Niezidentyfikowani oszuści sprzedają na forach hakerskich i kanałach aplikacji Telegram tzw. Green Passy, czyli certyfikaty wymagane do odbywania podróży i uzyskiwania dostępu do wielu publicznych miejsc i wydarzeń w Unii Europejskiej. Aby zademonstrować swoje możliwości i przyciągnąć potencjalnych klientów, stworzyli oni taki paszport szczepionkowy wydany dla… Adolfa Hitlera. Najbardziej niepokojące jest jednak to, że jego kod QR przechodzi weryfikację w aplikacji, co rodzi szereg pytań.

Czym jest Green Pass?

Green Pass to certyfikat, który potwierdza, że jego właściciel był zaszczepiony, niedawno wyzdrowiał z COVID-19 lub otrzymał negatywny wynik testu nie więcej niż 48 (dla szybkiego testu) lub 72 (dla testu PCR) godziny temu. Certyfikat zawiera kod QR, który można zweryfikować za pomocą aplikacji. Paszport taki jest standardowym dokumentem w krajach Unii Europejskiej i kilku innych — np. w Izraelu (gdzie został początkowo opracowany), Turcji, Islandii, Ukrainie, Szwajcarii czy Norwegii, ale nie tylko.

Certyfikaty Green Pass wydają zazwyczaj placówki medyczne. W zależności od kraju mogą one być wymagane do podróżowania, odwiedzania barów, restauracji, muzeów i wydarzeń publicznych, w instytucjach edukacyjnych, a nawet do pracy. Chociaż Green Pass istnieje również w formie papierowej, najczęściej jest to aplikacja, która wyświetla kod QR umożliwiający weryfikację certyfikatu.

Jak atakujący podpisują fałszywe certyfikaty

Niektórzy podejrzani sprzedawcy w internecie, a w szczególności w kanałach aplikacji Telegram, sprzedają sfałszowane certyfikaty Green Pass wydawane rzekomo przez służbę zdrowia w Polsce lub Francji. Istnieje kilka teorii, jak do tego doszło. Według jednej z nich przestępcy w jakiś sposób zdobyli tajny klucz kryptograficzny umożliwiający im wydawanie takich certyfikatów. W takim przypadku legalne certyfikaty Green Pass prawdopodobnie będą musiały zostać ponownie wydane.

Według innej teorii sprzedawcy mają wspólników we francuskich i polskich systemach opieki zdrowotnej. W takim przypadku ponowne zainstalowanie klucza kryptograficznego raczej nie pomoże – organy ścigania będą musiały znaleźć te osoby.

Czy zhakowany został cały system związany z certyfikatami Green Pass?

Na tę chwilę Green Passy, które wydaje większość krajów UE, pozostaje legalna. Podejrzane są jedynie certyfikaty wydane w Polsce i Francji.

Czy certyfikaty Green Pass wydane w Polsce i Francji zostaną cofnięte?

Organy UE prowadzą dochodzenie w tej sprawie. W najgorszym przypadku Polska i Francja będą musiały ponownie wydać te certyfikaty — ale niekoniecznie wszystkie. Jeśli złoczyńcy nie będą mogli zmieniać daty emisji, wymienione będą musiały zostać tylko niektóre z nich.

Czy warto kupić fałszywy Green Pass?

Cóż, nic nie stoi na przeszkodzie, aby ktoś wydał w ten sposób swoje pieniądze. Jednak zwiedzanie krajów Unii Europejskiej z fałszywym certyfikatem nie jest dobrym pomysłem. Po pierwsze dlatego, że takie podróbki zostaną unieważnione (wówczas stracisz swoje pieniądze), ale nie tylko — możliwe także, że zostaniesz potraktowany przez organy ścigania tak samo oszuści. Dzięki fałszywemu paszportowi szczepionkowemu masz duże szanse na długą pogawędkę z europejskimi funkcjonariuszami organów ścigania.

Mamy powody, by sądzić, że nie jest to ostatnie oszustwo dotyczące systemu Green Pass. Prawdopodobnie dość szybko pojawią się kolejne, co przyciągnie również większą uwagę organów ścigania. Z tego względu lepiej nie decyduj się na zakup Green Passa w miejscu innym niż oficjalna europejska instytucja medyczna.

Autor: Serge Malenkovich, Kaspersky