Actualización n.º 1, publicada el 2 de octubre de 2026. El comunicado anterior, del 29 de septiembre de 2026, se encuentra al final de esta página. Marcaremos cada actualización con un número y una fecha.
El 2 de octubre de 2026 comenzamos a enviar dos tipos de mensaje:
Debido al número de destinatarios, el envío puede durar varias horas. Si no recibe ningún mensaje, revise la carpeta de correo no deseado. También podrá leer la notificación después de iniciar sesión en su cuenta en los próximos días.
Además, estamos poniendo a disposición de los titulares de las cuentas un panel dentro de la aplicación con información detallada: categorías de datos, intervalos de fechas y número de registros.
Nuestros mensajes nunca contienen:
Nunca le pedimos su contraseña, ni por correo electrónico, ni por teléfono, ni por chat. No se fíe del nombre del remitente que muestra su buzón, porque se puede falsificar. Si un mensaje le genera cualquier duda, no haga clic en los enlaces que contiene. Abra bitfactura.com usted mismo escribiendo la dirección en su navegador y revise los mensajes en su cuenta. Todo lo importante que venga de nosotros está disponible también después de iniciar sesión.
Una persona no autorizada obtuvo acceso a nuestros sistemas y copió datos de la base de datos a sus propios servidores. Tipo de violación: una violación de la confidencialidad, es decir, se copiaron datos. Estamos analizando el incidente junto con CERT Polska, el equipo nacional de respuesta a incidentes de seguridad informática de Polonia.
Todas las horas corresponden a la hora de verano de Europa central.
Para cada categoría indicamos quién es el responsable del tratamiento de los datos y qué periodo abarcó la copia. (a) BitFactura significa los datos de la cuenta y de sus usuarios, respecto de los cuales el operador del servicio es el responsable del tratamiento. (b) Cliente significa los datos de los contactos (clientes y proveedores) y de otras personas que el cliente introdujo en la cuenta y nos encomendó para su tratamiento siendo él el responsable.
| Categoría de datos | Responsable del tratamiento | Qué se copió |
|---|---|---|
| Datos de la empresa y de los usuarios: nombre de la empresa, número de identificación fiscal, dirección, nombres y apellidos, direcciones de correo electrónico y números de teléfono de los usuarios, identificador de la cuenta | (a) Fakturownia sp. z o.o. | en su totalidad, si se habían introducido |
| Datos del departamento: dirección, número de identificación fiscal, nombre del banco, número de cuenta, IBAN, SWIFT | (a) Fakturownia sp. z o.o. | en su totalidad, si se habían introducido |
| Hashes de las contraseñas de los usuarios (las contraseñas no se almacenaban en texto plano) | (a) Fakturownia sp. z o.o. | en su totalidad |
| Tokens de API y claves de integración almacenados directamente en la configuración de la cuenta | (a) Fakturownia sp. z o.o. | en su totalidad, según las integraciones utilizadas |
| Identificadores de sesión | (a) Fakturownia sp. z o.o. | en su totalidad |
| Importes de las facturas: neto, IVA y bruto por tipo, moneda, importe pagado e importe pendiente | (a) Fakturownia sp. z o.o. (b) Cliente | facturas de todo el periodo |
| Saldos de cuentas bancarias obtenidos mediante la función de conexión con la cuenta bancaria | (a) Fakturownia sp. z o.o. | en su totalidad, solo donde la integración estaba activa |
| Contactos: nombre o nombre y apellidos, número de identificación fiscal, dirección, dirección de entrega, correo electrónico, teléfono, número de cuenta bancaria, nota, campos personalizados | (b) Cliente | solo los contactos añadidos antes del 16 de octubre de 2024 |
| Panel del contacto: enlace de acceso y, si el contacto estableció una, el hash de la contraseña | (b) Cliente | solo los contactos añadidos antes del 16 de octubre de 2024 |
| Partes adicionales de la factura (por ejemplo, receptor, pagador): nombre o nombre y apellidos, número de identificación fiscal, dirección, correo electrónico, teléfono, nota; contenido de los campos adicionales de descripción (por ejemplo, «Notas», «Receptor», etiquetas personalizadas) | (b) Cliente | facturas de todo el periodo, en la medida en que los campos estuvieran rellenados |
| Contenido completo de las facturas: vendedor, comprador, número, fechas, importes, forma de pago y fecha de vencimiento, notas | (b) Cliente | solo las facturas emitidas antes del 22 de marzo de 2021 |
| Líneas de las facturas: nombres de los productos, cantidades, precios | (b) Cliente | solo las facturas anteriores al 6 de junio de 2019 |
| Pagos: fechas, importes, conceptos de las transferencias, nombres y números de cuenta de los ordenantes | (b) Cliente | en la medida en que se hubieran introducido |
| Productos y lista de precios: nombres, códigos, descripciones, precios | (b) Cliente | en su totalidad |
| Datos importados desde archivos (facturas, contactos, productos) | (b) Cliente | en la medida en que se hubieran introducido |
| Contenido de las exportaciones e importaciones solicitadas en el sistema | (b) Cliente | solicitadas hasta el 6 de marzo de 2026, en su mayor parte |
| Documentos de almacén | (b) Cliente | solo los anteriores al 14 de julio de 2023 |
| Operaciones de almacén | (b) Cliente | solo las anteriores al 16 de mayo de 2022 |
| Historial de actividad de la cuenta | (a) Fakturownia sp. z o.o. | solo el anterior al 24 de noviembre de 2021 |
| Información sobre los archivos adjuntos: nombre, tipo, tamaño, fecha | (b) Cliente | solo los archivos añadidos antes del 6 de noviembre de 2025 |
Establecimos las fechas límite a partir de los registros de consultas a la base de datos; pueden desviarse hasta un par de semanas. La copia de los conjuntos de datos más grandes avanzó desde los registros más antiguos y se interrumpió antes de llegar a los más recientes. En el caso de las facturas emitidas el 22 de marzo de 2021 o después, no se copió ni el nombre del comprador ni el número de la factura.
Otros usuarios de las cuentas: se copiaron su dirección de correo electrónico y el hash de su contraseña y, cuando se habían facilitado, su nombre y apellidos, su número de teléfono y el identificador de la cuenta.
Unas 2250 cuentas: de estas cuentas se copiaron todos los datos disponibles en el sistema de los años 2022 a 2026, hasta una fecha distinta para cada cuenta. Los titulares de esas cuentas reciben una notificación con la información específica de su cuenta.
No se copiaron:
Según nuestro mejor conocimiento, los datos afectados por la violación no se han hecho públicos hasta ahora. Lo estamos vigilando junto con CERT Polska. Publicaremos las nuevas conclusiones en esta página y en mensajes de correo electrónico posteriores.
A continuación describimos lo que puede ocurrir. No significa que ya haya ocurrido.
| Qué puede ocurrir | Qué recomendamos |
|---|---|
| Mensajes y llamadas telefónicas de estafadores que se hacen pasar por BitFactura, por un banco, por una autoridad pública, por un contacto comercial o por un empleador. Pueden parecer creíbles, porque contienen datos reales de la empresa, de las facturas y de los pagos. | No abra enlaces ni archivos adjuntos en mensajes inesperados. No facilite nunca a nadie contraseñas, códigos de verificación o datos de tarjetas de pago. Si alguien le llama diciendo que es de su banco, de una autoridad pública o de nuestra empresa, finalice la llamada y vuelva a llamar a un número publicado en el sitio web oficial de esa institución. Confirme por otro canal cualquier petición de «su jefe» de hacer una transferencia urgente. Denuncie los mensajes sospechosos ante el equipo de respuesta a incidentes de seguridad informática de su país. |
| Intentos de tomar el control de su cuenta y, si reutilizó la misma contraseña, también de cuentas en otros servicios. | Establezca una nueva contraseña en su cuenta de BitFactura (cómo hacerlo). Cambie la contraseña en otros servicios si era la misma. Revise la lista de usuarios y la configuración de la cuenta. Le recomendamos también que active la verificación de dos pasos (cómo hacerlo). |
| Uso de las claves robadas para acceder a su cuenta a través de una integración. | Introduzca nuevas claves de API en sus integraciones. |
| Facturas falsas, requerimientos de pago y peticiones de transferir dinero a un número de cuenta bancaria cambiado, enviados en nombre de su empresa o a su empresa «de parte de un proveedor». Los estafadores conocen los importes y saben qué facturas están sin pagar. | Confirme por teléfono con su contacto cualquier petición de cambio de número de cuenta bancaria y cualquier transferencia inusual, utilizando un número que ya conociera y no un número tomado del mensaje sospechoso. Si en su país existe un registro oficial de contribuyentes o de cuentas bancarias, compruebe allí los números de cuenta de sus contactos, y revise también los números de cuenta que figuran en sus propias facturas en la aplicación. |
Si sospecha que se ha producido un fraude o una transferencia no autorizada, póngase en contacto con su banco sin demora. Si sospecha que se ha cometido un delito, avise a la policía y conserve los mensajes y las demás pruebas. Le pedimos también que nos informe de cualquier intento de utilizar los datos afectados por la violación.
Respecto de los datos del grupo (b), es decir, los datos de los contactos y de otras personas introducidos en la cuenta, el cliente es el responsable del tratamiento y nosotros tratamos esos datos siguiendo sus instrucciones, en virtud del acuerdo de encargo del tratamiento que forma parte de nuestros términos y condiciones. El mensaje de correo electrónico «Notificación de una violación de la seguridad de los datos personales», que recibirá en breve, es a este respecto la notificación de la violación al responsable del tratamiento (artículo 33, apartado 2, del RGPD). Facilitamos la información por fases (artículo 33, apartado 4, del RGPD): en los próximos días pondremos a su disposición, dentro de su cuenta, un panel con información detallada de esa cuenta, que abarcará las categorías de datos, los intervalos de fechas y el número de registros, lo que también le facilitará informar a sus contactos.
Como responsable del tratamiento de esos datos, es usted quien evalúa el riesgo y decide si comunica la violación a las personas afectadas y de qué manera. Respecto de los datos de los que nosotros somos responsables, hemos evaluado el riesgo como alto: el alcance de los datos es amplio y el número de personas es muy elevado. Puede utilizarlo como punto de referencia para su propia evaluación. Los riesgos para terceros y las medidas que quizá desee considerar, como informar a sus contactos del riesgo de suplantación de identidad y de requerimientos de pago falsos, o cambiar las contraseñas del panel del contacto que se hubieran reutilizado en otros sitios, se describen en el mensaje de correo electrónico n.º 1.
El plazo de 72 horas para notificar la violación a su autoridad de control empieza a correr desde el momento en que tiene conocimiento de ella. De acuerdo con las directrices 9/2022 del CEPD (punto 44), se considera por regla general que el responsable del tratamiento tiene conocimiento de la violación en el momento en que el encargado del tratamiento le informa. Si, no obstante, ya tenía antes certeza suficiente sobre el incidente, por ejemplo a partir de nuestro comunicado del 29 de septiembre de 2026, el plazo puede haber empezado a correr antes. Puede presentar una notificación preliminar basándose en el mensaje de correo electrónico n.º 1 y completarla más adelante.
Lamentamos esta situación. Seguiremos publicando nuevas conclusiones en esta página y marcaremos cada actualización con un número y una fecha.
Sí. El incidente afecta a todas las cuentas del servicio. Lo que se copió varía según la categoría de datos y la fecha; la tabla anterior expone el alcance y las fechas límite. Los titulares de las cuentas reciben una notificación individual por correo electrónico y encontrarán en la aplicación información detallada de su cuenta.
No. Las contraseñas se almacenaban como hashes, no en texto plano, y son los hashes lo que se copió. Aun así, le recomendamos que establezca una nueva contraseña, que la cambie en cualquier otro sitio donde usara la misma y que active la verificación de dos pasos.
El contenido completo de las facturas se copió únicamente en el caso de las facturas emitidas antes del 22 de marzo de 2021, y las líneas de las facturas solo en el caso de las facturas anteriores al 6 de junio de 2019. Los importes de las facturas se copiaron de todo el periodo. En el caso de las facturas emitidas el 22 de marzo de 2021 o después, no se copió ni el nombre del comprador ni el número de la factura.
Nuestros mensajes nunca contienen archivos adjuntos, nunca piden su contraseña, ni un código SMS o de verificación de dos pasos, ni los datos de una tarjeta de pago, y nunca le piden iniciar sesión a través de un enlace para verificar su cuenta. No se fíe del nombre del remitente, porque se puede falsificar. En caso de duda, escriba usted mismo bitfactura.com en su navegador y revise los mensajes después de iniciar sesión.
Establezca una nueva contraseña en su cuenta, cámbiela en otros servicios si era la misma, active la verificación de dos pasos, revise la lista de usuarios y la configuración de la cuenta, introduzca nuevas claves de API en sus integraciones y confirme por teléfono cualquier solicitud de cambio de número de cuenta bancaria, utilizando un número que ya conociera.
Respecto de los datos de los contactos y de otras personas que usted introdujo en su cuenta, usted es el responsable del tratamiento y nosotros somos el encargado del tratamiento. La notificación por correo electrónico es la notificación de la violación a usted como responsable del tratamiento, conforme al artículo 33, apartado 2, del RGPD. Es usted quien evalúa el riesgo y decide si comunica la violación a las personas afectadas. En los próximos días pondremos a su disposición un panel con información detallada de su cuenta, que incluirá las categorías de datos, los intervalos de fechas y el número de registros.
Sí. El acceso del atacante se cortó el 28 de septiembre de 2026, el tráfico se trasladó a nuevos servidores creados desde cero, las claves robadas se desactivaron, las claves de la aplicación y las contraseñas de los servicios se cambiaron y los tokens de API de los clientes se sustituyeron. Las claves de API existentes funcionan ahora únicamente desde las direcciones IP utilizadas anteriormente por los usuarios de la cuenta.
Si quiere comprobar si le afecta a su cuenta o necesita ayuda para protegerla, escríbanos. Por la misma vía puede enviar preguntas sobre el tratamiento de sus datos personales.
Este es el comunicado del 29 de septiembre de 2026, que conservamos como registro. Algunas de sus conclusiones han sido corregidas por la actualización n.º 1 anterior, en particular el alcance de los datos de las facturas y de los datos de los clientes.
Publicado el 30 de septiembre de 2026. Actualizaremos esta página en cuanto tengamos nueva información.
El 28 de septiembre de 2026 detectamos un acceso no autorizado a los servidores del sistema de facturación sobre el que funciona BitFactura. Como consecuencia del incidente, una persona no autorizada pudo ver datos de las cuentas de nuestros usuarios, datos de sus clientes y proveedores, así como documentos generados a través del servicio.
Entendemos que una noticia así puede generar inquietud, por eso queremos trasladarle toda la información de la que disponemos en este momento. También le explicamos qué puede hacer para proteger mejor sus datos. Al mismo tiempo, le confirmamos que el incidente no afectó a los datos almacenados en nuestras integraciones y complementos.
Una persona no autorizada logró aprovechar una vulnerabilidad del sistema, lo que dio lugar a un acceso no autorizado a parte de los datos. Tras detectar el suceso bloqueamos su acceso, iniciamos la rotación de claves y contraseñas y pusimos en marcha nuevos servidores de la aplicación. Junto con especialistas externos en seguridad seguimos analizando la situación.
Lo que sabemos en este momento:
Según nuestras averiguaciones hasta la fecha, la persona no autorizada pudo tener acceso a los siguientes datos:
Si el análisis posterior aporta nuevos hallazgos, actualizaremos este comunicado sin demora.
Para proteger aún más su cuenta, le recomendamos:
Es posible que en los próximos días reciba correos electrónicos, SMS o llamadas de personas que se hacen pasar por instituciones conocidas: un banco, una administración pública, una empresa de mensajería, BitFactura o sus propios clientes y proveedores. Ese tipo de mensajes suele generar presión de tiempo y empujar a actuar deprisa. Le pedimos que:
Seguimos determinando a qué clientes afecta la filtración. Informaremos directamente a cada uno de ellos en los próximos días.
Lamentamos esta situación. La seguridad de sus datos es nuestra prioridad, por eso estamos esclareciendo el asunto con plena dedicación. Iremos publicando en esta página las novedades que vayamos confirmando.