Wyciek KSeF – czy dane z e-faktur mogą wyciec i jak to sprawdzić

Wyciek KSeF to dziś jedno z najczęściej wpisywanych w wyszukiwarkę pytań o Krajowy System e-Faktur — i jednocześnie jedno z najgorzej rozumianych. Krótka odpowiedź brzmi tak: do 17 sierpnia 2026 r. nie potwierdzono publicznie włamania do produkcyjnej bazy KSeF, ale realne przypadki ujawnienia faktur mogą zdarzać się po stronie firm, nie systemu. Najbardziej praktyczny przykład to wysyłanie prawdziwych faktur do środowiska testowego, które nie wywołuje skutków prawnych i służy do prób z danymi fikcyjnymi. Z punktu widzenia Twojej firmy skutek może być podobny jak przy klasycznym wycieku danych: kontrahenci, ceny, rabaty i dane osobowe stają się dostępne dla osób postronnych.

W tym artykule pokazuję, gdzie realnie powstaje wyciek z KSeF, jak w kilka minut sprawdzić, czy dotyczy Twojej firmy, jak zareagować i jakie procedury ograniczają ryzyko na przyszłość.

Wyciek KSeF a wyciek danych z KSeF – co dokładnie jest zagrożone

Fraza "ksef wyciek danych" łączy w praktyce dwie zupełnie różne sprawy, które warto rozdzielić, bo prowadzą do innych działań.

Pierwsza to bezpieczeństwo samego systemu centralnego. KSeF prowadzi Ministerstwo Finansów; system działa na serwerach w Polsce, dane są szyfrowane, a dostęp urzędników do faktur wymaga uzasadnienia i wielostopniowej autoryzacji. Ministerstwo publicznie odnosiło się do zarzutów o łatwość wycieku i określiło je jako nieuzasadnione. To warstwa, której przedsiębiorca nie kontroluje bezpośrednio.

Druga to bezpieczeństwo dostępu po stronie firmy. I tu leży realne ryzyko. KSeF gromadzi w jednym miejscu komplet informacji handlowych: z kim współpracujesz, co kupujesz i sprzedajesz, po jakich cenach, z jakimi rabatami i terminami. To zbiór, który w rękach konkurencji lub oszusta ma konkretną wartość. Dostęp do niego chronią token, certyfikat i uprawnienia nadane w systemie — czyli elementy zarządzane przez Ciebie, Twojego księgowego i dostawcę oprogramowania.

Warto też pamiętać o jednej cesze systemu, która zmienia wagę błędu: faktury wysłanej do produkcyjnego KSeF nie da się usunąć. W obiegu papierowym błędne wysłanie dokumentu bywało możliwe do zatrzymania przed dalszym obiegiem. Tutaj dokument zostaje w systemie, a błędy poprawia się fakturą korygującą. W przypadku danych produkcyjnych wysłanych do środowiska testowego sprawę można zgłosić do Ministerstwa Finansów, które po weryfikacji może podjąć działania zmierzające do ich usunięcia.

Gdzie realnie dochodzi do wycieku danych z KSeF

Poniżej pięć scenariuszy, które w praktyce odpowiadają za zdecydowaną większość przypadków opisywanych jako "wyciek z KSeF". Żaden z nich nie wymaga włamania do systemu.

1. Produkcyjne faktury wysłane do środowiska testowego

To jeden z najbardziej zaskakujących mechanizmów. Środowisko testowe KSeF jest z założenia przeznaczone do prób i nie wywołuje skutków prawnych. Ministerstwo Finansów przypomina, że nie należy używać w nim rzeczywistych danych firmy, bo podmioty o NIP-ach wskazanych w testowych fakturach mogą mieć potencjalny dostęp do danych zawartych w takich dokumentach.

Problem zaczyna się wtedy, gdy księgowość albo dostawca oprogramowania testuje integrację na prawdziwych fakturach. Wtedy dane, które powinny pozostać w produkcyjnym obiegu firmy, trafiają do środowiska przeznaczonego do testów. Widoczne mogą stać się nazwy kontrahentów, pozycje faktur, ceny jednostkowe, uwagi do zamówień, czasem dane osobowe osób kontaktowych.

Dodatkowo w środowisku testowym widać listę kont i nadanych uprawnień, co samo w sobie jest informacją użyteczną dla osoby przygotowującej atak socjotechniczny.

2. Wyciek tokenu lub certyfikatu KSeF

Token KSeF to firmowy klucz dostępu. Jeśli trafi w niepowołane ręce, ktoś obcy działa w systemie w imieniu Twojej firmy — w zakresie uprawnień, jakie nadano temu tokenowi. Najczęstsze drogi wycieku są prozaiczne: token wklejony do wiadomości e-mail, zapisany w arkuszu na współdzielonym dysku, przekazany "na próbę" zewnętrznemu informatykowi, wpisany do systemu zgłoszeń albo pozostawiony w repozytorium kodu.

Ryzyko rośnie wraz z zakresem uprawnień. Token uprawniony wyłącznie do odczytu faktur otrzymanych to inna skala szkody niż token z prawem wystawiania dokumentów. Praktyczne zasady zarządzania takim kluczem opisuję szerzej w materiale o tokenie dostępowym w Aplikacji Podatnika KSeF.

3. Przejęcie skrzynki pocztowej księgowości

Wyciek danych z KSeF nie musi oznaczać dostępu do KSeF. Wystarczy dostęp do poczty, na którą trafiają wizualizacje faktur, zestawienia, raporty z programu księgowego i korespondencja z kontrahentami. Atak BEC, czyli przejęcie firmowej korespondencji mailowej i podszycie się pod jej stronę, daje napastnikowi jednocześnie wiedzę handlową i narzędzie do manipulacji płatnością.

To zresztą typowa sekwencja: najpierw cicha obserwacja korespondencji, potem wiadomość "zmieniliśmy numer rachunku" wysłana w idealnym momencie — tuż po prawdziwej fakturze.

4. Incydent u dostawcy oprogramowania lub w biurze rachunkowym

Firma rzadko łączy się z KSeF bezpośrednio. Robi to za nią program księgowy, integrator albo biuro rachunkowe. Każdy z tych podmiotów przechowuje dane dostępowe i kopie faktur. Wyciek u nich jest wyciekiem Twoich danych — a zwykle dowiadujesz się o nim później niż o incydencie we własnej infrastrukturze.

Biuro rachunkowe obsługujące setki klientów jest przy tym celem atrakcyjniejszym niż pojedyncza firma, bo jedno skuteczne włamanie daje dostęp do wielu podmiotów naraz.

5. Nadmiarowe uprawnienia i niekontrolowane eksporty

Ostatni scenariusz jest najbardziej banalny i najczęściej pomijany. Uprawnienia w KSeF bywają nadawane "na zapas", zostają aktywne po odejściu pracownika, a masowe eksporty faktur lądują na prywatnych dyskach, pendrive'ach i w prywatnej poczcie. Formalnie nikt się nie włamał. Faktycznie dane firmy są poza kontrolą.

Jak sprawdzić, czy wyciek z KSeF dotyczy Twojej firmy – krok po kroku

Poniższa procedura zajmuje kilkanaście minut i nie wymaga wiedzy technicznej.

  1. Sprawdź środowisko testowe pod swoim NIP-em. W testowej Aplikacji Podatnika KSeF sprawdź, czy przy NIP-ie Twojej firmy widnieją dokumenty. Jeśli widzisz tam prawdziwe faktury — Twoje albo wystawione na Twoją firmę — masz do czynienia z ujawnieniem danych produkcyjnych. To samo warto zrobić dla NIP-ów spółek powiązanych.

  2. Zapytaj dostawcę oprogramowania, na jakich danych testował integrację. Pytanie brzmi konkretnie: czy do środowiska testowego trafiły kiedykolwiek faktury z prawdziwymi danymi kontrahentów. Odpowiedź "chyba nie" warto traktować jak sygnał do sprawdzenia.

  3. Przejrzyj listę aktywnych tokenów i certyfikatów. To dwa różne rodzaje kluczy i sprawdza się je inaczej. Przy tokenie widzisz zakres uprawnień nadany przy jego tworzeniu — sprawdź, czy nie jest szerszy, niż wymaga tego integracja. Certyfikat sam w sobie nie nosi uprawnień: pokazuje właściciela, typ, status i okres ważności, a uprawnienia wynikają z tego, co nadano osobie lub podmiotowi, dla którego certyfikat wystawiono. Dla każdego certyfikatu ustal więc, czyj jest, i dopiero potem sprawdź uprawnienia tego właśnie podmiotu. W obu przypadkach zwróć uwagę na klucze pozostałe po współpracy, która już się zakończyła.

  4. Zweryfikuj nadane uprawnienia. Porównaj listę osób i podmiotów uprawnionych w KSeF z aktualnym stanem zatrudnienia i umów. Szczególnie uważnie sprawdź uprawnienia szerokie, dające dostęp do całości faktur.

  5. Przejrzyj historię uwierzytelnień i sesji. Historia uwierzytelnień to oś czasu prób logowania: data rozpoczęcia, użyta metoda (na przykład pieczęć kwalifikowana, profil zaufany, token), status i numer referencyjny. Nie zobaczysz w niej, kto się logował — rekord nie wskazuje ani osoby, ani konkretnego tokenu czy certyfikatu, więc pokazuje wyłącznie, że w danym momencie ktoś podjął próbę uwierzytelnienia tą metodą; o tym, czy próba się powiodła, mówi dopiero status rekordu. To i tak bywa sygnałem: próby uwierzytelnienia poza godzinami pracy albo metodą, której Twoja firma nie używa, warto wyjaśnić — niezależnie od tego, czy zakończyły się powodzeniem, czy odrzuceniem. Osobno przejrzyj historię sesji wysyłki i sprawdź, czy nie ma tam dokumentów wystawionych w Twoim imieniu, których nie rozpoznajesz.

  6. Poproś o logi odczytu u dostawcy oprogramowania lub w biurze rachunkowym. Historie widoczne w KSeF nie pokazują, kto pobierał i eksportował faktury, więc samo przejrzenie ich nie wykryje masowego odczytu wykonanego skradzionym kluczem. Ślad zostaje po stronie systemu, przez który szedł odczyt — o te logi trzeba wystąpić do dostawcy, integratora lub biura rachunkowego, wskazując zakres dat i pytając wprost o nietypowe wzorce pobierania, na przykład masowe eksporty poza godzinami pracy. Pamiętaj jednak o ograniczeniu tej ścieżki: obejmuje ona wyłącznie dostęp realizowany przez te systemy. Kto ma skradziony token, może łączyć się z KSeF bezpośrednio, z własnego oprogramowania, i takie odczyty nie pojawią się w żadnych logach dostawcy. Czysty wynik po ich stronie nie jest więc dowodem, że do wycieku nie doszło — przy podejrzeniu kompromitacji klucza traktuj go jako użyty i odwołaj go, zamiast czekać na potwierdzenie z logów.

  7. Sprawdź faktury zakupowe pod kątem podmiany rachunku. Jeśli ktoś czytał Twoją korespondencję, najczęstszym skutkiem będzie próba przekierowania płatności. Porównaj numery rachunków z fakturami z poprzednich miesięcy i z wykazem podatników VAT.

Praktyczną procedurę dla ostatniego punktu opisuję w materiale o sprawdzaniu rachunku bankowego z faktury.

Co zrobić, gdy doszło do wycieku danych z KSeF

Kolejność działań ma znaczenie — najpierw odcinamy dostęp, potem sprzątamy, na końcu wyciągamy wnioski.

  • Odwołaj token, którego dotyczy podejrzenie, albo zablokuj podejrzany certyfikat. Nowy token można utworzyć z węższym zakresem uprawnień. Przy certyfikacie trzeba dodatkowo pamiętać, że sam certyfikat jest metodą uwierzytelnienia, a uprawnienia wynikają z tego, co nadano osobie lub podmiotowi, dla którego go wystawiono.
  • Zgłoś sprawę do Ministerstwa Finansów, jeśli dane produkcyjne trafiły do środowiska testowego. Resort udostępnia formularz kontaktowy i infolinię KSeF; po zgłoszeniu i weryfikacji może podjąć działania zmierzające do usunięcia takich danych ze środowiska testowego. Samodzielnie ich nie skasujesz.
  • Odbierz nieaktualne uprawnienia osobom i podmiotom, które nie powinny ich już mieć.
  • Zmień hasła i włącz uwierzytelnianie wieloskładnikowe na skrzynkach pocztowych obsługujących fakturowanie — to najczęstszy wektor dalszych szkód.
  • Oceń obowiązki wynikające z RODO. Ujawnienie danych osobowych kontrahentów i pracowników może wymagać zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych, co do zasady w ciągu 72 godzin od stwierdzenia. Zakres obowiązku zależy od okoliczności — to moment na konsultację z osobą odpowiedzialną za ochronę danych w firmie.
  • Ostrzeż kontrahentów, jeśli mogli zostać dotknięci. Wiedza o Twoich relacjach handlowych to gotowy materiał do podszycia się pod Ciebie.
  • Udokumentuj przebieg zdarzenia. Data wykrycia, zakres danych, podjęte kroki. Ten opis przyda się i wewnętrznie, i w ewentualnej korespondencji z urzędem.

Przykład, jak wygląda taki opis w praktyce — z danymi fikcyjnymi: firma NIP: 0000000000 stwierdziła 12 dokumentów z prawdziwymi danymi kontrahentów w środowisku testowym, wysłanych podczas wdrożenia integracji; zakres: nazwy i NIP-y 9 kontrahentów, pozycje i ceny; token integracyjny odwołany tego samego dnia, zgłoszenie do MF wysłane w ciągu 24 godzin.

Czego KSeF nie sprawdza

Tu dochodzimy do sedna nieporozumienia wokół frazy "wyciek KSeF". KSeF jest systemem przyjmowania i przechowywania faktur, a nie systemem ochrony Twoich danych przed Twoimi własnymi błędami.

KSeF sprawdza, czy dokument jest zgodny ze schematem FA(3), czy pola obowiązkowe są wypełnione, czy podmiot ma uprawnienie do wystawienia faktury i czy uwierzytelnienie przebiegło poprawnie. To walidacja techniczna — automatyczna kontrola formy dokumentu.

KSeF nie ocenia, czy:

  • dane w wysyłanej fakturze są prawdziwe, czy testowe — środowisko testowe przyjmie prawdziwą fakturę bez żadnego ostrzeżenia,
  • osoba korzystająca z tokenu jest tą, dla której token utworzono,
  • zakres nadanych uprawnień jest adekwatny do roli w firmie,
  • masowe pobieranie faktur jest normalną pracą, czy oznaką incydentu,
  • numer rachunku na fakturze należy do wystawcy.

Innymi słowy: system pilnuje formy dokumentu, a nie sensu operacji. Różnicę między tymi dwoma poziomami kontroli rozkładam szczegółowo w analizie tego, co KSeF sprawdza, a czego nie sprawdza.

To właśnie ta luka — między poprawnością techniczną a sensem biznesowym — jest przestrzenią, w której działa scam fakturowy, czyli proces oszustwa wokół płatności. Faktura z prawidłowym numerem KSeF może zawierać podmieniony rachunek i przejdzie walidację bez zastrzeżeń.

Jak można to zweryfikować automatycznie

Ręczne przeglądanie uprawnień i porównywanie rachunków działa przy kilkunastu fakturach miesięcznie. Przy kilkuset przestaje działać — i wtedy sensowne staje się przeniesienie części kontroli na regularną, automatyczną analizę danych, które i tak przechodzą przez firmę.

W praktyce warto obserwować kilka rzeczy jednocześnie:

  • zmiany numeru rachunku u znanego kontrahenta względem historii wcześniejszych faktur,
  • status kontrahenta w wykazie podatników VAT i zgodność rachunku z tym wykazem,
  • nowych, nieznanych wcześniej wystawców oraz faktury odbiegające kwotą od typowych dla danej relacji,
  • wzorce dostępu — kto i kiedy pobiera faktury, czy nie pojawił się nietypowy skok wolumenu.

Taka analiza nie zastępuje ostrożności i nie daje gwarancji wykrycia każdego przypadku — żadne narzędzie jej nie daje. Pozwala natomiast skrócić czas między zdarzeniem a jego zauważeniem, a przy incydencie bezpieczeństwa to zwykle najważniejsza zmienna. Podejście do oceny ryzyka na podstawie danych z faktury opisuję w tekście o tym, jakie dane z faktury zwiększają ryzyko oszustwa.

Jak ograniczyć ryzyko wycieku z KSeF na przyszłość

Kilka zasad, które w firmach realnie zmniejszają skalę problemu:

  • Do testów wyłącznie dane fikcyjne. Zasada bez wyjątków, spisana i przekazana także dostawcy oprogramowania. Przykładowe wartości: NIP: 0000000000, [numer rachunku], nazwy kontrahentów typu "Kontrahent Testowy 1".
  • Osobny token na każdą integrację, z minimalnym zakresem uprawnień i nazwą wskazującą przeznaczenie.
  • Cykliczny przegląd uprawnień — na przykład raz na kwartał oraz zawsze przy zmianie kadrowej lub zakończeniu współpracy z dostawcą.
  • Rozdzielenie ról: kto wystawia faktury, kto je pobiera, kto zarządza uprawnieniami. Jedno konto do wszystkiego to jeden punkt awarii.
  • Weryfikacja dostawcy przed przekazaniem dostępu — czy ma udokumentowane procedury bezpieczeństwa, gdzie przechowuje dane, jak zgłasza incydenty.
  • Świadomość zespołu: większość incydentów zaczyna się od kliknięcia w link albo od "szybkiego testu na prawdziwej fakturze", a nie od ataku na system.

Powiązane artykuły

FAQ

Czy doszło już do wycieku danych z KSeF?

Nie potwierdzono włamania do produkcyjnej bazy KSeF. Opisywane publicznie przypadki dotyczyły prawdziwych faktur wysłanych przez firmy do otwartego środowiska testowego, do którego można zalogować się samym numerem NIP. Źródłem ujawnienia była więc praktyka testowania, a nie luka w systemie produkcyjnym.

Czy ktoś może zobaczyć moje faktury, znając tylko NIP?

W środowisku produkcyjnym nie — wymaga ono uwierzytelnienia i nadanych uprawnień. W środowisku testowym logowanie samym NIP-em jest możliwe z założenia, dlatego trafiają tam wyłącznie dane fikcyjne. Jeśli ktoś wysłał tam prawdziwe faktury, będą widoczne dla osób postronnych.

Czy da się usunąć fakturę wysłaną omyłkowo do KSeF?

Faktury z systemu produkcyjnego nie da się usunąć — dokument pozostaje w systemie, a błędy koryguje się fakturą korygującą. W przypadku danych produkcyjnych w środowisku testowym można zgłosić sprawę do Ministerstwa Finansów, które po weryfikacji podejmuje działania zmierzające do usunięcia takich danych.

Czy wyciek danych z KSeF trzeba zgłosić do UODO?

Jeśli ujawnione zostały dane osobowe, może powstać obowiązek zgłoszenia naruszenia do Prezesa UODO — co do zasady w ciągu 72 godzin od stwierdzenia. Ocena zależy od zakresu danych i ryzyka dla osób, których dotyczą, więc jest to moment na konsultację z osobą odpowiedzialną w firmie za ochronę danych.

Co zrobić, gdy token KSeF mógł wyciec?

Najpierw odwołać ten konkretny token w Aplikacji Podatnika, następnie utworzyć nowy z zawężonymi uprawnieniami. Potem warto przejrzeć historię uwierzytelnień i sesji za okres od możliwego wycieku do odwołania. Historia uwierzytelnień nie wskaże, kto się logował — pokazuje czas, metodę i status próby — ale próby poza godzinami pracy lub metodą, której firma nie używa, są sygnałem wartym wyjaśnienia. W historii sesji wysyłki sprawdź dokumenty, których firma nie wystawiała. Odczytów i eksportów faktur ta historia nie pokazuje — po ślad takich operacji trzeba sięgnąć do logów dostawcy oprogramowania, pamiętając, że obejmą one tylko dostęp przez system tego dostawcy. Kto użyje skradzionego tokenu bezpośrednio z obcego oprogramowania, zostawi wprawdzie wpis w historii uwierzytelnień, ale samego odczytu faktur nie zobaczysz w żadnym dostępnym Ci źródle — brak nietypowych wpisów w logach dostawcy nie wyklucza więc wykorzystania tokenu.

Treść ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani podatkowej.

Przydatne serwisy

Pierwszy serwis prezentuje informacje o statusie samego KSeF, drugi – komunikaty techniczne Ministerstwa Finansów.

Dalsze korzystanie z tej witryny oznacza akceptację Polityki prywatności . Używamy plików cookie, aby zapewnić najlepszą jakość korzystania z naszej witryny internetowej. Przeczytaj naszą Politykę plików cookie .
Akceptuj Odrzuć