18:38
9/6/2021

Wczoraj, jako jedni z pierwszych informowaliśmy o akcji dezinformacyjnej w ramach której na Telegramie ktoś publikował dokumenty, twierdząc że wykradł je ze skrzynki e-mail ministra Dworczyka. Dokumenty miały być “niejawne” i “zagrażać bezpieczeństwu RP“, co akurat było bzdurą.

Dziś włamywacze opublikowali kolejne materiały, które miały rzekomo zostać wykradzione ze skrzynki ministra Dworczyka — zdjęcie jego dokumentów (dowód i prawo jazdy). Dorzucili też memika:

Czyli jednak skrzynka e-mail Dworczyka została zhackowana?

To możliwe, ale… We wczorajszym artykule zwróciliśmy uwagę na to, że nie ma pewności skąd pochodzą publikowane przez włamywaczy dokumenty. I dziś wciąż pewności brak. Nawet po publikacji prawa jazdy i dowodu osobistego ministra Dworczyka. Zdjęcia dowodu i prawa jazdy mogą pochodzić ze skrzynki ministra Dworczyka, ale równie dobrze mogą pochodzić z konta jego żony — co do którego wiadomo, że było przejęte.

  • Dworczyk mógł przesłać skany dokumentów żonie, np. po to aby zajęła się w jego imieniu formalnościami związanymi z np. podróżą. To dość częsta praktyka wśród małżonków, że jedno z nich ma na swojej skrzynce dane na temat drugiego.
  • Równie dobrze jednak, pliki mogły zostać wykradzione z któregoś z kont Dworczyka. To potwierdzałoby, że jednak został on zhackowany, choć na przejęcie kont w serwisach społecznościowych ministra dowodów brak. Może minister, w przeciwieństwie do swojej żony, przynajmniej na Facebooku i Twitterze miał ustawione dwuetapowe uwierzytelnienie?

Podkreślmy tutaj tylko jedną, ale niesamowicie istotną rzecz:

Nawet jeśli skrzynka e-mail ministra Dworczyka została przejęta i to z niej pochodzi fotka jego dokumentów, to nie oznacza, że inne publikowane przez włamywaczy dokumenty (wczoraj i dziś) też pochodzą z tej skrzynki.

Na tym właśnie polega dezinfomacja, żeby mieszać fakty i podstawiać fałszywki między wiarygodne dane. Wtedy trudniej jest mistyfikację obalić i wyłapać, co jest spreparowane, a co nie.

Wciąż brak zagrożenia dla “bezpieczeństwa narodowego”

Niezależnie od tego skąd pochodzą te zdjęcia, wciąż nie są to dane informacje “niejawne” w sensie państwowym lub takie które “zagrażają bezpieczeństwu RP”. Czy takie się pojawią? Czas pokaże. Nie zazdrościmy ministrowi, który pewnie teraz zastanawia się, co jeszcze miał na e-mailu, co może go “zaboleć”…


Aktualizacja 9.06.2021, 20:53
No to już wiemy co jeszcze “miał”. Włamywacze opublikowali kolejne pliki — tym razem ciekawy e-mail pewnego pułkownika do ministra. Przeanalizowaliśmy go w osobnym artykule pt. “Wyciekła treść e-maila do ministra Dworczyka“.

Posprzątaj swoją skrzynkę e-mail, zanim będzie za późno…

Na marginesie — Ludzie! Nie trzymajcie skanów swoich dokumentów na mailu! Ani skanów aktów notarialnych, umów o prace, itp. To są pierwsze rzeczy, których przestępcy szukają za pomocą wbudowanych w skrzynkę mechanizmów. Musicie je przesłać mailem do notariusza bo pandemia? Słabo, ale jak mus to mus. Zróbcie to, ale usuńcie wysłaną wiadomość po fakcie. Po co Wam ona na mailu? Jak kolekcjonujecie takie informacje, to lepiej wydrukować i włożyć w akta.

Trzymanie pełnej historii korespondencji z kilku lat na skrzynce to niestety popularna praktyka. Wygodna ale nie najbezpieczniejsza. Jeśli komuś zależy na jego prywatności (i dobrym imieniu), to sugerujemy e-maile zgrać na komputer po IMAP/POP3, zrobić kopię na zewnętrzny dysk (albo pięć), dyski w różnych miejscach schować, a dane ze skrzynki online usunąć.

Sprawdź bezpieczeństwo swojej skrzynki e-mail

A jeśli myślicie “a tam, nic ważnego tam nie mam”, to zróbcie sobie eksperyment i wpiszcie poniższe słowa w wyszukiwarkę swojej skrzynki pocztowej:

PESEL (w sensie, faktycznie swój pesel)
NR Dowodu
Umowa
Akt Notarialny
Wyciąg z karty
Billing
"Reset password"
PIT
Rachunek

I zastanówcie się, co ktoś może zrobić z tymi danymi w Waszym imieniu. Jak Wam brakuje pomysłów, to służymy smutnymi przykładami.

PS. A wszystkim, którym tak jak panu ministrowi dane osobowe już wyciekły (z dowodu, prawa jazdy lub innego dokumentu, np. umowy), polecamy instrukcję krok-po-kroku — co robić po wycieku danych, jak sprawdzić, czy nasze dane wyciekły i jak się zabezpieczyć, aby do wycieku danych nie doszło.

Przeczytaj także:

26 komentarzy

Dodaj komentarz
  1. >sugerujemy e-maile zgrać na komputer po IMAP/POP3, zrobić kopię na zewnętrzny dysk (albo pięć), dyski w różnych miejscach schować, a dane ze skrzynki online usunąć

    Warto zaznaczyć, że przy domyślnej konfiguracji wielu klientów, usunięcie danych z webmaila spowoduje usunięcie ich w kliencie poczty. Wygodny sposób na archiwizację to zapis do .eml, jest to często dostępne nawet w niektórych webmailach.

    W innym wypadku możemy albo zmienić ustawienia klienta odnośnie synchronizacji statusu ‘deleted’ albo ustawić archiwum jako folder lokalny. Najwygodniejsza opcja to skorzystanie z Thunderbirda. Nawet laika można nauczyć jak zrobić backup MozBackupem i mieć problem z głowy. Co prawda da się to zrobić efektywniej i bezpieczniej, z aktualnymi bibliotekami z poziomu pliku bat, ale MozBackup ma również przyjazne przywracanie.

    Nie wiem jak z outlookiem obecnie, przy wersji 2010 przywracanie z kopii potrafiło się jeszcze wysypać.

    • W przypadku Gmail (i innych usług Google – bo utrata hasła pozwoli spenetrować np. dysk), najlepiej jest używać Take Out, aby co pewien czas pobierać przyrosty danych, a nieużywaną lub niebezpieczną zawartość, kasować na bieżąco.

    • w thunderbird nie ma żadnego problemu aby po włączeniu klienta poczty, całość z IMAP po prostu na siłę wytransferować do lokalnego folderu

  2. Lub tez przechowywać oraz przesyłać takie rzeczy poprzez zaszyfrowane archiwa, gdzie klucz jest wymieniony inną metodą (np. telefonicznie) – czyli prosty zip. Inna sprawa to trzymanie poczty na śmieciowych polskich serwerach. Dlaczego to nie Gmail z weryfikacją dwuetapową i/lub kluczem Yubico? Polscy politycy to dramat i zero wyobraźni nawet jeśli chodzi o świadomość inwigilacji przez służby naszego czy innego państwa. Pośmiewisko

    • A jeśli śmieciowy serwer zaczyna oferować 2FA, to przestaje być śmieciowym?
      Nie wiem co się tak czepiacie wszystkiego, co nie jest Gmailem. Jeszcze żeby każdy używał 2FA na Gmailu i reszty wyrafinowanych funkcji!
      .
      Reklamy? Nie chcesz – to płacisz równowartość 3 piw/rok i nie masz.
      Nigeryjski spam? Mało kto ma Gmaila od ~20 lat, a ponad 20-letnie konta na wp czy onecie ma niejeden. Kto 20 lat temu miał świadomość żeby nie podawać maila byle gdzie? Mało kto! Więc ma spam. Spam jest wynikiem braku “higieny”, a nie tego, że konto jest u operatora “x” a nie “y”. Rejestrując się na “dziwnym forum” też nie podajesz głównego adresu na Gmailu, tylko jakiś śmieciowy.
      .
      Pojemność? Gmail: 15GB i 25MB załączniki. Konkurencja: 30GB (albo i nieograniczona) i 100MB (nie, Dysk Google to nie to samo!).
      .
      Zerknijcie sobie na funkcję aliasów antyspamowych na poczta.o2.pl – w każdej chwili można sobie coś takiego założyć/skasować. Konkurencja ma? Nie! Tylko nie mówcie, że można dodać w adresie “+cośtam”, bo każdy spamer pęknie ze śmiechu. Żeby nie było: tempmail, to nie to samo co alias – po skasowaniu aliasu, dalej masz wiadomość na skrzynce.
      .
      Oczywiście, Google ma mnóstwo funkcji oprócz Gmaila. Tyle, że większość potrzebuje _zwykłego_ maila. Więc nie czujcie się lepsi.
      .
      PS Znam Gmaila – mam i używam. Ale nie powiem złego słowa o wp/onet/interia/o2, bo byłbym jak kierowca, co jest lepszy od tego w Peżocie, bo ma Passata.

    • A czemu akurat gmail ? Tak na prawde to ta skrzynka to nic ciekawego. Malo spamu bo s.i. szuka spamu czyli czesze wszystkie emaile i analizuje. 2fa czy kluczyk ? Inne też to mają nawet onet xD. Jedyna zaleta gmaila to chyba tylko to że malo spamu

    • @Szymon
      A jeśli na “śmieciowym” mailu pojawi się 2FA, to przestaje być śmieciowy?
      .
      Spamu jest mało, bo Gmail jest od 2007 roku. Konta na wp/o2/onet/interia ludzie miewają i od ~20 lat, kiedy jeszcze każdy podawał swój adres byle gdzie, bo ludzie nie mieli świadomości. Podstawą braku spamu jest HIGIENA używania. Mają konto na Gmailu też nie podajesz go przy rejestracji na śmieciowym forum – używasz do tego osobnego śmieciowego maila.
      .
      Reklamy? Muszą z czegoś żyć. Płacisz równowartość 3 piw/rok i nie ma reklam.

      .
      Inne zalety? Rozmiar? Gmail: 15GB + 25MB mail. Darmowa konkurencja: od 30GB do bez_limitu + 100MB mail (dysk google to nie to samo).
      .
      Widzieliście kiedyś aliasy antyspamowe na o2, które w każdej chwili zakładasz i kasujesz? Google tego nie zna. Tylko nie mówcie, że można dopisać “+cośtam”, bo każdy spamer pęknie ze śmiechu. Wszelkie “10-minut-maile” to nie to samo – kasujesz alias, a mail dalej zostaje na skrzynce.
      .
      Wiem, że Google ma całą masę usług powiązanych z Gmaile, ale wielu wystarczy zwykła poczta, na zwykłym serwerze. Ciekawe czy każdy chwalący Gmail korzysta z czegoś więcej i czy faktycznie ma… 2FA?

  3. […] Aktualizacja 9.06.2021, 18:21 Włamywacze opublikowali kolejne dane na kanale na Telegramie. Mema z Dworczykiem, CV szefa RCB i …skany dowodu osobistego oraz prawa jazdy ministra Dworczyka. Poświęciliśmy temu wydarzeniu osobny artykuł, bo to zbyt wiele tematów jak na krótką aktualizację. Artykuł przeczytacie tutaj. […]

  4. plusik za memka, nie znałem go wcześniej

    • Tylko oczywiście bez sensu. Kto niby przy logowaniu wymaga potwierdzania maila?
      Zawsze takie “memy” mają głupie błędy, które odbierają pierwotny sens…

  5. No, akurat PESEL tego pana jest łatwy do znalezienia, gdyż jest w kilkunastu wpisach do KRS.

  6. Trzymanie jakichkolwiek istotnych danych w jakichkolwiek serwisach on-line to “nie najbezpieczniejszy” pomysł. Wygodny (jak ktoś lubi mieć wszystko “pod ręką”), ale czy na pewno sensowny? Cytując redakcję: “jakiekolwiek informacje umieszczone w internecie traktujcie jako publicznie dostępne, dla wszystkich, na zawsze”. I nie ma znaczenia, czy miejsce gdzie je trzymamy ma akurat jakąś formę autoryzacji dostępu – dane i/lub dostępy zawsze mogą wyciec…

    • Jasne, to polecam:
      – podpisać umowę na wynajem mieszkania
      – odebrać umowę-zlecenie
      – wykupić ubezpieczenie na wyjazd
      – wystawić sobie IKP, odebrać receptę w IKP albo zarejestrować się na wizytę w luxmed albo innej prywatnej przychodni albo odebrac wynik testu na COVID
      – komunikować się ze znajomymi, którzy nie korzystają z signala. Duża część studentów i uczelni też używa np. grup na FB do komunikacji studentom terminów zaliczeń, dokumentów itd (bo studenci nie muszą znać swoich maili nawzajem, FB jest w tym przypadku bezpieczniejszy). Nie dałbyś rady dzisiaj studiować na kilku kierunkach bez konta na FB (na medycznych w ogóle by cię wykładowcy wywalili bo utrudniasz kontakt staroście)

      Ja rozumiem że można próbować minimalizować dane, ale nie wyobrażam sobie sytuacji w której na mailu nie miałbym peselu przy tych wszystkich sytuacjach.

      Można oczywiście usuwać, ale są osoby które co miesiąc dostaję rachunek/umowę mailem na B2B albo u-zlec. Chyba nie myślisz że w Covidzie chodzę do kontrahentów osobiście żeby nakaszlać na umowę ;)?

  7. Ale mam sprawdzić bezpieczeństwo której skrzynki email? Bo mam pięć. Jedna z roboty na ichniejszym serwerze. Jedna profesjonalna na gmailu. Jedna “general purpose”. Jedna do wszystkich pierdół gdzie nie będę podawał normalnego maila. I jedna podpięta pod konto Steam.
    Najgorsze co znalazłem to dane osobowe na formularzu rezygnacji z PPK, ale bez pesela i dowodu, tym się pracodawca zajmie.
    No i na fakturach pro forma też dane osobowe.
    Da się przeżyć.

    • A co to znaczy „ Jedna profesjonalna na gmailu. ” ?

  8. […] skrzynki e-mail ministra Dworczyka nie przestają publikować nowych materiałów. Po opublikowaniu zdjęć dowodu i prawa jazdy ministra właśnie udostępniono tam dwa kolejne pliki — screen e-maila kierowanego do ministra od […]

  9. Żałosne, żałosne. Śmierdzi ten kanalik rynsztokiem

    • O jakim kanale myślisz?

  10. No proszę minister jak żywy.
    TAKICH MAMY MINISTRÓW NA JAKICH ZASŁUGUJEMY???

  11. Było bzdurą, albo nie było.
    Tego nie wiecie :))

  12. W sensownym programie pocztowym mozna takie rzeczy archiwizowac lokalnie, usuwajac z netu (tylko, ze wtedy trzeba pamietac o backupach (chociaz chmura to tez zadna gwarancja, bo mozna stracic dostep czy same dane jak serwerownia pojdzie z dymem)) no i korzystac z sensownego programu poczowego a nie siedziec na webowym interfejsie jak jakis barbarzynca ;p

  13. […] stojący za atakiem na ministra Dworczyka (któremu poświęciliśmy już trzy osobne artykuły) właśnie opublikowali korespondencję pomiędzy ministrem a premierem Morawieckim. Czy […]

  14. Może wzięcie chwilówki na ową pierwszoligową gwiazdę drużyny Pinokia spowoduje, że ustawa o której na niebezpieczniku mówi się od kilku lat powstanie w mig?!
    Tak tylko puszczam wodze fantazji…

  15. […] kyberbezpečnostný portál Niebezpiecznik poukázal na to, že zverejnené dokumenty veľa citlivých informácií neprezradili a národnú bezpečnosť nemajú ako […]

  16. Trzymanie skanów dowodu osobistego oraz prawa jazdy na niezabezpieczonym koncie email to brak dbałości o własne interesy. Coś takiego może się skończyć wyłudzeniem kredytu, pożyczki lub  założeniem rachunku bankowego, który będzie wykorzystywany do niecnych celów. Czy od kogoś kto nie dba o własne interesy można się spodziewać dbałości o interesy innych?
    Wykupienie raportu BIK, Alertów BIK a może nawet sprawdzenie w centralnej informacji o rachunkach byłoby w sytuacji takiego wycieku wskazane.

  17. W rządzie mamy harcerzy i różnego rodzaju kółka zainteresowań.
    NIestety z przykrością trzeba stwierdzić że osoby które rządzą Polską nie mają zielonego pojęcia o bezpieczeństwie podtawowych zasadach a gdzie tu mówić o reszcie. Nie zdziwie się jak niedługo włamią się do systemu NBP i momentalnie wypłyną pieniądze z Polski.

Odpowiadasz na komentarz Kapik

Kliknij tu, aby anulować

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: