Część IV — niewidzialna pętla KSeF: dlaczego utajniona umowa z Impervą jest nic niewarta

W pierw­szej i trze­ciej czę­ści no­wej se­rii o KSeF po­ka­za­łem, jak asy­me­tria in­for­ma­cji do­ty­czą­ca bram­ki WAF fir­my Im­pe­rva, przez któ­rą prze­cho­dzą nie­za­szy­fro­wa­ne me­ta­da­ne do KSeF, po­zwa­la do­wol­nej fir­mie wspie­ra­nej przez ob­cy wy­wiad dys­po­nu­ją­cy lo­ga­mi z tej bram­ki me­to­dycz­nie znisz­czyć pol­ską fir­mę. W dru­giej czę­ści opi­sa­łem, jak pol­skie fir­my mo­gą pró­bo­wać się bro­nić po­przez ka­mu­flaż or­ga­ni­za­cyj­ny. Te­raz czas od­po­wie­dzieć na czę­ste py­ta­nie: prze­cież Im­pe­rva naj­praw­do­po­dob­niej pod­pi­sa­ła z Mi­ni­ster­stwem Fi­nan­sów umo­wę, któ­ra za­ka­zu­je jej ujaw­nia­nia da­ny­ch! Ta umo­wa je­st trzy­ma­na w ta­jem­ni­cy, ale mo­że to się oka­że praw­dą i pol­ski rząd tak się obro­ni... Czy to wy­star­czy? Otóż nie wy­star­czy — i krok po kro­ku wy­tłu­ma­czę dla­cze­go!

Tu poprzednie części:

• Część I — niewidzialna pętla KSeF: o tym, jak metadane zniszczyły Braci Kowalskich
• Część II — niewidzialna pętla KSeF: jak Kowalscy mogą obronić się przed inwigilacją
• Część III — niewidzialna pętla KSeF: o tym, jak metadane zniszczyły Stomil

Co to wła­ści­wie je­st Im­pe­rva?

  Że­by zro­zu­mieć pro­blem praw­ny, mu­si­my naj­pierw zro­zu­mieć, z ja­kim pod­mio­tem Pol­ska w ogó­le ma do czy­nie­nia.

  Im­pe­rva Inc. to spół­ka za­re­je­stro­wa­na w sta­nie Ka­li­for­nia, USA, za­ło­żo­na w 2002 ro­ku przez by­ły­ch ofi­ce­rów izra­el­skiej jed­nost­ki wy­wia­dow­czej Unit 8200 — tej sa­mej, któ­ra od­po­wia­da m. in. za słyn­ne ope­ra­cje Stu­xnet i Pe­ga­sus. Cen­trum ba­daw­czo-roz­wo­jo­we Im­pe­rvy, za­trud­nia­ją­ce oko­ło 500 in­ży­nie­rów, do dziś znaj­du­je się w Izra­elu. W 2018 ro­ku fir­ma zo­sta­ła ku­pio­na przez ame­ry­kań­ski fun­du­sz pri­va­te equ­ity Tho­ma Bra­vo za kil­ka mi­liar­dów do­la­rów (róż­ne źró­dła róż­nie po­da­ją). Na­stęp­nie w grud­niu 2023 ro­ku Tha­les — fran­cu­ski kon­cern lot­ni­czo-obron­ny, je­den z klu­czo­wy­ch do­staw­ców uzbro­je­nia i sys­te­mów wy­wia­dow­czy­ch dla ar­mii fran­cu­skiej — ku­pił Im­pe­rvę od Tho­ma Bra­vo za oko­ło 3,6 mi­liar­da do­la­rów.

  Ma­my więc pod­miot z ko­rze­nia­mi w izra­el­skim wy­wia­dzie woj­sko­wym, z praw­ną re­je­stra­cją w USA i z wła­ści­cie­lem bę­dą­cym fi­la­rem fran­cu­skie­go kom­plek­su mi­li­tar­no-prze­my­sło­we­go. Pol­ska być mo­że pod­pi­sa­ła z nim umo­wę cy­wil­no­praw­ną za­ka­zu­ją­cą ujaw­nia­nia da­ny­ch. Zo­bacz­my te­raz, co ta umo­wa zna­czy w zde­rze­niu z twar­dym pra­wem pu­blicz­nym trzech pań­stw.

Pierw­szy klu­cz: CLO­UD Act i ju­rys­dyk­cja USA

  W 2018 ro­ku Kon­gres Sta­nów Zjed­no­czo­ny­ch uchwa­lił "Cla­ri­fy­ing Law­ful Over­se­as Use of Da­ta Act", zna­ny po­wszech­nie ja­ko CLO­UD Act. Usta­wa ta roz­wią­za­ła je­den z naj­więk­szy­ch pro­ble­mów praw­ny­ch ery cy­fro­wej: co się dzie­je, gdy da­ne fi­zycz­nie są prze­cho­wy­wa­ne za gra­ni­cą, ale ich wła­ści­cie­lem je­st ame­ry­kań­ska spół­ka?

  Od­po­wie­dź je­st pro­sta i bru­tal­na: nie ma zna­cze­nia, gdzie da­ne le­żą. Li­czy się to, kto je kon­tro­lu­je.

  Je­śli pod­miot je­st za­re­je­stro­wa­ny w USA lub pro­wa­dzi tam dzia­łal­no­ść, rząd fe­de­ral­ny mo­że wy­dać na­kaz są­do­wy na­ka­zu­ją­cy wy­da­nie da­ny­ch — nie­za­leż­nie od te­go, na ja­kiej zie­mi fi­zycz­nie sto­ją ser­we­ry, i nie­za­leż­nie od tre­ści umów cy­wil­no­praw­ny­ch za­war­ty­ch z pod­mio­ta­mi za­gra­nicz­ny­mi. CLO­UD Act to pra­wo pu­blicz­ne fe­de­ral­ne, któ­re w hie­rar­chii źró­deł pra­wa stoi wy­żej niż każ­da umo­wa han­dlo­wa. Im­pe­rva Inc. ja­ko spół­ka za­re­je­stro­wa­na w Ka­li­for­nii nie mo­że prze­ciw­sta­wić się na­ka­zo­wi fe­de­ral­ne­mu, po­wo­łu­jąc się na klau­zu­lę po­uf­no­ści z Pol­ską. Sąd fe­de­ral­ny ta­kim ar­gu­men­tem po pro­stu się nie przej­mie.

  Co wię­cej, pro­ce­du­ra mo­że być ob­ję­ta klau­zu­lą taj­no­ści, co ozna­cza, że Im­pe­rva nie tyl­ko mu­si wy­dać da­ne, ale w okre­ślo­ny­ch przy­pad­ka­ch nie ma na­wet pra­wa po­in­for­mo­wać pol­skie­go Mi­ni­ster­stwa Fi­nan­sów, że do prze­ka­za­nia do­szło. Pol­ska umo­wa być mo­że le­ży na sto­le w taj­nej kan­ce­la­rii. Nie­mniej CLO­UD Act zmia­ta ją z plan­szy.

Dru­gi klu­cz: Tha­les i bez­po­śred­nia li­nia do Pa­ry­ża

  CLO­UD Act da­je klu­cz do drzwi rzą­do­wi USA. Jed­nak je­st jesz­cze dru­gi klu­cz — i ten je­st w pew­nym sen­sie groź­niej­szy, bo nie zo­sta­wia na­wet śla­du po­stę­po­wa­nia są­do­we­go.

  Od grud­nia 2023 ro­ku Im­pe­rva na­le­ży do gru­py Tha­les. Tha­les to nie je­st zwy­kła pry­wat­na spół­ka. Fran­cu­ski skarb pań­stwa, po­śred­nio przez Das­sault Avia­tion i CEA, je­st zna­czą­cym ak­cjo­na­riu­szem Tha­les. Oczy­wi­ście jak za­wsze zna­czą­cym ak­cjo­na­riu­szem Tha­le­sa je­st też Blac­kRock (czy­li kie­row­nik ku­li ziem­skiej, któ­ry swo­je mac­ki ma wszę­dzie). Fir­ma Tha­les je­st jed­nym z głów­ny­ch do­staw­ców sys­te­mów wy­wia­dow­czy­ch, ra­da­ro­wy­ch i ko­mu­ni­ka­cyj­ny­ch dla Di­rec­tion Générale de la Sécurité Extérieure (DGSE) — fran­cu­skie­go od­po­wied­ni­ka CIA. In­ny­mi sło­wy: Tha­les to je­den z naj­waż­niej­szy­ch kon­trak­to­rów obron­no-wy­wia­dow­czy­ch Fran­cji, moc­no po­wią­za­ny ka­pi­ta­ło­wo i ope­ra­cyj­nie z fran­cu­skim apa­ra­tem pań­stwo­wym.

  Pra­wo fran­cu­skie — w szcze­gól­no­ści "Loi de Pro­gram­ma­tion Mi­li­ta­ire" (LPM) oraz prze­pi­sy o do­stę­pie służb spe­cjal­ny­ch do da­ny­ch prze­cho­wy­wa­ny­ch przez ope­ra­to­rów — da­je or­ga­nom Re­pu­bli­ki Fran­cu­skiej sze­ro­kie upraw­nie­nia do żą­da­nia da­ny­ch od pod­mio­tów dzia­ła­ją­cy­ch na te­ry­to­rium Fran­cji lub kon­tro­lo­wa­ny­ch przez pod­mio­ty za­re­je­stro­wa­ne we Fran­cji.

  Jed­nak je­st jesz­cze coś waż­niej­sze­go niż for­mal­ne prze­pi­sy. Tha­les/Im­pe­rva to te­raz je­den or­ga­ni­zm kor­po­ra­cyj­ny. Prze­pływ in­for­ma­cji we­wnątrz gru­py ka­pi­ta­ło­wej nie wy­ma­ga na­ka­zu są­do­we­go — wy­ma­ga je­dy­nie de­cy­zji za­rząd­czej lub roz­mo­wy te­le­fo­nicz­nej mię­dzy od­po­wied­ni­mi szcze­bla­mi kor­po­ra­cji. Ze­wnętrz­ny ob­ser­wa­tor nie zo­ba­czy nic: żad­ne­go po­stę­po­wa­nia są­do­we­go, żad­ne­go na­ka­zu, żad­nej no­ty­fi­ka­cji dla stro­ny pol­skiej. Z punk­tu wi­dze­nia au­dy­tu wy­glą­da­ło­by to jak ru­ty­no­wy we­wnętrz­ny trans­fer da­ny­ch ope­ra­cyj­ny­ch w ra­ma­ch gru­py.

Trze­ci klu­cz: ser­we­ry Tha­les/Im­pe­rva ana­li­zu­ją­ce da­ne sto­ją w Izra­elu

  Każ­dy dział Tha­le­sa mo­że bez zgo­dy i wie­dzy pol­skie­go rzą­du do­stać do­stęp do lo­gów z me­ta­da­ny­mi pol­skiej go­spo­dar­ki ta­ki­mi jak: NIP sprze­daw­cy i od­bior­cy, peł­ne na­zwy pod­mio­tów, kwo­ty net­to, VAT i brut­to, wa­lu­ta, nu­mer fak­tu­ry, da­ty ope­ra­cyj­ne i typ fak­tu­ry co po­zwa­la w cza­sie rze­czy­wi­stym zma­po­wać ca­ła biz­nes w Pol­sce. Nie ma moż­li­wo­ści, by wy­wiad izra­el­ski nie sko­rzy­stał z ta­kiej oka­zji. Przy­po­mi­nam, że je­st to wy­wiad, któ­ry był zdol­ny do taj­ne­go wpro­wa­dze­nia mi­ni ła­dun­ków wy­bu­cho­wy­ch do pa­ge­rów i mi­kro­fa­ló­wek or­ga­ni­za­cji He­zbol­lah i do­pro­wa­dził do ich wy­bu­chów w jed­nym mo­men­cie w 2024 ro­ku, roz­ry­wa­jąc dło­nie, oczy i ja­ja li­bań­skim i sy­ryj­skim chi­rur­gom co wy­łą­czy­ło z ak­cji 1500 bo­jow­ni­ków — 42 oso­by zgi­nę­ły, a 4000 zo­sta­ło ran­ny­ch.

Trzy klu­cze. Trzy rzą­dy. I jed­na bied­na, go­ła Pol­ska.

  Pod­su­muj­my sy­tu­ację hi­po­te­tycz­ny­ch Ko­wal­ski­ch, praw­dzi­we­go Sto­mi­lu i każ­dej in­nej fir­my ra­por­tu­ją­cej do KSeF w kon­tek­ście struk­tu­ry wła­ści­ciel­skiej Im­pe­rvy:

  Rząd USA ma le­gal­ny, wy­mu­szal­ny są­dow­nie do­stęp do da­ny­ch prze­cho­wy­wa­ny­ch przez Im­pe­rvę ja­ko spół­kę za­re­je­stro­wa­ną w Ka­li­for­nii. Rząd Fran­cji ma struk­tu­ral­ny, nie­wi­docz­ny z ze­wną­trz do­stęp do ty­ch sa­my­ch da­ny­ch po­przez sieć po­wią­zań wła­ści­ciel­ski­ch i ope­ra­cyj­ny­ch gru­py Tha­les. Wy­wiad Izra­ela prze­twa­rza te da­ne na swo­ich ser­we­ra­ch. Te trzy do­stę­py ist­nie­ją nie­za­leż­nie od sie­bie, dzia­ła­ją nie­za­leż­nie od tre­ści pol­skiej umo­wy i mo­gą być re­ali­zo­wa­ne bez wie­dzy Mi­ni­ster­stwa Fi­nan­sów.

  Nie twier­dzę, że te rzą­dy ak­tyw­nie i na co dzień prze­glą­da­ją fak­tu­ry pol­skiej go­spo­dar­ki. Twier­dzę coś in­ne­go i pre­cy­zyj­niej­sze­go: Pol­ska stwo­rzy­ła sys­tem, w któ­rym trzy ob­ce wy­wia­dy dys­po­nu­ją tech­nicz­ną i praw­ną zdol­no­ścią do­stę­pu do peł­ne­go ob­ra­zu pol­skiej go­spo­dar­ki, a pol­ska umo­wa cy­wil­no­praw­na nie sta­no­wi dla tej zdol­no­ści żad­nej prze­szko­dy.

  W ana­li­zie ry­zy­ka bez­pie­czeń­stwa na­ro­do­we­go to wy­star­czy. Ry­zy­ko nie po­le­ga wy­łącz­nie na tym, że coś się już dzie­je — po­le­ga na tym, że ist­nie­je go­to­wa in­fra­struk­tu­ra do­stę­pu, któ­rej nikt nie mo­że sku­tecz­nie za­blo­ko­wać.

Dla­cze­go to, co ro­bi Pol­ska, je­st wy­jąt­kiem na tle Eu­ro­py?

  Ten kon­tek­st sta­je się jesz­cze bar­dziej nie­po­ko­ją­cy, gdy ze­sta­wi­my go z tym, jak in­ne pań­stwa eu­ro­pej­skie po­de­szły do pro­ble­mu e-fak­tu­ro­wa­nia.

  Fran­cja ob­słu­gu­je swój sys­tem fak­tu­ro­wa­nia (Cho­rus Pro) po­przez AIFE — agen­cję rzą­do­wą. In­fra­struk­tu­ra je­st za­rzą­dza­na przez pod­mio­ty kra­jo­we. Ru­mu­nia po­trak­to­wa­ła e-fak­tu­ry ja­ko kwe­stię bez­pie­czeń­stwa na­ro­do­we­go i po­wie­rzy­ła sys­tem woj­sko­wej służ­bie łącz­no­ści STS. Wło­chy i Hisz­pa­nia ko­rzy­sta­ją z rzą­do­wy­ch lub ści­śle nad­zo­ro­wa­ny­ch kra­jo­wy­ch plat­form. Do­ty­czy to wszyst­ki­ch pań­stw na świe­cie opró­cz Pol­ski. In­ny­mi sło­wy: każ­de po­waż­ne pań­stwo zro­zu­mia­ło, że sys­tem, przez któ­ry prze­pły­wa ob­raz ca­łej go­spo­dar­ki kra­jo­wej, mu­si po­zo­sta­wać pod su­we­ren­ną kon­tro­lą. Pol­ska je­st je­dy­nym kra­jem na świe­cie, któ­ry po­wie­rzył tę funk­cję pry­wat­ne­mu pod­mio­to­wi za­gra­nicz­ne­mu o tak skom­pli­ko­wa­nej i wraż­li­wej struk­tu­rze wła­ści­ciel­skiej.

  War­to do­dać je­den iro­nicz­ny szcze­gół: Fran­cja, ko­rzy­sta­jąc z wła­sne­go sys­te­mu ra­por­to­wa­nia fak­tur ob­słu­gi­wa­ne­go przez wła­sne agen­cje rzą­do­we, chro­ni swo­je da­ne go­spo­dar­cze na­wet przed Im­pe­rvą (bo w niej da­ne wi­dzą jesz­cze Ame­ry­ka­nie i Izra­el­czy­cy). Jed­no­cze­śnie Im­pe­rva — ja­ko czę­ść Tha­le­sa — mo­że mieć do­stęp do da­ny­ch pol­ski­ch firm, w tym do da­ny­ch do­ty­czą­cy­ch prze­tar­gów, za­mó­wień pu­blicz­ny­ch i kon­tra­hen­tów pol­skie­go sek­to­ra zbro­je­nio­we­go.

Epi­log: umo­wa, któ­ra nie chro­ni

  Mi­ni­ster­stwo Fi­nan­sów pu­blicz­nie de­kla­ru­je peł­ną kon­tro­lę nad in­fra­struk­tu­rą, jed­nak au­dy­ty tech­nicz­ne (m. in. ana­li­za DNS, na­głów­ków i ter­mi­na­cji TLS) po­ka­zu­ją, że war­stwa WAF dzia­ła w mo­de­lu czy­sto chmu­ro­wym Im­pe­rvy, a nie on-pre­mi­se.

  Kie­dy Mi­ni­ster­stwo Fi­nan­sów mó­wi, że Im­pe­rva nie je­st ope­ra­to­rem da­ny­ch, tyl­ko do­staw­cą war­stwy ochron­nej, ma tech­nicz­nie ra­cję — WAF nie prze­twa­rza tre­ści fak­tur XML, bo są one za­szy­fro­wa­ne apli­ka­cyj­nie E2E. Jed­nak jak po­ka­za­łem w po­przed­ni­ch czę­ścia­ch i au­dy­ta­ch, pro­blem nie le­ży w tre­ści fak­tur, tyl­ko w me­ta­da­ny­ch JSON, któ­re po ter­mi­na­cji TLS są jaw­ne dla in­fra­struk­tu­ry po­śred­niej, a to obej­mu­je: nu­me­ry NIP, na­zwy pod­mio­tów, da­ty, kwo­ty, ty­py do­ku­men­tów.

  Pol­ska umo­wa z Im­pe­rvą być mo­że za­ka­zu­je ujaw­nia­nia ty­ch me­ta­da­ny­ch. Jed­nak CLO­UD Act po­zwa­la rzą­do­wi USA ten za­kaz praw­nie wy­mu­sić do uchy­le­nia. Struk­tu­ra Tha­les po­zwa­la to zro­bić bez ja­kie­go­kol­wiek for­mal­ne­go po­stę­po­wa­nia są­do­we­go.

  Pol­skie fir­my mo­gą my­śleć, że ich da­ne są chro­nio­ne umo­wą. Ich da­ne są chro­nio­ne umo­wą tak sa­mo, jak sejf je­st chro­nio­ny zam­kiem, do któ­re­go klu­cz ma­ją wy­wia­dy trzech in­ny­ch pań­stw. A za­tem nie są chro­nio­ne. Je­śli wy­wiad któ­re­go­kol­wiek z ty­ch pań­stw uzna, że ja­kaś ich fir­ma po­win­na po­ko­nać na ryn­ku ja­kąś pol­ską, to jej w tym po­mo­że. Je­śli moż­na przy uży­ciu ar­mii zbom­bar­do­wać in­ne pań­stwo, to tym bar­dziej moż­na w nim do­wol­ny biz­nes prze­jąć. Wy­wiad wła­śnie do te­go słu­ży — do po­ko­na­nia in­ne­go pań­stwa przy uży­ciu in­for­ma­cji o nim.

  Na­wet gdy­by sam pre­mier Tu­sk oka­zał się szpie­giem i wszel­ką swo­ją wie­dzę prze­ka­zy­wał ob­cym wy­wia­dom, to i tak nie prze­ka­że ty­lu in­for­ma­cji, ile Pol­ska od­da­ła na ta­cy wy­wia­dom USA, Fran­cji i Izra­ela po­przez KSeF. Je­śli się tym nie przej­mu­je­my, bo to na­si so­jusz­ni­cy, to le­piej od ra­zu ogło­sić się ko­lej­nym sta­nem USA — wte­dy przy­naj­mniej na­sz ro­dzi­my biz­nes mógł­by się roz­wi­jać. Po co nam po­śred­ni­cy ty­pu Tu­sk? Nie le­piej od ra­zu uznać za na­sze­go przy­wód­cę Trum­pa, Ma­cro­na czy Ne­tan­ja­hu?

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65

PS. Tu są wszyst­kie od­cin­ki poprzedniej se­rii na temat KSeF:

• Czę­ść I. KSeF nie po­sze­rza in­wi­gi­la­cji. KSeF zwięk­sza roz­dziel­czo­ść. Po­rów­na­nie KSeF z JPK.
• Czę­ść II. Prak­ty­ka KSeF: Hurt­Pol kon­tra Ko­wal­ski i Sy­no­wie. Prak­tycz­ny przy­kład.
• Czę­ść III. Ad­mi­ni­stra­tor KSeF. Czy­li gdzie na­praw­dę le­ży wła­dza. O po­ko­sie dla ad­mi­ni­stra­to­ra sys­te­mu.
• Czę­ść IV. Tech­no­lo­gia KSeF – su­we­ren­no­ść koń­czy się tam, gdzie koń­czy się ka­bel! O su­we­ren­no­ści cy­fro­wej.
• Czę­ść V. KSeF i cią­gło­ść de­cy­zji. Im­pe­rva, czy­li su­we­ren­no­ść sprze­da­na na ra­ty! O tym, że za­czął to PiS.
• Czę­ść VI. KSeF — wy­ja­śnie­nie tech­nicz­ne i prak­tycz­ne przy­kła­dy z bran­ży mi­li­tar­nej i spo­żyw­czej.
• Czę­ść VII. Ja­kie me­ta­da­ne o ru­chu wi­dzi Im­pe­rva?
• Czę­ść VIII. Co jesz­cze wi­dzi Im­pe­rva? Wię­cej me­ta­da­ny­ch
• Czę­ść IX. Ludz­ko­ść od­ry­wa się od te­ry­to­rium i za­czy­na bu­jać w ob­ło­ka­ch! O tym że szyb­kie pin­gi o ni­czym nie świad­czą, bo to chmu­ra.
• Cze­ść X. Pol­ska ja­ko je­dy­na na świe­cie od­da­ła na ta­cy swo­ją su­we­ren­no­ść cy­fro­wą ob­cym wy­wia­dom
• A tu o tym, że fir­mę Im­pe­rva za­ło­żył Shlo­mo Kra­mer

Audyty techniczne:

• Francja informacje-lokalne.pl
• Węgry informacje-lokalne.pl
• Włochy informacje-lokalne.pl
• Rumunia informacje-lokalne.pl
• Hiszpania informacje-lokalne.pl
• Albania informacje-lokalne.pl
• Turcja informacje-lokalne.pl
• Rosja informacje-lokalne.pl
• Ukraina informacje-lokalne.pl
• Argentyna informacje-lokalne.pl
• Kolumbia informacje-lokalne.pl
• Chile informacje-lokalne.pl
• Meksyk informacje-lokalne.pl
• Brazylia informacje-lokalne.pl
• Polska informacje-lokalne.pl
• Polska informacje-lokalne.pl
• Polska informacje-lokalne.pl
• Polska informacje-lokalne.pl

Apel do ekspertów cyberbezpieczeństwa:

• informacje-lokalne.pl

Odpowiedzi wirtualnych ekspertów cyberbezpieczeństwa:

• deepseek: informacje-lokalne.pl
• Perplexity Pro Sonar: informacje-lokalne.pl
• Grok 4.1 Thinking: informacje-lokalne.pl
• Gemini 3 Pro: informacje-lokalne.pl
• Claude Sonnet 4.6: informacje-lokalne.pl

Ta­gi: KSeF gps65, go­spo­dar­ka, biz­nes, Wol­ny Ry­nek, Im­pe­rva, c­yber­bez­pie­czeń­stwo, Pol­ska, wy­wiad, szpie­go­stwo