Jak prolomit EET: Elektronické hlášení tržeb nemá problémy s šifrováním, podvádět se dá i jinak

Jak bych to udělal já? Napadá mne několik možností, které jsou ve své podstatě velmi jednoduché. Zákazníků, kteří si budou ověřovat účtenky EET, je naprosté minimum. Fakticky jediným nebezpečím jsou možné kontrolní nákupy pracovníků finančních úřadů. Jde tedy o to, vydávat účtenky, které budou na první pohled vypadat běžně, ale nebudou evidovány nebo budou evidovány pouze částečně. A udělat vše pro to, abych je nevystavil kontrolorům. Jinými slovy: zasahuji pouze do vlastního pokladního systému, který mám pod svou úplnou kontrolou a s nímž si mohu dělat cokoliv, co uznám za vhodné.

Pro EET jsou na účtence podstatné dva údaje: BKP (bezpečnostní kód poplatníka) a FIK (fiskální identifikační kód). Z hlediska zákazníka jsou to dva náhodné řetězce číslic 0-9 a A-F, jejichž správnost si nemůže automaticky a jednoduše ověřit: leda by je zadal do formuláře na webu MF nebo se zaregistroval do Účtenkovky.

První jednoduché řešení je, že si obě hodnoty pro vytipované účtenky prostě vymyslím, vygeneruji je náhodně. V takovém případě spoléhám na to, že si je nikdo nebude ověřovat a případně pokud ověření proběhne neúspěšně, nebude s tím nic dělat. To je řešení velice primitivní a dle mého názoru příliš riskantní.

Mnohem elegantnější řešení je, že budu tentýž kód používat opakovaně. Pro možnost ověření účtenky v EET je nutné zachovat pouze částku, datum a čas, včetně sekund. Kdybych tedy byl majitelem obchodního řetězce, skladoval bych digitálně všechny vydané účtenky na všech pobočkách (což musím dělat stejně) a jednou vydaný FIK a BKP bych používal opakovaně, pro více účtenek se stejnou částkou, vydaných přibližně ve stejné době.

Částka musí sedět přesně, protože lze předpokládat, že uživatel ví, kolik zaplatil. Je nicméně možné uživateli u většího nákupu cenu o nějakou korunu upravit (dát mu slevu), abych se trefil do správné výsledné částky. Čas nemusí sedět přesně. Realisticky, pokud bude uživatel účtenku ověřovat nebo zadávat do loterie, nebude si pamatovat na minutu přesně, kdy nákup učinil, a i kdyby, bude to pokládat za chybu své paměti nebo si řekne, že měli posunutý čas na pokladně nebo cokoliv.

Tento postup "přežije" ověření na webu MF ČR a jednu registraci do Účtenkovky. Ta je velkolepým neúspěchem a podle dostupných informací ji hraje malé množství "profesionálních" hráčů za okázalé ignorance většiny populace. Běžným zákazníkem je tedy tento postup prakticky neodhalitelný.

Používání stejného kódu pro větší počet transakcí je ale odhalitelné kontrolou finančního úřadu, a to velice snadno – pokud kontroloři na účtenku s podvodnými údaji narazí, protože sami přesně vědí, za kolik a v kolik hodin nakoupili.

Podvodníci proto musí celý systém pečlivě nastavit tak, aby se snažil kontrolu detekovat a pokud možno se při ní neprojevil. Nejsa obchodníkem, nemám s kontrolami EET zkušenosti, ale předpokládám, že ačkoliv není spolehlivý algoritmus, jak kontrolu detekovat, lze se značnou mírou přesnosti odhadnout, který nákup kontrolní není. Podle počtu položek a utracené částky, případně skladby položek. V síti, která má několik desítek prodejen, je snazší takový podvod provést, než v jednom konkrétním obchodě.

Výše uvedené postupy jsou z hlediska programátorského v podstatě triviální, nejedná se o žádný high-tech zločin. Bylo by jistě zajímavé vědět, jak došlo k odhalení citovaného případu, zda to bylo následkem kontroly, nebo zda to bylo na udání. V každém případě je ale dost nesmyslné mluvit o "prolomení EET".