Ataque à Fakturownia revela riscos de tokens e dados em plataformas de faturamento
A invasão da Fakturownia, plataforma polonesa de faturamento usada por mais de 600 mil empresas, expôs um risco que vai além do vazamento de informações armazenadas em um banco de dados. Quando um serviço financeiro é conectado a sistemas de contabilidade, bancos e ferramentas empresariais, credenciais técnicas comprometidas podem abrir caminhos para outros ambientes.
A empresa informou que um invasor explorou uma vulnerabilidade para obter acesso não autorizado a servidores. A atividade ocorreu entre a madrugada de 27 de setembro e o fim da tarde do dia 28. Segundo o comunicado, uma grande parte da base foi copiada para servidores controlados pelo criminoso.
Entre os dados potencialmente afetados estão informações de contas pessoais e empresariais, hashes de senhas, dados bancários, tokens de autenticação e integração e registros de clientes e parceiros. Faturas emitidas antes de 2023 também podem ter sido acessadas. A empresa não indicou que dados de cartões de pagamento tenham sido comprometidos.
Tokens podem abrir portas além da plataforma
Tokens e chaves de integração não são meros detalhes técnicos: funcionam como credenciais. Dependendo de suas permissões e de ainda estarem válidos, podem permitir que alguém acesse APIs e serviços conectados sem conhecer a senha de uma pessoa.
Por isso, trocar senhas de usuários não basta para conter um incidente dessa natureza. É necessário identificar todos os segredos técnicos associados à plataforma – como tokens, chaves de API, credenciais de aplicação, webhooks e sessões – e avaliar se precisam ser revogados ou substituídos. Também é importante verificar os registros dos sistemas que receberam conexões da Fakturownia.
A dimensão do risco está ligada ao papel do serviço no ecossistema empresarial. Plataformas de faturamento costumam concentrar dados comerciais e manter conexões com sistemas contábeis, ERPs, bancos e serviços fiscais. Uma credencial exposta pode, portanto, transformar um problema em um fornecedor em uma ameaça para outras organizações.
No caso da Fakturownia, autoridades informaram que o sistema nacional polonês de faturamento, o KSeF, não foi comprometido. Os certificados digitais usados para acessá-lo também permaneceram seguros. Essa distinção é relevante: a existência de um incidente em uma plataforma conectada não significa, por si só, que todos os sistemas relacionados tenham sido invadidos.
Medidas anunciadas e providências para clientes
A Fakturownia afirmou ter bloqueado o acesso do invasor, iniciado a rotação de senhas e chaves de aplicação e colocado novos servidores em operação. A empresa também disponibilizou um mecanismo para que clientes verifiquem se dados de suas contas e de seus contratantes foram copiados e, quando necessário, apoiem a comunicação à autoridade polonesa de proteção de dados.
Para empresas afetadas ou que utilizem serviços semelhantes, o primeiro passo é descobrir quais informações e integrações estavam envolvidas. Isso requer consultar as comunicações do fornecedor, mapear as conexões autorizadas e identificar quais sistemas receberam dados ou acessos da plataforma.
A revisão deve incluir também as contas com privilégios elevados, as sessões abertas e as credenciais reutilizadas em outros serviços. Se uma senha usada na plataforma também foi adotada em outro sistema, ela deve ser alterada nesse ambiente. A autenticação multifator ajuda a proteger contas, mas não substitui a revogação de tokens e chaves potencialmente expostos.
Dados verdadeiros de faturas podem tornar tentativas de fraude mais convincentes. Um criminoso que conheça nomes de clientes, valores, datas ou relações comerciais pode criar mensagens personalizadas para induzir pagamentos indevidos, obter novas credenciais ou convencer funcionários a alterar dados bancários de fornecedores. Por isso, a resposta deve incluir alertas internos e atenção redobrada a pedidos financeiros recebidos por e-mail ou outros canais.
O que empresas brasileiras podem aprender
Embora o incidente tenha ocorrido na Polônia, o alerta vale para qualquer organização brasileira que dependa de plataformas financeiras, fiscais ou de faturamento na nuvem. A avaliação de um fornecedor não deve se limitar à disponibilidade do serviço: é preciso entender que dados ele guarda, com quais ferramentas se conecta e como reage a uma exposição de credenciais.
Contratos e planos de resposta devem esclarecer em quanto tempo o fornecedor notificará clientes, que tipo de evidência disponibilizará e como será possível identificar os registros afetados. Sem processos definidos, a empresa pode descobrir durante uma crise que não tem acesso às informações necessárias para avaliar sua própria exposição.
Também é recomendável manter um inventário atualizado das integrações, com a finalidade de cada conexão, os dados acessados e os responsáveis internos. Permissões limitadas ao necessário reduzem o impacto potencial caso uma chave seja comprometida. Sempre que possível, credenciais devem ter prazo de validade, ser armazenadas de forma segura e ser substituídas periodicamente.
Outro cuidado é monitorar alterações incomuns em integrações: novas chaves, mudanças em destinos de webhooks, acessos fora do padrão e operações inesperadas em sistemas conectados. Esses sinais podem ajudar a detectar abusos mesmo quando a conta principal parece funcionar normalmente.
O episódio reforça uma mudança importante na segurança digital: proteger apenas usuários e senhas já não é suficiente. Aplicações, serviços automatizados e integrações também possuem identidades e privilégios. Em ambientes empresariais conectados, essas credenciais precisam ser inventariadas, monitoradas e revogadas com o mesmo rigor aplicado às contas humanas.