Fałszywy adres e-mail, który mógł służyć do wyłudzania danych lub za którym mogli kryć się fałszerze wiz, przez cztery lata widniał na stronie ambasady RP w Bagdadzie. Ministerstwo Spraw Zagranicznych, gdy dowiedziało się o tym od dziennikarza portalu tvn24.pl, natychmiast odcięło dostęp do strony i... nabrało wody w usta.
W zakładce z instrukcją, jak irakijscy obywatele mogą uzyskać polską wizę, jako e-mail kontaktowy widniał adres, mający swoją skrzynkę w ogólnodostępnej domenie Yahoo.com, a nie - jak można byłoby się tego spodziewać - w rządowej domenie msz.gov.pl.
Odkrycie przez przypadek
Podejrzeń, że coś z tym adresem może być nie tak nabrała blogerka Michalina Kupper, która chciała pomóc znajomemu z Iraku w uzyskaniu wizy do Polski.
"Kolega z Kurdystanu nie mógł sobie poradzić z informacjami dotyczącymi zdobycia wizy. Odszukałam stronę Ambasady Polskiej w Bagdadzie i przesłałam koledze angielskojęzyczny link z danymi kontaktowymi" – relacjonuje Kupper na swoim blogu.
Wśród danych kontaktowych znajdował się numer telefonu, a także adres e-mail, w domenie yahoo.com. Kolega blogerki, przeczuwając, że adres nie musi należeć do polskiego rządu, nie wysłał wiadomości. Postanowił najpierw zadzwonić.
"Wizę wycenili na 10 tys. dolarów. Od razu pomyślałam, że to błąd. Napisałam mail. Odpowiedź nadeszła szybko: wiza 2-letnia, koszt tym razem 500 euro. 'Przelej kasę, (Bank of America) a my to wszystko załatwimy'" – relacjonuje treść maila zwrotnego Michalina Kupper.
Podejrzenia, że adres umieszczony na stronie ambasady nie musi należeć do polskich służb konsularnych, okazały się zasadne. Zwłaszcza cena podana przez nadawców maila wydawała się stanowczo zawyżona. Oficjalnie polska wiza Schengen kosztuje w Iraku 77 dolarów (92.000 irackich dinarów). Taką kwotę podaje ambasada RP w Bagdadzie na swojej stronie internetowej.
Kobieta postanowiła więc sprawdzić, czy adres w domenie yahoo.com rzeczywiście należy do polskiej ambasady. Pytany przez nią o to wicekonsul Witold Krajewski z Agencji Konsularnej RP w Irbilu stwierdził, iż wspomniany adres "jest nieautoryzowany przez polskie placówki dyplomatyczne".
MSZ milczy
Na tym kontakt blogerki z polską służbą konsularną zakończył się. Ministerstwo Spraw Zagranicznych według jej relacji nie odpowiedziało już na kolejny mail. Na nasze pytania, mimo wielokrotnych próśb i prób kontaktu, biuro prasowe MSZ nie odpowiedziało przez dwa dni.
Niewyjaśnione jest więc kilka istotnych dla wiarygodności - a być może i bezpieczeństwa państwa - kwestii:
- jak w ogóle do tego mogło dojść, że na stronie polskiej placówki dyplomatycznej znalazł się adres, który nie wiadomo, do kogo należy?
- do kogo należy skrzynka mailowa na Yahoo.com i czy jej właściciele "tylko" wyłudzali dane rzekomo potrzebne do uzyskania wizy, czy też umożliwili uzyskanie polskich wiz poza oficjalną drogą?
- ile ewentualnie osób i w jakich zamiarach na podstawie tak uzyskanych wiz mogło wjechać do strefy Schengen?
Od 2014 roku
Bez pomocy MSZ udało nam się natomiast uprawdopodobnić, jak długo ten "nieuatoryzowany przez polskie placówki dyplomatyczne" adres widniał na stronie ambasady RP w Bagdadzie. Z danych serwisu WebArchive wynika, że mógł być tam umieszczony nawet od 2014 roku.
Skoro tak, to postanowiliśmy spytać o tę sprawę byłego wiceministra spraw zagranicznych, obecnie posła PO Rafała Trzaskowskiego.
- Tutaj główna odpowiedzialność jest po stronie rządu i samego ministerstwa, które powinno dbać, żeby te strony były całkowicie zabezpieczone. Widocznie zawiodły procedury, zawiodło ministerstwo i Ci, którzy są odpowiedzialni za to, żeby zabezpieczać strony gov.pl – wymieniał poseł Trzaskowski.
Kiedy dowiedział się, że fałszywy adres widniał na stronie również w czasie, kiedy on był wiceministrem, początkowo nie chciał w to uwierzyć, po czym oświadczył że "odpowiedzialni są wszyscy".
- I poprzednia ekipa, która tego nie wychwyciła, i obecna, która rządzi dwa lata. Ten adres przez dwa lata wisiał na tej stronie i odpowiedzialność rozkłada się równo po wszystkich. Kiedyś tym zajmował się NASK. Jeżeli chodzi o cyberbezpieczeństwo, to nadzór przeszedł do kancelarii premiera – stwierdził Trzaskowski.
"Poważne zagrożenie"
Zdaniem byłego wiceszefa MSZ w związku z fałszywym adresem e-mail mamy do czynienia z poważnym zagrożeniem.
- Jeżeli na podstawie tych danych podejrzani ludzie mogli starać się o wizy, to oznacza, że ci podejrzani osobnicy mogli wjeżdżać do strefy Schengen. Jeżeli ten adres wprowadzał w błąd przez parę lat, to służby muszą dokładnie prześledzić, jakie to ma konsekwencje, ile wydano wiz [na podstawie wyłudzonych dokumentów – red.] – powiedział Rafał Trzaskowski.
Poseł PO uważa, że w związku z ujawnieniem sprawy należałoby umieścić ogłoszenie na stronie Ministerstwa Spraw Zagranicznych tak, aby odnaleźć osoby poszkodowane.
Bo nawet jeśli adres ten nie posłużył do nielegalnego uzyskania wiz dla obcokrajowców chcących w złych zamiarach przeniknąć do Strefy Schengen, to mógł na przykład zostać wykorzystany do bezprawnego wyłudzania danych.
Anonimowy asystent
Gdy wysłaliśmy mail na ten adres, odbiorca zażądał od nas danych osobowych, skanów dokumentów tożsamości i oczywiście pieniędzy.
Odpowiedź dostaliśmy już po kilku minutach od wysłania maila. W wiadomości zwrotnej poproszono nas o przesłanie skanu paszportu, adresu zamieszkania, numeru telefonu oraz kopii aktu urodzenia. Dodatkowo poinformowano nas, że wiza ważna będzie dwa lata, a czas oczekiwania na jej wyrobienie wyniesie dwa tygodnie. Ponadto wskazano nam numer konta w „Bank of America”. Od nas zażądano już nie 500, a 200 euro opłaty z góry.
Osoba, która odpisywała na wiadomości, podpisywała się jako „Consular Assistant Embassy of the Republic of Poland/ Baghdad [Asystent Konsularny ambasady RP w Bagdadzie]”. W żadnej z wiadomości nie podała swojego imienia i nazwiska.
Wyłudzenie danych
Gdy opisaliśmy ten schemat działania Cyprianowi Gutkowskiemu z Fundacji "Bezpieczna Cyberprzestrzeń", nie miał wątpliwości, że może tu chodzić o wyłudzenie danych osobowych i kopii dokumentów, które są cennym towarem wśród osób, które dopuszczając się zabronionych czynów, posługują się zwykle cudzą tożsamością.
- Może być to sprawa związana z próbą wydostania się z danego kraju i uzyskania danych paszportowych w celu wyrobienia wizy. Lub też kradzieży tożsamości i wyrobienia jej na inną osobę - tłumaczy Gutkowski.
Eksperta "Bezpiecznej Cyberprzestrzeni" dziwi jednak fakt, że taki potencjalnie niebezpieczny adres mailowy mógł funkcjonować poza jakąkolwiek kontrolą na rządowej stronie.
– Strony powinny być monitorowane. Szczególnie takie, które mają przeznaczenie rządowe i mają takie domeny. Administrator powinien taką stronę monitorować i szybciej dowiedzieć się o takiej sytuacji – stwierdził Gutkowski.
Strona zniknęła
Z powodu braku jasnego stanowiska MSZ w sprawie "nieautoryzowanego" adresu e-mail próbowaliśmy zrozumieć, jak do tego mogło dojść, rozmawiając z ekspertami do spraw bezpieczeństwa. Czy może używając tego nieprawdziwego adresu, polski wywiad chciał zorientować się, kto będzie próbował uzyskać polską wizę za pomocą adresu, który już na pierwszy rzut oka zdradza, że nie należy do rządu. To pytanie zadaliśmy Krzysztofowi Liedelowi, ekspertowi w dziedzinie terroryzmu i służb specjalnych.
- Służby czasami prowadzą działania pod przykryciem. Nie wiem, czy aż taka kombinacja operacyjna miała tutaj miejsce. Wszystkie dane, które trafiają do ambasady, są danymi, którymi ambasada musi dzielić się z naszymi służbami, dlatego w tym przypadku działanie służb z wykorzystaniem adresu na Yahoo wydaje mi się mało prawdopodobne - twierdzi Liedel.
Pochodzenie i przeznaczenie tego podejrzanego i - powtórzmy za wicekonsulem po raz kolejny - "nieuatoryzowanego przez polskie placówki dyplomatyczne" adresu pozostaje więc zagadką.
Po tym, jak zainteresowaliśmy się sprawą, Ministerstwo Spraw Zagranicznych zamknęło dostęp do strony, na której widniał wspomniany adres. "Podana strona nie istnieje" - wyświetla się komunikat po dodaniu adresu. Jedynym śladem, że taki adres istniał jest opis wyników wyszukiwania w najpopularniejszej wyszukiwarce.
Autor: Mateusz Dolak (m.dolak@tvn.pl) / Źródło: tvn24.pl, michalinakupper.com