Znalazłem w sieci podróbki mObywatela już za 20 zł. To poważne zagrożenie dla bezpieczeństwa kraju

"To wyłącznie dowód kolekcjonerski, stworzony w celach rozrywkowych i edukacyjnych. Nie jest związana ani powiązana z oficjalną aplikacją mObywatel, ani z żadnymi instytucjami państwowymi" – czytam ogłoszenie na kanale sprzedawcy podróbek rządowej aplikacji.

Legit razy trzy

Niemal każdy z kilkunastu kanałów oferujących fałszywe wersje mObywatela, które przeglądam, miał przypięte nagranie, w którym autor "przeklikuje" kolejne strony aplikacji. Na filmach pojawia się również mDowód – z powiewającą flagą i zielonym napisem, zapewniającym mnie o ważności dokumentu.

Widzę nawet holograficzne godło. 

Twórcy fałszywek zapewniają, że wszystkie przyciski w aplikacji działają i że wyświetla ona aktualną godzinę w odpowiednim formacie. Istnieją osobne kanały, na których nabywcy potwierdzają jakość zakupów. Widzę na nich dziesiątki komentarzy chwalących obsługę. "Legit x3 bo dla tylu osób brałem" – czytam w jednym komentarzu. 

Największa tego typu grupa, na którą trafił Marcin Kostecki, szef działu fact-checkingu politycznego organizacji Demagog, miała 6,5 tys. członków. 

– Niektóre z tych serwerów upadają i powstają ponownie, więc jeżeli któryś aktualnie gromadzi 6 tysięcy osób, to nie wiadomo, ile gromadziła jego pierwsza czy druga wersja – mówi.

Kod źródłowy aplikacji można kupić już za 200 zł. Nic więc dziwnego, że konkurencja jest spora. Wystawcy próbują się wyróżnić. "Intuicyjny proces instalacji" czy "profesjonalne wsparcie techniczne", to jedne z najczęstszych haseł pojawiających się w opisach kanałów.

Większość z nich ma nawet system afiliacyjny, w którym oferują wynagrodzenie za promowanie konkretnej podróbki mObywatela. Za film z 15 tys. wyświetleń na dowolnym medium społecznościowym możemy dostać darmową aplikację. Za każdy kolejny tysiąc oferowane jest 50 groszy.

Producentom fałszywek zadałem pytania w roli potencjalnego klienta o prawdopodobieństwo wykrycia podróbki. W odpowiedzi dostałem informacje, że w żadnym wypadku nie powinienem używać jej, jako "prawdziwego dowodu".

"Aplikacja nie ma w żaden sposób podrabiać oryginalnej aplikacji. Jest to tylko aplikacja demonstracyjna" – czytam w wiadomości od sprzedawcy podróbek.

Kupisz alkohol, zagłosujesz w wyborach

Z mObywatela korzysta obecnie ponad 8 milionów osób. Dzięki niemu załatwimy sprawy urzędowe, uzyskamy dostęp do danych pochodzących z rejestrów państwowych, ale przede wszystkim – stworzymy cyfrowe wersje dokumentów. 

W aplikacji, która od lipca ubiegłego roku dostępna jest w odnowionej wersji 2.0, możemy stworzyć unikalny cyfrowy dowód, prawo jazdy czy legitymację studencką. Stanowią pełnoprawy zamiennik dokumentów – uprawniają do głosowania w wyborach, z nimi kupimy alkohol i zamkniemy rachunek w banku, a nawet złożymy oświadczenie o uznanie ojcostwa. 

Podróbkę aplikacji wydawanej przez Ministerstwo Cyfryzacji można kupić w internecie za kilkadziesiąt złotych.

mObywatel na sprzedaż

Od lipca 2023 roku możemy potwierdzać naszą tożsamość mDowodem – cyfrową wersją dowodu osobistego, dostępną w aplikacji mObywatel. Obecnie stworzymy w niej w sumie 19 dokumentów: od Karty Dużej Rodziny, przez legitymację studencką, do legitymacji poselskiej. 

Podrobione wersje aplikacji można kupić za pośrednictwem komunikatorów, takich jak Discord czy Telegram. 

"Konta o nazwach nawiązujących do oficjalnej nazwy aplikacji zachęcają, by wysyłać w tej sprawie wiadomości prywatne lub dołączyć do wskazanych kanałów" – opisuje na stronie organizacji Demagog Marcin Kostecki.

Według jego analizy można znaleźć oferty sprzedaży fałszywego mDowodu już za 20 zł. 

Czym jest taka najtańsza podróbka? Mowa o skrypcie wyświetlającym podróbkę cyfrowego dokumentu z wszystkimi elementami wyróżniającymi oryginał – falującą polską flagą i zielonym napisem "dokument ważny". 

Za kolejne 60 zł sprzedawcy oferują z kolei dostęp do kopii całej aplikacji mObywatel. W internecie znajdziemy nawet oferty sprzedaży kodu źródłowego do tworzenia własnych wersji aplikacji. 

Po co ktoś miałby je kupować? 

– Oferty, z którymi się spotkałem, były skierowane do osób poniżej 18 roku życia, które szukały sposobów, żeby kupić alkohol, tytoń i wszystko to, co jest niedostępne dla małoletnich. Widziałem  relacje osób, które pokazywały fałszywy mDowód, kiedy spisywała je policja – opowiada mi Marcin Kostecki.

– Ale w praktyce dziś tylko przy przekraczaniu granicy musimy skorzystać z czegoś więcej niż aplikacja mObywatel. We wszystkich innych przypadkach, w których potrzebne jest potwierdzenie tożsamości, można użyć mDowodu – dodaje.

Taniej od kawałka plastiku

Ustawa z 2019 miała pomóc w zwalczaniu tzw. dowodów kolekcjonerskich – podróbek sprzedawanych jako produkty kolekcjonerskie, co miało uchronić ich producentów przed konsekwencjami złamania zakazu produkcji fałszywych dokumentów. Wprowadza ona karę do dwóch lat pozbawienia wolności za wytwarzanie replik dokumentów publicznych. 

Mimo to oferty sprzedaży fałszywych dowodów znajdziemy po pierwszym wyszukiwaniu w Google. "Kolekcjonerskie" dowody osobiste, prawa jazdy czy nawet karty pobytu nadal możemy kupić w granicach 800 zł. 

Skąd tak niska cena ich cyfrowych wersji? 

– Stworzenie skryptu imitującego mDowód, czy nawet kopii aplikacji nie jest skomplikowane technicznie. Wystarczy mieć komputer i wiedzę – mówi mi Marcin Kostecki z Demagoga. 

Podrabianie cyfrowych dokumentów ułatwia samo Ministerstwo Cyfryzacji. Według wytycznych producenta mObywatela pierwszym sposobem na sprawdzenie jego autentyczności jest sprawdzenie, czy "flaga wyświetlona przy mDowodzie faluje" i czy wyświetla się zielony napis. 

– Takie elementy bardzo łatwo umieścić w fałszywkach – twierdzi Marcin Kostecki. – Wiele mogłoby się poprawić w sposobie, w jaki Ministerstwo tłumaczy sposób weryfikacji mDowodów. Zamiast promować ocenę "na oko", powinniśmy się skupić na weryfikacji przy pomocy kodu QR. 

"Aby stacjonarnie załatwić niektóre sprawy formalne, np. w urzędzie, banku czy przychodni, (...) zazwyczaj okazujesz swój dokument do wzrokowej kontroli pracowników urzędów, firm czy instytucji" – czytam na rządowej stronie aplikacji mObywatel. 

W opisie "elementów zabezpieczających wiarygodność" czytam, że "są nimi: data i godzina dokumentu, która powinna odpowiadać aktualnej dacie i godzinie, delikatnie powiewająca flaga Polski oraz informacja potwierdzająca status (zielony napis Dokument ważny)" – metodę tę Ministerstwo nazywa "wizualną". 

Dodatkowy stopień weryfikacji polega na "potwierdzeniu poprawnego funkcjonowania aplikacji mObywatel". W nim osoba odpowiedzialna za sprawdzenie autentyczności ma włączać losowe funkcje – to jest metoda "funkcjonalna". 

Jednak to trzecia metoda jest najskuteczniejsza.

Mógłby być bezpieczniejszy od dowodu

– Nie spotkałem się jeszcze z podrobioną wersją aplikacji, która oferowałaby taką możliwość. Tego nie udało się jeszcze skopiować fałszerzom i nie wyobrażam sobie, jak technicznie miałoby to zostać przeprowadzone bez włamywania się do systemów rządowych – mówi Marcin Kostecki. 

Metoda "kryptograficzna" polega na sprawdzeniu autentyczności za pomocą kodu QR. 

– Polegając na tej metodzie mObywatel mógłby być nawet bezpieczniejszy niż tradycyjne dowody – dodaje Kostecki. 

Jak sprawdzanie mDowodu wygląda w praktyce? Postanowiłem zapytać w okolicznych sklepach.

Moja próba badawcza ograniczała się do trzech okolicznych Żabek. Wszystkie sprzedawczynie, z którymi rozmawiałem, mówiły, że rzadko spotykają się z mDowodami. 

Każda z nich została jednak przeszkolona w ich sprawdzaniu, jednak wyłącznie metodą "wizualną". 

– Wiem, że nie wystarczy sprawdzić zdjęcia. Mam weryfikować też ruchomą flagę i hologram – powiedziała mi jedna z nich. 

Fałszerstwa wyborcze 

Ale czy podróbki mObywatela to tylko kolejny sposób licealistów na kupowanie piwa? 

Trwająca kampania wyborcza zwraca naszą uwagę na inny problem.

– W styczniu wyciekły dane jednej z firm oferujących podpisy elektroniczne: imiona, nazwiska, pesele, nr. dowodów. Wyobrażam sobie, że jakaś osoba mogłaby wybrać z tej bazy kogoś, o kim wie, gdzie ta osoba mieszka i do jakiego lokalu wyborczego jest przypisana. Jeżeli jest to osoba o tej samej płci i zbliżona wiekiem, mogłaby stworzyć fałszywy mDowód ze skradzionymi danymi i oddać głos w cudzym imieniu – opowiada Marcin Kostecki. 

Nie oznacza to jednak, że fałszywy mObywatel mógłby wpłynąć na wyniki wyborów. Szczególnie jeśli mowa o wyborach prezydenckich, rozstrzyganych setkami tysięcy głosów. Zagrożenie dotyczy czegoś innego. 

– Jeśli osoba, która próbuje zagłosować, dowie się, że ktoś już to w jej imieniu zrobił, może zrobić aferę – kontynuuje Kostecki. – To może być jednostkowy przypadek, ale wyobraźmy sobie, że pojawia się ich kilka, w różnych częściach Polski. To już może wywołać panikę, a na pewno podejrzenia, że ktoś próbuje wpłynąć na wynik wyborów. 

Takie działania wydają się wprost idealnym scenariuszem dla rosyjskich trolli, którym może szczególnie zależeć na podważeniu procesu wyborczego. 

– Nawet jeśli to trudny do zrealizowania scenariusz, to fakt, że właśnie mObywatel stanowi tutaj najsłabsze zabezpieczenie, jest bardzo niepokojący – dodaje Marcin Kostecki z organizacji Demagog.