Włamanie do polskiego Ministerstwa Kultury

Pamiętacie historię z duńskim incydentem ichniejszego systemu PESEL? Mała firma z Odense, hasło 123456, brak MFA i 8,8 miliona rekordów CPR wylatuje jak z sita, bo ktoś zostawił walizkę z plutonem na dworcu. Śmialiśmy się, że skandynawski model cyfrowy ma dziurę wielkości bramy od stodoły.

Otóż teraz Duńczycy mogą wziąć odwet. 6 października 2026 ktoś uzyskał nieautoryzowany dostęp do Systemu Obsługi Programów (SOP) Ministerstwa Kultury i Dziedzictwa Narodowego. System, w którym fundacje, stowarzyszenia, firmy i osoby fizyczne składają wnioski o dotacje na teatr, muzykę, zabytki i "kulturę cyfrową". Wrzucają PESEL-e, NIP-y, kosztorysy, umowy, dane finansowe - bo przecież państwo "dba o przejrzystość". Trzy dni później resort raczy wydać komunikat: dostęp zablokowany, system odizolowany, analiza trwa, nie wiemy dokładnie, co poszło, ale uważajcie na telefony i maile. No, po prostu XD.

To nie jest już scenariusz polskiej wersji Gangu Olsena ulokowanego w realiach Ministerstwa Cyfryzacji... A może jednak? Oto resort, który po włamaniu rozkłada ręce i rzuca radę na poziomie "nie otwierajcie podejrzanych maili od nigeryjskiego księcia". A jednocześnie te same ręce - i dokładnie ta sama ekipa cyfryzacyjna - budują system, w którym obywatel ma być całkowicie przezroczysty, a państwo ma mieć narzędzia do blokowania treści w sieci. Bareja by tego nie wymyślił.

Asymetria na poziomie twórczości Stanisława Barei.

Obywatel, który chce dostać złotówkę na projekt kulturalny, musi wyłożyć na stół PESEL, rozliczyć każdą złotówkę, wrzucić dokumenty do ministerialnego systemu. Państwo trzyma to w bazie, bo takie są procedury. Potem ktoś wchodzi do tej bazy, a ministerstwo wypala: "nie wiemy, co ukradł, ale zachowajcie ostrożność". Dobrze, że nie użyli słynnego: "nie mamy pańskiego hasła i co pan nam zrobi"...

To jest dokładnie ten moment, w którym Stasiek sięgnął by po kieliszek siwuchy i powiedział coś w stylu: "Państwo chce, żebyś był nagi przed urzędnikiem, ale kiedy ktoś podgląda przez dziurkę od klucza, urzędnik udaje, że nic nie widzi i radzi ci, żebyś nie rozmawiał z nieznajomymi".

I tu wchodzi cała reszta ekipy. Krzysztof Gawkowski, wicepremier i minister cyfryzacji, jeszcze kilka dni temu na Cyber24 Days opowiadał, że Polska jest najbezpieczniejszym państwem Europy, że odpieramy 99 proc. ataków, że wydaliśmy na ochronę 5 miliardów, że firmy, które nie inwestują w cyber, będą publicznie piętnowane. "Będziemy wskazywać palcem". Pięknie. Tylko że kiedy własny resort kultury nie potrafi powiedzieć, czy wyciekły PESEL-e i dokumentacja finansowa, to palec jakoś nie wskazuje w stronę własnego podwórka.

Dariusz Standerski, Michał Gramatyka, Paweł Olszewski - ta sama ekipa, która razem z Gawkowskim próbuje nieudolnie przepchnąć przepisy pozwalające organom państwa szybko nakazywać cenzurę treści (i w skrajnych przypadkach domen) pod pretekstem walki z nielegalnymi materiałami, mową nienawiści i patologiami. Sejm właśnie przegłosował kolejną wersję. Argumentacja jest prosta: Internet nie może być miejscem inspirowania do przemocy, trzeba działać szybko, państwo ma narzędzia, obywatel ma zaufanie.

Tylko że to samo państwo, które chce decydować, co Polacy mogą zobaczyć w sieci, nie jest w stanie przez trzy dni powiedzieć, co ktoś wyciągnął z jego własnego systemu do obsługi wniosków o dotacje. Instytucja, która nie ogarnia własnej bazy z wnioskami na teatr i kulturę, ma mieć ster do filtrowania polskiego internetu? To już nie jest nawet komedia. To jest dramat i ten moment, w którym publiczność wstaje i wychodzi, bo aktorzy sami zapomnieli tekstu.

Co mówi komunikat, a czego nie mówi?

Oficjalny komunikat MKiDN z 9 października jest wzorem ministerialnej mgły: doszło do nieuprawnionego dostępu, dane mogły zostać udostępnione, analiza trwa, poinformowano CSIRT GOV i UODO, zalecamy ostrożność wobec maili, SMS-ów i telefonów. Zero konkretów o skali, o czasie, w jakim atakujący siedział w systemie, o kategoriach danych, o liczbie kont. Bo i po co, prawda Ministrze Gawkowski i premierze Tusk? 

SOP służy do składania wniosków, rozliczania dotacji, aktualizacji dokumentacji. Osoby fizyczne rejestrują się PESEL-em. Instytucje NIP-em. W środku są kosztorysy, umowy, sprawozdania. Jeśli ktoś to wyciągnął, to nie jest "jakiś tam mail". To materiał na ukierunkowany phishing: "Dzień dobry, tu ministerstwo, proszę zaktualizować numer rachunku do dotacji" albo "proszę potwierdzić dane w załączniku".I na to wszystko państwo odpowiada: uważajcie.

Gawkowski i spółka kontra rzeczywistość.

Gawkowski mówi o publicznym piętnowaniu firm, które chowają głowę w piasek. Standerski ostrzega przed lawiną ataków i opowiada o narzędziach do szybkiego blokowania. Gramatyka zapewnia, że rządowe systemy są bardzo dobrze zabezpieczone, a nasi specjaliści są jednymi z najlepszych. Olszewski broni narzędzi w rodzaju Dostawców Wysokiego Ryzyka.

Tymczasem Ministerstwo Kultury - część tego samego aparatu - po włamaniu nie wie, co zostało wykradzione, i radzi obywatelom, żeby nie odbierali podejrzanych telefonów od wspomnianego nigeryjskiego księcia albo innych specjalistów od bankowości posługujących się nienaganną polszczyzną z lekko wyczuwalnym wschodnim akcentem.

To nie jest różnica między Duńczykiem z hasłem 123456 a Polakiem z zaawansowanym systemem. To jest różnica między państwem, które przynajmniej przyznało, że zostawiło pluton na dworcu, a państwem, które jednocześnie buduje (z dykty tudzież kartonu) zapory na Internecie i nie potrafi pilnować własnej bazy wniosków o dotacje na kulturę.

Jeśli ta ekipa naprawdę wierzy, że ma mandat do zarządzania tym, co Polacy widzą w sieci, to ten incydent jest najlepszym argumentem, żeby te projekty zawinąć w rulon i schować głęboko do szuflady. Bo najpierw trzeba umieć upilnować PESEL-e ludzi, którzy chcą dostać pieniądze na teatr, a dopiero potem opowiadać o cyfrowym bezpieczeństwie i blokowaniu treści.

Na razie mamy klasyczny bareizm - obywatel musi być przezroczysty, państwo jest nieprzejrzyste, a jedyną radą po wycieku jest "uważajcie".

I tak się powoli żyje na tej wsi.