Marcin Wiktorowicz

🚨 Zagraniczna bramka Impervy widzi wszystkie faktury KSeF‼️ 💥 To jest pewne, niepodważalne, na 100% udowodnione‼️ Czy w ten sposób jest łamane jakieś prawo⁉️ W tym wpisie przeanalizuję aspekty prawne pozwalające postawić twórców KSeF przed Trybunałem Stanu. Amerykańska firma Imperva, należąca do francuskiego koncernu Thales i posiadająca zaplecze badawcze w Izraelu, obsługuje bramkę WAF Krajowego Systemu e-Faktur. Na bramce następuje zakończenie szyfrowanego połączenia od podatnika do Ministerstwa Finansów. Operator ma techniczną możliwość odczytu jawnej warstwy HTTP, w tym metadanych i odpowiedzi API. To pozwala mu odczytać i pobrać pełną treść każdej faktury. W ten sposób wywiady USA, Francji i Izraela mają bardzo łatwą techniczną możliwość widzenia szczegółowo pełnego obiegu handlowego Polski. To nie są spekulacje, to jest pewne i możliwe do łatwego udowodnienia w sądzie. Kto i na jakiej podstawie zdecydował o udostępnieniu zagranicznemu operatorowi tak strategicznego punktu dostępu do informacji o polskiej gospodarce⁉️ Czy naruszono prawo⁉️ Sprawdźmy, jakie przepisy mogą mieć zastosowanie, by móc oskarżyć twórców tego szpiegowskiego systemu (a zatem ekipę Morawieckiego i Tuska) o zbrodnię stanu. ⚖️ KONSTYTUCJA RP 🔹 Art. 51 ust. 2: państwo nie może pozyskiwać, gromadzić ani udostępniać informacji o obywatelach ponad to, co niezbędne w demokratycznym państwie prawnym. Udział zagranicznej bramki w przetwarzaniu danych polskich podatników nie jest niezbędny. Świadczy o tym choćby to, że przytłaczająca większość państw na świecie nie oddała bramki bezpieczeństwa zagranicznemu podmiotowi w chmurze. 🔹 Art. 51 ust. 5: zasady gromadzenia i udostępniania informacji określa ustawa. Gdzie określono granice dostępu zewnętrznego operatora do informacji przetwarzanych przez KSeF? Ministerstwo Finansów trzyma to w tajemnicy. Nie tylko umowa z Impervą jest tajna, ale MF w ogóle nie przyznaje się do tego, że oddało bramkę bezpieczeństwa tej firmie. 🔹 Art. 51 ust. 4: obywatel może żądać sprostowania lub usunięcia informacji nieprawdziwych. Tymczasem KSeF nie pozwala usunąć nawet faktury wystawionej na cudzy NIP w wyniku nadużycia. Czy przewidziane procedury wystarczają do realizacji tego prawa? Nie ma takich. 🔹 Art. 49: państwo ma obowiązek chronić tajemnicę komunikowania się. Terminacja TLS przez zagraniczny podmiot nie jest zgodna z zasadami ograniczania tej tajemnicy. 🔹 Art. 22 i 31 ust. 3: ograniczenia wolności gospodarczej muszą mieć podstawę ustawową i spełniać wymagania proporcjonalności. Sam obowiązek korzystania z KSeF wynika z ustawy. Jednak architektura pozwalająca zewnętrznemu operatorowi analizować ruch całej gospodarki nie jest w żadnej ustawie zapisana. 🔹 Art. 47: chroni prywatność, także przedsiębiorców prowadzących JDG. Faktury mogą ujawniać szczegóły życia prywatnego, majątku, leczenia czy świadczonych usług. 🔹 Art. 7: organy państwa muszą działać na podstawie i w granicach prawa. MF powinno wykazać podstawę, zakres i warunki powierzenia obsługi tej części infrastruktury zagranicznej firmie Imperva. Trzymają to w tajemnicy. Wprost w odpowiedziach na interwencje i interpelacje poselskie piszą, że tego nie ujawnią. 🔹 Art. 61: obywatele mają prawo do informacji o działalności władz publicznych. Tymczasem nie można poznać nawet niezastrzeżonych warunków korzystania z usług Impervy. 🔹 Art. 198: członkowie Rady Ministrów mogą odpowiadać przed Trybunałem Stanu za naruszenie Konstytucji lub ustawy w związku z zajmowanym stanowiskiem. Doszło do bezprawnego udostępnienia danych, więc odpowiedzialność sięga najwyższych szczebli władzy. 🇪🇺 PRAWO UNII EUROPEJSKIEJ 🔹 Karta Praw Podstawowych, art. 7 i 8: prawo do prywatności i ochrony danych osobowych. Nie wolno traktować informacji o życiu gospodarczym osób fizycznych jak danych pozbawionych ochrony. 🔹 Karta Praw Podstawowych, art. 16: wolność prowadzenia działalności gospodarczej. Przedsiębiorca powinien mieć zapewnioną ochronę poufnych informacji dotyczących jego działalności. 🔹 RODO, art. 5 ust. 1 lit. c i f: minimalizacja danych oraz ich poufność. Zewnętrzny operator powinien przetwarzać wyłącznie dane niezbędne do realizacji konkretnej usługi. 🔹 RODO, art. 25: ochrona danych w fazie projektowania. Nie zastosowano architektury ograniczającej dostęp operatora WAF do treści informacji gospodarczych. 🔹 RODO, art. 28: powierzenie przetwarzania danych. Imperva przetwarza dane osobowe, musi więc istnieć odpowiednia podstawa powierzenia, określony zakres czynności i gwarancje bezpieczeństwa. Rząd to ukrywa. 🔹 RODO, art. 32: bezpieczeństwo przetwarzania. Administrator musi zapewnić poziom ochrony odpowiedni do ryzyka. A tutaj chodzi o system obejmujący ogromną część gospodarki całego państwa! 🔹 RODO, art. 35: ocena skutków dla ochrony danych. Przy przetwarzaniu powodującym wysokie ryzyko konieczna jest DPIA. Nie ma żadnych publicznych dokumentów oceniających konsekwencje dostępu zewnętrznego operatora do ruchu KSeF. 🔹 RODO, art. 44–46: przekazywanie danych poza EOG wymaga odpowiedniej podstawy i zabezpieczeń. Nie sprawdzono, gdzie trafiają dane, logi, kopie diagnostyczne i informacje dostępne personelowi. 🔹 RODO, art. 48: samo żądanie organu państwa trzeciego nie daje automatycznego prawa do przekazania danych osobowych. Nie przeanalizowano ryzyka żądań kierowanych do dostawcy na podstawie obcego prawa. Nie ma takich analiz. 🔹 NIS2, art. 21, oraz polska ustawa o krajowym systemie cyberbezpieczeństwa, art. 8: obowiązki zarządzania ryzykiem obejmują bezpieczeństwo łańcucha dostaw. Gdzie jest ocena ryzyka zależności centralnego systemu fiskalnego od zagranicznego usługodawcy? Nie ma. 📜 ORDYNACJA PODATKOWA 🔹 Art. 293: indywidualne informacje podatników są objęte tajemnicą skarbową. Ministerstwo Finansów samo potwierdza, że dane KSeF stanowią taką tajemnicę — odpowiedź na interpelację nr 15132! 🔹 Art. 294 § 4: tajemnica skarbowa obowiązuje również inne osoby, którym udostępniono chronione informacje. Czy dotyczy to personelu zagranicznego operatora i jak egzekwuje się ten obowiązek? 🔹 Art. 297h: specjalny przepis ogranicza udostępnianie faktur i danych KSeF do wskazanych organów. Operator WAF nie jest takim organem. Czy jego techniczny dostęp mieści się wyłącznie w legalnym przetwarzaniu powierzonym, czy wykracza poza ten zakres? 🔹 Art. 306: za bezprawne ujawnienie tajemnicy skarbowej przez osobę zobowiązaną do jej zachowania grozi nawet 5 lat więzienia. 🔹 Kontrola dostępu: MF zapewnia, że każdy wgląd pracownika KAS w fakturę jest monitorowany i audytowany. A tymczasem nie jest rejestrowany dostęp do chronionych danych na zagranicznej bramce! MF nie potrafi go odtworzyć i skontrolować, bo to działa na obcej infrastrukturze! 📕 INNE USTAWY I ROZPORZĄDZENIA 🔹 Ustawa o VAT, art. 106nd ust. 1: Szef KAS prowadzi KSeF i jest administratorem zawartych w nim danych. Korzystanie z podwykonawcy nie zwalnia go z odpowiedzialności za ich ochronę. 🔹 Ustawa o zwalczaniu nieuczciwej konkurencji, art. 11: poufne ceny, rabaty, dostawcy i warunki umów mogą stanowić tajemnicę przedsiębiorstwa. Bezprawne pozyskiwanie takich informacji podlega zakazowi. 🔹 Ta sama ustawa, art. 23: bezprawne ujawnienie lub wykorzystanie tajemnicy przedsiębiorstwa w przypadkach określonych ustawą może stanowić przestępstwo. 🔹 Ustawa o ochronie danych osobowych, art. 107: przetwarzanie danych osobowych bez uprawnienia może być przestępstwem. Uprawnienie musi obejmować rzeczywisty zakres wykonywanych operacji. 🔹 Ustawa o ochronie informacji niejawnych, art. 5: dane związane z obronnością mogą wymagać ochrony właściwej dla informacji niejawnych. Czy zbadano możliwość występowania takich danych w fakturach dotyczących strategicznych zamówień? 🔹 Krajowe Ramy Interoperacyjności, § 19: wymagają ochrony przed nieuprawnionym dostępem oraz odpowiednich gwarancji bezpieczeństwa w umowach serwisowych ze stronami trzecimi. Czy takie gwarancje istnieją i są egzekwowane? To też jest tajemnica. 🔹 Krajowe Ramy Interoperacyjności, § 20: nakazują wiarygodne dokumentowanie określonych dostępów do prawnie chronionych danych. Czy logowane są operacje na bramce WAF i kto ma kontrolę nad tymi logami? Nad tym kontrolę ma tylko Imperva. 🔹 Ustawa o dostępie do informacji publicznej, art. 16: odmowa udostępnienia informacji publicznej przez organ władzy co do zasady wymaga decyzji. Czy MF prawidłowo rozpatruje wnioski o informacje dotyczące architektury, umów i zabezpieczeń KSeF? Póki co nie, bo na wszystkie wnioski odpowiada, że to tajemnica. 🚨 KODEKS KARNY 🔹 Art. 231: funkcjonariusz publiczny odpowiada za przekroczenie uprawnień lub niedopełnienie obowiązków ze szkodą dla interesu publicznego albo prywatnego. Świadome zignorowanie obowiązków ochrony danych może rodzić taką odpowiedzialność. 🔹 Art. 265: ujawnienie informacji niejawnych. Wśród przetwarzanych informacji występują dokumenty posiadające odpowiednie klauzule, więc ich bezprawne ujawnienie podlega szczególnej odpowiedzialności. 🔹 Art. 266: bezprawne ujawnienie informacji poznanych w związku z pracą lub funkcją, gdy istnieje obowiązek zachowania tajemnicy. 🔹 Art. 267: bezprawne uzyskanie dostępu do informacji lub systemu informatycznego. Sam legalny dostęp techniczny nie wystarcza do popełnienia przestępstwa, lecz przekroczenie jego granic może wymagać zbadania. A tego nie wiadomo, bo to się dzieje na obcej infrastrukturze. 🔹 Art. 130: szpiegostwo. Gdyby wykazano świadomą współpracę z obcym wywiadem i przekazywanie mu informacji mogących zaszkodzić Polsce, zastosowanie mogłyby znaleźć przepisy o szpiegostwie. Więc jedyne tłumaczenie, jake pozostaje rządzącym to własna głupota. ‼️ I TERAZ NAJWAŻNIEJSZE‼️ Ministerstwo Finansów samo przyznaje, że dane KSeF stanowią tajemnicę skarbową. Jednocześnie architektura komunikacyjna uzależnia funkcjonowanie tego systemu od zagranicznego operatora bramki bezpieczeństwa. Każdy z wymienionych przepisów został złamany. Istnieją konkretne podstawy prawne do zbadania tego przez UODO, NIK, ABW, prokuraturę i właściwe organy kontroli. Niech Ministerstwo Finansów odpowie na pięć prostych pytań: 1️⃣ Jakie dokładnie informacje technicznie może odczytać Imperva? 2️⃣ Jakie dane może rejestrować i przechowywać? 3️⃣ Kto, w jakich krajach i na jakiej podstawie prawnej może mieć do nich dostęp? 4️⃣ Jak MF audytuje operacje wykonywane na bramce? 5️⃣ Jakie analizy prawne i bezpieczeństwa uzasadniają wybór takiej architektury? Rząd na te pytania nie odpowiada, co znaczy, że zdają sobie sprawę z tego, że popełnia zbrodnię stanu. Tusk wprost powiedział o zbrodni stanu w przypadku samego ryzyka dostępu obcego państwa do danych z Pegasusa, więc ewidentnie analogiczne standardy oceny należy zastosować wobec KSeF! Tajemnica skarbowa nie przestaje być tajemnicą, tylko dlatego, że przebiega przez zagraniczną bramkę WAF‼️

💥 Nasze wady, to w istocie zalety‼️   To jest wpis nietolerancyjny, rasistowski, antyimigracyjny. Taki być musi, bo taka jest sytuacja. A zatem ad rem. Polacy mają wiele wad — wymienię je: 1⃣. Brak solidarności. Nie wspieramy sąsiadów, rodaków, współpracowników — zwalczamy ich. Wolimy sobie zaszkodzić, by innym było jeszcze gorzej. Nie chcemy zarobić, jeśli to spowoduje, że inni zyskają więcej. 2⃣. Grypsera, fala. W więzieniu i wojsku (co wychodzi na jedno) stosujemy specjalne wyrafinowane rytuały, które służą poniżaniu innych i dzięki temu lepiej się czujemy. Pomiatamy słabiej usadowionymi w kolektywie. Wszystkie te rytuały to kwestia honoru. Honor grypsującego nie pozwoli mu nigdy przyjąć innych zasad. 3⃣. Szowinizm i antysemityzm. To wyssaliśmy z mlekiem matki. Nie lubimy obcych, widzimy w nich zagrożenie, uznajemy za wrogów, myślimy, że chcą nam zaszkodzić. Umiemy tych podejrzanych poznać po nosie, włosach, kolorze skóry, akcencie. 4⃣. Nie ufamy władzy. Władzę państwową uważamy za zło konieczne. Przepisy olewamy, ustawy omijamy, podatków nie płacimy. Urzędnikom nigdy nie mówimy prawdy — wypełniając wszelkie formularze, ściemniamy. Doskonale wiemy, jak się władzę oszukuje. 5⃣. Kombinujemy. Nie robimy niczego wprost — wolimy skompilowane układy. Walutą handlujemy w bramach, a nie w kantorach. Wystawiamy trzy faktury na tę samą usługę. Na kasę fiskalną zawsze nabijamy mniejszą kwotę, niż trzeba. Znamy wszystkie możliwe myki obchodzące prawo. 6⃣. Przekupujemy. Korupcja to nasz żywioł. Załatwiamy wszystko na lewo. Dajemy pod stołem, bierzemy w łapę. Wiemy komu ile dać i wiemy, jak wziąć. 7⃣. Podglądamy. Obserwujemy innych z ukrycia. Niezdrowo interesujemy się ich życiem intymnym. Cichcem ich inwigilujemy, a potem ubarwiamy to, co widzimy poprzez plotkowanie. Nic się przed nami nie ukryje. 8⃣. Patrzymy spode łba. Wywołujemy w innych poczucie winy. Gdy na innych patrzymy, to oni czują, że coś podejrzewamy, że wiemy o ich niecnych uczynkach. Nigdy nie mogą być pewni czy czasem nie wykryliśmy ich zbrodniczych zamiarów. 9⃣. Nikomu nie ufamy. Każdego traktujemy tak, jakby chciał nas oszukać, okraść, nabrać. A już szczególnie nie ufamy tym, którzy inaczej wyglądają, inaczej mówią, inaczej się zachowują, inaczej się ubierają. 🔟. Nie uśmiechamy się. Jesteśmy podejrzliwi. Obcych traktujemy z dystansem, nie pozwalamy na spoufalanie się. 1⃣1⃣. Kościół. Jesteśmy zatwardziałymi katolikami, pogardzamy innymi wierzeniami i uważamy je za głupie i nieprawdziwe. Wierzymy w naszego katolickiego Boga i jego Matkę i nikt nas z tej drogi nie zwiedzie. Jezus jest naszym królem, a Maryja królową. 1⃣2⃣. Mamy groby. I znamy groby bliskich i sąsiadów. Jak ktoś nie ma grobu albo ma taki jakiś obciachowy grób, taki nietradycyjny, to nim pogardzamy. Jak ktoś nie ma grobów bliskich, to nie wiemy, skąd pochodzi i dlatego mamy do niego dystans. 1⃣3⃣. Prowincjonalizm, zaściankowość. W każdym miasteczku, wsi, osiedlu, wszyscy się znamy. Potrafimy odróżnić swoich od przybyszy. Jesteśmy nietolerancyjni w stosunku do obcych.   To wszystko powoduje, że się nie nadajemy do nowoczesnej Europy.   Na zachodzie jest inaczej — ludzie są życzliwi, ufni, pomocni, uczciwi, praworządni, tolerancyjni, przyjaźni, hojni — szczególnie dla obcych.   I to ich gubi!!! Dżihadyści wykorzystują to przeciw nim!!!   Te wszystkie nasze wady powodują, że to my Europę uratujemy — bo nas islamiści nie opanują. Nasze wady są zaletami w wojnie z wojującym islamem! Muzułmanie nie mają sposobu na nasz Ciemnogród!   Bojownicy państwa islamskiego prowadzą z Europejczykami wojnę. To jest wojna hybrydowa. Trochę militarna, trochę krwawa, oparta o terroryzm, ale głównie to wojna społeczna, ekonomiczna, psychologiczna, propagandowa, religijna, demograficzna, oparta o zasadę piątej kolumny, czyli na instalowaniu na terenie wroga dywersantów, sabotażystów i szpiegów. Mahometanie idą w tym dalej — co można nazwać szóstą kolumną — instalują matki z dziećmi, produkując wyborców, którzy w końcu przegłosują miejscowych i opanują Europejczyków bezkrwawo. Taki mają plan i go realizują.   Islamiści już zajęli Francję, Niemcy, Holandię, Wielką Brytanię czy Szwecję — te kraje są stracone dla cywilizacji zachodniej. Opanowywali ich systematycznie przez lata. Robili to tak, że powoli przejmowali małe miasteczka i dzielnice większych miast. Wykorzystywali ufność miejscowych, by zajmować stanowiska polityczne w lokalnych samorządach. Podawali władzom fałszywe dane i nikt tego nie sprawdzał. Dostawali zasiłki i darmowe mieszkania. Sprowadzali rodziny i rozmnażali się tak, aż uzyskali większość. Robili to w sposób zaplanowany, finansowany przez bogatych Arabów z zewnątrz. Budowali meczety i instalowali w nich imamów indoktrynujących wszystkich dookoła.   Opanowali więzienia, systematycznie wspierając bandytów, którzy dzięki wsparciu miejscowych imamów przechodzą na islam. I nawet jeśli większość przestępców przyjmuje islam nieszczerze, by mieć lepsze jedzenie, to jakiś procent kryminalistów uwierzy w te hurysy w raju i się zdecyduje na samobójczy zamach. Szczególnie że ci miejscowi bandyci, będący Francuzami, Niemcami czy Szwedami, to najczęściej Murzyni, czyli w istocie imigranci.   Oczywiście jeszcze wszystkich miasteczek, dzielnic i więzień nie opanowali, ale już zdobyli tyle przyczółków, że są nie do pokonania. Już mają praktycznie eksterytorialne strefy „no-go”, do których boi się wchodzić policja. W ciągu najbliższych 15 lat przejmą całkowicie władzę. Na pewno we Francji, Niemczech, Holandii, Wielkiej Brytanii czy w Szwecji — i wielu innych krajach Zachodu. Te kraje staną się kalifatami z rządzącym prawem szariatu.   Kiedyś przegraliśmy z powodu naszego charakteru, dziś ten charakter uratuje nas od zagłady. Przetrwamy, uratujemy europejskość. Jednak bez wojny się nie obejdzie. Dżihadystom nie wystarczy połowa Europy, będą dążyć do opanowania całości. Nie opanują nas poprzez V i VI kolumnę, to będą próbować wygrać militarnie. Więc już się powinniśmy do tego szykować, tak jak wojujący islam od lat szykuje się do przejęcia Europy. Pierwszy krok do tego to docenienie naszych wad, które wyżej wymieniłem. Radzę przeczytać je jeszcze raz, zwracając szczególną uwagę na to, że te wady są zaporą dla państwa islamskiego. Grzegorz GPS Świderski

Sprawdziłem wszystkie 30 krajów z całego świata, które mają centralne systemy e-faktur. Polska jako jedyna poprzez swój KSeF oddała wszystkie faktury całej gospodarki w ręce zagranicznej spółki należącej do obcego koncernu wywiadowczo-zbrojeniowego.

Premier Polski wprost stwierdził, że oddanie wrażliwych danych Polaków obcym państwom to zbrodnia stanu. Więc wszyscy, którzy stworzyli i wdrożyli szpiegowski KSeF to zbrodniarze stanu, a @donaldtusk stoi na ich czele. W wolnej Polsce wszyscy ci zbrodniarze będą siedzieć.

💥Szpiegowski KSeF i zdrada elit‼️ 🚨Jak pięć pól i zagraniczny WAF otworzyły naszą gospodarkę obcym wywiadom⁉️ Jeśli wam zależy na Polsce, to szerzcie tę wiedzę, którą odkryłem. Tylko poprzez bunt Polaków możemy pozbyć się KSeF, który udostępnia mapę polskiej gospodarki obcym wywiadom! Ile można wyczytać z faktur producenta broni Bezpieczeństwo KSeF dotyczy znacznie więcej niż podatków! Kto może czytać nasze faktury i czy szyfrowanie rzeczywiście zasłania je przed zagranicznym pośrednikiem? Niżej to dokładnie wyjaśniam👇 Krajowy System e-Faktur (KSeF) miał być narzędziem uszczelniającym system podatkowy, a stał się najniebezpieczniejszym systemem szpiegowskim w historii państwa polskiego. Przez splot partackich rozwiązań architektonicznych i świadomie ustanowionych furtek prawnych politycy stworzyli możliwość pozyskiwania szczegółowej wiedzy o naszej gospodarce — w tym o strategicznym przemyśle zbrojeniowym — poprzez infrastrukturę zagranicznego koncernu. Amerykańska jurysdykcja, francuska własność i izraelskie zaplecze technologiczne tworzą trzy kierunki zagrożeń. Co najgorsze, za ten cyfrowy rozbiór Polski odpowiadają kolejne ekipy polityczne, które budowały i utrzymywały ten mechanizm niezależnie od tego, kto akurat był u władzy. 🔘 Teatr bezpieczeństwa i wytrych z pięciu pól Ministerstwo Finansów zapewnia, że w KSeF 2.0 treść wysyłanych faktur w formacie XML jest zabezpieczona szyfrowaniem aplikacyjnym AES-256. To zabezpieczenie rzeczywiście istnieje. Przedstawianie go jako odpowiedzi na problem zagranicznego pośrednika przypomina jednak chwalenie się pancernymi drzwiami w ścianie z kartonu. Architektura brzegowa systemu wykorzystuje bowiem chmurową bramkę WAF, czyli Web Application Firewall, dostarczaną przez amerykańską firmę Imperva założoną przez izraelskich oficerów wywiadu, należącą od grudnia 2023 roku do francuskiego koncernu zbrojeniowego Thales. Na tej warstwie następuje terminacja TLS, czyli zakończenie szyfrowanego połączenia i udostępnienie odszyfrowanego ruchu HTTP mechanizmom pośrednika. Materiał dowodowy, który opisałem w licznych artykułach i audytach, obejmuje delegację DNS do infrastruktury Impervy, charakterystyczne nagłówki i ciasteczka oraz testy aktywnej inspekcji treści. Żądania zawierające określone wzorce wewnątrz przesyłanych danych były blokowane kodem 403 z sygnaturą polityki WAF, również na nieistniejących ścieżkach i przy umieszczeniu wzorca głęboko w treści. Pośrednik analizuje więc zawartość ruchu aplikacyjnego. Szyfrowanie aplikacyjne chroni XML podczas wysyłania, ale nie obejmuje wszystkich odpowiedzi systemu. Endpoint zapytań o metadane faktur zwraca JSON zawierający między innymi numery faktur i numery KSeF, identyfikatory podatkowe, nazwy podmiotów oraz kwoty transakcji. Dane te po terminacji TLS są czytelne dla warstwy WAF. Zwykłe pobranie pojedynczej faktury przez API zwraca natomiast XML bez dodatkowej warstwy szyfrowania aplikacyjnego. Osobną ścieżką jest eksport paczek, które są szyfrowane. Nie należy jednak tych mechanizmów wrzucać do jednego worka i zapewniać, że wszystko jest zaszyfrowane. W tym miejscu wkracza kluczowy przepis: §8 rozporządzenia Ministra Finansów i Gospodarki z 12 grudnia 2025 roku, ogłoszonego w Dzienniku Ustaw pod pozycją 1815. Przewiduje on dostęp do faktury bez uwierzytelniania tożsamości użytkownika. Dla typowej krajowej faktury między przedsiębiorcami wystarczy podać pięć danych: numer KSeF, numer faktury nadany przez wystawcę, NIP nabywcy, nazwę nabywcy i kwotę należności ogółem. Przepis uwzględnia również inne identyfikatory, imię i nazwisko oraz przypadki braku odpowiednich danych. Zauważmy ten absurd bezpieczeństwa: odpowiadające tym pięciu pozycjom pola znajdują się w modelu metadanych zwracanych przez API! Wystarczy, że uprawniona księgowa pobierze kompletny zestaw metadanych danego dokumentu przez tę ścieżkę, aby pośrednik miał techniczną możliwość odczytania informacji otwierających dostęp do całej faktury. Nie musi łamać AES ani zdobywać klucza odszyfrowującego pierwotną wysyłkę. Państwo zbudowało poświadczenie oparte na danych dokumentu, które mogą krążyć w systemach księgowych, zestawieniach i korespondencji. Z pięciu pól powstało hasło, którego podatnik nie może samodzielnie zrotować jak zwykłego sekretu dostępowego. Faktury są przechowywane w KSeF przez dziesięć lat od końca roku ich wystawienia. Dopóki obowiązuje ten mechanizm, ujawniony komplet pięciu danych pozostaje kluczem do historycznego dokumentu. Odebranie komuś uprawnień do konta nie zmienia numeru i kwoty dawnej faktury. Nie trzeba przy tym wykazywać, że operator już archiwizuje każdą odpowiedź. Problem bezpieczeństwa powstaje w chwili udostępnienia mu tekstu jawnego. Zapisywanie danych jest możliwym wykorzystaniem tej ekspozycji, a pięciopolowy dostęp umożliwia późniejsze pobranie dokumentów, których komplet metadanych pozyskano. Dla firmy Imperva logowanie tych metadanych, które jawnie przepływają przez jej bramkę WAF to ułamek promila ich globalnej mocy obliczeniowych ich chmury!!! 🔘 Zabójstwo polskiej zbrojeniówki Aby uzmysłowić sobie skalę zagrożenia, spójrzmy na Grupę WB, producenta systemów bezzałogowych FlyEye i amunicji krążącej Warmate. W maju 2025 roku Agencja Uzbrojenia podpisała z WB Electronics umowę ramową przewidującą pozyskanie około tysiąca zestawów Warmate, czyli około dziesięciu tysięcy sztuk amunicji krążącej, do 2035 roku. To program wieloletni, realizowany poprzez kolejne umowy wykonawcze. Faktura dotycząca takiej dostawy nie musi zawierać tajnych specyfikacji drona, częstotliwości radiowych ani parametrów naprowadzania, żeby miała ogromną wartość wywiadowczą. Wystarczą zwykłe dane handlowe: nazwy produktów, ilości, ceny, terminy i strony transakcji. Seria dokumentów pozwala rekonstruować rytm rozliczanych dostaw, obserwować zmiany cen i oznaczeń sprzętu oraz szacować skalę działalności. Oczywiście faktura zaliczkowa nie jest protokołem odbioru, a dostawa z magazynu nie musi odpowiadać produkcji z tego samego miesiąca. Analityk wywiadu potrafi jednak rozróżniać zaliczki, korekty i rozliczenia końcowe. Łącząc strumień faktur z publicznymi kontraktami oraz innymi źródłami, otrzymuje obraz nieporównanie dokładniejszy od komunikatów prasowych ministerstwa. Równie cenne są powiązania dostawców. Dokumenty firm sprzedających producentom uzbrojenia elektronikę, kompozyty czy silniki pozwalają rozpoznawać łańcuchy zaopatrzenia, zależności i potencjalne wąskie gardła. Ceny zakupu komponentów i ceny sprzedaży gotowego sprzętu dostarczają podstaw do szacowania ekonomiki produkcji. Nie potrzeba kompletu rysunków technicznych, żeby wiedzieć, gdzie konkurent ma słaby punkt. Francja jest jednym z głównych akcjonariuszy Thalesa i potężnym konkurentem na światowym rynku uzbrojenia. Wiedza o cenach, dostawcach i tempie realizacji polskich zamówień daje jej wymierną przewagę w przetargach i negocjacjach. Amerykański CLOUD Act umożliwia z kolei wymuszanie wydania określonych danych pozostających pod kontrolą podmiotów objętych odpowiednią jurysdykcją USA, także gdy dane znajdują się poza Stanami Zjednoczonymi. Umowa poufności z polskim ministerstwem sama nie uchyla takich obowiązków. Do tego dochodzi technologiczne i operacyjne zaplecze Impervy w Izraelu. Sama jego obecność nie dowodzi przekazania danych KSeF izraelskim służbom, ale stanowi kolejny element oceny zagrożenia. Operacja z wybuchającymi pagerami pokazała, jak daleko potrafią sięgać zdolności infiltracji izraelskiego wywiadu. Zakładanie, że służby zignorują sposobność zdobywania informacji o cudzej gospodarce i zbrojeniówce, jest naiwnością godną ignoranta uspokojonego pieczątką na umowie. Stworzenie takiej ekspozycji strategicznych danych to gospodarcza zdrada. Do wykazania wadliwości architektury nie potrzeba pokwitowania odbioru bazy danych przez oficera obcego wywiadu. 🔘 POPiS: architekci gospodarczej zdrady Ten mechanizm ma długą historię legislacyjną. Dostęp do faktur poprzez zestaw pięciu danych przewidywano już podczas prac nad projektem ogłoszonym w lutym 2021 roku. W konsultacjach Lewiatan wskazywał nieprecyzyjność rozwiązania i brak określenia danych wymaganych do uzyskania dostępu. Facturo. pl poszło dalej: wprost kwestionowało anonimowe udostępnianie danych finansowych i osobowych oraz postulowało logowanie. Resort odpowiedział, że wskazany przepis usunięto z projektu, a zakres danych zostanie określony w rozporządzeniu. Sam mechanizm pozostał jednak oparty na przepisach ustawy, w tym delegacji z art. 106r. Ostrzeżenie nie doprowadziło więc do rezygnacji z dostępu anonimowego — szczegóły powierzono ministrowi. 1 października 2021 roku Sejm przyjął cały projekt wynikiem 448 głosów za, jeden przeciw i zero wstrzymujących się. Jedynym przeciwnikiem był Andrzej Gawron z PiS. Ostateczna ustawa nosi datę 29 października 2021 roku. Następnie §6 rozporządzenia z 27 grudnia 2021 roku ustanowił pięciopolowy dostęp. Rozporządzenie podpisał Sebastian Skuza w zastępstwie ministra finansów Tadeusza Kościńskiego. W 2023 roku rząd Mateusza Morawieckiego przeprowadził ustawę wprowadzającą obowiązkowy KSeF. Po zmianie władzy gabinet Donalda Tuska i minister Andrzej Domański odroczyli jego uruchomienie. Zewnętrzny audyt wykazał krytyczne błędy projektu i potrzebę przebudowy architektury. Była to doskonała okazja do zasadniczej zmiany modelu bezpieczeństwa. Tymczasem ustawa z 5 sierpnia 2025 roku, określająca między innymi nowe zasady etapowego wdrożenia, nie usunęła podstaw dostępu bez uwierzytelnienia. Rozporządzenie z 12 grudnia 2025 roku ponownie określiło pięć pól otwierających fakturę — tym razem w §8. Podpisała je Hanna Majszczyk w zastępstwie ministra Andrzeja Domańskiego. Produkcyjne API KSeF 2.0 nadal korzystało z chmurowej warstwy Impervy, co dokumentują kolejne audyty infrastruktury. Oś odpowiedzialności politycznej ciągnie się przez kolejne rządy i urzędy. Obejmuje prezydentów Andrzeja Dudę i Karola Nawrockiego, podpisujących ustawy tworzące i rozwijające system, oraz premierów i ministrów: Mateusza Morawieckiego, Tadeusza Kościńskiego, Magdalenę Rzeczkowską, Donalda Tuska i Andrzeja Domańskiego. Nawrocki podpisał ustawę z 5 sierpnia 2025 roku 27 sierpnia tego samego roku. Za poszczególne etapy prac odpowiadali również wiceministrowie i urzędnicy resortu, między innymi Jan Sarnowski, Paweł Selera, Artur Soboń, Jarosław Neneman i Tomasz Tratkiewicz. W dokumentach senackich jako kierownik projektu występuje Krzysztof Rogowski. W budowę systemu zaangażowana była państwowa spółka Aplikacje Krytyczne. Państwo miało więc własne struktury, wykonawcę i narzędzia nadzoru. Ustalenie, kto konkretnie podpisał wybór Impervy i zaakceptował poszczególne decyzje bezpieczeństwa, wymaga ujawnienia dokumentacji. Odpowiedzialność polityczna za stworzenie i utrzymanie tego modelu jest jednak widoczna bez zaglądania do tajnych załączników. Niezależnie od partyjnych szyldów kolejne ekipy zbudowały system, w którym dane otwierające dostęp do każdej faktury w KSeF są czytelne dla zagranicznego pośrednika. Potem każą nam wierzyć, że wszystko załatwiają szyfrowanie, procedury i umowy. Ile w tym ignorancji, ile wygodnictwa, a ile świadomego podporządkowania cudzym interesom? To pytanie powinno dziś paść przed komisją śledczą, a nie zniknąć pod kolejną prezentacją o sukcesach cyfryzacji. Grzegorz GPS Świderski