ZAWIADOMIENIE O NARUSZENIU OCHRONY DANYCH OSOBOWYCH

Szanowni Państwo,

działając jako Administrator Państwa danych osobowych, w związku z obowiązkiem wynikającym z art. 34 RODO, informujemy o naruszeniu ochrony danych osobowych w systemie Fakturownia.pl, wykorzystywanym przez UniStyle.pl do wystawiania faktur.

Co się stało i jakich danych dotyczy naruszenie?

W dniu 28 września 2026 r. ujawniono incydent bezpieczeństwa, w wyniku którego osoba nieuprawniona uzyskała dostęp do systemu Fakturownia.pl i skopiowała znajdujące się w nim dane. Według informacji przekazanych UniStyle.pl przez operatora systemu, skopiowane dane dotyczą okresu do 22 grudnia 2025 r., przy czym należy zaznaczyć, że firma UniStyle.pl korzysta z systemu Fakturownia.pl od 01.01.2024r.

Naruszenie obejmuje w szczególności nazwę firmy/instytucji oraz związane z nią imię i nazwisko , NIP, adres, adres dostawy, e-mail, telefon. Ujawnione dane mogły obejmować również informacje o transakcji, w tym datę i numer faktury, kwotę, sposób i termin płatności, uwagi.

Jakie mogą być konsekwencje?

Skopiowane dane mogą zostać wykorzystane do prób oszustwa, podszywania się pod UniStyle.pl, Fakturownię, bank lub inną instytucję, a także do wysyłania fałszywych wiadomości, faktur lub próśb o zmianę numeru rachunku bankowego. Istnieje również ryzyko prób wyłudzenia danych logowania i kodów autoryzacyjnych, przejęcia kont internetowych.

Powyższe zagrożenia mają charakter potencjalny i nie oznaczają, że takie działania już nastąpiły. Według aktualnego komunikatu operatora nie ma informacji, aby skopiowane dane zostały upublicznione.

Jakie działania podjęto?

Operator Fakturownia.pl zablokował adres osoby atakującej, usunął lukę w aplikacji, zmienił klucze aplikacji i hasła usług, przeniósł ruch na nowe serwery, wyłączył poprzednią infrastrukturę i skompromitowane klucze, wymienił tokeny API oraz wprowadził dodatkowe zabezpieczenia generatora plików PDF. Incydent zgłoszono również Prezesowi Urzędu Ochrony Danych Osobowych, CERT Polska i Policji.

UniStyle.pl zmieniło wszystkie hasła użytkowników swojego konta w Fakturowni w okresie od 29 września do 2 października 2026 r. oraz 30 września 2026r. UniStyle.pl zmieniło Tokeny wskazane w zawiadomieniu e-mail przez Fakturownia, a 7 października 2026 r. zmieniło wszystkie Tokeny wykorzystywane do integracji z zewnętrznymi aplikacjami.

Informujemy jednocześnie, że Fakturownia.pl nie przechowuje danych logowania do banków, danych kart płatniczych ani certyfikatów kwalifikowanych i QWAC. Zgodnie z komunikatem operatora naruszenie nie objęło również certyfikatów KSeF.

Jak mogą Państwo ograniczyć ryzyko?

Zalecamy w szczególności:

• zachowanie szczególnej ostrożności wobec nieoczekiwanych telefonów, wiadomości SMS i e-maili, zwłaszcza zawierających linki, załączniki lub prośby o pilne działanie;
• nieprzekazywanie nikomu haseł, kodów SMS, kodów BLIK ani kodów autoryzacyjnych; w razie kontaktu rzekomo ze strony banku lub urzędu należy się rozłączyć i samodzielnie zadzwonić na numer z oficjalnej strony tej instytucji;
• niezależne potwierdzanie wszelkich próśb o zmianę rachunku bankowego lub dokonanie nietypowego przelewu.

UniStyle.pl nie zmieniło i nie planuje zmieniać numerów rachunków bankowych.
Weryfikacji numeru rachunku bankowego można dokonać bezpłatnie w wykazie podatników VAT.
Biała Lista VAT https://podatki-arch.mf.gov.pl/wykaz-podatnikow-vat-wyszukiwarka/

W razie pytań lub podejrzenia próby wykorzystania Państwa danych prosimy o kontakt pod adresem: info@unistyle.pl.
Przepraszamy za niepokój, jaki mogła wywołać ta sytuacja.

[edit: 09.10.2026]

—+++—

Czy mnie to dotyczy ?

Działając jako Administrator Państwa danych osobowych, w związku z obowiązkiem wynikającym z art. 34 RODO, informujemy o naruszeniu ochrony danych osobowych w systemie Fakturownia.pl, wykorzystywanym przez UniStyle.pl do wystawiania faktur.

Jeżeli otrzymałeś fakturę z firmy UniStyle.pl wystawioną pomiędzy 01.01.2024, a 28.09.2026 do godz. 18:01 to niezidentyfikowana osoba weszła w posiadanie danych jakie widnieją na fakturze oraz Twojego numeru telefonu i adresu e-mail. 

* [ edytowano: 08.10.2026r.  Według producenta oprogramowania (Fakturownia Sp. z o.o.) pomimo dostępu do systemu fakturownia w przypadku firmy UniStyle.pl zostały skopiowane dane z przedziału od 01.01.2024r. do 22.12.2025r.
] *

W przypadku firm, które otrzymały FV będą to dane zwykle dostępne z publicznych rejestrów. W przypadku osób fizycznych będą to dane podane do faktury oraz dane adresowe. W skrajnych przypadkach mogą być to numery IDWew dla podmiotów JST, które je wskazały lub numery PESEL osób, które je wskazały.

Wskazanie danych, które uległy naruszeniu:

1. Klienci UniStyle.pl: nazwa lub imię i nazwisko, NIP, adres, adres dostawy, e-mail, telefon, notatka,
2. Dostawcy UniStyle.pl: numer rachunku bankowego, nazwa lub imię i nazwisko, NIP, adres, adres dostawy, e-mail, telefon,
3. Panel kontrahenta (jeżeli użyty): link dostępowy i jeśli kontrahent ustawił hasło – skrót hasła,
4. numer fv, daty, kwoty, sposób i termin płatności, uwagi,
5. Pozycje faktur: nazwy towarów, ilości, ceny,
6. Identyfikator transakcji płatniczej z platformy Allegro (dla zakupów wykonanych w Allegro).

Dane, które nie uległy naruszeniu:

• certyfikaty KSeF;
• dane logowania do banków – Fakturownia ich nie przechowuje;
• dane kart płatniczych – Fakturownia ich nie przechowuje;
• certyfikaty kwalifikowane (Podpis lub Pieczęć) – Fakturownia ich nie przechowuje;
• certyfikaty QWAC – Fakturownia ich nie przechowuje.

Możliwe skutki

* [ edytowano: 08.10.2026r. 
W efekcie zdarzenia można się spodziewać skutków o poniższym charakterze:

• wiadomości e-mail, SMS i telefony podszywające się np. pod:
  • Fakturownię,
  • Bank,
  • UniStyle.pl

    prowokujące do 

  • „weryfikacji konta” lub podania kodów: dostępowych, SMS, Blik, 2FA (drugiej weryfikacji np. telefonem),
  • fałszywe faktury lub prośby o zmianę numeru rachunku wysyłane w imieniu UniStyle.pl do Państwa,
  • próby  wejścia w komunikację Man In The Middle poprzez fałszywą wiadomość mail i fałszywe użycie adresata “Odpowiedz do:”,
  • Użycie Państwa adresu e-mail do prób zalogowania na popularne portale (w tym społecznościowe). W efekcie wywoływanie mechanizmów autoryzacji dwuskładnikowej lub blokowanie kont poprzez użycie nadmiernej liczby nieprawidłowych haseł.

Informujemy, że UniStyle.pl nie zmieniło i nie planuje zmieniać numeru kont bankowych.

Nasze numery rachunku można sprawdzić w rządowej platformie Białej Listy VAT pod adresem:
https://podatki-arch.mf.gov.pl/wykaz-podatnikow-vat-wyszukiwarka/

]*

Co powinienem zrobić?

• zachowaj czujność we wszelkich kontaktach, które nie są zainicjowane przez Ciebie,
• zastrzeż PESEL – choć ten identyfikator znajduje się na FV w nielicznych przypadkach, jego zastrzeżenie w sposób dość skuteczny chroni przed jego użyciem w znaczących kwestiach (kredytowe, notarialne),
• weź pod uwagę, że telefony lub wiadomości mail, które otrzymujesz nie muszą być prawdziwe (kontakty z banków, urzędów – lepiej rozłączyć się i samodzielnie zadzwonić na numer podany na oficjalnej stronie instytucji z której dokonano kontaktu),
• nigdy nie musisz podejmować natychmiastowych działań związanych z Twoimi kontami,
• sprawdzaj adres e-mail nadawcy wiadomości (czy pochodzi z właściwej domeny),
• unikaj klikania w linki w wiadomości. Lepiej wchodź na strony poprzez ręczne wpisanie adresu, który znasz,
• uważaj na powiadomienia  autoryzacji dwuskładnikowej, możesz otrzymać powiadomienie o potwierdzeniu logowania, choć nie logujesz się. Odrzuć takie próby.

Środki użyte do zminimalizowania skutków

28.09.2026, 13:35 – pierwsza blokada adresu atakującego;
18:01 – usunięcie luki w aplikacji;
18:56–20:14 – zmiana kluczy aplikacji i haseł usług;
20:44–21:51 – przeniesienie ruchu na nowe serwery zbudowane od zera, wyłączenie starych, dezaktywacja wykradzionych kluczy;
23:10 – czasowa blokada panelu klienta;
28.09.2026, 23:50 – 29.09.2026, 4:03 – wymiana tokenów API klientów;
29.09.2026, 2:35 – dodatkowe zabezpieczenia generatora plików PDF.
29.09.2026 – 02.10.2026r. Administrator: zmiana wszystkich haseł użytkowników należących do firmy UniStyle w fakturownia,
02.10.2026r. – zmiana Tokenów API jakie wskazała Fakturownia w zawiadomieniu e-mail,
07.10.2026r. – zmiana wszystkich Tokenów do integracji z zewnętrznymi aplikacjami.

Mam wątpliwości…

Jeżeli masz pytania napisz na adres info@unistyle.pl. Skontaktujemy się z Tobą tak szybko jak to możliwe.

Szczegóły incydentu opublikowane przez producenta oprogramowania: https://fakturownia.pl/incydent