Roban la base de datos de Fakturownia, el programa de facturas de 600.000 empresas

Qué ha pasado

Fakturownia, una plataforma polaca de facturación online que usan más de 600.000 empresas, ha confirmado que un atacante entró en sus servidores aprovechando una vulnerabilidad. Según el comunicado de la propia empresa, el acceso duró desde la madrugada del 27 de septiembre hasta la tarde del 28, cuando lo detectaron, y en ese tiempo el intruso copió una parte grande de la base de datos. No borró nada, pero todas las cuentas están afectadas y unas 2.250 sufrieron una extracción más amplia.

Entre lo copiado hay nombres y NIF de empresas, direcciones, correos y teléfonos de usuarios, números de cuenta bancaria, contraseñas cifradas (hash), identificadores de sesión y, lo más delicado, los tokens de API y claves de integración guardados en la configuración. También datos de clientes y proveedores dados de alta antes de octubre de 2024 y facturas completas antiguas. Quedan fuera los certificados del sistema estatal de factura electrónica (KSeF), las claves de banca y las tarjetas.

La empresa bloqueó al intruso, cambió claves y contraseñas, levantó servidores nuevos, sustituyó los tokens de sus clientes y lo notificó a la autoridad polaca de protección de datos, a CERT Polska y a la policía. The Record añade que alguien que firma como «Fingerprint» asegura haberse llevado 6 terabytes de facturas, algo que no se ha comprobado de forma independiente.

Por qué le importa a tu empresa

Aunque sea una empresa polaca, el caso es universal: muchas pymes españolas tienen la facturación, el CRM o la tienda en un servicio en la nube, y lo conectan con el banco, la web o el ERP mediante claves de API. Si el proveedor cae, caen también esos datos y esas llaves.

Y hay un detalle legal que se olvida: los datos de tus clientes y proveedores que metes en esa herramienta son responsabilidad tuya. La propia Fakturownia recuerda a sus clientes que, como responsables del tratamiento, deben valorar el riesgo y decidir si notifican a su autoridad de control, con el plazo de 72 horas contando desde que reciben el aviso. En España, eso es la AEPD.

Además, con nombres, cuentas e importes reales en la mano, el siguiente paso típico es el fraude del cambio de cuenta bancaria: un correo creíble que pide pagar «a partir de ahora» en otro IBAN.

Mi opinión

Lo que más me ha llamado la atención no es el robo, que por desgracia ya no sorprende, sino la parte buena: el comunicado es detallado, con fechas, tipos de datos y consejos concretos. Así debería explicarse cualquier brecha.

Dicho esto, el error que veo una y otra vez en pymes es pensar que «si está en la nube, la seguridad es cosa del proveedor». No del todo. Tú decides qué proveedor eliges, qué datos subes, cuántas integraciones abres y si tienes un plan para cuando algo falle. No hace falta auditar a nadie con lupa, pero sí saber qué herramientas guardan datos personales, qué claves tienen y quién puede revocarlas. En XEVIA solemos empezar justo por ese inventario, porque sin él no se puede reaccionar a tiempo.

Qué hacer hoy

• Haz una lista de los servicios en la nube que guardan datos de clientes o proveedores (facturación, CRM, tienda, formularios) y comprueba que tienes contrato de encargado del tratamiento con cada uno.
• Revisa qué tokens de API y claves de integración tienes activos, elimina los que no uses y apunta cómo regenerar los demás.
• Pide a administración que confirme por teléfono, con un número ya conocido, cualquier cambio de cuenta bancaria de un proveedor.
• Activa la verificación en dos pasos en las herramientas de facturación y no repitas contraseñas entre servicios.
• Ten por escrito el procedimiento de brechas: quién valora el riesgo y cómo se notifica a la AEPD en 72 horas.