Únik dat z BitFaktury: co uniklo a co mají podnikatelé udělat

Fakturační služba BitFaktura potvrdila, že útočník mezi 27. a 28. zářím 2026 zkopíroval velkou část její databáze. Incident se podle provozovatele týká každého účtu ve službě. Od 6. října chodí zákazníkům individuální e-mailová oznámení. Pro podnikatele, kteří přes BitFakturu vystavovali faktury, z toho plynou dvě věci: zabezpečit vlastní účet a promyslet, co únik znamená pro jejich odběratele a dodavatele, protože jejich údaje jsou v databázi také.

Co se stalo: necelých 39 hodin neoprávněného přístupu

BitFakturu provozují společně BitFaktura s.r.o. ze Zlína a polská Fakturownia sp. z o.o. Podle aktualizace č. 1, kterou firma zveřejnila 2. října 2026, měl útočník přístup do systému zhruba od 3:20 dne 27. září do 17:45 dne 28. září 2026 a data kopíroval na vlastní servery. Jde tedy o porušení důvěrnosti: data nebyla smazána ani zašifrována, ale odnesena.

Zranitelnost byla uzavřena 28. září v 18:01. Ještě ten večer provozovatel vyměnil aplikační klíče a servisní hesla a přesunul provoz na nové servery postavené od nuly. V noci na 29. září pak vyměnil zákaznické API tokeny. Incident nahlásil polskému úřadu UODO, CERT Polska a polské policii, 1. října také českému Úřadu pro ochranu osobních údajů (ÚOOÚ).

Podle BitFaktury nebyla data dosud nikde zveřejněna. Firma to sleduje společně s CERT Polska.

Co přesně uniklo a co ne

Rozsah se liší podle typu dat a podle data vzniku záznamu. Kopírování postupovalo od nejstarších záznamů a bylo přerušeno dřív, než došlo k novějším. Proto jsou starší data zasažena víc.

U zhruba 2 250 účtů zkopíroval útočník všechna data z let 2022 až 2026. Jejich vlastníci dostanou oznámení s informacemi ke svému účtu.

Neunikly přihlašovací údaje do banky ani údaje platebních karet (služba je neukládá), data z doplňků na kartě Integrace, obsah faktur od 22. března 2021 (s výjimkou částek a údajů dalších stran) a obchodní partneři přidaní od 16. října 2024. U novějších faktur útočník nezískal ani číslo faktury, ani název odběratele. Hraniční data se podle provozovatele mohou lišit až o několik týdnů.

Hlavní riziko není heslo, ale podvodná platba

Hesla byla uložena jako hashe, takže je útočník nemá v čitelné podobě. Nebezpečnější je kombinace dat, která uniká jen zřídka: kdo komu fakturuje, kolik a které částky jsou ještě nezaplacené, spolu s bankovním spojením obou stran.

Přesně z toho se skládá podvod s podvrženou změnou účtu. Odběratel dostane e-mail „od dodavatele“ se skutečnou částkou skutečné faktury a prosbou, aby platbu poslal na nový účet. Zpráva nepůsobí jako spam, protože sedí každé číslo. BitFaktura sama upozorňuje, že podvodníci „znají částky a vědí, které faktury nejsou zaplacené“. Stejná data poslouží i k telefonátům, ve kterých se volající vydává za banku, úřad nebo nadřízeného.

Co udělat hned u vlastního účtu

1. Nastavte nové heslo k BitFaktuře a změňte ho všude, kde jste používali stejné. Hash je ochrana, ne záruka: slabá hesla se z hashů dají postupně dopočítat.
2. Zapněte dvoufázové ověření.
3. Zkontrolujte seznam uživatelů a nastavení účtu, hlavně čísla bankovních účtů na vlastních fakturách.
4. Vygenerujte nové API klíče pro všechny integrace (e-shop, účetní program, automatizace). Staré klíče teď podle provozovatele fungují jen z IP adres, které jste dřív používali, ale to je přechodné opatření.

Pokud máte fakturaci napojenou na další nástroje, projděte i ty. Přehled typických napojení najdete v našem článku o automatizaci fakturace.

Přečtěte si, co automatizovat ve fakturaci

Ověřujte každou změnu bankovního účtu

Nejúčinnější obrana je jednoduché pravidlo: žádnou změnu čísla účtu nepotvrzujte kanálem, kterým přišla. Zavolejte partnerovi na číslo, které jste znali už dřív, ne na číslo z e-mailu.

U plátců DPH se vyplatí i kontrola v registru plátců DPH, kde finanční správa zveřejňuje bankovní účty, které si plátce určil ke zveřejnění (§ 98 zákona o DPH). Nejde jen o bezpečnost. Podle § 109 zákona o DPH se při platbě na jiný než zveřejněný účet dodavatele předpokládá, že odběratel mohl vědět o neodvedení daně, a může tak ručit za DPH dodavatele. Podvodný účet z falešné faktury v registru zveřejněný nebude.

Pokud už peníze odešly na podezřelý účet, volejte okamžitě do banky. Čím dřív banka zasáhne, tím větší je šance platbu zastavit. Při podezření na trestný čin to oznamte Policii ČR a uschovejte e-maily i výpisy.

Vaše povinnosti podle GDPR: lhůta 72 hodin

Tohle část podnikatelů přehlédne. U údajů o vašich odběratelích a dalších osobách, které jste do BitFaktury zadali, jste správcem osobních údajů vy a BitFaktura je pouze zpracovatel. Oznámení, které vám přišlo e-mailem, je proto ohlášením porušení zabezpečení správci podle čl. 33 odst. 2 GDPR.

Z toho plyne vaše vlastní povinnost: vyhodnotit riziko a případně porušení do 72 hodin ohlásit ÚOOÚ (čl. 33 odst. 1 GDPR). Podle pokynů Evropského sboru pro ochranu osobních údajů EDPB 9/2022 (bod 44) se správce zpravidla považuje za informovaného ve chvíli, kdy mu incident oznámí zpracovatel. BitFaktura ale sama upozorňuje, že pokud jste o incidentu měli dostatečnou jistotu už z jejího veřejného prohlášení z 29. září, mohla lhůta začít běžet dřív.

Praktický postup:

• Zaznamenejte datum a čas, kdy vám oznámení přišlo, do své dokumentace porušení. Tu GDPR vyžaduje vést i u incidentů, které nakonec nehlásíte.
• Nečekejte na detailní panel v účtu. Podle čl. 33 odst. 4 GDPR můžete podat předběžné ohlášení a doplnit ho později.
• Vyhodnoťte riziko pro své partnery. Pro data, u nichž je správcem sama, ohodnotila BitFaktura riziko jako vysoké. Doporučuje to použít jako vodítko.
• Informujte obchodní partnery, že mohou dostat podvržené zprávy nebo výzvy k platbě vaším jménem, a řekněte jim, jak si je ověřit.

U OSVČ, které fakturují hlavně firmám, se osobních údajů týká méně záznamů. U partnerů fyzických osob (jiní živnostníci, koncoví zákazníci) ale povinnosti platí stejně.

Jak poznat pravé oznámení od falešného

Incident sám o sobě bude lákat k phishingu: falešné „oznámení o úniku“ s odkazem na přihlášení je přesně to, co útočník s takovými daty rozešle. Podle BitFaktury její zprávy nikdy neobsahují přílohy, nežádají heslo, SMS ani 2FA kód a nevyzývají k přihlášení přes odkaz kvůli „ověření účtu“. Jméno odesílatele lze zfalšovat. V případě pochybností zadejte adresu bitfaktura.cz do prohlížeče ručně a zprávy si přečtěte po přihlášení.

Časté dotazy

Týká se únik i mého účtu?

Ano. Podle BitFaktury se incident týká každého účtu ve službě. Liší se jen rozsah podle typu dat a data vzniku záznamů.

Mám kvůli úniku přejít k jinému fakturačnímu systému?

Přechod nic nezmění na datech, která už byla zkopírována. Rozhodující je teď zabezpečit účet a ověřovat platby. Pokud nástroj měníte, ověřte si, jestli nabízí dvoufázové ověření a jak nakládá s API klíči.

Unikly faktury, které jsem vystavil letos?

Celý obsah ne. U faktur od 22. března 2021 útočník získal částky a údaje dalších stran (například příjemce), ale ne číslo faktury ani název odběratele.

Musím únik hlásit ÚOOÚ, když jsem jen OSVČ?

Povinnost se odvíjí od toho, zda jste správcem osobních údajů svých partnerů a jak vysoké je riziko. To je potřeba posoudit případ od případu, viz upozornění níže.

Závěr

Únik z BitFaktury je nepříjemný hlavně tím, že dává podvodníkům věrohodný kontext: skutečné částky, skutečné partnery a skutečné nezaplacené faktury. Změna hesla a nové API klíče jsou nutné minimum. Skutečnou ochranu ale dává až disciplína při ověřování plateb a včasné splnění povinností správce podle GDPR. BitFaktura slíbila v účtech zpřístupnit panel s počty záznamů pro každý účet a další zjištění zveřejňovat na své stránce o incidentu.

Zdroje a další čtení

Zdroje

• BitFaktura: Bezpečnostní incident – aktualizace č. 1 z 2. října 2026 bitfaktura.cz
• Nařízení (EU) 2016/679 (GDPR), čl. 33 a 34 eur-lex.europa.eu
• EDPB: Pokyny 9/2022 k ohlašování porušení zabezpečení osobních údajů edpb.europa.eu
• Zákon č. 235/2004 Sb., o dani z přidané hodnoty (§ 98, § 109) zakonyprolidi.cz

Upozornění

Tento článek má pouze informační charakter a nepředstavuje právní ani daňové poradenství. Informace o rozsahu úniku vycházejí z veřejných prohlášení provozovatele ke dni 7. října 2026 a mohou se změnit. O ohlášení porušení zabezpečení a o informování dotčených osob rozhoduje každý správce sám. V nejasných případech se poraďte s pověřencem pro ochranu osobních údajů, advokátem nebo daňovým poradcem.