Je opent een betaalverzoek van een bekende leverancier. Het bedrag klopt, de bedrijfsnaam klopt, alleen het rekeningnummer is veranderd. Na het Fakturownia-lek kunnen zulke echte details ook bij een oplichter liggen. Een juiste factuurregel maakt de opdracht om te betalen nog niet echt.
Fakturownia, een Pools factuurplatform, bevestigt dat een aanvaller op 27 en 28 september 2026 gegevens heeft gekopieerd. Volgens de verklaring van 1 oktober raakt het incident ieder account, maar verschilt de hoeveelheid gestolen informatie per gegevenssoort en periode. Ook handelspartners kunnen geraakt zijn zonder zelf een account te hebben.
Dit raakt ook de internationale versie InvoiceOcean. Die bevestigt op 2 oktober dat ieder account in de dienst betrokken is. Het incident is dus niet beperkt tot gebruikers van de Poolstalige website.
Dat maakt dit lek zo bruikbaar voor factuurfraude: een aanvaller kan zakelijke context gebruiken om een vals betaalverzoek overtuigend te maken. Het bedrijf waarschuwt voor dat risico. Dat is nog geen bevestiging dat zulke frauduleuze betalingen al hebben plaatsgevonden.
Welke gegevens zijn uit Fakturownia gekopieerd?
De eerste berichten spraken over facturen van vóór 2023. De bijgewerkte verklaring is preciezer en op sommige punten ernstiger. Deze verschillen tellen als je wilt weten welke gegevens een oplichter kan kennen.
| Gegevens | Bereik volgens Fakturownia |
|---|---|
| Bedrijfs- en gebruikersgegevens, rekeninggegevens | Alle ingevoerde gegevens in de genoemde categorieën. |
| Wachtwoordhashes en sessie-ID’s | In hun geheel gekopieerd; wachtwoorden waren niet als gewone tekst opgeslagen. |
| API-tokens en sleutels in accountinstellingen | Gekopieerd, afhankelijk van gebruikte integraties. Niet hetzelfde als álle integraties. |
| Handelspartners, inclusief contact- en rekeninggegevens | Relaties toegevoegd vóór 16 oktober 2024. |
| Betalingen: datum, bedrag, omschrijving en afzenderrekening | Voor zover ingevoerd. |
| Factuurbedragen | Uit alle perioden. |
| Volledige factuurinhoud | Doorgaans facturen van vóór 22 maart 2021; factuurregels van vóór 6 juni 2019. |
| Circa 2.250 accounts | Alle beschikbare gegevens uit 2022–2026, tot een afkapdatum die per account verschilt. |
Die uitzondering voor circa 2.250 accounts is dus geen detail. “Alleen oude facturen” is geen veilige aanname. Fakturownia kondigt een paneel aan met het gegevensbereik per account. Dezelfde verklaring meldt dat KSeF-certificaten niet zijn meegenomen en dat het platform geen bankinloggegevens of betaalkaartgegevens bewaart.
Een bekend bedrag is geen betaalbewijs
Wij vinden dat een organisatie haar medewerkers tekortdoet als de controle ophoudt bij “kloppen de gegevens?”. Juist die gegevens kunnen na een lek echt zijn. Je moet de betaalopdracht buiten het bericht controleren. Dat is een werkafspraak, geen wedstrijd wie de meeste spelfouten ontdekt.
Illustratief voorbeeld, geen werkelijk ontvangen bericht: “Onze bankrekening is gewijzigd. Wil je de openstaande factuur op het nieuwe nummer voldoen?” Een echt bedrag kan erbij staan. De beslissende vraag blijft of de leverancier die wijziging zelf bevestigt via een nummer dat je al kende.
Die controle staat ook in het advies van Fakturownia. CERT Orange Polska waarschuwt daarnaast voor berichten over het ontgrendelen van accounts, nieuwe tokens en het controleren van betaalgegevens. Een echte beveiligingsmelding kan de smoes worden voor een tweede aanval.
Op X gaat de boosheid over klanten én excuses
In de bekeken X-reacties komt precies dat vertrouwen terug. Joanna_CR vreest dat oplichters namens haar bedrijf valse betaalverzoeken kunnen sturen met echte afrekengegevens. Marcin Kołodziej vraagt om compensatie en vindt een excuus onvoldoende.
Dat zijn reacties van afzonderlijke accounts, bekeken op 2 oktober. Ze bewijzen geen al gepleegde factuurfraude en vormen geen representatieve peiling. Wel laten ze zien waar de pijn zit: niet alleen bij de gestolen administratie, maar ook bij klanten die straks een bericht met jouw bedrijfsnaam moeten beoordelen.
Een vergelijkbaar mechanisme speelde bij het Trezor-datalek: correcte persoonsgegevens kunnen de geloofwaardigheid van een vals verzoek vergroten. Bij spear phishing is die persoonlijke context juist het gereedschap van de aanvaller.
Zes terabyte is nog geen vastgestelde omvang
Ook wie terecht waarschuwt, moet scherp blijven op zijn eigen cijfers. De claim dat er 6 TB is meegenomen komt van de aanvaller. CERT Orange zegt dat het die hoeveelheid niet kan verifiëren. Een screenshot van een serverlijst verandert dat niet in een onafhankelijke meting.
De genoemde 600.000 ondernemers is bovendien het klantenaantal waarmee Fakturownia zichzelf presenteert. Dat is geen afzonderlijk geteld aantal slachtoffers van factuurfraude. De bevestigde kopie van gegevens is ernstig genoeg; er hoeft geen onbewezen schadecijfer bovenop.
Bel vóór je een gewijzigd rekeningnummer gebruikt
Leg vandaag bij degene die facturen betaalt één afspraak vast: een nieuw rekeningnummer wordt pas gebruikt nadat de leverancier het via een eerder bekend telefoonnummer heeft bevestigd. Gebruik geen nummer, link of QR-code uit het betaalverzoek zelf.
- Laat het betaalverzoek liggen en zoek de leverancier in je eigen administratie.
- Bel het nummer dat je al had en vraag expliciet of de rekeningwijziging klopt.
- Leg de bevestiging vast vóór je de betaalgegevens wijzigt.
Heb je zelf een Fakturownia-account, volg dan ook de officiële instructies voor een nieuw wachtwoord en de betrokken API-sleutels. Een wachtwoordwissel vervangt een gestolen integratiesleutel niet. Controleer de eigen koppelingen; de verklaring maakt onderscheid tussen accountinstellingen en de aparte integratieomgeving.
De human firewall zit hier in een kleine onderbreking van de betaalroutine. Geen argwaan tegen iedere leverancier, maar een controle die ook werkt wanneer de naam en het bedrag wél kloppen.
Het accountoverzicht moet de onzekerheid verkleinen
Fakturownia kondigt per account de categorieën, perioden en aantallen gestolen records aan. Dat overzicht en volgende updates moeten duidelijker maken welke relaties betrokken zijn. Tot die tijd verdienen uitspraken over “alle recente facturen” of een exacte hoeveelheid gestolen data meer onderbouwing dan één doorvertelde post.
Publicatie: Human Firewall. Bronnen bijgewerkt op 2 oktober 2026. Dit artikel gebruikt de bedrijfsverklaringen, CERT Orange en de gelinkte X-reacties; het is geen eigen technisch onderzoek naar het lek.