Oto 10 najważniejszych punktów napisanych prostym językiem:
1. Recepcję KSeF prowadzi zagraniczna firma, a nie Ministerstwo Finansów
Teza: Kiedy Twój program księgowy łączy się z KSeF, nie rozmawia bezpośrednio z serwerami ministerstwa, tylko najpierw przechodzi przez chmurową bramkę firmy Imperva.
Co to oznacza: To tak, jakbyś szedł do urzędu skarbowego, ale przy wejściu zatrzymywała Cię recepcja prowadzona przez prywatną zagraniczną firmę. Każda wysyłana i odbierana faktura przechodzi najpierw przez jej ręce. Co więcej, ta sama firma prowadzi też „książkę adresową” (system nazw) dla całej domeny Ministerstwa Finansów.
2. Pośrednik otwiera Twoją kopertę i widzi klucze do konta
Teza: Szyfrowane połączenie (kłódka w przeglądarce) kończy się na serwerze Impervy, a nie w ministerstwie – tam ruch jest otwierany, przeglądany i dopiero pakowany na nowo w drogę do MF.
Co to oznacza: Myślisz, że wysyłasz do urzędu zaklejoną kopertę. W rzeczywistości recepcjonista po drodze rozkleja ją, patrzy, o co pytasz, widzi listę Twoich faktur (kto, komu, kiedy i za ile) oraz widzi Twój tymczasowy klucz dostępu do systemu. Dopiero potem wkłada dokumenty do nowej koperty i oddaje urzędnikowi.
3. Kto pilnuje bramki? Francuski gigant zbrojeniowy i prawo USA
Teza: Imperva to amerykańska spółka z zapleczem inżynierskim w Izraelu, należąca do francuskiego koncernu zbrojeniowego Thales, w którym decydujący głos ma państwo francuskie.
Co to oznacza: Firma obsługująca wejście do rejestru faktur całej polskiej gospodarki podlega jednocześnie dwóm obcym wpływom. Jako spółka z USA musi wydawać dane na żądanie amerykańskich służb (nawet bez prawa poinformowania o tym Polski!). Z kolei jej właścicielem jest francuski gigant zbrojeniowy, kontrolowany przez rząd w Paryżu, którego prawo wprost pozwala służbom na wywiad gospodarczy.
4. Wysyłasz w sejfie, ale pojedynczą fakturę odbierasz na pocztówce
Teza: Faktury wysyłane do KSeF i pobierane w zbiorczych paczkach są dodatkowo zaszyfrowane, ale pojedyncza faktura pobierana przez program księgowy wraca bez tej ochrony.
Co to oznacza: Projektanci KSeF sami nie ufali pośrednikowi po drodze, dlatego kazali programom księgowym wkładać wysyłane faktury do „cyfrowego sejfu”, którego Imperva nie otworzy. Ale popełnili błąd logiczny: gdy Twój program pobiera z KSeF pojedynczą fakturę, wraca ona bez sejfu. Na bramce pośrednika widać wtedy wszystko jak na dłoni: nazwy towarów, ilości, ceny jednostkowe, rabaty i numery kont.
5. Pięć jawnych danych z faktury działa jak hasło, którego nie da się zmienić
Teza: Przepisy pozwalają każdemu pobrać pełną fakturę z KSeF bez logowania – wystarczy podać 5 podstawowych danych, które widnieją na każdym wydruku i w każdym rejestrze księgowym.
Co to oznacza: Numer KSeF, numer faktury, NIP nabywcy, jego nazwa i kwota brutto – te pięć zwykłych informacji otwiera pełną fakturę na stronie ministerstwa. Takie zestawienia krążą w firmach w zwykłych arkuszach Excela, u księgowych i w mailach. Jeśli ktoś skopiuje taką tabelkę (albo odczyta ją na bramce Impervy), ma dostęp do pełnej treści Twoich faktur przez 10 lat. I w przeciwieństwie do hasła – tych danych nie da się zmienić ani unieważnić.
6. Ponad 5 lat prac, dwa rządy i tajemnica wokół pośrednika
Teza: KSeF tworzono przez lata za dwóch różnych rządów, ale w żadnej ustawie nie ma słowa o zagranicznym pośredniku, a ministerstwo konsekwentnie odmawia posłom odpowiedzi na pytania o Impervę.
Co to oznacza: Odpowiedzialność za ten kształt systemu jest wspólna dla obu obozów politycznych. Co gorsza, rząd zasłania się „tajemnicą bezpieczeństwa”, odmawiając informacji o tym, kto obsługuje bramkę – choć tę informację w ułamku sekundy widzi każdy komputer łączący się z KSeF. Z kolei polską zbrojeniówkę zmuszono do wrzucania wszystkich krajowych faktur do tego systemu, choć wcześniej (w systemie zamówień publicznych PEF) wojsko z tego zwolniono.
7. Polska jest wyjątkiem na tle 30 krajów świata
Teza: Na 30 zbadanych państw mających centralne systemy e-faktur tylko Polska i Tajwan oddały punkt wejścia i obsługę domen zagranicznemu pośrednikowi, który odszyfrowuje ruch po drodze.
Co to oznacza: Obrońcy KSeF mówią: „wszyscy tak robią, to standard”. Sprawdziłem 30 krajów. 27 z nich (w tym Włochy, Francja czy Węgry, na które powołuje się nasze ministerstwo) wpuszcza ruch bezpośrednio do własnych sieci państwowych lub krajowych. Żadne inne państwo na świecie nie oddało bramki do faktur swojej gospodarki spółce należącej do zagranicznego koncernu zbrojeniowego.
8. Eksperci dyskutowali o tym, gdzie stoi serwer, a ominęli sedno problemu
Teza: Przez pół roku w mediach spierano się, czy serwery KSeF stoją w Polsce, podczas gdy nikt nie sprawdził, gdzie i przez kogo ruch jest po drodze odszyfrowywany.
Co to oznacza: Ministerstwo uspokajało, że serwery są w Polsce. Tyle że w chmurze Impervy to, gdzie Twój ruch jest otwierany, zależy od tego, skąd się łączysz. Jeśli łączysz się z Polski – trafiasz do węzła Impervy w Warszawie, ale jeśli Twój program księgowy działa w zagranicznej chmurze (np. w Irlandii) lub w Warszawie trwa serwis – Twoje połączenie jest odszyfrowywane za granicą. A dla prawa USA lokalizacja serwera i tak nie ma znaczenia: liczy się to, że klucze ma amerykańska firma.
9. Polska zbrojeniówka jak na dłoni u zagranicznego konkurenta
Teza: Faktury polskiego przemysłu obronnego dla wojska przechodzą przez bramkę spółki należącej do koncernu Thales, który sam produkuje broń i konkuruje z polskimi zakładami.
Co to oznacza: Nawet pojedyncza faktura bez tajnych opisów technicznych to kopalnia wiedzy, gdy widzi się ich tysiące z wielu miesięcy. Strumień faktur (np. przy produkcji zestawów Piorun czy dronów Warmate) zdradza rzeczywiste tempo dostaw, ceny jednostkowe, wąskie gardła oraz listę małych poddostawców, których najłatwiej zaatakować lub podkupić. I te dane przechodzą przez infrastrukturę bezpośredniego konkurenta na rynku zbrojeniowym.
10. Kryterium Pegasusa uderza w KSeF
Teza: Premier nazwał sprawę Pegasusa „zbrodnią stanu”, bo oddano wrażliwe dane obywateli obcemu podmiotowi bez pełnej kontroli państwa – dokładnie ten sam mechanizm występuje w architekturze KSeF.
Co to oznacza: W sprawie Pegasusa biegli nie musieli udowadniać, że obce służby faktycznie skopiowały konkretne nagrania – wystarczyło wykazać, że zagraniczny dostawca miał taką techniczną możliwość, a polskie państwo nad tym nie panowało. Jeśli przyłożymy tę samą miarę do KSeF, sytuacja jest jeszcze poważniejsza: Pegasus dotyczył tysięcy osób, a KSeF obejmuje faktury i tajemnice handlowe całej polskiej gospodarki.
Nie musisz wierzyć mi na słowo. W artykule podaję proste komendy, dzięki którym sam sprawdzisz na własnym komputerze, kto stoi między Twoją firmą a Ministerstwem Finansów, oraz cztery kroki, jak chronić swoją firmę już dziś. Pełny raport z dowodami i źródłami: informacje-lokalne.pl/bezpieczenstwo-ksef-kto-moze-czytac-faktury-polskich-firm-2026-10-19/
__________________
Dlaczego bomby nie uciszą trolli? <- poprzednia notka
następna notka ->
__________________
Tagi: GPS65
Komentarze
Pokaż komentarze