Cyfrowe zamki na piasku

Jak dwaj polscy badacze prześwietlili państwową sieć i dlaczego setki sądów, szpitali i lotnisk stanęły otworem dla hakerów?

Na biurku w podwarszawskim pokoju miga zielony kursor terminala. Zwykły plik z rozszerzeniem *.php, ważący zaledwie kilkanaście kilobajtów, w teorii jest niegroźnym fragmentem kodu źródłowego. W realiach współczesnego e-państwa okazał się jednak uniwersalnym cyfrowym cyfralem — kluczem zdolnym otworzyć drzwi do serwerów ponad dwóch trzecich polskich sądów, regionalnych szpitali oraz infrastruktury kluczowych portów lotniczych.

To nie był wrogi atak hybrydowy ze strony obcych służb, lecz efekt obywatelskiego audytu bezpieczeństwa przeprowadzonego przez dwójkę polskich badaczy cyberbezpieczeństwa.

Swoje porażające ustalenia Robert Kruczek i Kamil Szczurowski przedstawili na prestiżowej, światowej konferencji hakerskiej DEF CON w Las Vegas, a sprawę natychmiast nagłośnił czołowy międzynarodowy serwis technologiczny TechCrunch. Wnioski z ich trwającego od 2025 roku projektu są bezlitosne: polskie e-państwo przypomina współczesny bunkier, w którym ktoś zapomniał włączyć system alarmowy.

Cyfrowy patriotyzm w czasach próby

Kiedy większość oficjalnych komunikatów rządowych skupia się na promowaniu e-usług czy efektownych aplikacji dla obywateli, Kruczek i Szczurowski postanowili zajrzeć tam, gdzie wzrok zwykłego użytkownika nie dociera — w głębokie warstwy infrastrukturalne. Kierowani — jak sami podkreślają — czystym patriotyzmem i chęcią uszczelnienia polskiej przestrzeni cyfrowej w dobie narastających zagrożeń hybrydowych w Europie Środkowo-Wschodniej, uruchomili autorskie narzędzia skanujące.

Skala badania była bezprecedensowa:

Ponad 250 000 przeanalizowanych serwisów internetowych powiązanych z polską administracją i instytucjami publicznymi.
Ponad 10 000 zidentyfikowanych podmiotów publicznych z krytycznymi podatnościami.
Wpływ: Od urzędów gmin i szpitali, przez strategiczne lotniska, aż po organy wymiaru sprawiedliwości.

– Naszą intencją od początku było zrozumienie realnego stanu odporności polskiego internetu publicznego i sprawienie, by stał się bezpieczniejszy dla wszystkich obywateli — podkreślali badacze podczas wystąpienia w Las Vegas.

Anatomia podatności: przypadek PAD CMS i porzuconego kodu

Jednym z najbardziej wymownych przykładów systemowej zapaści okazał się system zarządzania treścią PAD CMS. Było to oprogramowanie masowo wdrażane w polskich placówkach publicznych, projektowane m.in. z myślą o spełnianiu wymogów dostępności cyfrowej (WCAG) dla osób z niepełnosprawnościami. Kruczek i Szczurowski zidentyfikowali w PAD CMS luki krytyczne. Pozwalały one dowolnej osobie w sieci — bez konieczności logowania, wpisywania haseł czy posiadania jakichkolwiek uprawnień — na przesłanie na serwer własnego pliku i jego natychmiastowe uruchomienie. W praktyce oznaczało to pełne przejęcie kontroli nad serwerem instytucji. Luka dotyczyła bezpośrednio ponad 300 serwisów publicznych, w tym placówek medycznych.

Jednak prawdziwy dramat rozegrał się w warstwie odpowiedzialności biznesowej:

Odmowa naprawy: Gdy badacze zgłosili błąd producentowi oprogramowania, ten odmówił wydania poprawki bezpieczeństwa, argumentując, że produkt osiągnął status End-of-Life (EOL) i nie jest już wspierany.
Ignorowanie ryzyka: Mimo braku wsparcia, dziesiątki instytucji państwowych nadal bezrefleksyjnie utrzymywały ten system na swoich serwerach produkcyjnych.
Interwencja państwowa: Sprawa trafiła do zespołu CERT Polska, który po dokładniejszym zbadaniu systemu wykrył w nim łącznie aż 9 niezależnych luk bezpieczeństwa. Dopiero po tej interwencji, we wrześniu 2025 roku, Ministerstwo Cyfryzacji wydało oficjalny, pilny nakaz wycofania PAD CMS z jednostek sektora publicznego.

Sądownictwo na widelcu, czyli 245 sądów bez ochrony

Jeszcze groźniejsze konsekwencje wiązały się z drugą główną luką ujawnioną przez duet polskich badaczy. Dotyczyła ona specyficznego oprogramowania wykorzystywanego w polskim sądownictwie. Przeanalizowany błąd umożliwiał nieautoryzowany dostęp do witryn internetowych około 245 polskich sądów, co stanowi blisko dwie trzecie całego wymiaru sprawiedliwości w Polsce.

Choć badacze zachowali zasady odpowiedzialnego ujawniania (responsible disclosure) i nie upublicznili szczegółów technicznych przed zabezpieczeniem podatności, potencjalny scenariusz ataku był zatrważający. Przejęcie stron sądowych otwierało przestępcom lub obcym służbom drogę do:

podmieniania treści publikowanych orzeczeń i komunikatów procesowych;
prowadzenia operacji dezinformacyjnych i paraliżowania zaufania do organów państwa;
infekowania złośliwym oprogramowaniem urządzeń obywateli i pełnomocników prawnych szukających informacji na oficjalnych stronach sądowych.

Skąd te dziury?

Ustalenia opublikowane przez TechCrunch i zaprezentowane na DEF CON ujawniają głębsze, strukturalne patologie, z którymi od lat zmaga się sektor publiczny:

Kult „świętego spokoju” i opór dostawców: wielu komercyjnych dostawców IT traktuje zgłoszenia o błędach ze strony etycznych hakerów nie jak darmowy audyt podnoszący jakość, lecz jak „uciążliwy problem” lub zagrożenie wizerunkowe.
Pułapka darmowego lub przestarzałego kodu: wykorzystywanie oprogramowania EOL (End-of-Life) w kluczowych instytucjach państwowych pokazuje brak procedur wycofywania niebezpiecznych technologii.
Brak cyfrowych zachęt (Bug Bounty): polska administracja publiczna wciąż nie stworzyła systemowych programów nagradzania niezależnych ekspertów, którzy poświęcają prywatny czas na szukanie dziur w państwowych systemach.
Kryzys w ochronie zdrowia: sektor medyczny pozostaje najsłabszym ogniwem. Z danych branżowych wynika, że w 2025 roku polskie szpitale odnotowały wzrost liczby incydentów cyberbezpieczeństwa o ponad 60% r/r. Polskie placówki przeznaczają na cyfryzację i cyberochronę zaledwie 1–1,5% budżetu (przy średniej 5–6% w Europie Zachodniej), podczas gdy skradzione wrażliwe dane medyczne na czarnym rynku osiągają cenę nawet 250 USD za rekord.

Czytaj także: Algorytm w kitlu

Czas na twarde decyzje

Historia prześwietlenia polskiej sieci przez Roberta Kruczka i Kamila Szczurowskiego powinna stać się punktem zwrotnym dla decydentów w Warszawie i Brukseli. Nadchodzące wymogi unijnej dyrektywy NIS2 narzucają na podmioty kluczowe surowe kary finansowe za zaniedbania (sięgające 10 mln euro lub 2% rocznego obrotu). Sama groźba kar jednak nie wystarczy.

Państwo musi podjąć natychmiastowe kroki:

reforma Zamówień Publicznych: wprowadzenie bezwzględnego wymogu wykluczania oprogramowania, którego producent nie gwarantuje długoterminowych poprawek bezpieczeństwa;
ochrona prawna i wsparcie dla white hats: stworzenie jasnych ram prawnych chroniących niekomercyjnych badaczy cyberbezpieczeństwa zgłaszających luki w trybie responsible disclosure;
obowiązkowe audyty ciągłe: odejście od jednorazowych odbiorów systemów IT na rzecz stałego, dynamicznego monitorowania podatności.

Bez tych zmian polska cyfrowa infrastruktura pozostanie jedynie efektowną fasadą, pod którą kryją się otwarte drzwi dla każdego, kto zechce nacisnąć klamkę.