Latem tłumaczyłem już na chłopski rozum, jak działa KSeF, używając porównania do wielkiego biurowca z pancernym sejfem w środku. Od tamtej pory wykonałem jednak nowe pomiary, prześwietliłem zagraniczne rejestry, dokumentację techniczną i przepisy prawa. Złożyłem to wszystko w jeden kompletny raport, z którego wynika dziesięć twardych faktów.
Wyjaśnię je teraz jeszcze raz, najprościej jak się da — wracając do naszego budynku Ministerstwa Finansów, by zrozumiał to każdy przedsiębiorca, który nie musi znać się na architekturze Internetu.
1. Recepcję w polskim urzędzie prowadzi obca firma Wyobraźmy sobie Ministerstwo Finansów jako ogromny gmach, do którego każdy przedsiębiorca w Polsce musi zanosić swoje faktury. Zanim jednak wejdziesz do środka, musisz przejść przez bramkę bezpieczeństwa w recepcji (technicznie to zapora WAF). Okazuje się, iż tej recepcji nie obsługują polscy urzędnicy. Ministerstwo wynajęło do tego prywatną zagraniczną firmę Imperva. Co więcej, ta sama firma prowadzi też oficjalną tablicę informacyjną przed budynkiem, czyli spis adresów wszystkich departamentów ministerstwa (system DNS).
2. Ochroniarz na wejściu rozkleja kopertę i widzi twoją przepustkę Gdy łączysz się z KSeF i widzisz w przeglądarce zieloną kłódkę, myślisz, iż twoje dokumenty jadą w zamkniętej rurze prosto na biurko urzędnika. W rzeczywistości ta rura kończy się właśnie w recepcji u zagranicznego ochroniarza. Ochroniarz rozkleja zewnętrzną kopertę, sprawdza, po co przyszedłeś, ogląda twoją imienną przepustkę (token dostępowy) — którą w każdej chwili może skopiować i samemu wejść na niej do budynku — a dopiero potem pakuje wszystko do nowej koperty i puszcza dalej do urzędu.
3. Kto adekwatnie stoi na tych drzwiach? Firma Imperva, której powierzono recepcję polskiego systemu podatkowego, to spółka amerykańska założona przez byłych żołnierzy izraelskiego wywiadu elektronicznego, z dużym centrum inżynieryjnym w Izraelu. A pod koniec 2023 roku kupił ją francuski gigant zbrojeniowy Thales, w którym decydujący głos i „złotą akcję” ma rząd w Paryżu. Efekt? Ochroniarz na drzwiach KSeF podlega jednocześnie prawu USA (które nakazuje mu wydać dane amerykańskim służbom i zabrania choćby pisnąć o tym słówkiem polskiemu ministrowi) oraz właścicielowi kontrolowanemu przez państwo francuskie, którego prawo wprost zezwala służbom na wywiad gospodarczy.
4. Wchodzisz z sejfem, wychodzisz z gołą kartką Ktoś zapyta: „Ale przecież faktury są dodatkowo szyfrowane!”. Zgadza się, ale tylko w jedną stronę albo w zbiorczych paczkach. Gdy zanosisz fakturę do urzędu, wkładasz ją do małej pancernej kasetki, do której klucz ma tylko urzędnik w głębi budynku — ochroniarz na bramce jej nie otworzy. Podobnie jest, gdy zamawiasz z urzędu wielki worek archiwalnych faktur. Ale kiedy twój program księgowy przychodzi odebrać pojedynczą fakturę po jej numerze, urzędnik wyjmuje ją z sejfu i daje ci do ręki luzem, bez żadnej kasetki. Wychodzisz przez recepcję, a zagraniczny ochroniarz widzi dokument jak na dłoni: każdą śrubkę, cenę jednostkową, rabat i numer konta. Tak samo jawnie widzi wszystkie „karty katalogowe” (metadane JSON), gdy wyszukujesz faktury w systemie.
5. Pięć jawnych danych otwiera każdą fakturę bez logowania W recepcji budynku stoi też specjalne okienko z napisem „Dostęp bez logowania”. Przepisy ministra mówią, iż każdy człowiek z ulicy może podejść do tego okienka i dostać pełny oryginał dowolnej faktury. Wystarczy, iż poda na kartce pięć zwykłych informacji: numer KSeF, numer faktury, NIP nabywcy, jego nazwę i kwotę brutto. Tych danych nie da się utajnić — one są wydrukowane na każdym PDF-ie, krążą w mailach, w arkuszach Excela i w biurach rachunkowych. Co gorsza, dokładnie ten sam zestaw pięciu danych przechodzi jawnie przez ręce ochroniarza na bramce za każdym razem, gdy twój program wyszukuje listę faktur. Kto raz zdobędzie taką zwykłą tabelkę z pięcioma kolumnami, ten ma klucz do pełnej treści twoich faktur na 10 lat — i w przeciwieństwie do hasła w banku, tego klucza nie da się nigdy zmienić ani zablokować.
6. Pięć lat, dwa rządy i zmowa milczenia Ten system budowano ponad pięć lat, za rządów PiS i za rządów obecnej koalicji. Choć firmy ostrzegały przed lukami już w 2021 roku, oba rządy utrzymały te rozwiązania. Najważniejsze szczegóły wpisano po cichu do rozporządzeń ministra i instrukcji technicznych, a o zagranicznym ochroniarzu na bramce nie ma w ustawach ani słowa. Kiedy posłowie i senatorowie pytają dziś Ministerstwo Finansów o Impervę, resort nabiera wody w usta i zasłania się „tajemnicą bezpieczeństwa” — choć informację o tym, kto stoi na bramce, widzi w ułamku sekundy każdy komputer łączący się z KSeF.
7. Polska jako wyjątek na tle 30 państw świata Obrońcy systemu powtarzają: „Przecież cały świat korzysta z takich chmurowych bramek!”. Sprawdziłem to w 30 krajach, które mają centralne systemy e-faktur. W 27 z nich — w tym we Włoszech, we Francji i na Węgrzech, które nasz rząd stawia za wzór — podatnik wchodzi bezpośrednio do państwowej lub krajowej sieci urzędu skarbowego. Tylko Polska i Tajwan oddały klucze do drzwi wejściowych i tablicę adresową zagranicznemu pośrednikowi, który zagląda do kopert. I tylko Polska oddała je w ręce spółki należącej do obcego koncernu zbrojeniowego.
8. Eksperci patrzyli na adres budynku, a nie na to, kto siedzi w recepcji Przez pół roku w mediach spierano się o to, czy serwery KSeF stoją fizycznie w Polsce. Eksperci mierzyli czas połączenia i uspokajali: „jest blisko, więc wszystko zostaje w kraju”. Nie zauważyli, iż Imperva ma swoje recepcje rozsiane po całym świecie. Gdy łączysz się z Polski, faktycznie wchodzisz przez recepcję Impervy w Warszawie. Ale jeżeli twój program księgowy działa w chmurze w Irlandii albo w Warszawie trwa akurat remont serwerowni — twoja koperta jest otwierana w recepcji w Dublinie czy we Frankfurcie. A dla amerykańskiego prawa to i tak bez znaczenia: nieważne, w którym mieście stoi budka ochroniarza, ważne, iż ochroniarz ma amerykański paszport i musi słuchać nakazów z Waszyngtonu.
9. Polska zbrojeniówka w rękach bezpośredniego konkurenta W 2018 roku, przy tworzeniu innego systemu do zamówień publicznych (PEF), polskie państwo wyłączyło z niego zakupy dla wojska i służb. W KSeF tego nie zrobiono. Wszystkie krajowe faktury polskiej zbrojeniówki — na przykład za nasze rakiety Piorun czy drony Warmate — muszą przechodzić przez KSeF. choćby jeżeli na fakturze nie ma tajnych rysunków technicznych, to sam strumień faktur z wielu miesięcy pokazuje jak na dłoni tempo produkcji, dokładne ceny jednostkowe oraz listę małych polskich podwykonawców, których najłatwiej podkupić albo zaatakować. I wszystkie te dane przechodzą przez recepcję należącą do koncernu Thales — tego samego, który sam produkuje konkurencyjne rakiety przeciwlotnicze Starstreak!
10. Kryterium Pegasusa uderza w sam rząd Niedawno premier Donald Tusk nazwał sprawę systemu Pegasus „zbrodnią stanu”. Dlaczego? Bo — jak ustalili biegli — polskie służby dopuściły zagranicznego dostawcę do infrastruktury, nie mając nad nim pełnej kontroli, przez co obcy podmiot miał techniczną możliwość wglądu w dane. Biegli nie musieli choćby udowadniać, iż ktoś te dane faktycznie ukradł — wystarczyło samo stworzenie takiej możliwości. jeżeli przyłożymy dokładnie tę samą miarę premiera do KSeF, włosy stają dęba: Pegasus dotyczył kilku lub kilkunastu tysięcy osób, a w KSeF na tacy zagranicznego pośrednika położono tajemnice handlowe i finansowe całej polskiej gospodarki.
Sejf w środku ministerstwa może być najgrubszy na świecie, ale co z tego, skoro na jedynych drzwiach wejściowych i wyjściowych postawiliśmy obcego strażnika, daliśmy mu wgląd w karty katalogowe, pojedynczo wynoszone faktury i przepustki, a w ścianie obok wybiliśmy okienko, w którym każdy może odebrać cudzą fakturę po podaniu pięciu jawnych danych z Excela?
Każdy, kto nie wierzy mi na słowo, może to sprawdzić sam — w moim pełnym raporcie (]]>https://informacje-lokalne.pl/bezpieczenstwo-ksef-kto-moze-czytac-faktury-polskich-firm-2026-10-19/]]>) podaję proste komendy, które każdy może wpisać na własnym komputerze w trzy minuty. jeżeli coś jest niejasne, pytajcie śmiało w komentarzach!
Grzegorz GPS Świderski
]]>https://Twitter.com/gps65]]>
]]>https://t.me/KanalBlogeraGPS]]>
