Wczoraj Dziennik Internautów informował o wycieku z serwerów PKW. Nieznanym sprawcom udało się pozyskać imiona i nazwiska pracowników Państwowej Komisji Wyborczej i Krajowego Biura Wyborczego oraz firm świadczących usługi informatyczne na rzecz tych instytucji, a także ich adresy e-mail, loginy i hasła zahashowane algorytmem MD5. Szczegóły w tekście pt. Wyciek z serwerów Państwowej Komisji Wyborczej. Wyniki wyborów nie są zagrożone.

Wyciek prawdopodobnie nie miał nic wspólnego z awarią systemu wyborczego. Niemniej można go uznać za kolejny cios dla PKW i próbę udowodnienia, że ta instytucja ma problemy z technologiczną stroną swojej działalności. Wielu komentujących nazwało ten wyciek kopaniem leżącego. 

PKW zgłasza wyciek do ABW

Państwowa Komisja Wyborcza próbuje teraz odeprzeć cios. Zgłosiła sprawę do Agencji Bezpieczeństwa Wewnętrznego. W związku z tym wczoraj na stronie ABW pojawił się następujący komunikat:

Agencja Bezpieczeństwa Wewnętrznego w późnych godzinach wieczornych otrzymała informację od Państwowej Komisji Wyborczej o incydencie dotyczącym nieuprawnionego dostępu do bazy danych strony internetowej www.pkw.gov.pl.

Rządowy Zespół Reagowania na Incydenty Komputerowe CERT.GOV.PL natychmiast polecił PKW zmianę haseł i zabezpieczenie logowań do systemu.

Według informacji otrzymanej z PKW atak nie dotyczy systemu wyborczego.

W tej chwili ABW zbiera materiał, który zostanie poddany ocenie formalno-prawnej.

O przepisach "antyhakerskich"

Działania, które może podjąć ABW, mogą być zorientowane na ściganie przestępstwa, o którym mowa w art. 267 Kodeksu karnego. Oto istotny fragment tego przepisu:

Art. 267. § 1. Kto bez uprawnienia uzyskuje dostęp do informacji dla niego nieprzeznaczonej, otwierając zamknięte pismo, podłączając się do sieci telekomunikacyjnej lub przełamując albo omijając elektroniczne, magnetyczne, informatyczne lub inne szczególne jej zabezpieczenie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

 § 2. Tej samej karze podlega, kto bez uprawnienia uzyskuje dostęp do całości lub części systemu informatycznego.

Jeśli sprawców uda się ująć, teoretycznie grożą im nawet dwa lata więzienia. To dość surowa kara i - jak zwykle przy takich okazjach - może dojść do dyskusji na temat surowości przepisów "antyhakerskich".

Wiele osób uzna, że sprawcy włamania na serwery PKW nie mieli całkiem złych intencji. Ukazali słabość pewnej państwowej instytucji, która powinna bardzo dbać o bezpieczeństwo. Sprawcy nie trzymali ataku w tajemnicy, co można uznać za potwierdzenie takich intencji. Czy te osoby powinny iść do więzienia na dwa lata? Czy w ogóle więzienie to dla nich dobre miejsce?

Często mówi się, że hakerzy nie powinni iść do więzienia, ale też dodajmy, że w Polsce przepisy "antyhakerskie" nie są najgorsze. W Stanach Zjednoczonych programista Aaron Swartz stanął przed perspektywą 30 lat więzienia! Nie trafił za kratki, bo popełnił samobójstwo. Tragedia wstrząsnęła ludźmi, ale później w Unii Europejskiej rozruszała się dyskusja o zaostrzeniu kar dla cyberprzestępców, a prawo nie zawsze odróżnia hakera z dobrymi intencjami od cyberprzestępcy.

Nie zrozumcie nas źle. Nie popieramy żadnych włamań i nie zachęcamy do łagodnego traktowania cyberprzestępców. Zauważamy tylko, że działania organów ścigania przeciwko sprawcom cyberwłamań to temat trudniejszy, niż można początkowo sądzić.

ABW, PKW i NIK

Inna rzecz, że ABW ma ostatnio trochę roboty z powodu PKW. Wiadomo, że w ramach kontroli NIK Agencja przekazała do Najwyższej Izby Kontroli wstępną analizę dotyczącą incydentów informatycznych związanych z systemem użytkowanym przez Krajowe Biuro Wyborcze. Materiał analityczny z ABW został włączony do akt kontroli. Izba wykorzysta go przy formułowaniu końcowego raportu.