Część I — niewidzialna pętla KSeF: o tym, jak metadane zniszczyły Braci Kowalskich

Od po­cząt­ku lu­te­go na­pi­sa­łem se­rię 10 no­tek blo­go­wy­ch o KSeF i uza­sad­ni­łem te­zy w ni­ch za­war­te so­lid­ny­mi au­dy­ta­mi tech­nicz­ny­mi. Wy­da­wa­ło­by się, że tam je­st już wszyst­ko, co po­trze­ba wie­dzieć o tej afe­rze. Otóż nie je­st wszyst­ko. Więc otwie­ram ko­lej­ną se­rię, w któ­rej opi­szę no­we kwe­stie zwią­za­ne z tą afe­rą szpie­gow­ską. Bę­dą co naj­mniej 4 od­cin­ki, a mo­że i wię­cej. I znów bę­dzie co­raz gru­biej. Więc śledź­cie mój pro­fil.

  Wy­obraź­my so­bie wol­ny ry­nek ja­ko par­tię po­ke­ra. Wy­gry­wa ten, kto ma lep­szą stra­te­gię, po­tra­fi ble­fo­wać i do­brze za­rzą­dza ka­pi­ta­łem. Te­raz wy­obraź­my so­bie, że je­den z gra­czy wi­dzi kar­ty prze­ciw­ni­ka w cza­sie rze­czy­wi­stym. On wy­gra na pew­no, nie­praw­daż? Tak wła­śnie wy­glą­da ry­nek, na któ­rym dzia­ła KSeF w obec­nej ar­chi­tek­tu­rze. Wy­tłu­ma­czę to do­kład­niej.

  Po jed­nej stro­nie gry ryn­ko­wej ma­my hi­po­te­tycz­ną fir­mę "Bra­cia Ko­wal­scy" — spraw­nie za­rzą­dza­ne­go, pol­skie­go dys­try­bu­to­ra. Po dru­giej stro­nie sie­dzi "Du­pont et Fils" – fran­cu­ski gi­gant. Obie fir­my sprze­da­ją ten sam asor­ty­ment, ma­ją po­dob­ne kosz­ty i wal­czą o ty­ch sa­my­ch od­bior­ców i do­staw­ców. Kon­ku­ru­ją wy­łącz­nie mar­żą, ra­ba­ta­mi i spraw­no­ścią lo­gi­stycz­ną. Obie dzia­ła­ją cał­ko­wi­cie le­gal­nie i po­słusz­nie wy­sy­ła­ją każ­dą fak­tu­rę do Kra­jo­we­go Sys­te­mu e-Fak­tur. Obie ma­ją rów­ne ka­wał­ki tor­tu ryn­ku w swo­jej bran­ży w Pol­sce.

  Za­łóż­my te­raz kon­kret­ną ar­chi­tek­tu­rę, któ­rą bar­dzo so­lid­nie uza­sad­ni­łem w mo­ich licz­ny­ch tech­nicz­ny­ch au­dy­ta­ch i kon­se­kwen­cję te­go. Fak­tu­ry w XML wy­sy­ła­ne do KSeF są szy­fro­wa­ne end-to-end, więc ope­ra­tor in­fra­struk­tu­ry po­śred­niej, czy­li Im­pe­rva na­le­żą­ca do fran­cu­skiej gru­py Tha­les, ich nie wi­dzi. Jed­no­cze­śnie me­ta­da­ne JSON po­zo­sta­ją jaw­ne dla tej in­fra­struk­tu­ry i obej­mu­ją mię­dzy in­ny­mi NIP-y, na­zwy pod­mio­tów, da­ty ope­ra­cyj­ne, ty­py do­ku­men­tów oraz kwo­ty net­to, VAT, brut­to oraz wa­lu­tę. W au­dy­ta­ch nie­zbi­cie udo­wod­ni­łem, że te da­ne są jaw­ne dla Im­pe­rvy. Za­łóż­my też, że ten stru­mień me­ta­da­ny­ch tra­fia do ana­li­ty­ków wspo­ma­ga­ją­cy­ch Du­pont. Zo­bacz­my, jak ta­ka asy­me­tria in­for­ma­cji za­bi­ja pol­ską fir­mę w trzech szyb­ki­ch ak­ta­ch.

Akt I: Prze­świe­tle­nie kosz­tów

  Żad­na fir­ma han­dlo­wa nie prze­trwa, je­śli kon­ku­ren­cja po­zna jej rytm za­ku­pów, wo­lu­me­ny i re­al­ny koszt za­to­wa­ro­wa­nia. Me­ta­da­ne nie mu­szą po­da­wać cen jed­nost­ko­wy­ch, że­by da­ło się je od­two­rzyć. W bran­ża­ch o stan­dar­do­wym asor­ty­men­cie, sta­bil­ny­ch cen­ni­ka­ch i po­wta­rzal­ny­ch ko­szy­ka­ch za­ku­po­wy­ch wy­star­czy znać do­staw­cę, da­ty i kwo­ty, że­by z du­żą do­kład­no­ścią osza­co­wać ra­ba­ty, pro­gi ilo­ścio­we i fak­tycz­ny po­ziom mar­ży, ja­ki zo­sta­je Ko­wal­skim.

  Ana­li­ty­cy Du­pont wi­dzą, u ko­go Ko­wal­scy ku­pu­ją, kie­dy ku­pu­ją i na ja­kie kwo­ty. Wi­dzą se­zo­no­wo­ść, wi­dzą sko­ki za­to­wa­ro­wa­nia, wi­dzą, kie­dy Po­la­cy są pod ścia­ną, a kie­dy ma­ją od­de­ch. Dzię­ki te­mu Du­pont zna próg bó­lu Ko­wal­ski­ch, czy­li ce­nę, po­ni­żej któ­rej Po­la­cy za­czy­na­ją sprze­da­wać ze stra­tą al­bo na gra­ni­cy ze­ra.

Akt II: Atak snaj­per­ski na ba­zę klien­tów

  Zdo­by­cie lo­jal­nej ba­zy do­staw­ców i od­bior­ców to la­ta pra­cy han­dlow­ców, bu­do­wa­nia re­la­cji i wiel­kie kwo­ty wy­da­ne na mar­ke­ting. Sys­tem KSeF od­da­je to wszyst­ko za dar­mo. Al­go­ryt­my ana­li­zu­ją­ce jaw­ny ru­ch przez KSeF ścią­ga­ją li­stę wszyst­ki­ch NIP-ów na­byw­ców, któ­rym Ko­wal­scy wy­sta­wia­ją fak­tu­ry.

  Du­pont nie strze­la na oślep. Al­go­rytm wy­li­cza, że zgod­nie z za­sa­dą Pa­re­to 20% klien­tów Ko­wal­ski­ch ge­ne­ru­je 80% ich ob­ro­tów. Fran­cu­zi wi­dzą do­kład­ne kwo­ty net­to i da­ty wy­sta­wie­nia do­ku­men­tów. Wie­dzą, że naj­więk­szy klient Ko­wal­ski­ch za­ma­wia to­war za­wsze w dru­gi wto­rek mie­sią­ca za oko­ło 150 ty­się­cy zło­ty­ch. W po­nie­dzia­łek ra­no han­dlo­wiec z Du­pont dzwo­ni do te­go klien­ta z ofer­tą szy­tą na mia­rę — gwa­ran­tu­ją­cą ten sam to­war, ale o 3% ta­niej. Ko­wal­scy z mie­sią­ca na mie­siąc tra­cą klu­czo­wy­ch kon­tra­hen­tów, nie ma­jąc po­ję­cia, skąd Fran­cu­zi wie­dzą, do ko­go i z ja­ką ce­ną ude­rzyć.

Akt III: Za­bój­stwo płyn­no­ści fi­nan­so­wej

  Ostat­nim gwoź­dziem do trum­ny je­st znisz­cze­nie lo­gi­sty­ki. Me­ta­da­ne to te­le­me­trycz­ny za­pis bi­cia ser­ca przed­się­bior­stwa. Al­go­ryt­my Du­pont ana­li­zu­ją rytm znacz­ni­ków cza­su (da­ty ope­ra­cji, da­ty prze­sy­łu do­ku­men­tów do sys­te­mu). Wi­dząc na­gły wzro­st war­to­ści fak­tur za­ku­po­wy­ch u Ko­wal­ski­ch, Fran­cu­zi wie­dzą: Po­la­cy wła­śnie po­tęż­nie za­to­wa­ro­wa­li ma­ga­zyn przed se­zo­nem. Ma­ją za­mro­żo­ną go­tów­kę.

  To ide­al­ny mo­ment na atak. Du­pont ogła­sza w tym sa­mym ty­go­dniu po­tęż­ną, agre­syw­ną pro­mo­cję na ryn­ku, tnąc mar­że do ze­ra. Wszy­scy od­bior­cy rzu­ca­ją się na to­war Fran­cu­zów. To­war w ma­ga­zy­nie Ko­wal­ski­ch nie ro­tu­je, a ter­mi­ny płat­no­ści dla ich do­staw­ców nie­ubła­ga­nie się zbli­ża­ją. Po­ja­wia­ją się za­to­ry płat­ni­cze. Zde­spe­ro­wa­ni Ko­wal­scy mu­szą ra­to­wać się dro­gi­mi kre­dy­ta­mi ob­ro­to­wy­mi, któ­ry­ch kosz­ty osta­tecz­nie to­pią ren­tow­no­ść ich biz­ne­su.

Epi­log

  Po kil­ku­na­stu mie­sią­ca­ch dzia­ła­nia sys­te­mu Bra­cia Ko­wal­scy ogła­sza­ją upa­dło­ść. Pra­cow­ni­cy lą­du­ją na bru­ku, a wie­lo­let­ni pol­ski ka­pi­tał wy­pa­ro­wu­je. Wła­ści­cie­le są prze­ko­na­ni, że po pro­stu prze­gra­li w ryn­ko­wym star­ciu z za­chod­nim gi­gan­tem, któ­ry miał być mo­że lep­szy mo­del biz­ne­so­wy. Urzęd­ni­cy Mi­ni­ster­stwa Fi­nan­sów od­no­to­wu­ją suk­ces — wszyst­kie fak­tu­ry z pro­ce­su upa­dło­ścio­we­go i wy­prze­da­ży ma­jąt­ku spły­nę­ły do KSeF bez za­kłó­ceń, w ułam­ku se­kun­dy, ide­al­nie uszczel­nia­jąc sys­tem po­dat­ko­wy.

  Tym­cza­sem fir­ma Du­pont, po wy­eli­mi­no­wa­niu naj­więk­sze­go pol­skie­go kon­ku­ren­ta, po ci­chu pod­no­si ce­ny na ca­łym kra­jo­wym ryn­ku. W ten spo­sób Du­pont mo­że wy­koń­czyć nie tyl­ko pol­skie fir­my pry­wat­ne, ale też wszyst­kie pań­stwo­we, w tym zbro­je­nio­we. Po pro­stu wy­wiad fran­cu­ski mo­że wes­przeć ko­go chce, tak by zban­kru­to­wać do­wol­ne­go kon­ku­ren­ta. Mo­że na­wet wy­kań­czać fran­cu­skie fir­my, ale ta­kie, któ­re nie są po­wią­za­ne z obec­ną wła­dzą we Fran­cji.

  To nie do­tknie tyl­ko pol­ski­ch biz­nes­me­nów i pol­skie fir­my, czy to pry­wat­ne, czy pań­stwo­we, to do­tknie wszyst­ki­ch Po­la­ków. Każ­dy z nas od­czu­je ban­kruc­two na­szy­ch firm. Do­kład­nie ta­ki bę­dzie sku­tek KSeF. Nie bę­dzie u nas wol­ne­go ryn­ku, w ogó­le nie bę­dzie ryn­ku i biz­ne­su, bę­dzie tyl­ko że­ro­wi­sko dla firm wspie­ra­ny­ch przez ob­ce wy­wia­dy, któ­re wi­dzą me­ta­da­ne KSeF po­przez bram­kę WAF fir­my Im­pe­rva.

  W dru­giej czę­ści opi­szę, co Bra­cia Ko­wal­scy mo­gli­by zro­bić, by się nie dać tak ograć, by pod­jąć tę nie­rów­ną wal­kę z Du­pon­tem i nie dać mu in­for­ma­cji da­ją­cy­ch ryn­ko­wą prze­wa­gę.

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65

PS1. Za­ło­że­nie jaw­ny­ch me­ta­da­ny­ch JSON (NIP-y, kwo­ty, da­ty) po­twier­dza mój au­dyt tech­nicz­ny: informacje-lokalne.pl. XML E2E chro­ni tre­ść fak­tu­ry, ale me­ta­da­ne HTTP/JSON po ter­mi­na­cji TLS nie.

PS2. A tu ma­cie wszyst­kie od­cin­ki mo­jej poprzednij se­rii, w któ­ry­ch to wszyst­ko do­kład­nie opi­su­ję:

• Czę­ść I. KSeF nie po­sze­rza in­wi­gi­la­cji. KSeF zwięk­sza roz­dziel­czo­ść. Po­rów­na­nie KSeF z JPK.
• Czę­ść II. Prak­ty­ka KSeF: Hurt­Pol kon­tra Ko­wal­ski i Sy­no­wie. Prak­tycz­ny przy­kład.
• Czę­ść III. Ad­mi­ni­stra­tor KSeF. Czy­li gdzie na­praw­dę le­ży wła­dza. O po­ko­sie dla ad­mi­ni­stra­to­ra sys­te­mu.
• Czę­ść IV. Tech­no­lo­gia KSeF – su­we­ren­no­ść koń­czy się tam, gdzie koń­czy się ka­bel! O su­we­ren­no­ści cy­fro­wej.
• Czę­ść V. KSeF i cią­gło­ść de­cy­zji. Im­pe­rva, czy­li su­we­ren­no­ść sprze­da­na na ra­ty! O tym, że za­czął to PiS.
• Czę­ść VI. KSeF — wy­ja­śnie­nie tech­nicz­ne i prak­tycz­ne przy­kła­dy z bran­ży mi­li­tar­nej i spo­żyw­czej.
• Czę­ść VII. Ja­kie me­ta­da­ne o ru­chu wi­dzi Im­pe­rva?
• Czę­ść VIII. Co jesz­cze wi­dzi Im­pe­rva? Wię­cej me­ta­da­ny­ch
• Czę­ść IX. Ludz­ko­ść od­ry­wa się od te­ry­to­rium i za­czy­na bu­jać w ob­ło­ka­ch! O tym że szyb­kie pin­gi o ni­czym nie świad­czą, bo to chmu­ra.
• Cze­ść X. Pol­ska ja­ko je­dy­na na świe­cie od­da­ła na ta­cy swo­ją su­we­ren­no­ść cy­fro­wą ob­cym wy­wia­dom
• A tu o tym, że fir­mę Im­pe­rva za­ło­żył Shlo­mo Kra­mer

PS3. A tu audyty techniczne:

• Polska https://informacje-lokalne.pl/audyt-techniczny-polska-2026-02-05/
• Polska https://informacje-lokalne.pl/audyt-techniczny-ksef-raport-pelny-2026-02-06/
• Polska https://informacje-lokalne.pl/raport-techniczny-ksef-uzupelniajacy-2026-02-11/
• Polska https://informacje-lokalne.pl/audyt-techniczny-jawnosc-metadanych-json-w-ksef-przy-terminacji-tls-przez-imperva-2026-02-15/
• Francja https://informacje-lokalne.pl/audyt-techniczny-francja-2026-02-05/
• Węgry https://informacje-lokalne.pl/audyt-techniczny-wegry-2026-02-11/
• Włochy https://informacje-lokalne.pl/audyt-techniczny-wlochy-2026-02-05/
• Rumunia https://informacje-lokalne.pl/audyt-techniczny-rumunia-2026-02-05/
• Hiszpania https://informacje-lokalne.pl/audyt-techniczny-hiszpania-2026-02-05/
• Albania https://informacje-lokalne.pl/audyt-techniczny-albania-2026-02-11/
• Turcja https://informacje-lokalne.pl/audyt-techniczny-turcja-2026-02-12/
• Rosja https://informacje-lokalne.pl/audyt-techniczny-rosja-2026-02-12/
• Ukraina https://informacje-lokalne.pl/audyt-techniczny-ukraina-2026-02-12/
• Argentyna https://informacje-lokalne.pl/audyt-techniczny-argentyna-2026-02-16/
• Kolumbia https://informacje-lokalne.pl/audyt-techniczny-kolumbia-2026-02-16/
• Chile https://informacje-lokalne.pl/audyt-techniczny-chile-2026-02-16/
• Meksyk https://informacje-lokalne.pl/audyt-techniczny-meksyk-2026-02-16/
• Brazylia https://informacje-lokalne.pl/audyt-techniczny-brazylia-2026-02-16/

Ta­gi: KSeF gps65, go­spo­dar­ka, biz­nes, Wol­ny Ry­nek, Im­pe­rva, cy­ber­bez­pie­czeń­stwo, Pol­ska, wy­wiad, szpie­go­stwo.