概要
ポーランドで60万社以上が利用する大手オンライン請求書発行サービスFakturowniaが、システムの脆弱性を突かれて不正アクセスを受けたことが明らかになった。流出したデータには企業・ユーザーアカウント情報、パスワードハッシュ、銀行口座情報、認証・連携用トークン、2023年以前に発行された請求書、顧客や取引先の情報が含まれる。一方でクレジットカード情報や外部連携システムのデータへの影響は確認されていない。運営元は月曜日に不審なアクセスを検知し、攻撃者のアクセスを遮断したうえでパスワードとアプリケーションキーを全面的にローテーションし、新規サーバーへの移行を進めている。
攻撃の規模と攻撃者の主張
「Fingerprint」と名乗る攻撃者は、Fakturowniaのインフラから約6テラバイトの請求書データを窃取したと主張し、侵入の証拠としてシステムへのアクセス画面を公開した。ただし被害の総量や主張の真正性については第三者による検証が済んでおらず、実際に影響を受けた顧客数も調査が続いている段階だ。被害規模が確定するまでは、公表されている数字が最終的なものとは限らない点に留意が必要となる。
運営側の対応と当局の動き
Fakturownia側は外部のサイバーセキュリティ専門家と連携して調査を進めるとともに、ポーランドの関係当局に事案を報告した。財務省は、国家電子請求書発行システム(KSeF)自体への侵害はなかったとして、インボイス制度の基幹システムとの関連を否定している。一方、デジタル事務担当大臣は「責任者は必ず追及され、重大な結果に直面する」と述べ、攻撃者への対応を強調するとともに、民間企業に対してサイバーセキュリティ投資の強化を求めた。
影響と今後の注目点
請求書サービスは企業の取引先情報や財務データを一括して保持するため、侵害の影響は単一企業にとどまらず、取引関係にある多数の企業に波及しうる。特に銀行口座情報やパスワードハッシュの流出は、フィッシングや不正送金といった二次被害につながるリスクが高い。今後は、実際の被害企業数の確定、攻撃者が主張する6テラバイトのデータの真偽、そして侵入の起点となった脆弱性の詳細が明らかになるかどうかが注目される。