W marcu 2026 roku próbowałem wyjaśnić milczenie polskiego IT w sprawie architektury Krajowego Systemu e-Faktur. Mimo że szpiegowską architekturę widać w publicznej dokumentacji jak na dłoni, eksperci od bezpieczeństwa i dziennikarze śledczy nadal ignorują temat.
1. Suwerenność danych i terminacja TLS
Ruch do KSeF przechodzi przez bramkę bezpieczeństwa WAF obsługiwaną w chmurze przez firmę Imperva, należącą od 2023 roku do francuskiej grupy wywiadowczo-militarnej Thales, gdzie następuje terminacja TLS, czyli odszyfrowanie danych. Powierzanie zagranicznej infrastrukturze odszyfrowanego ruchu systemu, który gromadzi dane transakcyjne całej gospodarki, to problem kontrwywiadu gospodarczego i suwerenności państwa, a nie zwykła decyzja biznesowa.
2. Brak szyfrowania aplikacyjnego
Wysyłka i masowy eksport faktur wykorzystują dodatkowe szyfrowanie (AES-256-CBC). Jednak pobranie pojedynczej faktury przez API zwraca otwarty plik XML. Odszyfrowany dokument trafia prosto do bramki bezpieczeństwa Impervy, która zyskuje wgląd w pełną treść faktury.
3. Metadane jako niezbywalne poświadczenia dostępu
Zgodnie z obowiązującym prawem (ustawa o VAT art. 106r i rozporządzenie z 12 grudnia 2025 r.), KSeF pozwala na pełny podgląd faktury bez logowania, tokena czy Profilu Zaufanego. Wystarczy znajomość podstawowych metadanych: numeru KSeF, numeru faktury sprzedawcy, NIP-u i nazwy nabywcy oraz kwoty ogółem. Taka architektura całkowicie zmienia model zagrożeń, tworząc zupełnie nowe wektory ataku.
Ominięcie firmowych zabezpieczeń
Zestaw metadanych krążący powszechnie w hurtowniach danych (BI), plikach Excel czy systemach helpdesk staje się de facto hasłem. Wyciek zwykłego pliku CSV pozwala napastnikowi na bezpośrednie pobranie pełnych faktur z państwowego serwera. W ten sposób omija on całkowicie zaawansowane firmowe systemy ERP, IAM czy wdrożoną segmentację ról (RBAC).
Brak unieważniania
Standardowe poświadczenia dostępowe można w każdej chwili zresetować lub zablokować. Historycznych cech dokumentu finansowego zmienić się jednak nie da. Zwolniony pracownik wynoszący tego typu metadane zachowuje dożywotni i w pełni legalny technicznie dostęp do faktur bezpośrednio z państwowego źródła.
Bierność uwikłanego środowiska
W KSeF znajdują się dane o łańcuchach dostaw, marżach i inwestycjach, co czyni go idealnym narzędziem do precyzyjnych ataków BEC czy szpiegostwa gospodarczego. Temat ten pojawił się już w lutym 2026 roku w interpelacji posła Janusza Kowalskiego, jednak Ministerstwo Finansów odmówiło podania szczegółów, zasłaniając się bezpieczeństwem państwa. Mimo że cały model działania systemu można samodzielnie odtworzyć z rekordów DNS, endpointów i publicznych dokumentacji, branża milczy. Wynika to z braku niezależności intelektualnej, będącego efektem głębokiego uzależnienia od kontraktów rządowych, państwowych spółek i dostawców technologii. Obserwujemy tu krytyczną wadę legislacyjno-architektoniczną, a nie zwykły błąd programisty.
5. Dlaczego więc eksperci milczą?
Nie ma tu jednej, prostej odpowiedzi, dlatego warto przeanalizować wszystkie rozsądne hipotezy — od najbardziej niewinnych, po głęboko niepokojące. Nie każda z nich musi być w stu procentach trafna, jednak z dużym prawdopodobieństwem działa kilka mechanizmów równocześnie.
Zwykła niekompetencja
Znaczna część ekspertów od cyberbezpieczeństwa potrafi wybitnie realizować zadania w swojej wąskiej specjalizacji, ale brakuje im kompetencji do holistycznej oceny całego systemu. Pentester sprawdza podatności aplikacji, sieciowiec ocenia konfigurację TLS, prawnik analizuje ustawę, księgowy bada obieg dokumentów, specjalista IAM weryfikuje uprawnienia, a architekt chmury dba o dostępność. Każdy z nich skupia się na swoim fragmencie, przez co nikt nie zadaje pytania, co powstanie po połączeniu tych elementów w jedną całość. Zagrożenie w KSeF leży właśnie na przecięciu prawa, kryptografii, sieci, uprawnień i księgowości. Mamy tysiące wybitnych specjalistów od pojedynczych drzew i dramatyczny brak ludzi potrafiących ocenić cały las.
Efekt „ktoś na pewno już to sprawdził”
KSeF jest potężnym systemem budowanym za ogromne pieniądze, wielokrotnie testowanym, audytowanym i konsultowanym na szczeblu rządowym. To tworzy solidną barierę psychologiczną. Widząc architekturę zaakceptowaną przez Ministerstwo Finansów i potężnych integratorów, naturalnym odruchem jest przyjęcie, że ktoś mądrzejszy z pewnością to już zweryfikował. Zjawisko dyfuzji odpowiedzialności działa na wszystkich szczeblach: programista ufa architektowi, architekt działowi bezpieczeństwa, ci z kolei opierają się na audytorach, a prawnicy wierzą technikom. Nikt ostatecznie nie kwestionuje założeń fundamentalnych.
Autorytet państwa działa jak certyfikat bezpieczeństwa
Choć środowisko IT lubi postrzegać się jako racjonalne, informatycy są tak samo podatni na efekt autorytetu jak każda inna grupa zawodowa. Gdyby identyczny mechanizm logowania wykorzystujący jawne dane jako klucz stworzył mały startup, zostałby natychmiast wyśmiany. Jeżeli wdraża to Ministerstwo Finansów, branża milknie z założeniem, że państwo ma ku temu jakieś niedostępne zwykłym śmiertelnikom powody.
Normalizacja złych praktyk chmurowych
Terminacja ruchu TLS na zewnętrznych zaporach WAF (np. w Cloudflare, AWS, Azure czy Impervie) jest dzisiaj powszechnym standardem, przez co wielu specjalistów w ogóle wykreśliło to ze swoich modeli zagrożeń. Dla e-commerce czy usług komercyjnych jest to racjonalny kompromis, jednak błędem jest przykładanie tej samej miary do centralnego, państwowego rejestru operacji ekonomicznych. Branża IT tak silnie przyzwyczaiła się do wygodnego outsourcingu infrastruktury, że zapomniała zadać kluczowe pytanie o to, jakich zaszyfrowanych danych kategorycznie nie należy powierzać podmiotom trzecim.
Compliance zamiast bezpieczeństwa
Nowoczesne cyberbezpieczeństwo zdegenerowało się do roli przemysłu zgodności z procedurami. Ważne, aby certyfikat ISO był wdrożony, wytyczne NIS2 odhaczone, audyt zakończony, a ocena DPIA zarchiwizowana. Cały system skupia się na wypełnianiu formalnych checkboxów, co tworzy fikcję bezpieczeństwa, ponieważ żaden haker nie atakuje procedur. Wygodnie jest udokumentować zgodność formalną, podczas gdy rzetelne modelowanie zagrożeń (threat modeling) wymaga krytycznego, nieszablonowego myślenia.
Specjalizacja niszczy odpowiedzialność
Projekty o takiej skali opierają się na ścisłym, korporacyjnym podziale ról, co prowadzi do drastycznego rozmycia decyzyjności. Istnieją zespoły odpowiedzialne za sam WAF, za API, za rozporządzenia prawne i za wdrożenie. Brakuje jednak osoby odpowiedzialnej za końcową ocenę bezpieczeństwa zintegrowanego produktu na poziomie interesów państwa. Największe technologiczne katastrofy nie wynikają z głupoty twórców, ale z rzetelnego, bezrefleksyjnego realizowania małych, odseparowanych od siebie zadań.
Mylenie legalności z bezpieczeństwem
Mechanizm anonimowego dostępu wynika wprost z litery prawa, co paradoksalnie usypia czujność specjalistów technicznych. Skoro ustawodawca zapisał tę funkcję w ustawie, informatycy traktują to jako sztywne wymaganie biznesowe, z którym się nie dyskutuje. Prawo jednak nie nagnie prawideł matematyki, a ministerialne rozporządzenie nie sprawi nagle, że publicznie dostępne dane metrykalne staną się bezpiecznym kryptograficznie hasłem.
Brak wyobraźni ofensywnej
Analizy ekspertów bywają skrajnie defensywne. Sprawdzają oni obecność odpowiedniej ilości pól uwierzytelniających, konfigurację limitowania zapytań (rate limiting) oraz poprawne logowanie zdarzeń, zamykając na tym cały proces audytu. Napastnik operuje zupełnie inną logiką, szukając miejsc, w których krytyczny komplet danych występuje jako całość — w kopiach zapasowych, raportach dla audytorów, firmach księgowych czy chociażby zgłoszeniach helpdeskowych. Pokonanie murów głównej twierdzy nie ma sensu, gdy ofiara sama zostawiła tysiące skopiowanych kluczy do bocznej furtki.
Brak spektakularnego incydentu
Branża cyberbezpieczeństwa cechuje się dramatyczną reaktywnością, ekscytując się wyłącznie spektakularnymi, medialnymi atakami typu ransomware na szpitale czy masowymi wyciekami danych bankowych. Głęboka, abstrakcyjna wada architektoniczna, za którą nie stoją zablokowane komputery i hakerzy w kominiarkach, po prostu się nie klika. Takie podejście promuje osobliwą, wręcz groźną definicję bezpieczeństwa, w której system uznawany jest za solidny aż do chwili, gdy nie dojdzie do tragicznej w skutkach katastrofy.
Ekonomia uwagi
Zarządzanie własną karierą ma wymiar czysto ekonomiczny. Budowanie marki osobistej wokół nośnych haseł typu AI, DORA czy NIS2 przyciąga szkolenia, konferencje i lukratywne zlecenia pentesterskie. Zgłębianie niuansów terminacji TLS i aktów prawnych KSeF jest zajęciem żmudnym, nieefektownym i obarczonym dużym ryzykiem wejścia w otwarty konflikt z potężnymi państwowymi podmiotami. Analizując stosunek ryzyka do ewentualnych korzyści, wyciszenie tematu jest najbardziej opłacalną strategią biznesową.
Strach przed ośmieszeniem
Presja społeczna jest równie paraliżująca. Ekspert, który jako pierwszy zarzuci całemu środowisku rażące zaniechanie, stawia na szali swoją wiarygodność, podczas gdy tłum specjalistów krzyczących „przecież ostrzegaliśmy!” już po wystąpieniu ataku nie ryzykuje zupełnie niczym. Branża promuje cichy oportunizm i ostrożność, surowo karząc jednostki wychodzące przed szereg.
Efekt stadny i społeczny dowód słuszności
Środowisko eksperckie przypomina system naczyń połączonych. Obserwując bierność głównych zespołów CERT, prestiżowych firm doradczych i mediów branżowych, przeciętny analityk dochodzi do wniosku, że dostrzeżony przez niego problem nie może być aż tak poważny. Zbiorowa ślepota jest potęgowana faktem, że wszyscy utwierdzają się nawzajem w fałszywym poczuciu bezpieczeństwa bazującym wyłącznie na zachowaniu reszty grupy.
Problem przyszedł z niewłaściwego źródła
Kluczową rolę odgrywa hermetyczność i silna hierarchia środowiska. Merytoryczny argument podniesiony przez dyrektora globalnej korporacji jest analizowany z pełną powagą, podczas gdy dokładnie ten sam postulat zgłoszony przez niezależnego blogera zderza się z arogancją i wyparciem. Zjawisko "not invented here" powoduje, że merytoryka schodzi na dalszy plan względem społecznego i korporacyjnego statusu nadawcy komunikatu.
Polaryzacja polityczna
Upolitycznienie systemów państwowych niszczy rzetelną, merytoryczną ocenę. Wystarczy, że lukę bezpieczeństwa wskaże polityk opozycji, by zwolennicy rządu automatycznie uznali problem za sztucznie rozdmuchany, natomiast w przypadku zmiany władzy mechanizm działa dokładnie odwrotnie. Kwestie matematyki, szyfrowania i czystej architektury sieciowej nabierają groteskowych barw partyjnych, blokując racjonalną dyskusję.
Strach przed etykietką „teorii spiskowej”
Zwrócenie uwagi na wektory ataku obejmujące działalność zagranicznych służb lub globalnych koncernów to najprostsza droga do uzyskania łatki szura i spiskowca. Kiedy pojawiają się hasła takie jak "zagraniczna infrastruktura" lub "wywiad gospodarczy", część odbiorców instynktownie wyłącza myślenie analityczne, ignorując fakt, że solidny threat modeling opiera się właśnie na przewidywaniu destrukcyjnych działań wrogich państw. Prawdziwe bezpieczeństwo nie może bazować na wierze w krystaliczne intencje dostawców oprogramowania.
Efekt mrożący prawa karnego
Zamiast zachęcać niezależnych analityków do szukania luk w krytycznej infrastrukturze kraju, prawo wymierza w nich arsenał sankcji z artykułu 267 Kodeksu karnego. Brak jasnych i bezpiecznych kanałów zgłaszania podatności, wspartych tzw. "bezpieczną przystanią" dla badaczy (safe harbor), odstrasza uczciwych pasjonatów IT przed testowaniem KSeF-u. To bolesny absurd — groźby prokuratorskie paraliżują badaczy mających chronić system, nie robiąc najmniejszego wrażenia na przestępcach, którzy i tak go zaatakują.
Konflikt interesów
Rozpatrując mocniejsze hipotezy, nie sposób pominąć struktury rynku IT. O publiczne pieniądze rywalizuje wąska grupa wciąż tych samych podmiotów: dostawców, audytorów i integratorów. Firmy żyjące w symbiozie z państwowymi kontraktami, spółkami Skarbu Państwa i ministerstwami nie mają absolutnie żadnego interesu finansowego w bezwzględnym i publicznym punktowaniu błędów administracji. Bodźce ekonomiczne bezpośrednio zniechęcają do rzetelnej i twardej krytyki.
Uzależnienie od dostawców
To zjawisko dotyczy też tak zwanych vendorów i firm wdrożeniowych. Sprzedaż chmury, WAF-ów i realizacja partnerskich ekosystemów wymaga dobrych relacji biznesowych. Nie ma tu mowy o żadnym spisku, to zwykłe, rynkowe uzależnienie — podmioty zrośnięte biznesowo z konkretnym modelem technologicznym nigdy nie staną się jego najbardziej radykalnymi i bezlitosnymi krytykami.
Regulatory capture
Zawłaszczenie regulacyjne to ciche zjawisko postępującego stapiania się urzędników, prawników, konsultantów i dostawców IT w jeden homogeniczny ekosystem. Ci sami ludzie przechodzą między sektorem publicznym a prywatnym, zlecają sobie nawzajem analizy i spotykają się w wąskim gronie na konferencyjnych panelach. Wynikiem tej zażyłości jest homogenizacja myślenia, prowadząca do sytuacji, gdzie kardynalny błąd dostrzeżony natychmiast przez osobę spoza układu, jest całkowicie niedostrzegalny dla ludzi funkcjonujących wewnątrz niego.
Obrona wcześniejszych decyzji
Renomowani eksperci i potężne spółki, które brały aktywny udział na wczesnych etapach projektowania lub weryfikacji KSeF-u, stoją dziś przed niemożliwym wyborem. Przyznanie, że system zawiera luki w fundamentalnych założeniach, wiązałoby się z druzgocącym przyznaniem do autoryzacji własnej, kosztownej pomyłki. Umysł ludzki instynktownie wypiera takie fakty, przekonując samego siebie o małej wadze problemu, tylko po to, by uniknąć kompromitacji z przeszłości.
Ochrona reputacji całego projektu
Ogromna waga, prestiż i koszt wprowadzenia Krajowego Systemu e-Faktur stwarzają potężną presję na sukces. Obnażenie rażących wad projektowych pociągnęłoby za sobą lawinę niewygodnych pytań, docierających na najwyższe szczeble polityczne i korporacyjne — pytając o to, kto osobiście zatwierdzał te absurdalne założenia, odbierał projekt i kto zainkasował za niego miliony. Sukces projektu stał się zbyt duży, by ktokolwiek miał odwagę podważyć jego fundamenty.
Dziennikarstwo jest dziś zbyt płytkie technicznie
Kondycja mediów technologicznych to osobna kategoria katastrofy. Prawdziwe śledztwo dziennikarskie wymaga łączenia koncepcji na poziomie protokołów DNS, terminacji TLS, RBAC, analityki biznesowej (BI) i prawa o podatku VAT. Redakcji po prostu nie stać na specjalistów takiego formatu, toteż wolą oni zalać rynek płytkimi i tanimi w produkcji poradnikami typu jak poprawnie zalogować się do systemu, które świetnie pozycjonują się w wyszukiwarkach, omijając niewygodne i skomplikowane analizy.
Media nie mają bodźca ekonomicznego
Reporter wyciskający kilka tekstów w ciągu dnia nie dysponuje czasem ani środkami na długotrwałą kwerendę API i prawnicze konsultacje. Merytoryczny artykuł o architekturze asymetrycznego szyfrowania wygeneruje ułamek odsłon krzykliwego nagłówka ogłaszającego awarię platformy. Polskie dziennikarstwo, pędzące za klikalnością, organizacyjnie i ekonomicznie nie jest już w stanie podjąć się głębokich i nieopłacalnych śledztw technologicznych.
Strach przed odpowiedzialnością prawną
Uderzenie w wizerunek strategicznego systemu rządowego to otwarta wojna z armią państwowych i korporacyjnych prawników. Redakcje panicznie boją się pozwów o zniesławienie, kosztownych sprostowań oraz całkowitej utraty relacji roboczych z urzędami państwowymi. Wobec wysokiego ryzyka prawno-biznesowego oraz skomplikowanej materii dowodowej, najbezpieczniejszą polityką dla zarządów staje się kategoryczne odcięcie się od śliskiego tematu.
Dostęp do źródeł jako waluta
Media żyją na kroplówce nieoficjalnych przecieków i ekskluzywnych wywiadów udzielanych przez zaprzyjaźnionych polityków, decydentów oraz działy PR wielkich firm. Publikacja materiałów stawiających decydentów w jednoznacznie złym świetle gwarantuje błyskawiczne odcięcie od informacyjnego źródła. Jest to niezwykle skuteczny mechanizm samocenzury, gdzie uległy dziennikarz doskonale rozumie i akceptuje zasady niepisanej gry w zamian za przywilej dostępu.
Nikt nie chce być pierwszy, ale każdy będzie drugi
Mamy do czynienia z klasycznym oczekiwaniem na cudzy odruch odwagi. Jeśli choćby jeden potężny autorytet, liczący się CERT lub zagraniczny ośrodek śledczy stanowczo potępi tę architekturę, nastąpi widowiskowy wysyp ekspertów powtarzających jak mantrę zgraną formułkę "security by design". Hipokryzja tej sytuacji uderza najbardziej — branża potrafi miesiącami solidarnie milczeć o jawnym problemie, by po jego eskalacji prześcigać się w udowadnianiu, że dostrzegła go jako pierwsza.
Czy możliwe jest świadome przemilczanie?
Wnioski płynące z tej najbardziej bezwzględnej hipotezy rysują upiorny scenariusz. Nie potrzebujemy dowodów na istnienie formalnej zmowy i nacisków odgórnych, ponieważ tysiące poszczególnych specjalistów potrafi doskonale odczytać problem i milczeć całkowicie świadomie. Utrata dochodów, strach przed szefem, unikanie politycznych etykiet i zwykły oportunizm sprawiają, że podejmowane przez każdego specjalistę racjonalne decyzje indywidualne sklejają się w gigantyczny, społeczny mechanizm zatajenia.
6. Najgorsza diagnoza
Ostateczna konkluzja jest brutalna. Najprawdopodobniej cała zagadka rozbija się o toksyczną mieszankę wspomnianych czynników: wysoce specjalistycznego klapek na oczach, ślepej wiary w potęgę autorytetu, biurokratycznej ułudy compliance, powszechnego braku wyobraźni technicznej, lenistwa mediów i czysto finansowego kunktatorstwa.
Zjawiska te występujące osobno są naturalne dla każdego sektora gospodarki, jednak złączone w jeden mechanizm obnażają głęboki rozkład. Przerażający nie jest fakt istnienia państw nieposiadających specjalistów od cyberbezpieczeństwa. Przerażające jest państwo, które zatrudnia potężną armię ekspertów, uruchamia fundusze na certyfikaty, procedury i instytuty, a jednocześnie przechodzi do porządku dziennego nad fatalną architekturą, ignorując wyeksponowane zagrożenie.
To obnaża absolutną kompromitację środowiska zawodowego, które woli uprawiać post mortem na gruzach systemu, niż podjąć realną próbę zapobiegnięcia przewidywalnej katastrofie. Cyberbezpieczeństwo opiera się na wyprzedzaniu ciosów, a nie relacjonowaniu tego, jak bardzo bolały.
Szpiegowska architektura KSeF, którą zdiagnozował tylko jeden jedyny niezależny bloger w swoich obywatelskich audytach, czyli ja, a przez pół roku nikt więcej tego nie zauważa, świadczy o tym, że polscy eksperci od cyberbezpieczeństwa oraz dziennikarze śledczy to totalne patałachy.
__________________
Czy powinniśmy bać się ucieczki AI? <- poprzednia notka
następna notka -> Ciało matematyka
__________________
Tagi: gps65
Komentarze
Pokaż komentarze (7)