Доступ ко всем счетам польской экономики через KSeF имеет три зарубежных интервью, поскольку шлюз безопасности этой системы управляется в облаке американской компанией Imperva, принадлежащей военно-разведывательной французской группе Thales, а аналитические серверы находятся в Израиле. Тем не менее, даже если бы эта компания ушла в отставку и целеуказание было отдано польской компании, KSeF все равно был бы очень опасен!
KSeF имеет функцию анонимного поиска счетов. Он позволяет загружать любой документ в формате XML (расширенный язык тегов, то есть стандартный текстовый формат) или PDF (портативный формат документа), без необходимости входа в систему и доказательства того, что мы имеем на это право. Согласно регламенту, для того, чтобы система выдала нам счет-фактуру, достаточно ввести на сайте пять сведений по форме: номер документа в KSeF, обычный номер счета-фактуры, номер NIP покупателя, имя и общую сумму, подлежащую оплате.
Компьютерные угрозы и распространение данных
Реальная угроза возникает, когда хакер, вредоносное программное обеспечение или нелояльный сотрудник берет на себя готовую компиляцию таких данных. Эта информация массово обрабатывается в местах, которые защищены гораздо меньше, чем корпоративные серверы с финансовыми документами, что порождает ряд специфических векторов атак!
Регулярная электронная таблица как журнал паролей
Такие файлы, как Excel или CSV (формат, в котором хранятся значения, разделенные запятой) со списком ежемесячных расходов, обрабатываются сотрудниками как таблицы, утечка которых не опасна. Однако, если они содержат эти пять полей, они становятся набором ключей доступа. Шпионскому программному обеспечению не нужно красть гигабайты счетов-фактур — достаточно того, что оно отправляет небольшой текстовый файл незамеченным, а злоумышленник забирает исходные счета у правительства.
Избегать корпоративных прав
Большие ERP-системы (программное обеспечение для планирования ресурсов компании) и BI-инструменты (Business Intelligence или бизнес-аналитик) настроены так, чтобы позволить аналитику видеть только общие суммы и цифры, без права точно видеть то, что было приобретено. Однако, если этих общих данных достаточно для анонимного сбора счета-фактуры от Министерства, функции внутренней безопасности компании больше не актуальны.
Невозможность изменить пароль после увольнения
Когда компания освобождает сотрудника, она может отключить доступ к внутренней VPN (виртуальной частной сети, то есть безопасному зашифрованному соединению) или заблокировать почтовый аккаунт. Однако исторические счета, NIP и квоты не могут быть изменены. Если сотрудник уже скопировал таблицу с такими метаданными, его доступ к этим документам никогда не истекает.
Концентрация рисков партнеров
Бухгалтерские конторы и разработчики бухгалтерского программного обеспечения обрабатывают данные миллионов документов, включая метаданные, перечисленные в начале. Приобретение счета в такой компании открывает путь к выставлению счетов сотням независимых компаний.
Риски в отделах поддержки
Консультанты Helpdesk (техническая поддержка) часто просят клиентов дать неправильный номер счета, номер KSeF, номер NIP или сумму для диагностики проблемы. Таким образом, системы хранения билетов (виртуальные отчеты об ошибках) собирают наборы данных, позволяющие получить доступ к полным счетам-фактурам, а ряд сотрудников и внешних субподрядчиков имеют к ним доступ.
Логи и устаревшие резервные копии
Технические записи из программ отправляются в журналы, контролируемые системами SIEM (события управления информацией и безопасности) и APM (инструменты мониторинга производительности приложений). Даже если компания отлично защищает текущие документы, злоумышленник может украсть старую резервную копию (резервную копию) несколько лет назад, где метаданные менее защищены, а затем загрузить текущие счета от KSeF.
Слепые защитные системы
Программное обеспечение DLP (система предотвращения утечек данных) блокирует попытку отправки пакета с готовыми к использованию файлами XML или PDF по электронной почте, но пропустит простую текстовую таблицу, признавая ее как не угрожающий отчет.
Экономический шпионаж и мошенничество
Метаданные говорят только Компания А заплатила Б определенную сумму. Тем не менее, полный счет показывает конкретные продукты, точное количество приобретенных товаров, полученные скидки и особые условия. Доступ к такой информации позволяет совершать серьезные злоупотребления в деловом мире.
Абсолютное экономическое интервью
Конкурент может проверить, что оборудование, которое стоит 100 тыс. злотых в каталоге, фактически продано крупному заказчику за 64 тыс. Зная реальные затраты и полную структуру конкурирующих поставщиков, можно отлично рассчитать собственную ставку в тендере, субподряд ключевых субподрядчиков или полностью реконструировать его цепочку поставок.
Риск для инфраструктуры и обмена
Анализ внезапных закупок специализированных деталей (например, трансформаторов, клапанов) может выявить сбои или планы модернизации на электростанциях или НПЗ. Аналогичным образом, массовые закупки юридических и геодезических услуг в одном регионе выявляют планы гигантских инвестиций перечисленных компаний задолго до их официального объявления.
Идеальный BEC и фишинговое мошенничество
Преступники используют подлинные данные для атак BEC (Business Email Compromise или мошенничество с приобретением корпоративной корреспонденции) и фишинга (информационное мошенничество). Сообщение с просьбой изменить номер счета для депозита, в котором согласны номер конкретного счета, наименование товара, сумма процента и данные поставщика, усыпляет практически каждого сотрудника.
Утечка персональных данных и экономическое картирование
Поскольку счета-фактуры также применяются к лицам, осуществляющим предпринимательскую деятельность одним лицом, массовая утечка метаданных становится нарушением GDPR. Из большой коллекции собранных документов можно построить подробный график ссылок всей польской экономики, а государственная система будет записывать только IP-номера (Internet Protocol, что означает уникальные адреса устройств в сети), без возможности указать, кто конкретно скачал файлы.
Анонимный доступ запрещен законом!
Сам механизм доступа к счету без аутентификации не является случайной частью разработчиков KSeF. Его существование вытекает непосредственно из Закона о НДС, который предусматривает доступ к счету-фактуре без аутентификации и уполномочивает министра финансов определять данные, необходимые для такого доступа. Постановлением министра финансов и экономики от 12 декабря 2025 года определено, что это будут: номер KSeF, номер счета-фактуры, идентификатор покупателя, имя и общая сумма дебиторской задолженности. Проблема в первую очередь законодательная! Законодатель сознательно предсказал путь без аутентификации, и администрация решила, что роль сертификации доступа будет выполнять сам счет-фактура.
Пока действуют действующие правила, компании должны полностью изменить свой подход к защите своей информации. Каждый отчет, лист или электронное письмо, содержащие номер KSeF, номер счета-фактуры, данные о покупателях и сумму, должны быть защищены точно так же, как и доступ к банковскому счету. Для этого необходимо настроить системы предотвращения утечек, очистить ненужные данные из аналитических баз данных и дать сотрудникам понять, что в современных реалиях простой отчет в простой таблице может стать ключом к важнейшим секретам их бизнеса.
Grzegorz GPS Шиверски
]>https://Twitter.com/gps65]>
]>https://t.me/CanalBlogeraGPS]>
PS. Источники этого плагиата:
- Три зарубежных интервью читали польские счета, как открытую книгу: ]>https://x.com/gps65/status/2095092103852265958]>
- Использует ли иностранная разведка легкий доступ к счетам KSeF? ]>https://x.com/gps65/status/2094379313189486664]>
- KSeF — молчаливый убийца польского бизнеса. ]>https://x.com/gps65/status/2085346890686640181]>
Теги: gps65, KSeF
