8 października 2026 r. Fakturownia udostępniła nam szczegółowe dane dotyczące konta Fundacji Alchemia Zmiany. Poniżej podajemy, co z nich wynika i jakie działania Fundacja podjęła od pierwszego komunikatu.

Kogo dotyczy incydent w zakresie konta Fundacji

Zgodnie z informacjami Fakturowni, z konta Fundacji skopiowano dane 378 osób fizycznych. Są to:

• osoby prowadzące jednoosobową działalność gospodarczą – 165 osób;
• konsumenci – 184 osoby;
• wspólnicy spółek cywilnych – 2 osoby;
• osoby kontaktowe spółek i instytucji – 26 osób;
• osoba, której rodzaju nie dało się ustalić – 1 osoba.

Spółki i instytucje bez wskazanej osoby kontaktowej nie są liczone – nie są osobami, których dane dotyczą w rozumieniu RODO.

Jakie dane zostały skopiowane

Z konta Fundacji skopiowano – w zależności od osoby:

• imię i nazwisko – dla 378 osób;
• adres – dla 295 osób;
• NIP – dla 194 osób;
• adres e-mail – dla 267 osób;
• numer telefonu – dla 239 osób.

Dodatkowo:

• kwoty faktur – z faktur z całego okresu, 1259 rekordów;
• dane kontrahentów dodanych przed 16 października 2024 r. (nazwa lub imię i nazwisko, NIP, adres, adres dostawy, e-mail, telefon, numer rachunku, notatka, pola własne, link do panelu kontrahenta i – jeśli ustawiono – skrót hasła) – 416 rekordów;
• płatności (daty, kwoty, tytuły przelewów, nazwy i numery rachunków nadawców) – 10 rekordów;
• dane zaimportowane z plików, eksporty i importy zlecone do 6 marca 2026 r. – 215 rekordów;
• informacje o załącznikach (nazwa, typ, rozmiar, data) dodanych przed 6 listopada 2025 r. – 808 rekordów.

Uzupełnienie zakresu danych względem komunikatu z 1 października 2026 r.

Fakturownia ustaliła dodatkowo, że z konta Fundacji skopiowano również:

• dodatkowe pola kontrahenta: REGON, adres korespondencyjny, fax, identyfikator w programie księgowym, dodatkowy opis, osoba przyjmująca faktury – z kartoteki kontrahentów dodanych przed 16 października 2024 r. oraz z dodatkowych stron faktur w całości;
• adresy, definicje faktur cyklicznych – także z danymi nabywców dodanych po dacie granicznej 16 października 2024 r.;
• szablony wiadomości wysyłanych z fakturami – w całości;
• historia wysyłek faktur (adresaci, zdarzenia) – wpisy sprzed 24 listopada 2021 r.

W praktyce, w kartotece kontrahentów Fundacji z reguły nie były wypełniane pola: REGON, adres korespondencyjny, fax, identyfikator w programie księgowym, dodatkowy opis. Nie prowadzimy w Fakturowni definicji faktur cyklicznych. W części kartotek wypełnione było pole „osoba przyjmująca faktury” – jeśli zostało uzupełnione, dane tej osoby również zostały skopiowane.

Zgodnie z informacją Fakturowni, daty graniczne (16 października 2024 r., 22 marca 2021 r., 24 listopada 2021 r., 6 listopada 2025 r., 6 marca 2026 r.) są przybliżone i mogą różnić się o kilkanaście dni w jedną lub drugą stronę.

Czego nie pobrano

Zgodnie z ustaleniami Fakturowni z konta Fundacji nie zostały pobrane:

• certyfikaty KSeF;
• dane logowania do banków ani dane kart płatniczych (Fakturownia ich nie przechowuje);
• treść faktur wystawionych od 22 marca 2021 r. – poza kwotami, dodatkowymi polami opisowymi, danymi dodatkowych stron faktury i definicjami faktur cyklicznych;
• dane z kartoteki kontrahentów dodanych od 16 października 2024 r. – poza adresami i danymi z faktur cyklicznych.

Dla faktur wystawionych od 22 marca 2021 r. nie pobrano nazwy nabywcy ani numeru faktury.

Zgodnie ze stanem wiedzy Fakturowni na dzień 6 października 2026 r. skopiowane dane nie zostały upublicznione. Sprawa jest przedmiotem postępowania prowadzonego przez Policję oraz zgłoszenia do CERT Polska i Prezesa UODO. Fakturownia nie stwierdziła zmiany ani usunięcia danych na swoich serwerach – incydent polega na nieuprawnionym odczycie i skopiowaniu danych.

Dane konta Fundacji

Z konta Fundacji skopiowano także:

• hasło do Fakturowni w postaci skrótu kryptograficznego – Fundacja zmieniła hasło i włączyła uwierzytelnianie dwuskładnikowe;
• numer rachunku bankowego Fundacji – potwierdzamy, że prawidłowy i jedyny numer rachunku Fundacji to 95 1600 1169 1861 2146 7000 0001 i nie uległ zmianie;
• historia aktywności konta sprzed 24 listopada 2021 r.;
• ustawienia konta, w tym klucze integracji i dane uwierzytelniania dwuskładnikowego – Fakturownia ograniczyła dotychczasowe klucze API oraz unieważniła i wygenerowała na nowo linki do paneli kontrahentów.

Co zrobiła Fundacja

• złożyliśmy zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych zgodnie z art. 33 RODO – z udziałem Inspektora Ochrony Danych Fundacji;
• powiadomiliśmy indywidualnie wszystkich, do których mieliśmy namiary i udało nam się znaleźć ich adresy e-mail; pozostałe osoby odsyłamy do niniejszego komunikatu publicznego;
• zmieniliśmy hasło do konta Fundacji w serwisie Fakturownia.pl, włączyliśmy uwierzytelnianie dwuskładnikowe i zweryfikowaliśmy zabezpieczenia konta;
• na bieżąco monitorujemy komunikaty Fakturowni i CERT Polska dotyczące ewentualnego upublicznienia danych. Jeśli okaże się, że dane zostały ujawnione, niezwłocznie poinformujemy o tym w kolejnym komunikacie;
• utrzymujemy punkt kontaktowy w sprawie incydentu: kontakt@togabezwroga.pl, fundacja@alchemiazmiany.pl, tel. +48 794 156 961.

Na co prosimy zwrócić szczególną uwagę

Osoby, które mają skopiowane dane, mogą próbować wykorzystać je do oszustw – w szczególności:

• mogą Państwo otrzymać fałszywą fakturę lub wezwanie do zapłaty rzekomo wystawione przez Fundację – z prośbą o przelew na inny numer rachunku niż 95 1600 1169 1861 2146 7000 0001. W razie wątpliwości prosimy nie płacić i skontaktować się z nami pod podanymi wyżej danymi – nowym mailem, nie odpowiadając na podejrzaną wiadomość;
• mogą pojawić się próby phishingu podszywające się pod Fakturownię, bank, urząd skarbowy lub Fundację – w e-mailach, SMS-ach albo w rozmowach telefonicznych. Wiadomości mogą wyglądać wiarygodnie, bo mogą zawierać Państwa prawdziwe dane i kwoty z faktur;
• jeśli to samo hasło, którego używali Państwo w panelu klienta Fakturowni, jest używane w innych serwisach – zalecamy zmianę w tych serwisach i włączenie uwierzytelniania dwuskładnikowego, jeśli jest dostępne;
• w razie podejrzenia nieuprawnionej transakcji prosimy niezwłocznie skontaktować się ze swoim bankiem, a w razie podejrzenia przestępstwa zawiadomić Policję;
• podejrzane SMS-y można przesłać do CERT Polska na numer 8080.

Kontakt

Punkt kontaktowy Fundacji w sprawie incydentu: kontakt@togabezwroga.pl, fundacja@alchemiazmiany.pl, tel. +48 794 156 961.

Inspektor Ochrony Danych Fakturownia.pl: Tomasz Gwara, iod@fakturownia.pl.

Bieżące informacje Fakturowni dostępne są pod adresem https://fakturownia.pl/incydent.

Jeśli pojawią się nowe informacje mające wpływ na ocenę ryzyka, zaktualizujemy ten komunikat i poinformujemy o tym w osobnej wiadomości.

Fundacja Alchemia Zmiany (dawniej Fundacja Ambicje.org) wystawia faktury w serwisie Fakturownia.pl.

W dniu 1 października 2026 r. Fakturownia poinformowała swoich klientów, że osoba nieuprawniona uzyskała dostęp do jej systemów i skopiowała część bazy danych. Incydent dotyczy także konta Fundacji.

Fakturownia jest bardzo popularna w Polsce, dlatego podobne wiadomości mogą Państwo otrzymać także od innych kontrahentów. Komunikat Fakturowni podaje, że problem dotyczy ok. 2 250 kont, z których pobrano wszystkie dane z lat 2022–2026.

Z tego powodu Państwa dane, które znajdują się na naszych fakturach lub w kartotece kontrahentów, mogły zostać skopiowane. Mogą to być imię i nazwisko lub nazwa firmy, NIP, adres, adres e-mail, numer telefonu oraz kwoty z faktur. Według informacji Fakturowni dane nie zostały dotychczas upublicznione.

Piszemy do Państwa wcześniej, żeby mogli Państwo zachować ostrożność.

Osoby, które mają te dane, mogą próbować podszywać się pod Fundację, Fakturownię, bank albo urząd – w wiadomościach e-mail, SMS-ach lub podczas rozmów telefonicznych. Takie wiadomości mogą wyglądać wiarygodnie, bo mogą zawierać prawdziwe dane i kwoty.

Prosimy w szczególności pamiętać, że:

• numer rachunku bankowego Fundacji nie zmienił się: 95 1600 1169 1861 2146 7000 0001. Jeśli otrzymają Państwo rzekomo w naszym imieniu prośbę o przelew na inny rachunek, wezwanie do zapłaty albo nieoczekiwaną fakturę, prosimy nie płacić i nie odpowiadać na taką wiadomość, tylko napisać do nas nową wiadomość na adres kontakt@togabezwroga.pl lub fundacja@alchemiazmiany.pl. Można też zadzwonić pod numer +48 794 156 961;
• nigdy nie prosimy o hasła, kody weryfikacyjne, kody BLIK ani dane kart płatniczych – prosimy nie przekazywać ich nikomu, także osobom podającym się za pracowników Fundacji, banku lub urzędu;
• nie warto otwierać linków ani załączników w nieoczekiwanych wiadomościach;
• jeśli korzystali Państwo z panelu klienta w serwisie Fakturownia, a to samo hasło stosują Państwo w innych serwisach, zalecamy jego zmianę w tych serwisach;
• w razie podejrzenia nieuprawnionej transakcji prosimy niezwłocznie skontaktować się ze swoim bankiem, a w razie podejrzenia przestępstwa zawiadomić Policję;
• podejrzane SMS-y można przesłać do CERT Polska na numer 8080.

Ze swojej strony podjęliśmy następujące działania:

• przekazujemy Państwu tę informację zgodnie z art. 34 RODO, aby mogli Państwo ograniczyć ryzyko związane z incydentem;
• zmieniliśmy hasło do konta Fundacji w serwisie Fakturownia.pl; konto jest dodatkowo zabezpieczone uwierzytelnianiem dwuskładnikowym;
• na bieżąco monitorujemy komunikaty Fakturowni i CERT Polska dotyczące ewentualnego upublicznienia danych. Jeśli okaże się, że dane zostały ujawnione, niezwłocznie Państwa o tym poinformujemy;
• wyznaczyliśmy punkt kontaktowy w sprawie incydentu: kontakt@togabezwroga.pl, fundacja@alchemiazmiany.pl, tel. +48 794 156 961. Na pytania odpowiadamy na bieżąco;
• gdy Fakturownia udostępni szczegółowe informacje dotyczące konta Fundacji, sprawdzimy, czy ta wiadomość dotarła do wszystkich osób, których dane mogły zostać skopiowane.

Sprawę analizujemy razem z Inspektorem Ochrony Danych Fundacji i podejmujemy działania wymagane przepisami.

Jeśli ustalimy coś nowego, poinformujemy Państwa w osobnym komunikacie.

Przepraszamy za ten kłopot, choć incydent nie wydarzył się w systemach Fundacji.

Jesteś odbiorcą tego komunikatu jeśli korzystałaś/eś kiedyś z aktywności fundacji w ramach m.in.:

• Toga bez wroga
• Czuły Narrator
• Droga bez wroga
• Alchemia Zmiany
• Powrót do ciała
• Dobrostan Józefów

albo jesteś (byłaś, byłeś) kontrahentem fundacji.

Komunikat został opublikowany na stronach:

https://togabezwroga.pl/incydent

https://alchemiazmiany.pl/incydent

Z wyrazami szacunku

Adam Sornek,
+48794156961
Prezes Zarządu Fundacji Alchemia Zmiany (kiedyś Fundacja Ambicje.org).