Umberlo

[Tomasz Swaczyna | BIP-420 🧙🏿‍♂️ @tomasz_swaczyna]

Wyciek z Fakturownia. Ile to może kosztować i czy spółka to udźwignie?

27-28.09.2026 ktoś przez ok. 14 godzin kopiował bazę Fakturowni. Spółka sama pisze, że incydent dotyczy każdego konta. Zakres:
- dane kont: NIP, adresy, e-maile, telefony, numery rachunków, skróty haseł, tokeny API,
- kwoty wszystkich faktur, płatności i salda (przy integracji z bankiem),
- kontrahenci dodani przed 16.10.2024,
- pełna treść faktur sprzed 22.03.2021, pozycje faktur sprzed 6.06.2019,
- ok. 2 250 kont z pełnym pobraniem danych z lat 2022-2026.

Fakturownia podaje, że ma ponad 600 tys. klientów.

Kto odpowiada? Jaki podmiot?
Fakturownia sp. z o.o. (KRS 0000572426, Warszawa). 100% udziałów ma RADGOST sp. z o.o.

Wyniki ze sprawozdań w KRS (grafika 1):
- przychody: 11,3 mln zł (2020) -> 39,7 mln zł (2025),
- zysk netto: 1,9 mln -> 17,4 mln zł,
- marża netto w 2025 r.: 44%, przy 28 zatrudnionych.

Ile jest środków w spółce (bilans na 31.12.2025, grafika 2)
- suma bilansowa: 12,5 mln zł,
- aktywa obrotowe: 12,1 mln zł,
- środki pieniężne: 10,9 mln zł,
- kapitał własny: 10,1 mln zł.

Zyski idą do wspólnika na bieżąco. Według uchwał o podziale zysku zaliczki na dywidendę w latach 2021-2025 wyniosły 20,5 mln zł. Reszta zysku trafiała na kapitał zapasowy, ale na koniec każdego roku zostawało na nim ok. 30 tys. zł, więc te pieniądze też były wypłacane. Z ruchu kapitału własnego wychodzi ok. 44 mln zł wypłat przy 53,4 mln zł zysku.

Bufor na roszczenia to więc ok. 10 mln zł, chyba że jest polisa cyber. Tego analizując dane z zewnątrz ,nie widać.

Ile w takich przypadkach wypłacają sądy? (grafika 3, za zestawieniem @DoctorLex)
Za ujawnienie danych polskie sądy zasądzają zwykle
1 500-3 000 zł na osobę, przy żądaniach 10-30 tys. zł. Więcej, 10-40 tys. zł, zasądzano tylko w sprawach rażących, np. pismo z danymi wysłane do 28 366 instytucji.

Orzecznictwo TSUE (art. 82 RODO):
- nie ma progu „poważności" szkody (C-300/21),
- C-340/21 to sprawa wprost o cyberataku: obawa przed nadużyciem wykradzionych danych może być szkodą, a to administrator musi udowodnić, że jego zabezpieczenia były odpowiednie,
- nawet krótkotrwała utrata kontroli nad danymi może być szkodą (C-200/23),
- szkodę trzeba jednak wykazać, sama deklaracja obawy nie wystarczy (C-687/21, C-526/24),
- odszkodowanie tylko kompensuje, nie karze (C-667/21).

Skala (grafika 4)
Model jest prosty: liczba osób (firm) x odsetek tych, którzy faktycznie wystąpią z roszczeniem x średnia kwota.

Odsetek zgłaszających to klucz. W postępowaniach grupowych typu opt-in to zwykle ok. 1% (Hodges). Przy ugodach z formularzami w USA poniżej 10% (Fitzpatrick 2019).

Trzy scenariusze, tylko dla 600 tys. kont i 2 250 firm z pełnym pobraniem:
- niski: 1% x 1 000 zł -> ok. 8 mln zł (0,8 x kapitał własny),
- bazowy: 5% x 1 500 zł -> ok. 56 mln zł (5,5 x),
- wysoki: 10% x 3 000 zł -> ok. 227 mln zł (22 x).

Jak policzyć roszczenie konkretnej firmy?
Firma jest tu zwykle w dwóch rolach naraz. Wobec swoich danych jest poszkodowanym. Wobec danych kontrahentów jest administratorem, który dostał od Fakturowni zgłoszenie naruszenia z art. 33 RODO. To klient musi zdecydować, czy zawiadomić UODO i kontrahentów.

Roszczenie składa się z czterech elementów:

S = K + R + O + U

K - koszty obsługi incydentu: godziny pracy (zgłoszenie do UODO w 72 h, analiza panelu z listą rekordów, zawiadomienia, rotacja haseł i tokenów, sprawdzenie numerów kont na fakturach), do tego doradca prawny i IT. Każdy wydatek przechodzi test: czy poniósłbym go bez wycieku?

R - regres: kontrahent-osoba fizyczna pozwie Ciebie jako administratora. Administrator i podmiot przetwarzający odpowiadają wobec niego solidarnie, a potem się rozliczają (art. 82 ust. 4-5 RODO).
Do rezerwy: liczba kontrahentów-osób fizycznych x prawdopodobieństwo roszczenia x 1 500-3 000 zł.

O - realne straty z oszustw: przelew na podmieniony rachunek, phishing „na fakturę" oparty na prawdziwych kwotach i tytułach przelewów. To nie teoria: FBI (IC3) odnotowało w 2025 r. 3,05 mld USD strat z oszustw typu BEC, średnio ok. 120 tys. USD na zgłoszenie. Liczy się je dopiero wtedy, gdy się zmaterializują.

U - utracone korzyści: wyciekły cenniki, produkty, marże i lista klientów. Liczy się metodą przed-po: utracona sprzedaż x marża minus zaoszczędzone koszty. Trzeba wykazać związek przyczynowy, np. konkurent przejął klientów z Twojej listy.

Do tego zadośćuczynienie: dla osoby fizycznej i JDG z art. 82 RODO. Dla spółki z art. 448 w zw. z art. 43 KC (uchwała SN III CZP 22/23) - możliwe, ale w praktyce wyjątkowe. Około 70% takich powództw osób prawnych sądy oddalają.

Dwa przykłady orientacyjne:
- JDG, 40 kontrahentów, bez strat z oszustw: 6 h x 200 zł + porada 600 zł + 1 500 zł z art. 82 RODO = ok. 3 300 zł.
- Spółka z grupy 2 250 kont, 800 kontrahentów, w tym 300 konsumentów: 40 h x 250 zł + prawnik 5 000 zł + zawiadomienia 1 000 zł + rezerwa na regres (300 x 3% x 1 500 zł = 13 500 zł) = ok. 29 500 zł, plus ewentualne straty z oszustw.

Haczyk: regulamin
§ 15 regulaminu Fakturowni (wersja z 21.01.2026) dotyczy klientów niebędących konsumentami:
- wyłącza odpowiedzialność https://t.co/UUA6O8vY7g. za szkody wynikające z „ataków hackerskich" (ust. 2 lit. m),
- Fakturownia odpowiada tylko za „zawinione i umyślne" działanie,
- odpowiedzialność ogranicza się do wysokości bieżącego abonamentu i obejmuje wyłącznie szkodę rzeczywistą.

To mocna obrona, ale nie zamyka sprawy:
- nie można wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie (art. 473 § 2 KC), a o rażące niedbalstwo w obrocie B2B trwa spór,
- roszczeń osób fizycznych z art. 82 RODO umowa nie ogranicza, bo nie były jej stroną,
- w grę wchodzi odpowiedzialność deliktowa (art. 415 KC),
- JDG może podnosić abuzywność klauzuli (art. 385(5) KC).

Pytanie zasadnicze: czy wyciek może doprowadzić do niewypłacalności Fakturowni?

Argumenty za:
- nawet scenariusz bazowy to kilkukrotność kapitału własnego,
- dochodzi kara UODO,
- część z 600 tys. klientów może odejść, a z nimi przychody.

Argumenty przeciw:
- spółka generuje ok. 17-18 mln zł zysku rocznie i ma 10,9 mln zł gotówki,
- roszczenia będą spływać latami, w miarę zapadania wyroków,
- przy teście bilansowym nie liczy się zobowiązań przyszłych ani warunkowych (art. 11 ust. 5 Prawa upadłościowego), więc sporne roszczenia nie przesądzają o niewypłacalności, dopóki nie zostaną zasądzone,
- KSeF utrudnia klientom szybką zmianę systemu.

Kluczowe zmienne to odsetek poszkodowanych, którzy pójdą do sądu, polisa cyber i to, czy wspólnik nadal będzie wypłacał zysk, czy zostawi go w spółce na rezerwy.

Jak myślicie: czy wyciek danych może doprowadzić do niewypłacalności Fakturowni?

[The Index Insider @TheIndexInsider]

Top OnlyFans Creators 2026

🇺🇸 Sophie Rain — 1.19M+ likes
🇺🇸 Bhad Bhabie — 1.91M+ likes
🇺🇸 Skylar Mae — 6.48M+ likes
🇺🇸 Riley Reid — 4.34M+ likes
🇦🇺 Iggy Azalea — major celebrity audience
🇺🇸 Angela White — 72M+ likes
🇺🇸 Ana Cheri — 74M+ likes
🇺🇸 Sophie Dee — 26M+ likes
🇺🇸 Sky Bri — 2.66M+ likes
🇺🇸 Miss Carrie June — 2.98M+ likes

The public metrics vary substantially by source and should not be interpreted as subscriber counts. (Fanswiper)

(OnlyFans official site)

[All About Argentina 🛎🇦🇷 @AlbicelesteTalk]

I recommend everyone to just watch this video and focus on Leo Messi.

I'll not say anything more.

[Andrzej Śledź @SledziuStream]

Potrzebujemy dobrych RTSów

Trzymam kciuki, do tego setting bardzo odpowiedni, pachnie mi to trochę Bitwą o Śródziemie

[Grzegorz🎮Drabik @butcher_pl]

Zamawiasz płyty ze Szwecji - dostajesz pizzę. I tak to sobie lata przez setki kilometrów. 🤦‍♂️
JPRDL, nie mam już sił do tych ludzi bez wyobraźni.
#vintedtostanumyslu

[𝓞𝓾𝓽𝓼𝓹𝓸𝓴𝓮𝓷 𝓜𝓪𝓵𝓵𝓾 𝓑𝓸𝔂 @He_is_the_Dude_]

All Marvel post credit scenes till 2025🪄

[BarcaInfo @_BarcaInfo]

🎥 Skrót meczu FC Barcelony z FC Basel 1893 w ramach presezonu. ⚔️

#BaselBarça 🔵🔴

[Szymon Jadczak @SzJadczak]

A w TVP dalej kłamstwo i manipulacja, jak za PiS i Jacka Kurskiego.
W głównym wydaniu programu informacyjnego @1930_tvp w 55 sekundowej migawce widzowie zostali okłamani, że Anna Konieczyńska, której mąż i sąsiedzi dostali kasę dla powodzian, jest byłą polityczką @Obywatelska_KO. To kłamstwo. Konieczyńska została zawieszona.
A w głównym wydaniu programu informacyjnego TVP Wrocław news o aferze powodziowej w ogóle się nie pojawił. Ważniejsze były dofinansowania dla silosów i lalki dla studentów. Propaganda w czystej postaci.
I nie mówcie mi, że za Kurskiego było gorzej. Kłamstwo to kłamstwo, manipulacja to manipulacja. Tego się nie stopniuje. CC: @wirtualnemedia @PressRedakcja
https://t.co/K1VXu9Xurj

[Szymon Jadczak @SzJadczak]

2⃣0⃣0⃣ tysięcy złotych na naprawę pękniętej płytki na tarasie z kasy dla powodzian. Ale trzeba być mężem polityczki @Obywatelska_KO.
❌Mąż polityczki z partii @donaldtusk zgłosił się po pieniądze dla powodzian wiele miesięcy po powodzi, dopiero gdy jego żona została wiceszefową agencji dzielącej kasę dla powodzian.
❌Jako straty powodziowe pokazał pękniętą płytkę na tarasie i pęknięty tynk na balkonie na pierwszym piętrze, gdzie żadnej powodzi nie mogło być.
❌Kasę dostało też dwóch sąsiadów polityczki. Ich szkody też są bardzo wątpliwe.
https://t.co/K1VXu9Xurj

[Brayden Schwartz @SchwartzFinance]

$GOOGL CEO just said “quantum today is where AI was 5 years ago”

If you are looking for the next $NVDA watch these 5 quantum stocks which have could have 20x potential👇(NFA)

1. Ionq $IONQ ($44.43)

[Praise🎀 @Praiseinterests]

Drake sent Travis Scott his verse just two hours before Astroworld dropped, and Travis damn near lost his mind when he heard it. 😂🔥

[Elyel 🎮Ω @elyelgow]

Simplesmente a Zendaya, Tom Holland e Jacob Batalon reagindo às audições deles para o filme Homem-Aranha: De Volta ao Lar.

🎥Ign Brasil

[Łukasz @popkurwtura]

No, ciary do dzisiaj. Hans Zimmer to jednak Hans Zimmer. Ale to siadało na sali kinowej wtedy. Jeden z plusów tego filmu.

[internet archiva @internetarchiva]

Christopher Nolan: "It's supposed to be a simple space theme... nothing too crazy."

Hans Zimmer:

[Patryk Słowik @PatrykSlowik]

❗️ Szpitalny oddział ratunkowy w Lesku został częściowo sprywatyzowany. Szpital podpisał umowę z prywatną firmą na zatrudnienie personelu do obsługi oddziału. Sęk w tym, że dyrektor wskazał pracownikom lecznicy firmę, która wygra postępowanie konkursowe, zanim to zostało rozstrzygnięte. Sprawą zajmie się prokuratura.
1️⃣ Szpital w Lesku, jeden z najbardziej zadłużonych w Polsce, rozpisał konkurs na zapewnienie przez prywatny podmiot personelu do obsługi szpitalnego oddziału ratunkowego.
2️⃣ Wygrała firma, której właściciel publicznie pisze o sobie, że jest bardziej przedsiębiorcą niż lekarzem. Spółka wprowadziła już na leski SOR swoich ludzi.
3️⃣ Pełniący obowiązki dyrektora szpitala został nagrany przez pracowników, gdy jednoznacznie sugerował, która firma wygra konkurs. Zanim ten został rozstrzygnięty (i zanim upłynął termin zgłoszeń).
4️⃣ Doktor Duszan Augustyn, lider Ruchu Społecznego Obrony Szpitala w Lesku i członek partii Razem, powiadomił o sprawie prokuraturę. Zdaniem Augustyna doszło do zmowy przetargowej.
5️⃣ Zarządzający szpitalem w Lesku Mirosław Leśniewski wyjaśnia, że ostatecznie zgłosiła się tylko jedna firma, SOR w Lesku jest niezbędny mieszkańcom, a bez tej umowy trzeba byłoby oddział zamknąć.
Tekst Filipa Baczkury, @JakubStyczynski i mój.

[Patryk Słowik @PatrykSlowik]

Niesamowity wywiad. I najlepszy dowód, że należy wprowadzić limit zarobków dla lekarzy. Bo poważne państwo nie może dać się szantażować, że jeśli lekarz zarobi „tylko” 360 zł za godzinę, to nie będzie mu się tak chciało, jak mu się teraz chce.
https://t.co/HrGoQTCBQQ..

[Krzysztof Stanowski @K_Stanowski]

Kolejne potwierdzenie słów doktora Jędrzejewskiego.

[Patryk Słowik @PatrykSlowik]

❗️ 61-letnia pani Grażyna zmarła w Mazowieckim Szpitalu Bródnowskim. Dosłownie pękło jej serce. Przez ponad pięć godzin nie rozpoznano u niej ostrego zawału serca, choć ten był widoczny już w pierwszych badaniach. Lekarzem, który przyjął kobietę na SOR-ze, był Dawid Kacprzyk.
1️⃣ 14 maja 2026 r. po godz. 9 pani Grażyna źle się poczuła – ciśnienie 220/147 i silny ból w klatce piersiowej. Przypadkowo była na przystanku autobusowym tuż obok Szpitala Bródnowskiego.
2️⃣ O 10:30 do szpitala oddalonego o niecałe 200 metrów kobietę przywiozła karetka. Na szpitalnym oddziale ratunkowym przyznano jej „żółty” kolor w triażu (trzeci z pięciu). Na EKG wykonanym o godz. 11:10 widoczne są duże odstępstwa od normy sugerujące wystąpienie zawału.
3️⃣ Przyjmujący na SOR-ze lekarz Dawid Kacprzyk nie dostrzegł zawału, podobnie jak dwaj inni lekarze SOR-u. Kacprzyk zlecił m. in. nieistotną w tym wypadku medycznie tomografię komputerową bez kontrastu.
4️⃣ Niezależnie od EKG poziom troponiny – wskaźnik istotny w diagnostyce sercowej – sugerował zawał. Norma jest do 16 jednostek. U pani Grażyny pierwszy pomiar wyniósł 94. Drugi – już ponad 2200.
5️⃣ Ostry zawał serca do godz. 15 był „leczony” paracetamolem. Po godz. 15 stan pacjentki drastycznie się pogorszył. Kobieta zmarła o godz. 16:50, krótko po przekazaniu jej na oddział kardiologii.
6️⃣ Dysponujemy dokumentacją medyczną pani Grażyny. Pokazaliśmy ją dwóm lekarzom: kardiologowi i specjaliście medycyny ratunkowej. Obaj stwierdzili, że personel medyczny na SOR-ze przegapił ostry zawał.
7️⃣ Kardiolog ze Szpitala Bródnowskiego w karcie informacyjnej wpisała, że przyczyną zgonu był ostry zawał serca. I podała, że do zawału doszło ok. siedmiu godzin przed śmiercią, czyli przed godz. 10 rano.
8️⃣ Najbliższa rodzina kobiety poinformowała o sprawie prokuraturę, wskazując z imienia i nazwiska Dawida Kacprzyka. Śledczy od połowy lipca prowadzą postępowanie w kierunku nieumyślnego spowodowania śmierci.
9️⃣ Joanna Łukomska, siostra cioteczna zmarłej pacjentki: – Życia Grażynki nic nie wróci, ale chcę wierzyć, że może nasza rodzinna tragedia uratuje życie komuś innemu. Może spowoduje przyjrzenie się standardom, procedurom?
Tekst Filipa Baczkury, @JakubStyczynski i mój.