Czy linki w fakturze KSeF mogą być pułapką?

W kwietniu 2026 r. zespół CERT Polska oficjalnie wymienił fałszywe faktury z KSeF wśród najczęściej obserwowanych kampanii oszustw, obok fałszywego zwrotu podatku, fałszywych przesyłek DPD i fałszywych inwestycji (źródło: Podsumowanie Miesiąca CERT Polska nr 4/2026, opublikowane 18 maja 2026 r.). W porównaniu z kwietniem 2025 r. liczba zgłoszeń obsługiwanych przez CERT Polska wzrosła o 18%, a większość zidentyfikowanych domen phishingowych była wykorzystywana do wyłudzania danych logowania do kont bankowych i serwisów społecznościowych. To te same zasoby, do których prowadzą złośliwe linki w fakturach KSeF wykrywanych przez CERT Polska. 

Jak to może wyglądać w praktyce? 

Sklep internetowy z Wielkopolski, działający w branży odzieżowej, korzystający z systemu Wapro Mag w wariancie Anywhere Cloud. Sprzedaje przez własny sklep WooCommerce, Allegro i hurtowy kanał B2B. Zatrudnia 12 osób. Miesięcznie odbiera 60–80 faktur zakupowych: od BaseLinker za integrację z marketplace'ami, od kurierów (DPD, InPost) za wysyłki, od dostawców usług hostingowych, od narzędzi marketingowych (Google Ads i Meta Ads), od dostawców towarów z Polski i Unii Europejskiej. Każda z tych faktur często zawiera w treści linki: do panelu klienta, do szczegółowej specyfikacji rozliczeniowej, do regulaminu, do strony płatności. 

W maju 2026 r. księgowa sklepu odbiera fakturę za hosting i obsługę domeny, wystawioną przez znanego dostawcę usług IT. Wszystko wygląda normalnie: numer KSeF nadany, dane zgodne z umową, kwota standardowa. W treści faktury znajduje się link do panelu rozliczeniowego. Po kliknięciu strona przekierowuje na podrobioną stronę logowania do banku, wymagającą wprowadzenia loginu do bankowości firmowej. To klasyczny scenariusz ataku, którego ani KSeF, ani standardowe systemy ERP nie wyłapują samodzielnie. 

Z perspektywy księgowej w naszym sklepie internetowym faktura wygląda identycznie jak każda inna pobierana z KSeF: wpływa do panelu Wapro Mag z numerem KSeF, danymi dostawcy zgodnymi z dotychczasową współpracą i kwotą zbliżoną do regularnych rozliczeń za hosting czy usługi marketingowe. Jedyną różnicą jest link w treści dokumentu, często prezentowany jako „Pobierz pełną specyfikację rozliczeniową” lub „Zaloguj się do panelu klienta”. Bez automatycznej weryfikacji nie ma sposobu, żeby na pierwszy rzut oka odróżnić go od linku z legalnej faktury. 

Jak działa atak z wykorzystaniem linków w fakturze KSeF? 

Atak z wykorzystaniem linków w fakturze KSeF wykorzystuje fakt, że Krajowy System e-Faktur weryfikuje wyłącznie zgodność pliku XML ze schemą FA(3). System nie analizuje treści dokumentu pod kątem bezpieczeństwa. Adres URL umieszczony w polu opisu pozycji, warunkach płatności lub uwagach do faktury przechodzi walidację, nawet jeśli prowadzi do złośliwej domeny. 

Schemat ataku składa się z trzech kroków. Po pierwsze, atakujący uzyskuje dane firmy ofiary z publicznie dostępnych źródeł (CEIDG, KRS, strona internetowa firmy). Po drugie, wystawia fakturę elektroniczną w KSeF używając własnych danych firmowych (z nazwą zbliżoną do dostawcy ofiary) lub w bardziej wyrafinowanym ataku przejętych danych dostępowych prawdziwego dostawcy. Po trzecie, w treści faktury umieszcza link do podrobionej strony bankowej lub złośliwego pliku do pobrania, licząc na to, że księgowa odbiorcy kliknie odnośnik w trakcie weryfikacji dokumentu. 

Najbardziej niebezpieczny wariant to atak na zaufanie. Atakujący podszywa się pod znanego dostawcę firmy (np. dostawcę chmury, usług księgowych, telekomunikacji), używa prawdziwych danych dostawcy z publicznych źródeł i wystawia fakturę zbliżoną kwotowo do regularnych rozliczeń. Faktura wygląda autentycznie, łącznie z numerem KSeF, a link w jej treści jest jedyną częścią dokumentu wymagającą weryfikacji bezpieczeństwa. 

Jak Businesscheck weryfikuje linki w fakturach KSeF? 

Businesscheck weryfikuje wszystkie odnośniki URL znajdujące się w treści faktury elektronicznej KSeF, niezależnie od pola, w którym zostały umieszczone (opis pozycji, warunki płatności, uwagi, dane kontaktowe sprzedawcy). Kontrola odbywa się w ramach reguły BC-TECH-CHECK-LINK. 

Mechanizm działa w dwóch krokach. W pierwszym Businesscheck pobiera codziennie aktualną Listę Ostrzeżeń CERT Polska. Lista zawiera wszystkie domeny zidentyfikowane przez zespół CSIRT NASK jako wykorzystywane do phishingu, wyłudzania danych logowania i innych form oszustw internetowych. W drugim Businesscheck skanuje treść każdej faktury przechodzącej przez platformę Businesslink i porównuje wszystkie znalezione adresy URL z listą. 

Jeśli którykolwiek link prowadzi do domeny figurującej na Liście Ostrzeżeń CERT Polska, Businesscheck zwraca wynik STOP i przekazuje do systemu Wapro komunikat o wykrytym zagrożeniu wraz ze wskazaniem podejrzanego adresu. Informacja trafia do księgowej przed przekazaniem dokumentu do księgowania. W przypadku faktur zakupowych pobieranych z KSeF kontrola odbywa się automatycznie po pobraniu dokumentu, zanim trafi on do dalszego obiegu w firmie. 

Dlaczego KSeF nie weryfikuje treści linków w fakturze? 

Krajowy System e-Faktur to centralny rejestr faktur prowadzony przez Ministerstwo Finansów, którego rola sprowadza się do weryfikacji zgodności technicznej dokumentu z urzędową strukturą XML i nadania mu numeru identyfikacyjnego. KSeF nie pełni funkcji systemu cyberbezpieczeństwa, antywirusa ani filtra treści. Zgodnie z założeniami projektowymi resortu, weryfikacja merytoryczna i kontekstowa pozostaje po stronie systemów księgowych firm korzystających z KSeF. 

Granica odpowiedzialności KSeF jest świadomym wyborem regulatora. System obsługuje dziesiątki milionów faktur miesięcznie i każda dodatkowa kontrola wydłużałaby czas walidacji oraz zwiększała ryzyko fałszywych odrzuceń. Decyzja o tym, czy link w fakturze jest bezpieczny, wymaga aktualnej wiedzy o zagrożeniach, którą dysponują wyspecjalizowane instytucje takie jak CERT Polska, a nie urzędowy rejestr fakturowy. 

To rozdzielenie odpowiedzialności tworzy realną lukę bezpieczeństwa po stronie firm. Od 1 lutego 2026 r. każda firma w Polsce jest zobowiązana do odbierania faktur elektronicznych z Krajowego Systemu e-Faktur, a od 1 kwietnia 2026 r. wszyscy pozostali przedsiębiorcy poza najmniejszymi muszą również wystawiać faktury wyłącznie w tym systemie. Powszechność systemu buduje fałszywe poczucie bezpieczeństwa: “skoro faktura przeszła walidację KSeF, musi być prawidłowa”. W rzeczywistości walidacja KSeF nie ma nic wspólnego z bezpieczeństwem linków w treści dokumentu. 

Linki w fakturach KSeF – kontynuacja zagrożeń obserwowanych od początku obowiązkowego KSeF 

Zagrożenia związane z wykorzystaniem KSeF do oszustw nie są nowym zjawiskiem. Pierwsze incydenty pojawiły się już w lutym 2026 r., zaraz po starcie obowiązkowego systemu dla największych firm. Najpopularniejszy wariant ataku w pierwszych miesiącach 2026 r. opierał się na fałszywych fakturach PDF z kodami QR imitującymi dokumenty z KSeF. Oszuści generowali fakturę PDF z kodem QR prowadzącym do nieistniejącego dokumentu w prawdziwym KSeF lub do podrobionej strony imitującej portal Ministerstwa Finansów. 

Atak z wykorzystaniem linków w samej fakturze KSeF to ewolucja tego schematu. Zamiast podrabiać dokument PDF z kodem QR, atakujący wystawia prawdziwą fakturę w KSeF (otrzymuje numer urzędowy), a złośliwy element umieszcza w treści dokumentu. Faktura jest autentyczna, ale link w niej zawarty prowadzi do strony wyłudzającej dane logowania lub złośliwego oprogramowania. Im powszechniejszy KSeF, tym częstsze próby wykorzystania go jako wektora ataku. 

Lista Ostrzeżeń CERT Polska, która jest podstawą działania reguły BC-TECH-CHECK-LINK, funkcjonuje na podstawie art. 20 ustawy z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Lista jest prowadzona przez CSIRT NASK, aktualizowana 24 godziny na dobę przez 7 dni w tygodniu i wykorzystywana między innymi przez operatorów telekomunikacyjnych do blokowania ruchu do złośliwych stron. Businesscheck wykorzystuje to samo, oficjalne źródło danych co operatorzy sieci komórkowych w Polsce. 

Najczęściej zadawane pytania 

Czy Businesscheck blokuje fakturę automatycznie, czy tylko ostrzega? 

Standardowo Businesscheck przy wyniku STOP blokuje wysyłkę faktury sprzedażowej do KSeF i wymaga akcji użytkownika. Dla faktur zakupowych z KSeF, gdy link prowadzi do złośliwej domeny, dokument trafia do użytkownika z wyraźnym oznaczeniem ostrzeżenia. Decyzję o dalszym przetworzeniu podejmuje księgowy, który może odrzucić fakturę, zgłosić ją jako podejrzaną lub po dodatkowej weryfikacji kontynuować pracę z dokumentem. 

Co zrobić, gdy otrzymam fakturę z podejrzanym linkiem? 

W przypadku podejrzenia oszustwa nie należy klikać linków znajdujących się w fakturze. Podejrzany dokument można zgłosić bezpośrednio w Aplikacji Podatnika KSeF 2.0 za pomocą funkcji „Zgłoszenie nadużycia”, udostępnionej przez Ministerstwo Finansów od 24 kwietnia 2026 r. 

Jak często aktualizowana jest Lista Ostrzeżeń CERT Polska wykorzystywana przez Businesscheck? 

Lista Ostrzeżeń CERT Polska jest aktualizowana na bieżąco przez zespół CSIRT NASK, 24 godziny na dobę przez 7 dni w tygodniu. Businesscheck pobiera aktualną wersję listy raz dziennie z oficjalnego źródła pod adresem: Lista ostrzeżeń. To częstotliwość zgodna ze standardami branżowymi dla tego typu integracji. Codzienna aktualizacja zapewnia ochronę przed świeżo zidentyfikowanymi domenami phishingowymi, bez nadmiernego obciążania infrastruktury CERT Polska zapytaniami z każdego systemu ERP w Polsce. 

Cykl Businesscheck – co już wiesz i co jeszcze przed Tobą 

Cykl Businesscheck to seria artykułów dla księgowych i biur rachunkowych, poświęcona sprawdzaniu faktur przed wysłaniem oraz po odbiorze z Krajowego Systemu e-Faktur. Każdy artykuł odpowiada na inne pytanie z codziennej pracy księgowych. 

Już opublikowane: 

• Błędy w fakturach do KSeF? Sprawdź, jak wykryć je przed wysyłką 

• Czy faktura przyjęta przez KSeF na pewno jest poprawna? 

• Businesscheck: Biała Lista, VIES i NIP przed wysyłką do KSeF? 

W kolejnych artykułach cyklu omówimy m.in. kontrole płatności i mechanizm podzielonej płatności, faktury walutowe i kurs NBP, faktury zaliczkowe i korekty, procedury szczególne (marża, samofakturowanie, transakcje trójstronne) oraz kompletną listę 47 reguł sprawdzających w jednym miejscu. 

Sprawdź, jak Businesscheck chroni Twoją firmę przed złośliwymi linkami w fakturach KSeF

Businesscheck to dodatek do platformy Businesslink dostępny dla klientów Wapro. Po włączeniu, Businesscheck staje się elementem standardowego procesu wysyłki faktury z Wapro do KSeF, bez dodatkowej konfiguracji ze strony użytkownika. Reguła BC-TECH-CHECK-LINK jest aktywna domyślnie dla wszystkich klientów.