ePUAP odłączony, ale dane Polaków mogły wyciec. Co grozi milionom obywateli?

Ministerstwo Cyfryzacji poinformowało o wykryciu i zatrzymaniu cyberataku na ePUAP. System został prewencyjnie odłączony, a służby i zespoły techniczne prowadzą działania związane z incydentem.

Pojawia się jednak istotne pytanie: co, jeśli zanim platformę wyłączono, hakerzy zdążyli wykraść dane użytkowników?

Na razie nie ma potwierdzenia, że do takiego wycieku doszło. Warto jednak przeanalizować potencjalne konsekwencje takiego scenariusza. ePUAP służy do kontaktów z administracją publiczną, a zgromadzone w związku z jego funkcjonowaniem informacje mogą mieć dla przestępców dużą wartość.

PESEL, adresy i dokumenty w rękach przestępców

W zależności od zakresu włamania zagrożone mogłyby być m.in. dane identyfikacyjne obywateli, numery PESEL, adresy zamieszkania, numery telefonów, adresy e-mail oraz dokumenty przesyłane do urzędów.

Szczególnie niebezpieczne byłoby przejęcie korespondencji dotyczącej spraw rodzinnych, majątkowych, zawodowych czy administracyjnych.

Połączenie kilku takich informacji może ułatwić przestępcom podszywanie się pod konkretne osoby i przeprowadzanie oszustw.

Jednym z możliwych zagrożeń jest wyłudzanie kredytów i pożyczek na cudze nazwisko. Skradzione dane mogą być również wykorzystywane do zakładania rachunków, zawierania umów telekomunikacyjnych czy prób wyłudzenia pieniędzy.

Sam numer PESEL nie wystarczy automatycznie do zaciągnięcia zobowiązania, ale w połączeniu z innymi danymi może znacząco ułatwić przestępczy proceder.

Oszuści mogą podszywać się pod urzędy

Kolejnym zagrożeniem są oszustwa wykorzystujące informacje o sprawach załatwianych przez obywateli.

Wyobraźmy sobie sytuację, w której przestępca zna nasze dane osobowe, adres i szczegóły korespondencji z urzędem skarbowym lub ZUS. Może zadzwonić, podać się za urzędnika i przekazać informację o rzekomej zaległości, zwrocie pieniędzy albo konieczności potwierdzenia danych.

Taki atak może być znacznie bardziej przekonujący niż przypadkowy SMS, ponieważ oszust dysponuje prawdziwymi informacjami o swojej ofierze.

Wykradzione dokumenty mogą też zawierać szczególnie prywatne informacje, dotyczące na przykład rozwodów, sytuacji finansowej, problemów zdrowotnych czy spraw rodzinnych. W skrajnych przypadkach mogłyby zostać wykorzystane do szantażu lub publicznego ujawnienia poufnych informacji.

Najpoważniejszy scenariusz: przejęcie Profilu Zaufanego

Szczególne obawy budziłaby sytuacja, w której cyberprzestępcy uzyskaliby dostęp nie tylko do danych osobowych, ale również do danych uwierzytelniających i mechanizmów pozwalających przejmować konta.

Profil Zaufany umożliwia potwierdzanie tożsamości w internecie, podpisywanie dokumentów elektronicznych i załatwianie spraw urzędowych.

Gdyby przestępcy przejęli kontrolę nad kontem konkretnej osoby, mogliby próbować wykonywać czynności w jej imieniu, np. wysyłać pisma, składać wnioski czy podpisywać dokumenty.

Nie oznacza to, że sam wyciek PESEL-u lub adresu e-mail pozwala przejąć Profil Zaufany. Do tego potrzebne byłoby uzyskanie dodatkowych danych lub dostępu do mechanizmów uwierzytelniania.

Co powinni zrobić Polacy?

Jeżeli doszłoby do potwierdzonego wycieku danych, obywatele powinni przede wszystkim zabezpieczyć swoją tożsamość.

Najważniejsze działania to:

• Zastrzeżenie numeru PESEL – można to zrobić przez aplikację mObywatel, portal gov.pl lub w urzędzie gminy.
• Zmiana haseł – szczególnie do poczty elektronicznej i usług, w których wykorzystywano te same dane logowania.
• Włączenie dodatkowego uwierzytelniania – wszędzie tam, gdzie jest dostępne.
• Kontrola historii kredytowej – warto sprawdzać, czy ktoś nie próbował zaciągnąć zobowiązania na nasze nazwisko.
• Ostrożność przy kontaktach telefonicznych – szczególnie gdy ktoś podaje się za pracownika banku, urzędu lub policjanta i żąda przekazania danych.

W przypadku podejrzenia przejęcia Profilu Zaufanego należy niezwłocznie zgłosić problem i zabezpieczyć konto.

Ministerstwo powinno odpowiedzieć na trzy pytania

Jeśli doszło do nieuprawnionego dostępu do danych, kluczowe będzie ustalenie skali incydentu. Zgodnie z RODO administrator danych ma obowiązek zgłosić odpowiednio poważne naruszenie Prezesowi Urzędu Ochrony Danych Osobowych zasadniczo w ciągu 72 godzin od stwierdzenia naruszenia. Jeżeli naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, powinny one zostać o nim poinformowane.

W takiej sytuacji obywatele powinni otrzymać jasne odpowiedzi na trzy podstawowe pytania:

1. Czy hakerzy uzyskali dostęp do danych osobowych i czy je skopiowali?
2. Jakie konkretnie informacje mogły zostać wykradzione?
3. Czy istnieje ryzyko przejęcia kont użytkowników i wykorzystania Profilów Zaufanych?

Skutki mogą być odczuwalne przez lata

Największym problemem w przypadku poważnego wycieku nie jest sama niedostępność ePUAP. System można przywrócić, a zabezpieczenia wzmocnić. Znacznie trudniej odzyskać kontrolę nad danymi, które raz trafiły w ręce cyberprzestępców.

Skradzione informacje mogą być sprzedawane, przekazywane kolejnym grupom przestępczym i wykorzystywane długo po zakończeniu samego ataku.

Dlatego nawet jeśli ePUAP zostanie ponownie uruchomiony, nie oznacza to automatycznie, że zagrożenie dla użytkowników minęło.

Źródło: Republika

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca.

Bądź na bieżąco! Obserwuj nas w Wiadomościach Google. 

Jesteśmy na Youtube: Bądź z nami na Youtube

Jesteśmy na Facebooku: Bądź z nami na FB

Jesteśmy na platformie X: Bądź z nami na X