Ataque à Fakturownia revela riscos de tokens e dados em plataformas de faturamento
A invasão da Fakturownia, plataforma polonesa de faturamento usada por mais de 600 mil empresas, expôs um risco que vai além do acesso a cadastros e documentos financeiros. Credenciais técnicas, como tokens de autenticação e chaves de integração, também podem abrir caminho para sistemas conectados – e ampliar os efeitos de um ataque.
A empresa informou que um invasor explorou uma vulnerabilidade para acessar seus servidores sem autorização. O período identificado vai da madrugada de 27 de setembro até o fim da tarde do dia 28. Segundo a Fakturownia, uma parte expressiva de sua base de dados foi copiada para servidores controlados pelo invasor.
Entre as informações que podem ter sido acessadas estão dados de contas pessoais e empresariais, hashes de senhas, informações bancárias, tokens de autenticação e integração, além de registros de clientes e parceiros. Faturas emitidas antes de 2023 também podem estar envolvidas. A companhia afirmou que dados de cartões de pagamento não foram afetados.
A presença de tokens entre os dados potencialmente expostos torna o episódio particularmente relevante. Essas credenciais permitem que aplicações e serviços se comuniquem entre si. Se continuarem válidas após um vazamento, podem ser usadas para acessar APIs ou outros sistemas sem que o criminoso precise conhecer a senha de uma pessoa.
Por isso, redefinir senhas não basta. A resposta precisa incluir a identificação e a troca de tokens, chaves de API, credenciais de aplicações e outros segredos técnicos que possam ter sido armazenados ou utilizados na plataforma. Também é importante encerrar sessões ativas e verificar se as credenciais foram reutilizadas em outros serviços.
Sistemas de faturamento ocupam uma posição sensível nas operações das empresas. Eles guardam informações comerciais e, com frequência, se conectam a ferramentas de contabilidade, bancos, sistemas de gestão empresarial (ERPs) e serviços fiscais. Uma falha em um fornecedor, portanto, pode criar riscos para várias organizações e ambientes digitais ligados a ele.
No caso da Fakturownia, autoridades polonesas informaram que o sistema nacional de faturamento KSeF não foi comprometido. Os certificados digitais usados para acessá-lo também permaneceram seguros. Essa distinção é importante: o impacto confirmado ou possível deve ser descrito com precisão, sem atribuir ao ataque consequências que não foram identificadas.
A empresa declarou ter bloqueado o acesso do invasor, iniciado a rotação de senhas e chaves de aplicação e colocado novos servidores em operação. Também disponibilizou aos clientes um recurso para verificar se dados de suas contas e de seus contratantes foram copiados. Quando aplicável, essa verificação pode apoiar a comunicação do incidente à autoridade polonesa de proteção de dados.
Para os clientes, o episódio mostra que a segurança de um serviço terceirizado precisa fazer parte do planejamento da própria organização. Contratos e procedimentos internos devem prever como o fornecedor comunicará incidentes, quais informações apresentará e de que forma ajudará a identificar os dados e as integrações afetados. Sem essas definições, a empresa pode depender, durante uma crise, de informações que só o prestador de serviço consegue fornecer.
Organizações brasileiras que usam plataformas financeiras ou fiscais podem aplicar as mesmas medidas. É recomendável manter um inventário dos serviços contratados, dos dados enviados a cada um e das conexões autorizadas. Esse registro ajuda a determinar quais equipes precisam agir caso um fornecedor sofra uma invasão e reduz o tempo gasto para localizar integrações potencialmente expostas.
Após um alerta de incidente, a equipe responsável deve revisar os registros de acesso da plataforma e dos sistemas conectados. A análise pode ajudar a identificar atividades incomuns, chamadas de API não reconhecidas, alterações de configuração e tentativas de uso de credenciais antigas. Se houver tokens ativos, a substituição deve ser coordenada para evitar tanto o uso indevido quanto a interrupção de processos importantes.
Também convém verificar webhooks, contas de serviço e integrações pouco utilizadas. Conexões esquecidas podem manter permissões mesmo quando já não são necessárias. Aplicar o princípio do menor privilégio – conceder apenas o acesso indispensável a cada sistema – limita o alcance de uma credencial comprometida.
O vazamento de informações reais de faturamento traz ainda um risco de fraude direcionada. Com nomes de empresas, dados de clientes e detalhes comerciais, criminosos podem elaborar mensagens convincentes, fingindo cobrar uma fatura, atualizar dados bancários ou solicitar uma ação urgente. Por isso, equipes financeiras e de atendimento devem ser alertadas, e pedidos de alteração de pagamento precisam ser confirmados por um canal independente.
O incidente também reforça a necessidade de avaliar fornecedores antes e durante a contratação. Além dos controles de segurança, vale entender como o prestador protege credenciais técnicas, revoga acessos, registra atividades e responde a vulnerabilidades. A confiança em um SaaS não elimina a responsabilidade de acompanhar as conexões que a empresa autorizou.
Em ambientes digitais interligados, a proteção não pode se concentrar apenas nas contas de usuários. Aplicações, integrações e tokens também representam identidades e precisam de controles próprios: inventário, permissões limitadas, armazenamento seguro, monitoramento e rotação periódica. O caso da Fakturownia evidencia que a segurança de uma plataforma de faturamento depende tanto da proteção dos dados quanto da gestão cuidadosa de tudo o que pode acessá-los.