Fakturownia: 'Fingerprint' repete golpe, agora no fisco polonês

A Fakturownia é uma das maiores plataformas de faturamento online da Polônia, com base declarada de mais de 600.000 empresas clientes no país e no exterior. O timing do incidente não é trivial: em 2026 a Polônia tornou obrigatório o uso do KSeF (Krajowy System e-Faktur) para emissão de notas fiscais eletrônicas, o que fez de qualquer plataforma integrada ao sistema um alvo com valor estratégico amplificado. A hipótese de comprometimento em cascata — de um fornecedor privado para a infraestrutura fiscal do Estado — foi levantada imediatamente pela imprensa e por autoridades. A investigação do Ministério das Finanças descartou esse vetor em menos de 48 horas, e a Fakturownia corroborou afirmando que os certificados KSeF permaneceram em segurança. Não há evidência que contradiga essa posição até agora, mas o prazo curto da revisão ministerial é um dado que merece atenção — uma auditoria forense mais profunda ainda pode estar em andamento.

O ator 'Fingerprint' já é conhecido no cenário polonês: pesquisadores da Zaufana Trzecia Strona o vinculam a breaches anteriores na MyDr (dados históricos de saúde de aproximadamente 18,8 milhões de pessoas) e na Medyc/Qbusoft (estimativa de até 5 milhões de pacientes). Em todos os casos o padrão é o mesmo: o ator contata ativamente a Z3S para divulgar o ataque, apresenta screenshots como prova e faz declarações sobre volume exfiltrado que não puderam ser verificadas de forma independente. No caso da Fakturownia, a Z3S recebeu três evidências de acesso — um diretório de servidor de aplicação, um fragmento de lista de clientes e uma lista de arquivos de dump de banco — e declarou expressamente que o volume de 6 TB não pôde ser confirmado. A presença dessas evidências eleva a credibilidade da alegação de acesso além do 'bluff', mas não valida a escala afirmada.

O vetor técnico, conforme descrito pelo próprio 'Fingerprint' à Z3S e reproduzido pelo Niebezpiecznik, teria sido uma 'oracle temporal para extração da master key Ruby', seguida de forja de cookie e execução remota de código no servidor. A técnica remete a classes conhecidas de vulnerabilidades em aplicações Ruby on Rails — exploração de timing side-channels para recuperar o secret_key_base e posterior deserialização maliciosa para RCE — mas nenhum CVE específico foi citado por qualquer parte, e a Fakturownia não divulgou a versão do software nem confirmou o vetor descrito pelo ator. Essa lacuna é relevante: sem confirmar o vetor, não é possível avaliar se outros clientes do mesmo stack tecnológico estão expostos.

A resposta da Fakturownia foi noticiada como 'exemplar' por alguns veículos poloneses: notificação proativa às autoridades (CBZC, CERT Polska, UODO), publicação de comunicado com categorias de dados afetadas, rotação de credenciais, provisionamento de novos servidores e invalidação massiva de tokens de API. O ponto que merece escrutínio é a falta de clareza sobre quando o acesso começou — a empresa confirmou que a detecção ocorreu em 28 de setembro, mas o comunicado oficial explicitamente não estabelece quando o acesso não autorizado teve início. Comentários na comunidade especializada polaca levantaram a hipótese de que o acesso pode ter começado no fim de semana anterior, com a detecção ocorrendo na segunda-feira. Essa janela de exposição é crítica para avaliar o risco de uso secundário dos dados.

O perfil de dados potencialmente comprometidos é especialmente perigoso para fraude empresarial: dados de conta bancária, informações de pagamento, tokens de autenticação e — no caso de empresas que usavam a plataforma antes de 2023 — um histórico de faturas com nomes de fornecedores, valores e NUPs fiscais. A Fakturownia alertou expressamente sobre risco de phishing e engenharia social, incluindo golpes de mudança de número de conta bancária (um vetor de Business Email Compromise amplamente documentado).

Potencialmente afetadas: mais de 600.000 empresas clientes da Fakturownia na Polônia e no exterior, bem como seus contratantes e parceiros comerciais cujos dados estavam armazenados na plataforma. Os dados expostos incluem hashes de senha, tokens de API e sessão, números de contas bancárias, dados de pagamento e faturas emitidas antes de

2023. O risco imediato é de fraude de BEC (Business Email Compromise) e phishing direcionado usando informações de faturamento reais como gancho de credibilidade. O risco de comprometimento em cadeia via KSeF foi avaliado como não confirmado pelas autoridades. O UODO, CERT Polska e o CBZC estão todos formalmente envolvidos na investigação. Empresas que usavam a Fakturownia como processadora de dados têm obrigação própria de notificação ao UODO caso avaliem que o breach gerou risco para pessoas físicas — o prazo de 72 horas conta a partir da ciência do controlador, não da data de detecção pela Fakturownia.