mSzyfr - przyszłość bezpiecznej komunikacji?

Kampanie phishingowe na Signalu

Na początku 2026 roku osoby zajmujące eksponowane stanowiska publiczne oraz pracownicy instytucji państwowych stały się celem grup APT (ang. Advanced Persistent Threat) powiązanych ze służbami wrogich państw. Prowadzone były kampanie phishingowe, czyli zorganizowane ataki cyberprzestępcze, w których masowo rozsyłane fałszywe wiadomości mają na celu kradzież danych logowania, pieniędzy lub nawet tożsamości. Wykorzystując techniki socjotechniczne, atakujący podszywali się pod obsługę techniczną aplikacji Signal, informując o blokadzie konta.

Cel i mechanizm ataku

Celem takiego ataku było zmanipulowanie ofiary i doprowadzenie do kliknięcia przez nią w złośliwy odnośnik, co prowadziło do przejęcia kontroli nad kontem oraz komunikacją i bezpośrednio zagrażało bezpieczeństwu państwa.

Rekomendacja rządu: aplikacja mSzyfr

W związku z atakami polski Rząd rekomenduje użycie rodzimego rozwiązania służącego do bezpiecznej komunikacji, czyli aplikacji mSzyfr.

Czym jest mSzyfr?

Aplikacja mSzyfr to pierwszy, w pełni polski komunikator zapewniający bezpieczną komunikację z wykorzystaniem szyfrowania end-to-end, oparty na protokole Matrix. Został opracowany przez Ministerstwo Cyfryzacji we współpracy z NASK (Naukowa i Akademicka Sieć Komputerowa). Infrastruktura systemu pozostaje pod jurysdykcją Polski - serwery znajdują się na terytorium kraju, a dostęp do nich posiadają osoby z odpowiednimi poświadczeniami bezpieczeństwa. Kluczowe dane, w tym klucze szyfrujące, przechowywane są na urządzeniach końcowych użytkowników, co ogranicza ryzyko ich nieuprawnionego pozyskania.

Dostępność i przeznaczenie mSzyfr

mSzyfr nie jest jednak narzędziem powszechnie dostępnym dla użytkowników indywidualnych. Zgodnie z informacjami Ministerstwa Cyfryzacji jest on przeznaczony przede wszystkim dla podmiotów administracji publicznej oraz organizacji należących do Krajowego Systemu Cyberbezpieczeństwa (KSC). Możliwość korzystania z systemu mogą uzyskać także inne organizacje, jednak wymaga to każdorazowo zgody Ministra Cyfryzacji.
W praktyce oznacza to, że mSzyfr jest rozwiązaniem dedykowanym środowiskom o podwyższonych wymaganiach bezpieczeństwa, służącym do ochrony komunikacji służbowej, a nie komunikatorem przeznaczonym do codziennego użytku przez obywateli.

Zalecenia dla użytkowników komunikatorów (np. Signal)

Osoby korzystające z popularnych komunikatorów, takich jak Signal, powinny natomiast stosować się do oficjalnych rekomendacji Pełnomocnika Rządu ds. Cyberbezpieczeństwa oraz Dowództwa Komponentu Wojsk Obrony Cyberprzestrzeni (DKWOC). Wśród najważniejszych zaleceń znajdują się:

• pamiętanie, że dział obsługi klienta aplikacji Signal nigdy nie kontaktuje się z użytkownikami bezpośrednio poprzez wiadomości w komunikatorze,
• regularne sprawdzanie listy urządzeń powiązanych z kontem Signal,
• uruchomienie ustawienia prywatności, która spowoduje ukrycie własnego numeru telefonu w aplikacji,
• aktywowanie funkcji „Blokada rejestracji”, która wymaga dodatkowej autoryzacji.

Bezpieczne komunikatory w innych krajach

Stosowanie przez administrację publiczną własnych, dedykowanych komunikatorów nie jest niczym nadzwyczajnym. Podobne systemy funkcjonują w innych państwach europejskich. Niemiecka administracja publiczna używa aplikacji BundesMessenger. Została ona napisana przez BWI GmbH, czyli dostawców usług IT dla niemieckiego Ministerstwa Obrony. Podobnie sytuacja wygląda we Francji. Tam używany jest komunikator Tchap, który również został stworzony przez rząd - instytucję DINUM oraz ANSSI.
Korzystając z bezpiecznych komunikatorów musimy jednak być czujni.

Jak zachować się, gdy podejrzewamy atak phishingowy?

Jeżeli podejrzewasz, że wiadomość, którą otrzymałeś ma na celu naruszenie Twojej prywatności to:

1. Po pierwsze, nigdy nie klikaj w linki znajdujące się w podejrzanych wiadomościach. Nie wykonuj żadnych instrukcji podanych w wiadomości. Nie podawaj swoich danych.
2. Po drugie, zgłoś taki incydent do CERT.PL, zgodnie z instrukcjami podanymi na ich stronie. W przypadku wiadomości SMS należy przesłać otrzymaną wiadomość w niezmienionej formie tekstowej na numer 8080. Zgłaszanie incydentów pomaga analizować takie zdarzenia, blokować niebezpieczne domeny i numery telefonów oraz ostrzegać innych użytkowników. Znacząco wpływa to na bezpieczeństwo Twoje i innych.
3. Po zgłoszeniu, możesz usunąć wiadomość i zablokować kontakt.

Partner technologiczny: