Nie tylko Fakturownia. Pozostałe komunikaty o cyberatakach

Fakturownia to jedna z kilku organizacji, o których incydentach bezpieczeństwa informowano pod koniec września 2026 r. Komunikaty i publikacje dotyczyły także enel-med, Państwowej Uczelni Zawodowej w Suwałkach, Zdrowit S.A. oraz danych pacjentów oddziału leczenia uzależnień w Inowrocławiu. Opisują różne skutki: dostęp do danych, zaszyfrowanie systemów i kradzież archiwum.

Daty wiadomości nie są datami wszystkich ataków. Sprawa Inowrocławia sięga sierpnia, a termin zdarzenia w Zdrowit nie został podany. Dla klienta najważniejszy jest zakres dotyczący jego danych i dalsze zalecenia. Dla firmy równie istotne są dostęp do systemów, możliwość odtworzenia pracy i kontakt z dostawcą. Poniżej zestawiamy ustalenia dostępne 30 września 2026 r.

Kiedy ujawniono incydenty i kiedy je wykryto?

Fakturownia i dane firm

Enel-med i dane pacjentów

Uczelnia w Suwałkach bez dostępu do systemów

Co potwierdziła spółka Zdrowit?

Sierpniowa kradzież danych dotyczących Inowrocławia

Co sprawdzić jako klient i jako firma?

Przy czytaniu komunikatu warto oddzielić moment zdarzenia, jego wykrycia i publikacji informacji. W tym zestawieniu znane terminy wyglądają następująco. Wszystkie daty w tabeli dotyczą 2026 roku.

W komunikacie z 29 września Fakturownia podała, że dzień wcześniej wykryła nieuprawniony dostęp do serwerów. Możliwy zakres obejmuje dane kont firm i użytkowników, skróty haseł, tokeny sesji, API i integracji generowane po stronie Fakturowni, numery rachunków oraz dane o płatnościach. Operator wymienia również dane kontrahentów i część danych z faktur.

To oznacza, że temat dotyczy zarówno logowania, jak i połączeń między programami oraz informacji o transakcjach. Szczegółowe działania dla użytkowników opisaliśmy w artykule Wyciek w Fakturowni - co teraz?. Tutaj przypadek Fakturowni jest punktem odniesienia dla zdarzeń z innych sektorów.

Enel-med w komunikacie z 27 września poinformował, że 24 września zidentyfikował cyberatak i dostęp do części danych pacjentów. Według spółki naruszenie może dotyczyć około 3% całej bazy. To wstępny zakres przy trwającej analizie; komunikat nie podaje liczby osób ani szczegółowej listy pól objętych naruszeniem.

Operator zapowiedział indywidualny kontakt z każdym pacjentem, którego dane zostały naruszone, wraz z informacjami i zaleceniami. Jednocześnie podał, że wszystkie placówki funkcjonują standardowo, a wizyty można umawiać przez aplikację i call center.

Dla pacjenta są to dwie oddzielne informacje. Bieżąca realizacja wizyt odpowiada na pytanie o dostępność leczenia. Powiadomienie o naruszeniu dotyczy poufności danych. Brak problemu z umówieniem wizyty nie zastępuje zapowiedzianej informacji o sytuacji konkretnej osoby.

Państwowa Uczelnia Zawodowa im. prof. Edwarda F. Szczepanika w Suwałkach opublikowała komunikat 29 września. Poinformowała o ataku ransomware, czyli ataku wykorzystującym oprogramowanie wymuszające okup, i zaszyfrowaniu infrastruktury serwerowej. Utraciła dostęp do systemów oraz ich kopii zapasowych, w tym do baz studentów i pracowników oraz systemów dziekanatowych i kadrowo-płacowych.

Uczelnia ostrzegła o wysokim ryzyku nieuprawnionego dostępu do danych osobowych. Wymieniła m.in. imiona, nazwiska, PESEL, adresy, oceny i numery rachunków bankowych.

Mimo tych problemów PUZ zapowiedziała rozpoczęcie studiów 1 października i zajęcia zgodnie z planami. Dla innych organizacji to konkretny powód, by sprawdzić możliwość odtworzenia systemów oraz sposób przekazania pracownikom informacji, gdy zwykłe narzędzia przestaną działać.

24 września CyberDefence24 opublikował stanowisko Zdrowit S.A., które następnie opisał Alert Medyczny. Spółka potwierdziła nieuprawniony dostęp do systemów IT i zaszyfrowanie części zasobów. W publikacji CyberDefence24 pojawia się również informacja, że Zdrowit był wymieniony przez grupę ransomware na liście ofiar już na początku września. Data samego ataku pozostaje niepodana.

Spółka wyraźnie oddzieliła swoje systemy od Aptek Zdrowit. Według jej oświadczenia apteki są odrębnymi podmiotami i korzystają z dedykowanego oprogramowania specjalistycznego, którego zdarzenie nie obejmuje. Przy ocenie skutków dla własnej apteki czy zamówienia trzeba więc zachować ten zakres. Sama wspólna nazwa nie określa, które systemy zostały zaatakowane.

Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu w zawiadomieniu o naruszeniu danych Medyc poinformował o cyberataku na system swojego podmiotu przetwarzającego: Qbusoft, producenta programu Medyc. Sprawę opisał również CyberDefence24 24 września. Część zawiadomienia dotycząca Medyc obejmuje pacjentów Oddziału Dziennego Leczenia Uzależnień.

Według zawiadomienia zaszyfrowane archiwum bazy wykradziono 22 i 23 sierpnia, a zdarzenie wykryto w nocy z 8 na 9 września. Zakres obejmuje pacjentów Oddziału Dziennego z okresu od 1 lipca 2024 r. do 23 sierpnia 2026 r. Ośrodek wskazuje, że jednoznacznie udowodniono pobranie imion, nazwisk, numerów PESEL, adresów zamieszkania lub pobytu, numerów telefonów oraz adresów e-mail.

Ośrodek podaje, że imiona, nazwiska i numery PESEL przechowywano w postaci zaszyfrowanej, lecz dostawca nakazał przyjąć, że były łatwe do odszyfrowania i napastnicy uzyskali je w postaci jawnej. W zawiadomieniu opisano także skrypty skierowane do tabel z danymi medycznymi oraz ocenę, że pozyskanie wypisów z leczenia szpitalnego jest bardzo prawdopodobne. To ocena dostawcy przytoczona przez ośrodek.

W swoim komunikacie zaktualizowanym 28 września o 08:26 Medyc potwierdza kradzież danych osobowych i wymienia te same kategorie danych identyfikacyjnych oraz kontaktowych. Jednocześnie zaznacza, że na tym etapie nie potwierdzono kradzieży dokumentacji medycznej. Zawiadomienie ośrodka i komunikat Medyc zgadzają się co do kradzieży danych osobowych; ocenę ryzyka pozyskania wypisów trzeba odróżnić od potwierdzenia kradzieży dokumentacji medycznej.

Ten przypadek pokazuje znaczenie dostawcy oprogramowania w całym procesie przetwarzania danych. Organizacja potrzebuje informacji nie tylko o stanie własnych komputerów, lecz także o systemach, w których jej usługodawca przechowuje lub obsługuje dane.

Jako klient, pacjent lub student śledź oficjalny komunikat organizacji oraz kierowane do Ciebie powiadomienia. Sprawdź, jakiej grupy osób, okresu i rodzaju danych dotyczy informacja. Pilną prośbę o logowanie, podanie danych lub płatność zweryfikuj przez wcześniej znany numer telefonu albo adres strony.

Enel-med zaleca unikalne hasła, uwierzytelnianie dwuskładnikowe i ostrożność wobec e-maili, SMS-ów oraz połączeń. Enel-med i PUZ rekomendują też zastrzeżenie PESEL. Te działania służą ograniczaniu kolejnych zagrożeń; zmiana hasła nie usuwa danych, które ktoś już skopiował.

W firmie ustal, kto odbiera komunikaty dostawców i podejmuje decyzje o dostępach. Sprawdź, czy da się odtworzyć potrzebne dane, kiedy ostatnio to przetestowano i jak skontaktujesz się z zespołem bez głównego systemu. Oddziel zakończenie przerwy w pracy od ustalenia, jakie informacje mogły zostać przejęte.

Przegląd dostępów powinien objąć również nieużywane integracje. Jeśli korzystasz z KSeFGPT, instrukcja usuwania integracji wyjaśnia usunięcie konfiguracji i zapisanych danych dostępowych z aplikacji. Wymaga to odpowiednich uprawnień oraz modułu Automatyzacja. Unieważnienie tokenu u jego wystawcy jest odrębną operacją.

Osoba odczytująca dokumenty dla księgowości i pracownik obsługujący sprzedaż mogą potrzebować innego zakresu dostępu. Przy porządkowaniu firmowych kont zacznij od wykonywanych zadań, a następnie sprawdź uprawnienia konkretnych osób.

W organizacji KSeFGPT uprawniony użytkownik może konfigurować grupy i przypisywać je aktywnym członkom. Instrukcja ustawiania uprawnień grupy i przypisywania jej użytkownikowi opisuje ten proces w kontekście wybranej firmy. Warto wracać do takich ustawień po zmianie obowiązków pracownika.

Dalsze wskazówki dotyczące incydentu i porządkowania dostępów:

Wyciek w Fakturowni - co teraz?

Jak ustawić uprawnienia grupy i przypisać ją użytkownikowi w KSeFGPT?

Jak usunąć integrację w KSeFGPT?

Jak udostępnić odczyt faktur KSeF księgowości?