Rosyjski szpiegowski trójkąt: Telegram, Yandex i dywersja w Polsce. Dlaczego ciągle nie ma zakazu?

Kolejna dwójka obywateli Ukrainy i troje Białorusinów z zarzutami szpiegostwa. Jak poinformowała w piątek Prokuratura Krajowa, zatrzymań dokonali we wtorek i środę funkcjonariusze ABW i Centralnego Biura Zwalczania Cyberprzestępczości. Co istotne, obcokrajowcy nie mają związku z listopadowymi aktami dywersji na kolei.

Obserwuj nas w Google News. Kliknij w link i zaznacz gwiazdkę

Zatrzymani robili zdjęcia infrastruktury krytycznej w Polsce i przekazywali obcym służbom wywiadowczym. Zlecenia otrzymywali na Telegramie. Podobnie działała grupa, która została rozbita jeszcze przed zmianą rządu w grudniu 2023 roku – do tego wykonywała zlecenia, aby mazać po murach wulgarne hasła wymierzone w PiS.

Ostrzeżenia i brak reakcji

Telegram jest zakazany na Ukrainie – właśnie ze względów bezpieczeństwa. Podobnie rosyjska przeglądarka Yandex i inne oprogramowanie tego koncernu np. nawigacja. Czy w Polsce zabezpieczono się przed tym problemem? Niestety – nie. 

We wrześniu ub. r Narodowe Centrum Koordynacji Cyberbezpieczeństwa Ukrainy poinformowało o wprowadzeniu zakazu korzystania z komunikatora Telegram przez pracowników administracji państwowej, żołnierzy oraz w obiektach infrastruktury krytycznej. Ze względu na zagrożenie państwa. 

Na kilka miesięcy przed zmianą rządu w Polsce, pełnomocnik Rządu ds. Bezpieczeństwa Przestrzeni Informacyjnej przestrzegał przed komunikatorem Telegram. Alarmował, że jest on wykorzystywany przez rosyjskie służby do dezinformacji, a skala jego oddziaływania rośnie. Jak dowiedziała się Niezależna.pl stało się to po tym jak polskie służby przekazały informacje o przypadkach werbunku przez obce wywiady za pośrednictwem Telegrama.

Z naszej wiedzy wynika, że ABW kilkukrotnie ostrzegała instytucje państwa przed możliwością działalności terrorystycznej z wykorzystaniem niebezpiecznych komunikatorów. Służby na tyle poważnie oceniały zagrożenie, że w 2023 roku zorganizowały szkolenie dotyczące korzystania z niektórych aplikacji. Wzięli w nim udział m.in. parlamentarzyści. Niestety frekwencja była mizerna - szczególnie ze strony posłów Koalicji Obywatelskiej, Lewicy i PSL - twierdzi źródło Niezalezna.pl.

A Yandex? Aplikacje powiązane z popularną w Rosji i w obszarze rosyjskojęzycznym wyszukiwarką Yandex powinny zostać usunięte ze sklepów z aplikacjami dostępnych w krajach Europejskiego Obszaru Gospodarczego (EOG) – ostrzegali już w 2022 roku litewscy ministrowie gospodarki Aušrinė Armonaitė i  obrony Arvydas Anušauskas.

Powodem były poważne obawy o bezpieczeństwo danych użytkowników.  Wezwali ministrów odpowiedzialnych za politykę cyfrową i cyberbezpieczeństwo do nacisku na Apple i Google, aby te usunęły aplikacje Yandeksa ze sklepów App Store I Google Play na terenie EOG. Bez skutku. W Polsce nie ma problemów z ich instalacją i używaniem. 

Co gorsze, rosyjski oligarcha Arkadij Wołoż, współzałożyciel wyszukiwarki internetowej Yandex, został wykreślony z list sankcyjnych Unii Europejskiej w 2024 roku. 

Zagrożeni wyciekiem danych osobowych do rosyjskiego wywiadu i służb bezpieczeństwa są także wszyscy mieszkańcy krajów, którzy używają rosyjskich serwisów społecznościowych (np. VKontakte, odpowiednik amerykańskiego Facebooka czy Odnoklassniki, odpowiednik Naszej Klasy – red.) czy rosyjskiej poczty elektronicznej. Niestety u nas są dostępne. 

Złe procedury i spóźniona ustawa

W polskim prawie istnieje niezwykle ułomny mechanizm, który pozwala Pełnomocnikowi Rządu do Spraw Cyberbezpieczeństwa na rekomendację, aby nie stosować w administracji rządowej określonych urządzeń informatycznych lub oprogramowania. Rekomendacja to stanowczo za mało. Nie ma bowiem stosownych przepisów, aby czegokolwiek kategorycznie zabronić!

Obecnie brak jest przepisów, które pozwalałyby nakazać wycofywanie z użycia produktów, usług i procesów ICT, które mogą zagrażać bezpieczeństwu kluczowych instytucji w Polsce, a przez to funkcjonowaniu państwa. (…)Ogólny zakaz używania aplikacji w całej administracji wymaga podstawy prawnej, więc obecnie nie jest możliwy – twierdziło rok temu Ministerstwo Cyfryzacji w odpowiedzi na pytania Niezależna.pl. 

Dopiero przyjęty pod koniec października przez rząd projekt ustawy o zmianie ustawy o Krajowym Systemie Cyberbezpieczeństwa ma stworzyć procedurę uznania dostawcy za dostawcę wysokiego ryzyka (HRV – ang. high risk vendor) w przypadku konieczności ochrony bezpieczeństwa państwa. Projektem zmian do tej pory nie zajął się Sejm. Komisje pochylą się nad nim dopiero w przyszłym tygodniu. Nie wiem czy uda się gładko go przegłosować. Może pojawić się spory sprzeciw części posłów Konfederacji i Lewicy – usłyszeliśmy od parlamentarzystów. 

Instytucja HRV ma wyeliminować niebezpieczny sprzęt lub usługi z kluczowych dla funkcjonowania państwa systemów informatycznych. Dostawcą wysokiego ryzyka (HRV) będzie firma, wobec której minister właściwy ds. informatyzacji wyda odpowiednią decyzję. W wyniku tej decyzji instytucje szczególnie istotne dla funkcjonowania państwa nie będą mogły wprowadzać określonych typów produktów ICT (ICT – ang. Information and Communications Technology), rodzajów usług ICT lub konkretnych procesów ICT, które pochodzą od takiego dostawcy do swoich systemów. Jeśli instytucje te już posiadają takie produkty lub usługi, będą musiały je wycofać w ciągu 4 lub 7 lat” – konkretyzuje ministerstwo. 

Nad wprowadzeniem analogicznych rozwiązań pracował rząd PiS. Projekt był już gotowy i trafił do Sejmu. Przy głosach sprzeciwu ze strony ówczesnej opozycji, która od dwóch lat rządzi państwem, nie został przyjęty.