Poseł kliknął w podejrzany link. Teraz wszyscy udają, że problemem są hakerzy

2 sierpnia polskie media rozgrzały informacja, że Arkadiusz Myrcha - poseł Koalicji Obywatelskiej i wiceminister sprawiedliwości - padł ofiarą oszustwa. Poseł opublikował w mediach społecznościowych bardzo wymowny komunikat: "UWAGA Jeśli ktoś na WhtasApp dostał ode mnie wiadomość z linkiem do głosowania, proszę nie klikać. To wirus!". Informacje o dystrybucji podejrzanych linków z konta Myrchy potwierdziła następnie w mediach społecznościowych rzecznik MSWiA Karolina Gałecka.

- Przestępcy przejmują konta WhatsApp i w imieniu ich właścicieli rozsyłają wiadomości informujące o rzekomym konkursie oraz proszą o oddanie głosu - poinformowała.

Polski poseł padł ofiarą ataku - kto mógł być sprawcą? Agent wrogiego państwu polskiemu wywiadu? Przeciwnicy polityczni? Niezadowoleni wyborcy?

Z komunikatu rzecznik Gałeckiej wynika, że oszustwo to typowy łańcuszek phishingowy, w którym cyberprzestępcy przesyłają wiadomość tekstową z linkiem. Wiadomość ta najczęściej zawiera groźbę (np. "zostaniesz obciążony kosztami") lub - jak w tym przypadku - prośbę (np. "kliknij", "sprawdź"), napisaną w sposób mający przekonać adresata do zapoznania się z treścią podlinkowanej witryny.

CERT Polska udostępniło zrzuty ekranu oszustwa, na które miał naciąć się Myrcha.

I o ile można mu wybaczyć zaufanie co do treści wiadomości - bowiem cyberprzestępcy powołali się na autorytety dużych firm (Spotify, Google) i instytucji, a wiadomości napisane są zabójczo dobrym polskim, to już linki krzyczą, wręcz błagają żeby w nie nie klikać.

Kurs współorganizowany przez Spotify i Google, ale link to vonxypod.unaux.com.

Konkurs w którym można wygrać stypendium, ale zamiast nazwy instytucji edukacyjnej, w linku mamy tylko ballet-pl.com.

No ale dobrze, załóżmy że krzyk nie odbił się echem i poseł wszedł na strony-słupy. Wtedy, po podaniu numeru telefonu, wita go pełna instrukcja połączenia nowego urządzenia do konta. Czyli de facto oddania konta na WhatsAppie w ręce zręcznych cyberprzestępców z krajów trzeciego świata.

O ile retoryka jest całkowicie nowa, bowiem jeszcze nie spotkałam się z atakiem, w którym cyberprzestępcy proszą o głosowanie na kogoś, to oszustwo ma odhaczone wszystkie inne elementy schematu: komunikat przesłany prawdopodobnie od osoby, z którą się nie rozmawiało od dawna (o ile w ogóle), obecność perswazji językowej, pokracznie wyglądający adres URL i instrukcja, która prosi o nadanie większej ilości uprawnień niż ktokolwiek powinien dać nawet własnemu partnerowi życiowemu.

Tego typu ataki opisywaliśmy na Spider's Web wielokrotnie - zresztą nie tylko my, bo i inne polskie serwisy technologiczne. Powiem więcej - opisywało je także CERT Polska, które właściwie informuje o każdym tego typu incydencie. Także poseł Myrcha mógł wieloma kanałami natrafić na opisy podobnych oszustw - zwrot niedopłaty rachunku za prąd, wiadomości od urzędu skarbowego czy automatyczny zwrot podatku.

Nawet jeżeli poseł stroni od mediów głównego nurtu i nie po drodze mu śledzenie komunikatów CERT, mógł on zawsze wziąć udział w jednym ze szkoleń z zakresu cyberbezpieczeństwa organizowanych przez NASK dla VIP-ów - polityków, ich asystentów i doradców. Curriculum tych szkoleń obejmuje omawianie metod zaawansowanego phishingu i kampanii socjotechnicznych wymierzonych w konkretne osoby publiczne. No ale jak wiemy z relacji Dziennika Gazety Prawnej, na tego typu szkolenia organizowane z publicznych pieniędzy chodzi jedynie ułamek osób.

Byłabym w stanie przemilczeć całą tę sytuację, gdyby nie wystąpienie partyjnego kolegi posła Myrchy - ministra cyfryzacji Krzysztofa Gawkowskiego, który zabrał głos podczas spotkania z dziennikarzami na korytarzu sejmowym. Minister apelował o zachowanie ostrożności i przypominał, że w okresie wakacyjnym rośnie liczba prób przejmowania kont w komunikatorach. Jak przekazał, cyberprzestępcy wykorzystują przejęte profile do rozsyłania kolejnych wiadomości z phishingowymi linkami, których celem jest kradzież danych i pieniędzy.

Gawkowski przekonywał również, że Polska pozostaje najbardziej atakowanym państwem Unii Europejskiej pod względem liczby incydentów cyberbezpieczeństwa. Według niego tylko w 2025 r. odnotowano 270 tys. takich zdarzeń, a część aktywności prowadzonych przeciwko Polsce ma być elementem rosyjskiej wojny hybrydowej. Gawkowski apelował o zgłaszanie podejrzanych wiadomości do CERT Polska, korzystanie z uwierzytelniania dwuskładnikowego oraz zachowanie podstawowej higieny cyfrowej.

Problem w tym, że w przypadku Arkadiusza Myrchy nie mówimy o wyrafinowanej operacji prowadzonej przez grupę APT ani o ataku wymierzonym w konkretną osobę. Wszystko wskazuje na to, że poseł padł ofiarą masowej kampanii phishingowej, która od kilku dni krąży po polskim internecie i opiera się na schematach znanych od lat. Strony wykorzystane w oszustwie nie próbowały nawet wiarygodnie podszywać się pod znane instytucje, a ich adresy internetowe od pierwszego spojrzenia budziły uzasadnione podejrzenia.

I właśnie dlatego trudno oprzeć się wrażeniu, że tej sytuacji można było zwyczajnie uniknąć. Nie poprzez zakup kolejnych systemów bezpieczeństwa czy tworzenie nowych strategii cyberobrony, lecz przez elementarną świadomość zagrożeń.

Jednak przedstawiciele rządu zamiast przyznać, że zawiodła edukacja i wykorzystanie dostępnych narzędzi, przekaz szybko przesunął się w stronę opowieści o rekordowej liczbie cyberataków, rosyjskiej wojnie w sieci i zagrożeniu dla państwa. Są to oczywiście prawdziwe problemy, ale w tej konkretnej sprawie odwracają uwagę od sedna - poseł Myrcha mógł po prostu nie klikać i tak jak poseł Marcin Józefaciuk nadal miałby dostęp do swojego konta na WhatsAppie, a o całej sytuacji dowiedziałby się może z rozmów pomiędzy obradami.

Bo ostatecznie nie mamy do czynienia z brawurową operacją obcego wywiadu, lecz z politykiem, który kliknął w link prowadzący do podejrzanej strony i przekazał przestępcom dostęp do swojego konta. A przed takim scenariuszem od lat chroni przede wszystkim jedno: zdrowy rozsądek i podstawowa higiena cyfrowa.