Mechanizm jest prosty i wynika wprost z publicznej dokumentacji API 2.0 systemu KSeF. Wyjaśniam krok po kroku:
📂 Dostęp do KSeF przez metadane
KSeF ma funkcję anonimowego dostępu. Każdy może pobrać pełny niezaszyfrowany plik faktury bez żadnego logowania czy tokenu. Wystarczy podać 4 rzeczy: numer KSeF, numer faktury, NIP i łączną kwotę. Masz te dane? Masz całą fakturę. Tak musi być, by każdy mógł sobie ściągnąć z KSeF swoje faktury kosztowe wystawione przez jego kontrahentów dla niego, bo musi je opłacić.
🛡️ Ochroniarz, który widzi wszystko (WAF)
Zanim ruch trafi do KSeF, przechodzi przez bramkę ochronną w chmurze (WAF). Aby chronić system przed atakami, bramka musi najpierw rozpakować szyfrowane połączenie (terminacja TLS). W ten sposób widzi metadane w postaci czystego tekstu — w tym dokładnie te 4 informacje potrzebne do anonimowego pobrania faktury.
🌍 Kto pilnuje bramki?
Obsługą tej chmurowej ochrony zajmuje się amerykańska Imperva — firma należąca do francuskiego koncernu Thales, z korzeniami i infrastrukturą analityczną w Izraelu podlegająca jurysdykcji USA (CLOUD Act) i Francji (Loi de Programmation Militaire (LPM)).
🕵️♂️ Autostrada dla obcych służb
Oficer wywiadu Francji (przez Thales), USA (przez Impervę) czy Izraela (przez serwery analityczne) ma wgląd w logi tej bramki, z automatu ma więc metadane. A mając te metadane, dzięki anonimowemu pobieraniu, ma klucz do faktur wszystkich polskich przedsiębiorstw, nawet historycznych.
💥 Dlaczego to groźne dla gospodarki?
Faktury to cała anatomia biznesu: od kogo kupujesz, za ile, z jaką marżą i kto jest twoim podwykonawcą. Jeśli obcy wywiad przekaże taką analizę wspieranej przez siebie firmie (francuskiej, amerykańskiej lub izraelskiej), ta może z łatwością podkupić dostawców, zbić ceny i wykończyć polskiego rywala — w tym firmę zbrojeniową.
⚠️ Wniosek?
Architektura bezpieczeństwa państwa nie może opierać się na naiwności, że zagraniczne korporacje i sojusznicze służby nie skorzystają z danych podanych im na tacy.
Polskie Ministerstwo Finansów trzyma tę architekturę w tajemnicy, mimo że to wszystko wynika z jawnie opublikowanej dokumentacji. Żaden ekspert od cyberbezpieczeństwa czy dziennikarz śledczy w Polsce nie chce i nie umie tego zauważyć, a wiadomo to dokładnie od ponad pół roku.
Czy w związku z tym zgadzacie się, że system KSeF można śmiało nazwać szpiegowskim i uznać, że jest gorszy od zaborów, bo oddaje obcym nie tylko suwerenność cyfrową państwa, ale też całkowicie likwiduje w Polsce wolny rynek i oddaje władzę nad gospodarką i biznesem obcym firmom? Przez KSeF niezależność traci nie tylko III RP, ale i prywatne firmy.
Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS