Afera mailowa: Powstają kolejne kanały. "Analiza trwa"

W ostatni czwartek wieczorem kanał w komunikatorze Telegram, który od kilku tygodni publikował maile rzekomo pochodzące ze skrzynki pocztowej ministra Michała Dworczyka został zablokowany.

Jak udało się wtedy ustalić portalowi CyberDefence24.pl, procedura zablokowania kanałów przez Telegram trwała tak długo, ponieważ została uruchomiona z chwilą uzyskania analizy prawnej, potwierdzającej, że publikowane treści powinny zostać usunięte.

Następnego dnia – w piątek pojawił się jednak ponownie kanał na Telegramie (funkcjonujący pod inną niż do tej pory nazwą), za pośrednictwem którego cyberprzestępcy rozpoczęli publikację materiałów. Zapowiadali, że „wkrótce będą kontynuować ich pracę”. Dodali, że „czeka na nas wiele ciekawostek”. Udostępnili też archiwum wcześniejszych publikacji. Około północy – z piątku na sobotę – kanał, który zapowiadał publikacje nowych maili także został zablokowany.

Z informacji CyberDefence24.pl wynikało, że polski rząd dopiero rozpoczął drogę prawną i równolegle będzie kontynuował wspólnie z innymi państwami Unii Europejskiej działania w ramach Cyber Diplomacy Toolbox. 

Innym cyberindycentem – również zarejestrowanym przez nas w ostatni piątek – był fałszywy mail, jaki miał być rzekomo wysyłany z konta ministra i pełnomocnika ds. cyberbezpieczeństwa Janusza Cieszyńskiego. Otrzymała go m.in. dziennikarka współpracująca z CyberDefence24.pl Małgorzata Fraser. Ktoś z fałszywego adresu mailowego zapraszał dziennikarzy na „nieoficjalne spotkanie”, na którym miał przekazać istotne informacje dotyczące cyberbezpieczeństwa. Czujność niektórych mogła zostać uśpiona – kilka dni wcześniej w KPRM odbyło się podobne, nieoficjalne zebranie z dziennikarzami z wybranych redakcji, gdzie ujawniono dotychczasowe informacje dotyczące wycieku mailowego ze skrzynki ministra Michała Dworczyka.

Cyberprzestępcy nie śpią

Jednak to nie koniec historii wycieku: cyberprzestępcy założyli kanał na Yandexie, zwanym potocznie „rosyjskim Google’m”, gdzie dość regularnie dodają nowe treści.

W poniedziałek pojawił się nowy chat utworzony przez cyberprzestępców na Gettr – „prawicowym Twitterze”, założonym przez byłego doradcę i rzecznika prasowego Donalda Trumpa – Jasona Millera. Jeśli wierzyć w autentyczność publikowanych maili (wszystkie ostatnie mają zamazane adresy mailowe, ale widać kto jest adresatem i nadawcą), to pochodzą one z maja 2021 roku. Konto pod tą samą nazwą, co pozostałe pojawił się także na Instagramie, jednak do tej pory opublikowano dopiero trzy maile (a raczej zdjęcia maili). Chat powstał również na komunikatorze Slack. 

Zapytaliśmy nieoficjalnie jedną z osób zaangażowanych w proces walki z cyberprzestępcami w ramach „afery mailowej” o plan działania. Usłyszeliśmy, że „nie podjęto jeszcze działań wobec Gettr, ponieważ opublikowano do tej pory maile z zamazanymi danymi osobowymi” (podobnie jest w przypadku Instagrama - red). Spytaliśmy kolejny raz i usłyszeliśmy, że „trwa analiza”.

Raczej nie należy spodziewać się, że cyberprzestępcy odpuszczą, dopóki nie podejmie się radykalnych kroków – na Telegramie powstał również prywatny kanał. Jego twórcy zapowiadają, że zdradzą „sekrety polskiej polityki i nie tylko”.

Zablokowane treści odrodzą się w innym miejscu

Analityczka mediów Anna Mierzyńska, która od początku śledzi wycieki danych z kont ministra Michała Dworczyka zwraca uwagę, że inwestowanie czasu i energii, by zablokować kanały na Telegramie mija się z celem. "Wszyscy doskonale wiemy, że jeśli zostaną zablokowane, odrodzą się w innym miejscu. W internecie jest wiele miejsc, gdzie można publikować tego typu treści i to było z góry wiadome" - stwierdza w rozmowie z CyberDefence24.pl.

Jej zdaniem, trudno w przypadku tego wycieku mówić o działaniach dezinformacyjnych, ponieważ rząd przyjął założenie, że nie odnosi się do treści konkretnych maili. "Natomiast wszelkie próby weryfikacji tych wiadomości przez dziennikarzy (np. przez TVN24) w ramach, których porównywano wiarygodność maili z wydarzeniami - jakie miały miejsce - wskazywały na to, że mamy do czynienia z prawdziwą korespondencją, a nie z akcją dezinformacyjną. To raczej operacja, której celem jest zaatakowanie rządu z użyciem materiałów, które zostały pozyskane poprzez nieuprawniony dostęp do skrzynek" - ocenia Anna Mierzyńska.

Według niej, nie możemy przewidzieć celu tej operacji, natomiast wszystko wskazuje na to, że te materiały mogą być i będą wykorzystywane przez lata. "W momencie, kiedy będzie to korzystne dla osoby, która stoi za operacją. Wiele wskazuje na to, że część z nich pochodzi z sierpnia 2020 roku i jest wykorzystywana przez białoruską administrację Łukaszenki. Dopóki osoby związane z aferą mailową będą obecne w polskiej polityce, dopóty materiały będą używane przeciwko nim" - uważa. 

W rozmowie z portalem CyberDefence24.pl wskazuje, że jej zdaniem "nie zrobiono nic, by rozbroić tę bombę informacyjną”.

"W tej sytuacji można albo ujawnić, jakie maile zostały wykradzione i w ten sposób kolejne wycieki nie miałyby żadnego znaczenia; albo pozbawić znaczących funkcji politycznych osoby, których te wiadomości dotyczą. Tu nie chodzi o to, by Michał Dworczyk podał się do dymisji, został >>ukarany<<, ale by materiały związane z tą osobą nie były już wykorzystywane. W Polsce nie zrobiono żadnej z tych rzeczy: najpierw było długie milczenie, potem wyjaśnianie sytuacji na zamkniętym spotkaniu z dziennikarzami. Następnie na konferencji, na której nie powiedziano połowy informacji. Potem blokowano kolejne kanały, co wiemy z góry, że jest skazane na niepowodzenie. Kanał polskojęzyczny jest w tej chwili na przynajmniej 3-4 platformach społecznościowych. Nie sądzę, aby polski rząd miał możliwości zablokowania każdego miejsca w sieci. Podejrzewam, że blokowanie kolejnych kanałów zakończy się wykupieniem nienamierzalnej domeny przez cyberprzestępców, gdzie opublikują całość materiałów na jednej stronie internetowej" - podsumowała Mierzyńska w rozmowie z nami. 

Przypomnijmy, że tzw. afera mailowa trwa od 8 czerwca br., kiedy to po raz pierwszy ujawniono treść rzekomo pochodzącą ze skrzynki mailowej ministra Michała Dworczyka. Następnie przez kilka tygodni cyberprzestępcy niemal codziennie publikowali kolejne wiadomości. 

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.