Aktualizace č. 1, zveřejněná 2. října 2026 a upravená téhož dne večer (údaje o rozesílání e-mailových oznámení). Předchozí oznámení z 29. září 2026 najdete v dolní části této stránky. Každou aktualizaci označíme číslem a datem.
Zákazníkům BitFaktury jsme e-mailová oznámení začali rozesílat 6. října 2026. Rozesíláme dva druhy zprávy:
Kvůli počtu adresátů může rozesílání trvat několik hodin; pokud zprávu neobdržíte, zkontrolujte složku se spamem. Oznámení si budete moci přečíst také po přihlášení ke svému účtu.
Vlastníkům účtů navíc zpřístupňujeme v aplikaci panel s podrobnými informacemi: kategorie údajů, časová rozmezí a počty záznamů.
Naše zprávy nikdy neobsahují:
Nikdy se vás neptáme na heslo, ani e-mailem, ani telefonicky, ani na chatu. Nespoléhejte se na jméno odesílatele zobrazené ve vaší poštovní schránce, protože je možné jej zfalšovat. Pokud u některé zprávy máte jakékoli pochybnosti, neklikejte na odkazy v ní. Otevřete si bitfaktura.cz sami tak, že adresu zadáte do prohlížeče, a zkontrolujte zprávy ve svém účtu. Vše důležité od nás je dostupné také po přihlášení.
Neoprávněná osoba získala přístup k našim systémům a zkopírovala údaje z databáze na vlastní servery. Druh porušení: porušení důvěrnosti, tedy údaje byly zkopírovány. Incident analyzujeme společně s CERT Polska, polským národním týmem pro reakci na počítačové bezpečnostní incidenty.
Všechny časy jsou uvedeny ve středoevropském letním čase.
U každé kategorie uvádíme, kdo je správcem údajů a jakého období se kopírování týkalo. (a) BitFaktura znamená údaje účtu a jeho uživatelů, u nichž je správcem provozovatel služby. (b) Zákazník znamená údaje obchodních partnerů a dalších osob, které zákazník zadal do účtu a předal nám ke zpracování jako jejich správce.
| Kategorie údajů | Správce | Co bylo odebráno |
|---|---|---|
| Údaje firmy a uživatelů: název firmy, daňové identifikační číslo, adresa, jména a příjmení, e-mailové adresy a telefonní čísla uživatelů, identifikátor účtu | (a) BitFaktura s.r.o. | v plném rozsahu, pokud byly zadány |
| Údaje oddělení: adresa, daňové identifikační číslo, název banky, číslo účtu, IBAN, SWIFT | (a) BitFaktura s.r.o. | v plném rozsahu, pokud byly zadány |
| Hashovaná hesla uživatelů (hesla nebyla uchovávána v otevřené podobě) | (a) BitFaktura s.r.o. | v plném rozsahu |
| Tokeny API a integrační klíče uchovávané přímo v nastavení účtu | (a) BitFaktura s.r.o. | v plném rozsahu, podle použitých integrací |
| Identifikátory sezení | (a) BitFaktura s.r.o. | v plném rozsahu |
| Částky na fakturách: netto, DPH a brutto podle sazeb, měna, zaplacená částka a částka k doplacení | (a) BitFaktura s.r.o. (b) Zákazník | faktury z celého období |
| Zůstatky na bankovních účtech načtené prostřednictvím funkce propojení s bankovním účtem | (a) BitFaktura s.r.o. | v plném rozsahu, pouze tam, kde byla integrace aktivní |
| Obchodní partneři: název nebo jméno a příjmení, daňové identifikační číslo, adresa, doručovací adresa, e-mail, telefon, číslo bankovního účtu, poznámka, vlastní pole | (b) Zákazník | pouze obchodní partneři přidaní před 16. říjnem 2024 |
| Panel obchodního partnera: přístupový odkaz a, pokud si jej obchodní partner nastavil, hash hesla | (b) Zákazník | pouze obchodní partneři přidaní před 16. říjnem 2024 |
| Další strany na faktuře (například příjemce, plátce): název nebo jméno a příjmení, daňové identifikační číslo, adresa, e-mail, telefon, poznámka; obsah dalších popisných polí (například „Poznámky“, „Příjemce“, vlastní označení) | (b) Zákazník | faktury z celého období, v rozsahu, v jakém byla pole vyplněna |
| Celý obsah faktur: prodávající, kupující, číslo, datumy, částky, způsob a termín platby, poznámky | (b) Zákazník | pouze faktury vystavené před 22. březnem 2021 |
| Položky faktur: názvy produktů, množství, ceny | (b) Zákazník | pouze faktury z období před 6. červnem 2019 |
| Platby: datumy, částky, popisy převodů, jména a čísla účtů odesílatelů | (b) Zákazník | v rozsahu, v jakém byly zadány |
| Produkty a ceník: názvy, kódy, popisy, ceny | (b) Zákazník | v plném rozsahu |
| Údaje importované ze souborů (faktury, obchodní partneři, produkty) | (b) Zákazník | v rozsahu, v jakém byly zadány |
| Obsah exportů a importů vyžádaných v systému | (b) Zákazník | převážně ty vyžádané do 6. března 2026 |
| Skladové dokumenty | (b) Zákazník | pouze z období před 14. červencem 2023 |
| Skladové operace | (b) Zákazník | pouze z období před 16. květnem 2022 |
| Historie aktivity účtu | (a) BitFaktura s.r.o. | pouze z období před 24. listopadem 2021 |
| Informace o přílohách: název, typ, velikost, datum | (b) Zákazník | pouze soubory přidané před 6. listopadem 2025 |
Hraniční data jsme určili z logů databázových dotazů; mohou se lišit až o několik týdnů. Kopírování největších souborů údajů postupovalo od nejstarších záznamů a bylo přerušeno, než se dostalo k novějším. U faktur vystavených 22. března 2021 a později nebyl odebrán ani název kupujícího, ani číslo faktury.
Ostatní uživatelé účtů: byla odebrána jejich e-mailová adresa a hash hesla a dále, pokud byly uvedeny, jméno a příjmení, telefonní číslo a identifikátor účtu.
Přibližně 2 250 účtů: z těchto účtů byly odebrány všechny údaje dostupné v systému z let 2022 až 2026, a to do data, které se u každého účtu liší. Vlastníci těchto účtů dostanou oznámení s informacemi specifickými pro jejich účet.
Odebrány nebyly:
Podle našich nejlepších znalostí nebyly údaje zasažené porušením zabezpečení dosud zveřejněny. Monitorujeme to společně s CERT Polska. Nová zjištění budeme zveřejňovat na této stránce a v dalších e-mailových zprávách.
Níže popisujeme, co se může stát. Neznamená to, že se to již stalo.
| Co se může stát | Co doporučujeme |
|---|---|
| Zprávy a telefonáty od podvodníků, kteří se vydávají za BitFakturu, za banku, za úřad, za obchodního partnera nebo za zaměstnavatele. Mohou působit důvěryhodně, protože obsahují skutečné údaje o firmě, fakturách a platbách. | Neotevírejte odkazy ani přílohy v neočekávaných zprávách. Nikomu nesdělujte hesla, ověřovací kódy ani údaje platební karty. Pokud vám někdo zavolá a tvrdí, že je z vaší banky, z úřadu nebo od nás, hovor ukončete a zavolejte zpět na číslo zveřejněné na oficiálních stránkách dané instituce. Žádost „od vašeho nadřízeného“ o urgentní převod si potvrďte jiným kanálem. Podezřelé zprávy hlaste týmu pro reakci na počítačové bezpečnostní incidenty ve své zemi. |
| Pokusy o převzetí vašeho účtu, a pokud jste stejné heslo používali i jinde, také účtů v jiných službách. | Nastavte si nové heslo ke svému účtu BitFaktura (jak to udělat). Pokud bylo heslo stejné, změňte je i v jiných službách. Zkontrolujte seznam uživatelů a nastavení účtu. Doporučujeme také zapnout dvoufázové ověření (jak to udělat). |
| Použití ukradených klíčů k přístupu k vašemu účtu přes integraci. | Zadejte nové klíče API ve svých integracích. |
| Falešné faktury, výzvy k zaplacení a žádosti o převod peněz na změněné číslo bankovního účtu, odesílané jménem vaší firmy nebo vaší firmě „od dodavatele“. Podvodníci znají částky a vědí, které faktury jsou nezaplacené. | Každou žádost o změnu čísla bankovního účtu i každý neobvyklý převod si s obchodním partnerem potvrďte telefonicky na čísle, které jste znali již dříve, nikoli na čísle z podezřelé zprávy. Pokud váš stát poskytuje úřední registr daňových subjektů nebo bankovních účtů, zkontrolujte v něm čísla účtů svých obchodních partnerů a zkontrolujte také čísla účtů uvedená na vašich vlastních fakturách v aplikaci. |
Pokud máte podezření na podvod nebo na neoprávněný převod, obraťte se bez odkladu na svou banku. Pokud máte podezření na trestný čin, informujte policii a uchovejte zprávy i další důkazy. Informujte prosím také nás o každém pokusu o využití údajů zasažených porušením zabezpečení.
U údajů ze skupiny (b), tedy u údajů obchodních partnerů a dalších osob zadaných do účtu, je správcem zákazník a my tyto údaje zpracováváme na pokyn zákazníka na základě smlouvy o zpracování osobních údajů, která je součástí našich podmínek. E-mailová zpráva „Oznámení o porušení zabezpečení osobních údajů“, kterou v nejbližší době obdržíte, je v tomto rozsahu ohlášením porušení zabezpečení správci (čl. 33 odst. 2 GDPR). Informace poskytujeme ve fázích (čl. 33 odst. 4 GDPR): v nejbližších dnech zpřístupníme ve vašem účtu panel s podrobnými informacemi pro tento účet, který bude obsahovat kategorie údajů, časová rozmezí a počty záznamů a usnadní také informování vašich obchodních partnerů.
Jako správce těchto údajů vyhodnocujete riziko a rozhodujete, zda a jak informovat dotčené osoby. U údajů, u nichž jsme správcem my, jsme riziko vyhodnotili jako vysoké: rozsah údajů je široký a počet osob je velmi vysoký. Můžete to použít jako referenční bod pro své vlastní vyhodnocení. Rizika pro třetí osoby a kroky, které můžete zvážit, například informování obchodních partnerů o riziku vydávání se za někoho jiného a o falešných výzvách k zaplacení nebo změnu hesel do panelu obchodního partnera, pokud byla použita i jinde, budou popsány v e-mailové zprávě č. 1.
Lhůta 72 hodin pro ohlášení vašemu dozorovému úřadu začíná běžet od okamžiku, kdy se o porušení zabezpečení dozvíte. Podle pokynů EDPB 9/2022 (bod 44) se správce zpravidla považuje za informovaného v okamžiku, kdy jej informuje zpracovatel. Pokud jste však měli dostatečnou jistotu o incidentu již dříve, například z našeho oznámení z 29. září 2026, mohla lhůta začít běžet dříve. Předběžné ohlášení můžete podat na základě informací na této stránce a doplnit je později na základě e-mailové zprávy č. 1.
Omlouváme se za tuto situaci. Další zjištění budeme na této stránce nadále zveřejňovat a každou aktualizaci označíme číslem a datem.
Ano. Incident se týká každého účtu ve službě. To, co bylo odebráno, se liší podle kategorie údajů a podle data; rozsah a hraniční data jsou uvedeny v tabulce výše. Vlastníci účtů dostanou individuální oznámení e-mailem a podrobné informace pro svůj účet najdou v aplikaci.
Ne. Hesla byla uchovávána jako hashe, nikoli v otevřené podobě, a odebrány byly právě hashe. I tak doporučujeme nastavit si nové heslo, změnit je všude, kde jste používali stejné, a zapnout dvoufázové ověření.
Celý obsah faktur byl odebrán pouze u faktur vystavených před 22. březnem 2021 a položky pouze u faktur z období před 6. červnem 2019. Částky na fakturách byly odebrány za celé období. U faktur vystavených 22. března 2021 a později nebyl odebrán ani název kupujícího, ani číslo faktury.
Naše zprávy nikdy neobsahují přílohy, nikdy nežádají o heslo, o SMS kód nebo kód dvoufázového ověření ani o údaje platební karty a nikdy nevyzývají k přihlášení přes odkaz za účelem ověření účtu. Nespoléhejte se na jméno odesílatele, protože je možné jej zfalšovat. V případě pochybností si sami zadejte bitfaktura.cz do prohlížeče a zkontrolujte zprávy po přihlášení.
Nastavte si nové heslo ke svému účtu, změňte je i v jiných službách, pokud bylo stejné, zapněte dvoufázové ověření, zkontrolujte seznam uživatelů a nastavení účtu, zadejte nové klíče API ve svých integracích a každou žádost o změnu čísla bankovního účtu potvrďte telefonicky na čísle, které jste znali již dříve.
U údajů obchodních partnerů a dalších osob, které jste zadali do svého účtu, jste správcem vy a my jsme zpracovatelem. E-mailové oznámení je ohlášením porušení zabezpečení vám jako správci podle čl. 33 odst. 2 GDPR. Riziko vyhodnocujete vy a vy rozhodujete, zda informovat dotčené osoby. Panel s podrobnými informacemi pro váš účet, včetně kategorií údajů, časových rozmezí a počtů záznamů, zpřístupníme v nejbližších dnech.
Ano. Přístup útočníka byl odříznut 28. září 2026, provoz byl přesunut na nové servery vytvořené od základu, ukradené klíče byly deaktivovány, klíče aplikace a servisní hesla byly změněny a zákaznické tokeny API byly vyměněny. Existující klíče API nyní fungují pouze z IP adres, které uživatelé účtu dosud používali.
Pokud si chcete ověřit, zda se věc týká vašeho účtu, nebo potřebujete pomoc s jeho zabezpečením, napište nám. Stejnou cestou můžete poslat i dotazy ke zpracování vašich osobních údajů.
Toto je oznámení z 29. září 2026, které uchováváme pro úplnost. Některá jeho zjištění byla opravena aktualizací č. 1 výše, zejména rozsah údajů z faktur a údajů obchodních partnerů.
Zveřejněno 30. září 2026. Tuto stránku budeme aktualizovat, jakmile zjistíme něco nového.
Dne 28. září 2026 jsme zjistili neoprávněný přístup k serverům fakturačního systému, na kterém běží BitFaktura. V důsledku incidentu měla neoprávněná osoba náhled do údajů účtů našich uživatelů, do údajů obchodních partnerů a do dokumentů vytvořených prostřednictvím služby.
Chápeme, že taková zpráva může vyvolat obavy, proto vám chceme předat všechny informace, které máme v tuto chvíli k dispozici. Zároveň vysvětlujeme, co můžete udělat pro dodatečnou ochranu svých údajů. Ujišťujeme vás, že incident se netýkal údajů uchovávaných v rámci našich integrací a doplňků.
Neoprávněná osoba dokázala využít zranitelnost v systému, což vedlo k neoprávněnému přístupu k části údajů. Po zjištění události jsme této osobě zablokovali přístup, zahájili jsme rotaci klíčů a hesel a spustili nové aplikační servery. Spolu s externími specialisty na bezpečnost situaci dále analyzujeme.
V tuto chvíli víme, že:
Z dosavadních zjištění vyplývá, že neoprávněná osoba mohla mít přístup k těmto údajům:
Pokud další analýza přinese nová zjištění, toto oznámení neprodleně aktualizujeme.
Pro dodatečné zabezpečení svého účtu doporučujeme:
Je možné, že v nejbližší době obdržíte e-maily, SMS nebo telefonáty od osob, které se vydávají za známé instituce - banku, úřad, kurýrní společnost, BitFaktura nebo vaše obchodní partnery. Takové zprávy často vytvářejí časový tlak a nabádají k rychlému jednání. Prosíme vás:
Stále zjišťujeme, kterých zákazníků se únik týká. Každého z nich budeme v nejbližší době informovat přímo.
Za vzniklou situaci se omlouváme. Bezpečnost vašich údajů je pro nás prioritou, proto věc objasňujeme s plným nasazením. O dalších zjištěních budeme průběžně informovat na této stránce.