Od lat słyszymy od instytucji publicznych to samo: nie klikaj w linki przychodzące SMS-em. W piątek rano państwo wysłało do odbiorców w całym kraju SMS z linkiem i poprosiło, żeby w niego kliknąć. Efekt był podwójny. Adres z poradnikiem bezpieczeństwa przestał odpowiadać pod naporem wejść. Przy okazji cała akcja zderzyła się z zasadą, którą to samo państwo wpaja obywatelom od lat.
Co się stało w piątek rano
Alert RCB miał treść krótką i jednoznaczną: “MSWiA: bądź przygotowany. Pobierz: poradnikbezpieczenstwa.gov.pl”. Chodziło o rządowy materiał opisujący zasady postępowania w sytuacjach kryzysowych, od plecaka ewakuacyjnego, przez szukanie miejsc schronienia, po rozróżnianie sygnałów syren.
Alert wysłano po nocnym incydencie na Lubelszczyźnie. Serwis cyberdefence24 podaje, że piątkowy alert trafił do około 30 milionów odbiorców. Po masowych wejściach strona przestała się otwierać.
To nie była awaria ani atak
Ta część jest istotna, bo w sieci od razu pojawiły się sugestie o ataku na rządowe serwisy.
Krzysztof Gawkowski, wicepremier i minister cyfryzacji, uciął je krótko: “Nie mamy żadnej awarii na stronach ‘gov.pl’. Nie mamy żadnego ataku”. Ministerstwo Cyfryzacji tłumaczyło problem chwilowym, gwałtownym wzrostem liczby użytkowników próbujących otworzyć stronę jednocześnie, a nie usterką infrastruktury. Marek Gieorgica z biura komunikacji resortu mówił o przejściowych problemach związanych z dużym ruchem.
Warto przy tym rozdzielić dwie rzeczy, bo w relacjach się zlewają. Niedostępna była domena z poradnikiem, a nie cały gov.pl. Rosnąca liczba zgłoszeń w serwisie Downdetector to sygnał od użytkowników, że coś im nie działa, a nie pomiar dostępności usługi.
Zasada, której państwo uczy od lat
Tu robi się ciekawiej, bo problem techniczny jest przejściowy, a ten drugi zostaje na dłużej.
Podstawowa rada w każdej kampanii o phishingu brzmi tak: nie klikaj w linki z SMS-ów. Dotyczy to zwłaszcza wiadomości, które wywołują presję czasu i podszywają się pod instytucję. Piątkowy alert wyglądał dokładnie tak, jak wiadomość, przed którą te kampanie ostrzegają. Nadawca podający się za ministerstwo, wezwanie do działania, skrócona treść i odnośnik do kliknięcia. Różnica polegała wyłącznie na tym, że tym razem był prawdziwy.
Uczciwie: to nie jest zarzut wobec samego kanału. Gawkowski ma rację, gdy mówi, że “dzisiaj nie ma bardziej masowego i bardziej efektywnego środka powiadamiania niż sygnały alarmowe”. SMS może dotrzeć do osób, które nie korzystają z aplikacji ani portalu. Problem polega na czym innym. Jak zauważa cyberdefence24, taka wysyłka może obniżać czujność odbiorców i ułatwiać podszywanie się pod nadawcę.
Bezpieczny odruch jest w takiej sytuacji prosty i warto go mieć niezależnie od tego, kto nadaje. Adresu z SMS-a się nie klika, tylko wpisuje ręcznie w przeglądarce. Przy adresach w domenie gov.pl to kilka sekund różnicy, a zysk jest taki, że ten sam odruch zadziała, gdy wiadomość będzie fałszywa. Podobny mechanizm opisywaliśmy przy fałszywych serwerach MCP podszywających się pod prawdziwe narzędzia, gdzie cała sztuczka polegała na tym, że podróbka wyglądała dokładnie jak oryginał.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Szczyt ruchu, który sam sobie wywołujesz
Dalsza część to już nasze odczytanie, bo nikt nie ujawnił, jak ten serwis był zbudowany ani jakie miał limity.
Przeciążenie może wynikać z nieprzewidzianego wzrostu ruchu. Ktoś podlinkuje stronę w dużym serwisie, coś stanie się modne, ruch przychodzi bez zapowiedzi. Tutaj było inaczej. Nadawca sam wybrał moment i mógł przewidzieć skoncentrowany wzrost ruchu.
Materiały w rodzaju poradnika można dystrybuować przez sieć dostarczania treści, czyli rozproszone serwery trzymające kopie pliku bliżej użytkownika, co ogranicza obciążenie źródła. Zupełnie inaczej wygląda to przy aplikacji generującej stronę przy każdym wejściu, gdzie limity kończą się dużo wcześniej.
Dla zespołu, który planuje własną kampanię, wniosek jest przenośny. Jeżeli sam wywołujesz szczyt ruchu, możesz z wyprzedzeniem oszacować jego termin i skalę, więc testy obciążeniowe przed wysyłką przestają być luksusem. Warto też mieć wersję awaryjną: sam plik pod prostym adresem albo kopię w zaufanym miejscu. Podaje się ją wtedy, gdy główny adres zaczyna się dławić. Największy koszt w takiej sytuacji nie jest zresztą techniczny. Instytucja prosi wielu odbiorców o jedno kliknięcie, a część z nich widzi komunikat o błędzie. Tego zaufania nie odzyskuje się aktualizacją serwera. Podobnie było przy łataniu setek błędów w Chrome, gdzie najważniejsza okazała się nie sama poprawka, tylko to, czy dotrze do ludzi na czas.
Podsumowanie
W piątek rano RCB rozesłało alert z linkiem do poradnika bezpieczeństwa na stronie poradnikbezpieczenstwa.gov.pl, a po masowych wejściach adres przestał odpowiadać. Ministerstwo Cyfryzacji zaprzeczyło awarii i atakowi, tłumacząc problem gwałtownym wzrostem liczby użytkowników. Wicepremier Krzysztof Gawkowski powiedział wprost, że nie ma ani awarii na stronach gov.pl, ani ataku. Niedostępna była domena poradnika, a nie cały gov.pl, i warto tego nie mylić ze zgłoszeniami użytkowników w Downdetectorze. Zostają dwa wnioski. Pierwszy dotyczy komunikacji. Państwo od lat uczy, żeby nie klikać w linki z SMS-ów, a jak zauważa cyberdefence24, taka wysyłka może obniżać czujność odbiorców i ułatwiać podszywanie się pod nadawcę. Drugi jest techniczny i to już nasze odczytanie. Szczyt ruchu wywołany własną wysyłką można wcześniej oszacować, a wariant oparty na treści statycznej byłby łatwiejszy do dystrybucji.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
