Dostęp do wszystkich faktur polskiej gospodarki poprzez KSeF mają trzy obce wywiady, bo bramka bezpieczeństwa tego systemu jest obsługiwana w chmurze przez amerykańską firmę Imperva, której właścicielem jest militarno-wywiadowcza francuska grupa Thales, a serwery analityczne są w Izraelu. Niemniej, nawet jeśliby z tej firmy zrezygnowano i obsługę bramki oddano polskiej firmie, to KSeF będzie nadal bardzo niebezpieczny!
KSeF ma funkcję anonimowego wyszukiwania faktur. Pozwala ona na pobranie dowolnego dokumentu w formacie XML (rozszerzalny język znaczników, czyli standardowy format przesyłania danych tekstowych) lub PDF (przenośny format dokumentu), bez konieczności logowania się i udowadniania, że mamy do tego prawo. Zgodnie z przepisami, aby system wydał nam fakturę, wystarczy wpisać w formularzu na stronie internetowej pięć informacji: numer dokumentu w KSeF, zwykły numer faktury, numer NIP nabywcy, jego nazwę oraz łączną kwotę do zapłaty.
🔘 Zagrożenia informatyczne i rozproszenie danych
Realne zagrożenie pojawia się wtedy, gdy haker, złośliwe oprogramowanie lub nielojalny pracownik przejmie już gotowe zestawienie takich danych. Informacje te są masowo przetwarzane w miejscach, które są strzeżone znacznie słabiej niż firmowe serwery z dokumentami finansowymi, co generuje szereg konkretnych wektorów ataku!
🔘 Zwykły arkusz kalkulacyjny jako magazyn haseł
Pliki takie jak Excela czy CSV (format przechowujący wartości oddzielone przecinkiem) z listą miesięcznych kosztów są traktowane przez pracowników jak tabelki, których wyciek nie jest groźny. Jeśli jednak zawierają one wspomniane pięć pól, stają się zbiorem kluczy dostępowych. Oprogramowanie szpiegujące nie musi kraść gigabajtów faktur — wystarczy, że niepostrzeżenie wyśle mały plik tekstowy, a napastnik pobierze sobie oryginały faktur z rządowej strony.
🔘 Omijanie firmowych uprawnień
Duże systemy ERP (oprogramowanie do planowania zasobów przedsiębiorstwa) oraz narzędzia BI (Business Intelligence, czyli analityka biznesowa) są konfigurowane tak, by analityk widział tylko ogólne kwoty i numery, bez prawa wglądu w to, co dokładnie kupiono. Jeśli jednak te ogólne dane wystarczą do anonimowego pobrania faktury ze strony ministerstwa, wewnętrzne zabezpieczenia firmy przestają mieć znaczenie.
🔘 Brak możliwości zmiany hasła po zwolnieniu pracownika
Kiedy firma zwalnia pracownika, może mu odciąć dostęp do wewnętrznej sieci VPN (wirtualna sieć prywatna, czyli bezpieczne, szyfrowane połączenie) czy zablokować konto pocztowe. Nie da się jednak zmienić historycznego numeru faktury, NIP-u ani kwoty. Jeśli pracownik zdążył skopiować tabelkę z takimi metadanymi, jego dostęp do tych dokumentów nigdy nie wygasa.
🔘 Koncentracja ryzyka u partnerów
Biura rachunkowe i twórcy oprogramowania księgowego przetwarzają dane milionów dokumentów, w tym metadane wymienione na początku. Przejęcie konta w takiej firmie otwiera drogę do faktur setek niezależnych przedsiębiorstw.
🔘 Zagrożenia w działach wsparcia
Konsultanci helpdesku (działu wsparcia technicznego) często proszą klientów o podanie numeru błędnej faktury, numeru KSeF, NIP-u czy kwoty, by zdiagnozować problem. W ten sposób systemy przechowujące tickety (wirtualne zgłoszenia błędów) gromadzą komplety danych pozwalających na dostęp do pełnych faktur, a wgląd w nie mają szeregowi pracownicy i zewnętrzni podwykonawcy.
🔘 Logi i przestarzałe kopie zapasowe
Techniczne zapisy z działania programów trafiają do logów monitorowanych przez systemy SIEM (zarządzanie informacjami i zdarzeniami bezpieczeństwa) oraz APM (narzędzia monitorujące wydajność aplikacji). Nawet jeśli firma świetnie chroni bieżące dokumenty, atakujący może wykraść stary backup (kopię zapasową) sprzed kilku lat, w którym metadane są słabiej chronione, a następnie pobrać z KSeF aktualne faktury.
🔘 Ślepe systemy obronne
Oprogramowanie DLP (system zapobiegania wyciekom danych) zablokuje próbę wysłania e-mailem paczki z gotowymi plikami XML czy PDF, ale przepuści prostą tabelkę tekstową, uznając ją za niegroźny raport.
🔘 Szpiegostwo gospodarcze i oszustwa
Metadane mówią jedynie, że firma A zapłaciła firmie B określoną kwotę. Pełna faktura zdradza jednak konkretne produkty, dokładne ilości kupowanych towarów, uzyskane rabaty i specjalne warunki. Dostęp do takich informacji pozwala na potężne nadużycia w świecie biznesu.
🔘 Bezwzględny wywiad gospodarczy
Konkurent może sprawdzić, że sprzęt kosztujący w katalogu 100 tysięcy złotych, jest w rzeczywistości sprzedawany dużemu klientowi za 64 tysiące. Znając realne koszty i pełną strukturę dostawców rywala, można perfekcyjnie skalkulować własną ofertę w przetargu, podkupić kluczowych podwykonawców lub całkowicie zrekonstruować jego łańcuch dostaw.
🔘 Zagrożenie dla infrastruktury i giełdy
Analiza nagłych zakupów specjalistycznych części (np. transformatorów, zaworów) może zdradzić awarie lub plany modernizacji w elektrowniach czy rafineriach. Podobnie masowe zamawianie usług prawnych i geodezyjnych w jednym regionie demaskuje plany gigantycznych inwestycji spółek giełdowych na długo przed ich oficjalnym ogłoszeniem.
🔘 Perfekcyjne oszustwa typu BEC i Phishing
Przestępcy wykorzystują autentyczne dane do ataków BEC (Business Email Compromise, czyli oszustwo z przejęciem firmowej korespondencji) oraz phishingu (wyłudzania informacji). Wiadomość z prośbą o zmianę numeru konta do wpłaty, w której zgadza się numer konkretnej faktury, nazwa towaru, kwota co do grosza i dane dostawcy, usypia czujność niemal każdego pracownika.
🔘 Wyciek danych osobowych i mapowanie gospodarki
Ponieważ faktury dotyczą także osób prowadzących jednoosobowe działalności gospodarcze, masowy wyciek metadanych staje się naruszeniem RODO. Z dużego zbioru pobranych dokumentów można z kolei zbudować szczegółowy graf powiązań całej polskiej gospodarki, a państwowy system odnotuje jedynie numery IP (Internet Protocol, czyli unikalne adresy urządzeń w sieci), bez możliwości wskazania, kto konkretnie pobrał pliki.
🔘 Anonimowy dostęp jest wymuszony ustawą!
Sam mechanizm dostępu do faktury bez uwierzytelnienia nie jest przypadkowym partactwem programistów KSeF. Jego istnienie wynika wprost z ustawy o VAT, która przewiduje dostęp do faktury bez uwierzytelniania i upoważnia ministra finansów do określenia danych potrzebnych do takiego dostępu. Rozporządzenie Ministra Finansów i Gospodarki z 12 grudnia 2025 r. przesądziło, że będą to właśnie: numer KSeF, numer faktury, identyfikator nabywcy, jego nazwa lub imię i nazwisko oraz kwota należności ogółem. Problem ma więc przede wszystkim charakter legislacyjny! Ustawodawca świadomie przewidział ścieżkę bez uwierzytelnienia, a administracja zdecydowała, że rolę poświadczenia dostępu będzie pełnił zestaw danych samej faktury.
Dopóki obecne przepisy obowiązują, firmy muszą całkowicie zmienić podejście do ochrony swoich informacji. Każdy raport, arkusz czy e-mail zawierający numer KSeF, numer faktury, dane nabywcy i kwotę musi być chroniony dokładnie tak samo, jak dostęp do konta bankowego. Wymaga to odpowiedniego ustawienia systemów zapobiegających wyciekom, czyszczenia zbędnych danych z baz analitycznych i uświadomienia pracownikom, że w dzisiejszych realiach zwykły raport w prostej tabelce może stanowić klucz do najważniejszych tajemnic ich przedsiębiorstwa.
Grzegorz GPS Świderski
Twitter.com/gps65
t.me/KanalBlogeraGPS
PS. Źródła tego plagiatu:
- Trzy obce wywiady czytają polskie faktury jak otwartą książkę: x.com/gps65/status/2095092103852265958
- Czy zagraniczny wywiad korzysta w łatwego dostępu do faktur z KSeF?: x.com/gps65/status/2094379313189486664
- KSeF to cichy zabójca polskiego biznesu: x.com/gps65/status/2085346890686640181
Spokojna głowa. Na pewno Morawieckie i Tuski udowodniły interes publiczny ustawy o KSEF.
Skoro Prezydent podpisał, a wprowadza UE, to musi się zgadzać, w przeciwnym razie musielibyśmy to uznać za globalistyczny spisek, a tego chyba nie chcemy? Chcemy, żeby było dobrze...