Z tego artykułu dowiesz się:
- Kto stał za masową kampanią dezinformacyjną, która miała wpłynąć na wynik wyborów prezydenckich w 2025 roku.
- Jaką logiką kierują się zagraniczne służby, uderzając w przeciwstawne siły na polskiej scenie politycznej.
- Czym jest grupa UNC1151/Ghostwriter i jakie są jej udokumentowane powiązania z wywiadami Rosji i Białorusi.
- Które sektory, poza polityką, stały się celem wrogich operacji w cyberprzestrzeni w ostatnim roku.
„Zwiększylismy zasilek pogrzebowy do 7 tys. Polacy zasluguja na godne ostatnie POzegnanie. Glosuj na Trzaskowskiego. Platforma.org” (pisownia oryginalna) – takie SMS-y zaczęły trafiać do Polaków na kilka dni przed pierwszą turą wyborów prezydenckich w 2025 roku. Podobnych wiadomości, rzekomo zachęcających do głosowania na kandydata KO, a w rzeczywistości zniechęcających, było więcej. Inne przykłady: „Spelnilismy obietnice. Zlikwidowalismy kolejki w przychodniach. Glosuj na Trzaskowskiego. Platforma.org” lub „Europa jest nasza przyszloscia. Dlatego wprowadzimy EURO. Marzenia staja sie rzeczywistoscia. Glosuj na Trzaskowskiego. Platforma.org”.
Akcja miała masowy charakter. O otrzymywanych wiadomościach informowało wielu internautów i pisały o nich media. Dość nerwowo zareagował też na nie sztab Trzaskowskiego. „Trwa masowa akcja dezinformacji wyborczej przeciwko @trzaskowski_ z wykorzystaniem systemów SMS operatorów telefonicznych. Podszywanie się pod @Platforma_org i prowadzenie kampanii poza komitetem wyborczym jest niedozwolone” – napisała w mediach społecznościowych Wioletta Paprocka, szefowa sztabu kandydata KO.
Kilkanaście dni później, w drugiej turze wyborów prezydenckich, Trzaskowski przegrał z kandydatem PiS Karolem Nawrockim niewielką liczbą głosów. A dziś z dużą dozą prawdopodobieństwa można stwierdzić, że za akcją zdyskredytowania kandydata KO stała grupa hakerska UNC1151, zwana też Ghostwriter, powiązana ze służbami Aleksandra Łukaszenki.
Grupa UNC1151 kojarzona jest z reżimem Aleksandra Łukaszenki
To właśnie z białoruskim reżimem często kojarzą działania tej grupy eksperci, np. z firmy Mandiant. Choć istnieje też hipoteza, m.in. przedstawiona przez niemieckie służby wywiadowcze, że UNC1151 jest powiązana z rosyjskim wywiadem wojskowym GRU.
Czytaj więcej
Polskie służby wojskowe od cyber bezpieczeństwa wykryły i unieszkodliwiły atak hakerski z Białorusi. Ofiara miało być tym razem wojsko i MON. I to...
Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń, mówi „Rzeczpospolitej”, że przypisanie grup hakerskich kierujących się motywami politycznymi, zwanych fachowo APT, do służb poszczególnych państw, nie jest zadaniem prostym. – Poszukuje się wzorców technicznych, które już wcześniej występowały w działaniach takiej grupy. Stara się też zidentyfikować motywy jej działania i powiązać je z innymi operacjami prowadzonymi przez służby danego państwa. Stuprocentowej pewności nie ma nigdy, co jest też jednym z powodów, dla których rządy niektórych państw tak chętnie sięgają po cyberoperacje – tłumaczy Mirosław Maj. – Jeśli chodzi o grupę UNC1151, najbezpieczniej można powiedzieć, że jest ona częścią współpracy służb rosyjskich i białoruskich – dodaje.
Grupa UNC1151 działa co najmniej od 2016 roku, a jej cele wpisują się w logikę działań służb Rosji i Białorusi
Wskazywałyby na to jej dotychczasowe działania. UNC1151 ma na swoim koncie liczne kampanie mające zdyskredytować na Litwie wojska NATO, np. poprzez rozpowszechnianie fałszywych informacji, że niemieccy żołnierze zgwałcili litewską dziewczynę, pojazd NATO zabił dziecko, a amerykańscy żołnierze kradną w tym kraju samochody.
W czasie kampanii wyborczej w USA w 2020 r. grupie UNC1151 udało się rozpowszechnić artykuły o tym, że wojska NATO przygotowywały się do wojny z Rosją na terytorium Polski, Łotwy i Litwy. Zaś w Polsce UNC1151 znana jest m.in. z włamania na konta w mediach społecznościowych należące do polityków Zjednoczonej Prawicy, w tym posła Marka Suskiego i minister Marleny Maląg, czy też z wywołania tzw. afery mailowej, która polegała na wykradzeniu i publikowaniu informacji z prywatnej skrzynki Michała Dworczyka, byłego szefa KPRM i byłego wiceministra MON. Ta ostatnia akcja była elementem szerszej, międzynarodowej kampanii Ghostwriter, której grupa zawdzięcza jedną ze swoich nazw.
ABW nie potwierdza wprost, że to Białorusini stali za wysyłką SMS-ów
Skąd wiadomo, że to grupa UNC1151 stała za wysyłką SMS-ów przed wyborami prezydenckimi? Taka dość jasna sugestia znalazła się w najnowszym „Raporcie o stanie bezpieczeństwa cyberprzestrzeni w 2025 r.”, autorstwa zespołu CSIRT GOV, działającego w strukturach ABW. „Przejawy wrogiej aktywności dezinformacyjnej i hakerskiej zmaterializowały się ze strony grupy UNC1151, która po raz kolejny próbowała wpłynąć na przebieg demokratycznych wyborów w Polsce” – napisał zespół CSIRT GOV.
Cyberprzestępcy bardzo podobną kampanię z użyciem SMS-ów przeprowadzili w 2023 r.. Wtedy ich celem nie była KO, lecz PiS
Dopytaliśmy ABW, o jakie konkretnie działania chodzi. „W trakcie samej kampanii wyborczej odnotowano liczne działania dezinformacyjne ze strony grupy UNC1151, która podszywała się pod kandydatów na prezydenta RP lub ich sztaby wyborcze. Operacje te miały na celu sfabrykowanie i przedstawienie rzekomej opinii wybranego kandydata na temat bieżącej sytuacji geopolitycznej” – napisał nam zespół prasowy Agencji Bezpieczeństwa Wewnętrznego.
Gdy ponownie dopytaliśmy, czy jednym z takich działań była głośna wysyłka SMS-ów „zachęcających” do poparcia Rafała Trzaskowskiego, nie otrzymaliśmy już konkretnej odpowiedzi. „Warto podkreślić, że szczegółowe informacje dotyczące konkretnych przypadków mają charakter niejawny” – napisała nam ABW, dodając, że identyfikowanie i przypisanie odpowiedzialności za cyberatak jest zadaniem wieloetapowym.
O tym, że za wysyłkę wiadomości przed wyborami w 2025 r. odpowiadają właśnie białoruscy hakerzy, może świadczyć inna podobna kampania sprzed wyborów parlamentarnych w 2023 r. Wówczas do odbiorców trafiały bardzo podobne SMS-y, tyle że „zachęcające” do głosowania na PiS. „GlosujNaPiS!Przywrocilismy seniorom prawo do godnej starosci i zrobimy tez pogrzeby emerytow za darmo” (pisownia oryginalna) – brzmiała treść jednej z nich.
Czytaj więcej
Mieszkańcy południowej Polski otrzymywali w nocy ze środy na czwartek SMS-y zachęcające do głosowania na PiS i obiecujące "darmowe pogrzeby dla eme...
Co więcej, w czasie ciszy wyborczej w jednej galerii handlowej w Warszawie przestępcy przejęli ekrany informacyjne, by wyświetlać na nich zdjęcia czołowych polityków PiS z fałszywymi hasłami, np. Jarosława Kaczyńskiego z podpisem „darmowe pogrzeby emerytów”. Tamtą kampanię zespół CERT Polska, działający w strukturach Naukowej i Akademickiej Sieci Komputerowej, powiązał właśnie z grupą UNC1151/Ghostwriter.
Rosjanie i Białorusini nie kierują się prostą partyjną logiką
Czym kierują się białoruscy cyberprzestępcy? Dlaczego zniechęcają do głosowania na PiS, by dwa lata później zrobić to samo wobec Rafała Trzaskowskiego? Stanisław Żaryn, były pełnomocnik rządu ds. bezpieczeństwa przestrzeni informacyjnej i były doradca prezydenta, mówi, że tego typu grupy nie kierują się prostą logiką polityczną. – Wschodnie służby potrafią atakować jednocześnie różnych kandydatów po to, żeby siać chaos, polaryzować społeczeństwo i osłabiać zainteresowanie życiem politycznym. Celem jest m.in. osłabienie legitymacji władzy wybranej w wyborach. Przeprowadzanie takich działań w okresie przedwyborczym jest zresztą wprost opisane w rosyjskiej doktrynie działań wywiadowczych – mówi Stanisław Żaryn. – Doszukiwanie się logiki partyjnej w atakach Rosji i Białorusi jest tym bardziej niezasadne, że największe siły polityczne w Polsce są przez Kreml identyfikowane jako siły antyrosyjskie. Dla Rosjan nie jest więc kluczowe to, czy rządzi Tusk, czy Kaczyński, ale raczej jak wpływać na takie kwestie, jak stacjonowanie sił sojuszniczych w Polsce, przede wszystkim amerykańskich – dodaje.
Celem rosyjskich i białoruskich służb jest osłabienie legitymacji władzy wybranej w wyborac
Zaś z ostatniego „Raportu o stanie bezpieczeństwa cyberprzestrzeni”, autorstwa CSIRT GOV, wynika, że próba wpłynięcia „na przebieg demokratycznych wyborów w Polsce” to niejedyny przejaw aktywności UNC1151 w 2025 r. CSIRT GOV wymienia m.in. kampanię socjotechniczną ukierunkowaną na małe przedsiębiorstwa z sektora rolniczego oraz akcję wyłudzenia poświadczeń do poczty elektronicznej polskich usługodawców, takich jak Wirtualna Polska czy Onet.
