer tien tot twintig dagen afwijken.Die uitzondering voor circa 2.250 accounts is dus geen detail. “Alleen oude facturen” is geen veilige aanname. Fakturownia kondigt een paneel aan met het gegevensbereik per account. Dezelfde verklaring meldt dat KSeF-certificaten niet zijn meegenomen en dat het platform geen bankinloggegevens of betaalkaartgegevens bewaart. [![Engelstalig weergegeven Fakturownia-verklaring met de herstelacties en aankondiging van het gegevensoverzicht](https://pbs.twimg.com/media/HTk6EIYWQAA9TiJ.jpg?format=jpg&name=small)](https://x.com/IntCyberDigest/status/2105778349867991168/photo/2)Een van de twee beelden uit de [gedeelde X-post van International Cyber Digest](https://x.com/IntCyberDigest/status/2105778349867991168). De actuele Poolse bedrijfsverklaring is leidend voor de details.## Een bekend bedrag is geen betaalbewijs Wij vinden dat een organisatie haar medewerkers tekortdoet als de controle ophoudt bij “kloppen de gegevens?”. Juist die gegevens kunnen na een lek echt zijn. Je moet de betaalopdracht buiten het bericht controleren. Dat is een werkafspraak, geen wedstrijd wie de meeste spelfouten ontdekt. **Illustratief voorbeeld, geen werkelijk ontvangen bericht:** “Onze bankrekening is gewijzigd. Wil je de openstaande factuur op het nieuwe nummer voldoen?” Een echt bedrag kan erbij staan. De beslissende vraag blijft of de leverancier die wijziging zelf bevestigt via een nummer dat je al kende. Die controle staat ook in het [advies van Fakturownia](https://fakturownia.pl/incydent). [CERT Orange Polska](https://cert.orange.pl/ostrzezenia/wlamanie-do-fakturowni-co-zrobic-po-wycieku-danych/) waarschuwt daarnaast voor berichten over het ontgrendelen van accounts, nieuwe tokens en het controleren van betaalgegevens. Een echte beveiligingsmelding kan de smoes worden voor een tweede aanval. ## Op X gaat de boosheid over klanten én excuses In de bekeken X-reacties komt precies dat vertrouwen terug. [Joanna\_CR vreest](https://x.com/Jouanaceer/status/2105981013348516124) dat oplichters namens haar bedrijf valse betaalverzoeken kunnen sturen met echte afrekengegevens. [Marcin Kołodziej vraagt om compensatie](https://x.com/codestorybro/status/2105935343945937383) en vindt een excuus onvoldoende. Dat zijn reacties van afzonderlijke accounts, bekeken op 2 oktober. Ze bewijzen geen al gepleegde factuurfraude en vormen geen representatieve peiling. Wel laten ze zien waar de pijn zit: niet alleen bij de gestolen administratie, maar ook bij klanten die straks een bericht met jouw bedrijfsnaam moeten beoordelen. Een vergelijkbaar mechanisme speelde bij het [Trezor-datalek](https://humanfirewall.nl/trezor-datalek-correcte-persoonsgegevens-phishing/): correcte persoonsgegevens kunnen de geloofwaardigheid van een vals verzoek vergroten. Bij [spear phishing](https://humanfirewall.nl/spear-phishing-voorbeeld/) is die persoonlijke context juist het gereedschap van de aanvaller. ## Zes terabyte is nog geen vastgestelde omvang Ook wie terecht waarschuwt, moet scherp blijven op zijn eigen cijfers. De claim dat er 6 TB is meegenomen komt van de aanvaller. CERT Orange zegt dat het die hoeveelheid niet kan verifiëren. Een screenshot van een serverlijst verandert dat niet in een onafhankelijke meting. [![Door International Cyber Digest gedeelde screenshot van vermeende serverbestanden en een lijstpreview](https://pbs.twimg.com/media/HTk52yuWMAAfNiy.jpg?format=jpg&name=small)](https://x.com/IntCyberDigest/status/2105778349867991168/photo/1)Het andere beeld uit de [oorspronkelijke X-post](https://x.com/IntCyberDigest/status/2105778349867991168), gedeeld als context bij de claim. De authenticiteit en omvang zijn hiermee niet onafhankelijk bewezen; de getoonde lijsten worden hier niet overgenomen als klantgegevens.De genoemde 600.000 ondernemers is bovendien het klantenaantal waarmee [Fakturownia zichzelf presenteert](https://fakturownia.pl/). Dat is geen afzonderlijk geteld aantal slachtoffers van factuurfraude. De bevestigde kopie van gegevens is ernstig genoeg; er hoeft geen onbewezen schadecijfer bovenop. ## Bel vóór je een gewijzigd rekeningnummer gebruikt Leg vandaag bij degene die facturen betaalt één afspraak vast: een nieuw rekeningnummer wordt pas gebruikt nadat de leverancier het via een eerder bekend telefoonnummer heeft bevestigd. Gebruik geen nummer, link of QR-code uit het betaalverzoek zelf. 1. Laat het betaalverzoek liggen en zoek de leverancier in je eigen administratie. 2. Bel het nummer dat je al had en vraag expliciet of de rekeningwijziging klopt. 3. Leg de bevestiging vast vóór je de betaalgegevens wijzigt. Heb je zelf een Fakturownia-account, volg dan ook de officiële instructies voor een nieuw wachtwoord en de betrokken API-sleutels. Een wachtwoordwissel vervangt een gestolen integratiesleutel niet. Controleer de eigen koppelingen; de verklaring maakt onderscheid tussen accountinstellingen en de aparte integratieomgeving. De [human firewall](https://humanfirewall.nl/) zit hier in een kleine onderbreking van de betaalroutine. Geen argwaan tegen iedere leverancier, maar een controle die ook werkt wanneer de naam en het bedrag wél kloppen. ## Het accountoverzicht moet de onzekerheid verkleinen Fakturownia kondigt per account de categorieën, perioden en aantallen gestolen records aan. Dat overzicht en volgende updates moeten duidelijker maken welke relaties betrokken zijn. Tot die tijd verdienen uitspraken over “alle recente facturen” of een exacte hoeveelheid gestolen data meer onderbouwing dan één doorvertelde post. Publicatie: Human Firewall. Bronnen bijgewerkt op 2 oktober 2026. Dit artikel gebruikt de bedrijfsverklaringen, CERT Orange en de gelinkte X-reacties; het is geen eigen technisch onderzoek naar het lek.