Haker Asada skazany w USA po dwunastu latach. Fałszywy tweet za 136 mld dolarów i okup, którego banki nie chciały przelać

W czwartek 29 października 2026 r. sąd federalny w Alexandrii w stanie Wirginia skazał Ahmada Umara Aghę, hakera Syryjskiej Armii Elektronicznej znanego jako Th3 Pr0, na 42 miesiące więzienia. Według komunikatu Departamentu Sprawiedliwości Agha włamał się do około 47 zachodnich redakcji, firm, organizacji pozarządowych i instytucji rządowych, a jednym wpisem na przejętym koncie agencji Associated Press obniżył na kilka minut wartość amerykańskich spółek o 136 mld dolarów. Od pierwszych zarzutów, postawionych w czerwcu 2014 r., minęło ponad dwanaście lat. Reżim Baszara al-Asada, któremu haker służył, upadł wcześniej, niż zapadł wyrok.

Sprawa ma dwie warstwy i obie są udokumentowane lepiej niż większość cyberataków. Pierwszą opisuje oświadczenie agenta FBI z czerwca 2014 r.: 38 stron o tym, jak dwóch młodych ludzi z Damaszku i Homs przejmowało konta największych redakcji świata. Drugą opisuje oświadczenie z września 2015 r.: 26 stron o tym, jak jeden z nich zaczął na boku szantażować firmy hostingowe i dlaczego prawie nic na tym nie zarobił. Trzeba pamiętać, czym są te dokumenty. Oświadczenie składane pod przysięgą (affidavit) ma uprawdopodobnić zarzuty, nie jest ustaleniem sądu. Agha przyznał się do winy i został skazany, a Peter Romar, pośrednik z drugiej sprawy, przyznał się do winy w 2016 r. Firas Dardar, według oskarżenia główny szantażysta, pozostaje na wolności i korzysta z domniemania niewinności, dlatego wszystko, co go dotyczy, przytaczam jako twierdzenia oskarżenia. Własne oceny i hipotezy oznaczam wprost.

Dwanaście słów, które kosztowały 136 mld USD

23 kwietnia 2013 r., kilka minut po trzynastej czasu nowojorskiego, na koncie Associated Press na Twitterze, które śledziły wtedy blisko 2 mln osób, pojawił się wpis: pilne, dwa wybuchy w Białym Domu, Barack Obama ranny. W oryginale miał dwanaście słów. Agencja opisała potem, że indeks Dow Jones spadł w dwie minuty z 14 697 do 14 554 punktów, a dziesięć minut po wpisie odrobił całą stratę. Sprostowanie przyszło niemal od razu, tyle że nagłówki czytali już nie tylko ludzie. Terminale Bloomberga zaczęły wyświetlać wpisy z Twittera wcześniej w tym samym roku, a część maklerów przypisała gwałtowność spadku automatom.

Departament Sprawiedliwości wycenia ten epizod na 136 mld dolarów chwilowej utraty wartości spółek z indeksu Dow Jones. Reuters podawał w 2013 r. 136,5 mld dolarów dla szerszego indeksu S&P 500, sama AP pisała o 134 mld. Żadna z tych liczb nie opisuje szkody w rozumieniu prawa: wycena wróciła po dziesięciu minutach, a stracić mogli tylko ci, którzy w tym oknie zawierali transakcje.

Według oświadczenia agenta wiadomość od Twittera potwierdzająca zmianę hasła do konta @AP trafiła na prywatną skrzynkę Gmail, której używał Agha; z tego samego adresu IP tego samego dnia logowano się do poczty AP i 39 razy do tej skrzynki. Agha, według listu gończego FBI urodzony 10 stycznia 1994 r., miał wtedy dziewiętnaście lat. W rozmowie z Business Insiderem, którą cytuje komunikat o wyroku, mówił, że spadek indeksu był celem ataku i „wielkim zwycięstwem”.

Jak działała Syryjska Armia Elektroniczna: phishing i cudza skrzynka

W oświadczeniu agenta Syryjska Armia Elektroniczna (Syrian Electronic Army, SEA) nie łamie żadnego szyfru. Jej podstawowa metoda mieści się w jednym akapicie: pracownik dostaje e-mail z odnośnikiem, odnośnik prowadzi do strony udającej stronę logowania, pracownik wpisuje login i hasło, a formularz wysyła je na skrzynkę napastnika. To phishing, a w wersji wymierzonej w konkretne osoby spear phishing. O skuteczności decydował nadawca. Do dziennikarzy „Washington Post” i pracowników Human Rights Watch pisano z przejętej wcześniej skrzynki ministerstwa spraw zagranicznych Kataru, do redakcji AP z przejętego konta w biurze Wysokiego Komisarza ONZ do spraw Uchodźców, a więc z prawdziwej domeny tej organizacji. Jedna przejęta skrzynka Human Rights Watch posłużyła do wysłania ponad 6 tys. kolejnych wiadomości, głównie do mediów.

Dwa szczegóły pokazują, jak uważnie hakerzy czytali swoje ofiary. 15 kwietnia 2013 r., w dniu zamachu na maratonie w Bostonie, pracownicy radia publicznego NPR dostali od własnych kolegów, z przejętych już skrzynek, odnośnik do rzekomego artykułu o zamachu. A gdy 6 maja 2013 r. informatycy serwisu satyrycznego The Onion o 11:48 rozesłali prośbę o zmianę haseł, hakerzy, obecni już w jednej ze skrzynek, wysłali kopię tej wiadomości z podmienionym odnośnikiem. Co najmniej dwie kolejne osoby oddały hasła w odpowiedzi na ostrzeżenie przed kradzieżą haseł.

Najcięższe skutki przyszły jednak przez dostawców. Strona „New York Timesa” zniknęła z sieci, choć nikt nie włamał się do redakcji: hakerzy weszli do systemów australijskiego rejestratora domen Melbourne IT, którego dwaj pracownicy, jak podaje oświadczenie, wpisali hasła po e-mailu wyglądającym na wiadomość od własnego prezesa (o tej samej sztuczce w nowszym wydaniu zob. Oszustwo na prezesa z deepfake. Akt oskarżenia o 129 mln USD). Ruch z serwisów CNN, „Washington Post” i „Time” przekierowano przez Outbrain, dostawcę ramki z polecanymi artykułami. Serwis rekrutacyjny Korpusu Piechoty Morskiej przejęto przez pracownicę agencji reklamowej, która obsługiwała jego domenę; przez około sześć godzin zamiast ogłoszeń o naborze wyświetlał wezwanie do odmowy wykonania rozkazów. Tam, gdzie zabezpieczenia nie zależały od jednego kliknięcia, hakerzy przegrywali: w czerwcu 2012 r. żaden pracownik Białego Domu nie kliknął w odnośnik, a w NASA kliknęły cztery osoby i zatrzymał je filtr sieciowy.

O tym, jak śledczy doszli do nazwisk, oświadczenie mówi bez dramaturgii. Ze skrzynki, która zbierała skradzione hasła i potwierdzenia z Twittera, wysłano skan dokumentu tożsamości, a jej użytkownik przesłał sam sobie zdjęcia z wesela. Dardar, jak twierdzi oskarżenie, wysyłał szantażowanym firmom fotografię danych rachunku z własnym nazwiskiem w rubryce beneficjenta. Ten sam wzór, czyli wiele drobnych śladów u wielu usługodawców, opisywaliśmy przy rosyjskiej grupie Void Blizzard (zob. Haker z FSB wpadł przez PayPal i jeden numer telefonu. Sprawa Void Blizzard i lekcje cyberbezpieczeństwa dla firm).

Druga sprawa: okup, którego banki nie chciały przelać

Według oświadczenia z 2015 r. Dardar, znany jako The Shadow, od połowy 2013 r. używał tych samych umiejętności i rozgłosu SEA do zarabiania. Włamywał się do firm, głównie hostingowych, po czym pisał do nich jako „etyczny haker”, który za opłatą opisze lukę i pomoże uniknąć kolejnych ataków. Kto nie odpowiadał, dostawał termin: godzinę, dwadzieścia minut. Kto odmawiał, czytał o sprzedaży swoich baz danych. Śledczy doliczyli się co najmniej czternastu ofiar i żądań na łącznie ponad 500 tys. dolarów; siedem przypadków oświadczenie opisuje szczegółowo.

Zestawienie żądań z wpłatami jest najbardziej pouczającą częścią akt. Europejska firma hostingowa usłyszała żądanie 300 tys. euro; po pół roku korespondencji przelała 5 tys. Kalifornijska miała zapłacić 105 tys. euro; wysłała około 1,5 tys. dolarów. Brytyjska wynegocjowała obniżkę z 50 tys. do 15 tys. euro i, jak wynika z korespondencji, przekazała około 16 tys. Szwajcarska zapłaciła 5 tys. euro, chińska spółka od gier płaciła drobne kwoty. Dwie firmy amerykańskie nie zapłaciły nic.

Większości pieniędzy nie zatrzymała ani stanowczość zarządów, ani policja. Zatrzymały je działy compliance. System płatności odrzucił przelew, bo bank beneficjenta był w Syrii. Western Union w Stanach nie przyjął zlecenia do Syrii. Banki ofiar odmawiały. PayPal, bitcoin i WebMoney były dla niego w Syrii niedostępne, jak sam napisał jednej z firm. Jeden z amerykańskich menedżerów odpisał mu, że przesłanie pieniędzy z USA do Syrii jest nielegalne i niewykonalne, i dodał, że warto o tym pamiętać „przy kolejnych włamaniach”. Inna firma, która zgodziła się już na 7,5 tys. euro, wycofała się, powołując się wprost na amerykańskie sankcje.

Dardar potrzebował więc pośrednika poza Syrią. Został nim Peter Romar, Syryjczyk mieszkający w Waltershausen w Turyngii, i od tego miejsca akta czyta się jak instrukcję obiegu dokumentów. Europejska firma, zanim cokolwiek przelała, zażądała podpisanej umowy i kopii paszportu sygnatariusza, a potem jeszcze umowy o poufności. Romar wysłał jedno i drugie, ze skanem własnego paszportu. Bank ofiary odmówił przelewu z powodu syryjskiego obywatelstwa odbiorcy, więc firma zaproponowała otwarcie rachunku w innym banku. Szwajcarska spółka dołączyła do przelewu oświadczenie, że płaci za otrzymane „etyczne testy penetracyjne”; agent FBI ocenia, że takie sformułowania miały nadać wymuszeniu pozór legalności. Szantażysta przeszedł procedurę, którą banki nazywają „poznaj swojego klienta”, a okup dostał opis jak z faktury za usługę.

Romar został zatrzymany w Niemczech w marcu 2016 r., wydany Stanom Zjednoczonym w maju i 28 września 2016 r. przyznał się do dwóch zarzutów zmowy. Według rejestru sądowego miesiąc później usłyszał wyrok: karę w wymiarze odbytego już aresztu, dwa lata dozoru i obowiązek zwrotu 12 888,12 dolara. Jego obrońca podkreślał, że Romar nie wziął dla siebie nic i wszędzie występował pod własnym nazwiskiem. W Polsce pośrednik, który przyjmuje i przekazuje dalej pieniądze z wymuszenia, naraża się przede wszystkim na zarzut prania pieniędzy (zob. Pranie pieniędzy (art. 299 KK): zarzut, kara i obrona przedsiębiorcy), a zależnie od swojej roli także na zarzut pomocnictwa do samego wymuszenia. Z oświadczenia wynika też, że Dardar polecił Romarowi przekazać 1450 euro hakerowi o pseudonimie Th3 Pr0. Agha nie został jednak objęty tą sprawą, a komunikat o jego skazaniu nie wiąże go z wymuszeniami.

Czterdzieści dwa miesiące: jak czytać wyrok

Skarga karna z 2014 r. zawierała jeden zarzut zmowy (conspiracy), której przedmiotem było naruszenie ośmiu przepisów, od nieuprawnionego dostępu do komputerów po fałszywy alarm terrorystyczny i nakłanianie żołnierzy do nieposłuszeństwa. W 2016 r. FBI wpisało obu hakerów na listę najbardziej poszukiwanych cyberprzestępców i wyznaczyło po 100 tys. dolarów nagrody. Akt oskarżenia z maja 2018 r. liczył jedenaście zarzutów: zmowę (do 5 lat), zmowę w celu oszustwa z użyciem środków łączności, czyli wire fraud (do 20 lat), oraz zarzuty kwalifikowanej kradzieży tożsamości, z obowiązkowymi dwoma latami.

Komunikat o wyroku pomija historię procesową, ale sporo dopowiada rejestr sądowy. Agha przyznał się do winy 25 czerwca 2026 r.: do obu zarzutów zmowy i do sześciu zarzutów kwalifikowanej kradzieży tożsamości; trzy pozostałe wycofano. Na 42 miesiące składa się 18 miesięcy za zmowę i obowiązkowe 24 za kradzież tożsamości, po których nastąpią trzy lata dozoru. Ponad połowa kary jest więc ceną nie za włamywanie się, lecz za logowanie się cudzymi danymi. Według rejestru nakaz aresztowania wykonano 28 października 2025 r., a dzień później Agha po raz pierwszy stanął przed sądem. Jak trafił w ręce Amerykanów, nie mówi ani komunikat, ani rejestr; The Record odnotowuje, że departament nie podał szczegółów zatrzymania, o którym pierwszy napisał serwis Court Watch. Nie udało mi się ustalić, czy sąd orzekł obowiązek naprawienia szkody. Warto za to odnotować pułapkę: wersja komunikatu opublikowana przez prokuraturę okręgową podaje jako koniec zmowy 31 stycznia 2024 r. To najpewniej omyłka, bo skarga i komunikat departamentu mówią o styczniu 2014 r., ale część prasy zdążyła napisać o dekadzie ataków.

Da się natomiast powiedzieć, czego w tym wyroku nie ma. Nie ma w nim 136 mld dolarów. Do akt, na które powołuje się departament, trafiły koszty, które dało się przypisać i policzyć: spółka dostarczająca wydawcom treści i reklamy traciła około 35 tys. dolarów dziennie przez mniej więcej pół roku (z prostego mnożenia wychodzi ponad 6 mln), a międzynarodowa organizacja pozarządowa wydała 480 tys. dolarów, w tym 250 tys. na nowy system monitorowania sieci, i przeszkoliła ponad 800 pracowników. Amerykańska ustawa o przestępstwach komputerowych rozumie stratę właśnie tak: jako rozsądny koszt reakcji na atak, oceny szkód i przywrócenia systemów oraz przychód utracony wskutek przerwy w działaniu usługi.

Wreszcie proporcje. Pośrednik, który przekazał kilkanaście tysięcy dolarów, dostał karę równą kilku miesiącom spędzonym już w areszcie. Haker, który przez dwa i pół roku atakował 47 instytucji, dostał trzy i pół roku, z zaliczeniem dotychczasowego aresztu. Dla porównania: polski przepis o dezinformacji na rzecz obcego wywiadu, o którym niżej, zaczyna się od ośmiu lat.

Od studentów do szefa wywiadu: kto stał za hakerami

W maju 2011 r. domenę SEA zarejestrowało, jak ustalił badacz Helmi Noman, Syryjskie Towarzystwo Komputerowe, którym w latach 90. kierował Baszar al-Asad. 20 czerwca 2011 r. Asad publicznie pochwalił „armię elektroniczną”. Sama grupa zapewniała, że nie jest związana z rządem. W 2013 r. rozmówca przedstawiany jako jej lider mówił, że władze są z niej dumne, ale nie wiedzą, kim są jej członkowie, a haker podpisujący się Th3 Pr0 przyznał kilka miesięcy później, że grupa przekazała rządowi bazy danych wykradzione z komunikatorów Viber i Tango oraz z serwisu Truecaller.

Oświadczenie agenta z 2014 r. opisuje SEA jako grupę działającą na rzecz reżimu i nie twierdzi, że ktokolwiek z władz nią kierował; podobnie komunikaty z 2016 i 2018 r., co odnotował serwis The Hacker News. Komunikat z 29 października 2026 r. mówi już co innego: zmowę zorganizowali i prowadzili ludzie z najbliższego otoczenia Asada, w tym dowódca syryjskiego Zarządu Wywiadu Ogólnego, a grupa zbierała dla rządu informacje wywiadowcze. Skąd ta zmiana, departament nie wyjaśnia. Można przypuszczać, i jest to wyłącznie hipoteza, że złożyły się na nią upadek reżimu w grudniu 2024 r. i to, że Agha od 2025 r. jest w rękach amerykańskich.

Dla praktyki wynika z tego rzecz niewygodna: ocena, kim był napastnik, jest tymczasowa. Ofiary z 2013 r. miały do czynienia z grupą, która przedstawiała się jako młodzi ochotnicy bez związków z rządem; trzynaście lat później prokurator mówi o operacji służb. Tymczasem od tej oceny zależy coraz więcej: zakres ochrony ubezpieczeniowej, ryzyko sankcyjne, a w polskim prawie także kwalifikacja czynu. Skutki uznania ataku za operację państwową omówiliśmy przy sprawie Void Blizzard; tu wystarczy zapamiętać, że atrybucja potrafi zmienić się długo po zamknięciu incydentu.

Fałszywa depesza i okup w polskim prawie

Polska ma własną wersję tej historii. 31 maja 2024 r. w serwisie Polskiej Agencji Prasowej dwukrotnie ukazała się fałszywa depesza o częściowej mobilizacji 200 tys. osób; władze mówiły o prawdopodobnym rosyjskim cyberataku. Prokuratura Okręgowa w Warszawie wszczęła śledztwo z przepisu o dezinformacji, o którym niżej; w grudniu 2024 r. umorzyła je z powodu niewykrycia sprawców, a w marcu 2025 r. sąd utrzymał to postanowienie w mocy. Przejęty kanał agencji prasowej nie jest więc amerykańską egzotyką.

Gdyby sprawca takiego ataku stanął przed polskim sądem, podstawą byłyby przepisy Kodeksu karnego o przestępstwach komputerowych: nieuprawniony dostęp do systemu (art. 267 k.k., do 2 lat), bezprawna zmiana danych (art. 268a k.k., do 3 lat, przy znacznej szkodzie do 5), zakłócenie pracy systemu (art. 269a k.k.) i oszustwo komputerowe popełnione w celu wyrządzenia szkody (art. 287 k.k.), oba zagrożone karą do 5 lat. Fałszywa wiadomość, która porusza kursami, jest ponadto manipulacją w rozumieniu art. 12 rozporządzenia MAR, jeżeli rozpowszechniający wiedział lub powinien był wiedzieć, że jest nieprawdziwa; art. 183 ustawy o obrocie instrumentami finansowymi przewiduje za to grzywnę do 5 mln zł, karę do 5 lat więzienia albo obie łącznie.

Wszystko to są kary liczone w pojedynczych latach. Zmienia je jeden element: działanie na rzecz obcego wywiadu. Od 1 października 2023 r. obowiązuje art. 130 § 9 k.k., zgodnie z którym kto, biorąc udział w działalności obcego wywiadu albo działając na jego rzecz, prowadzi dezinformację, aby wywołać poważne zakłócenia w ustroju lub gospodarce Polski, państwa sojuszniczego albo organizacji międzynarodowej, do której Polska należy, podlega karze nie krótszej niż 8 lat. Przy fałszywej depeszy nadanej dziś rozstrzyga więc to, czy prokurator wykaże związek z wywiadem: jeśli tak, w grę wchodzi kara od 8 do 30 lat; jeśli nie, zostają przepisy wymienione wyżej. W amerykańskim komunikacie zdanie o szefie wywiadu jest tłem. W polskim akcie oskarżenia byłoby znamieniem przestępstwa, od którego zależy wymiar kary, i zarazem rzeczą najtrudniejszą do udowodnienia, co pokazało śledztwo w sprawie depeszy PAP.

Jurysdykcja jest w obu systemach szeroka. W skardze z 2015 r. jako miejsce czynu wpisano hrabstwo Loudoun w Wirginii, bo tam, w Ashburn, stał serwer jednej z szantażowanych spółek; oskarżeni działali z Syrii i Niemiec. Polski kodeks uznaje czyn za popełniony również tam, gdzie nastąpił skutek należący do jego znamion (art. 6 § 2 k.k.), a pod pewnymi warunkami obejmuje czyn cudzoziemca popełniony za granicą przeciwko polskiej osobie prawnej (art. 110 § 1 k.k.). Dowody leżą natomiast u usługodawców: amerykańskie śledztwo zbudowano na danych Google’a, Microsoftu, LinkedIna, Twittera, Facebooka, Apple’a i Western Union. Te dane nie są przechowywane bez końca. Polski prokurator może zażądać ich zabezpieczenia na czas do 90 dni (art. 218a k.p.k.), a od 18 sierpnia 2026 r. stosuje się rozporządzenie (UE) 2023/1543 o europejskich nakazach wydania i zabezpieczenia dowodów elektronicznych, kierowanych wprost do usługodawców w innych państwach członkowskich. W praktyce żaden z tych instrumentów nie zostanie użyty, dopóki pokrzywdzony nie złoży zawiadomienia, a nieuprawniony dostęp i bezprawną zmianę danych ściga się w ogóle dopiero na jego wniosek (art. 267 § 5 i art. 268a § 3 k.k.).

Osobnym tematem jest „etyczny haker”. Polskie prawo od 2017 r. chroni badacza, który wszedł do cudzego systemu wyłącznie po to, by go zabezpieczyć, niezwłocznie powiadomił właściciela i nie wyrządził szkody (art. 269c k.k.). Żądanie zapłaty pod groźbą sprzedaży danych nie spełnia żadnego z tych warunków. Jak taki szantaż zakwalifikować, zależy od tego, czym sprawca grozi. Przy groźbie zniszczenia danych pojawia się spór, czy jest to groźba gwałtownego zamachu na mienie, której wymaga wymuszenie rozbójnicze z art. 282 § 1 k.k. (od roku do 10 lat). Groźba ujawnienia to inna sprawa: od 1 października 2023 r. § 2 tego artykułu obejmuje, z tą samą karą, wymuszenie groźbą rozgłoszenia wiadomości uwłaczającej czci lub istotnie naruszającej prywatność albo zarzutu, który może narazić na utratę zaufania potrzebnego dla danej działalności. Groźba sprzedaży bazy danych klientów albo rozgłoszenia włamania może się w nim zmieścić, choć nie każda. W odwodzie zostają zmuszanie groźbą bezprawną (art. 191 § 1 k.k., do 3 lat) i przepisy o przestępstwach komputerowych.

W mojej ocenie samo spełnienie żądania szantażysty nie jest w Polsce przestępstwem pokrzywdzonego. Ryzyko leży obok. Po pierwsze sankcje: kompleksowy amerykański program wobec Syrii zniesiono w 2025 r., choć Asad i jego otoczenie pozostają na liście, a sama zasada się nie zmieniła. Urząd OFAC przypomina, że kara cywilna za płatność na rzecz podmiotu z listy sankcyjnej nie zależy od winy, a unijne rozporządzenie 2019/796 zakazuje udostępniania środków osobom wpisanym na listę za cyberataki. Ofiara zwykle nie wie, kto jest po drugiej stronie; w 2014 r. nie pisała o tym nawet prokuratura. Po drugie obowiązki zgłoszeniowe: umowa o poufności zawarta z szantażystą nie zwalnia z obowiązku zgłoszenia naruszenia ochrony danych osobowych (art. 33 RODO). W 2022 r. były szef bezpieczeństwa Ubera został w USA skazany za utrudnianie postępowania i zatajenie przestępstwa, po tym jak włamanie opłacono jako nagrodę za znalezienie błędu i obwarowano umową o poufności. Po trzecie księgi: opis „testy penetracyjne” nie zmienia okupu w usługę. Sądzę, że taki dokument nie spełnia wymogu rzetelności z art. 22 ust. 1 ustawy o rachunkowości. Sam okup, jak odpowiedziało „Rzeczpospolitej” Ministerstwo Finansów, w ogóle nie jest kosztem podatkowym, z czym część doradców się nie zgadza, a rozliczenie pozostałych strat po ataku też bywa sporne (zob. Ataki hakerskie a dodatkowe przychody). Nie twierdzę przy tym, że firmy opisane w aktach cokolwiek zataiły; dokumenty tego nie mówią.

Co z tego wynika

Po pierwsze, ochrona państwa jest dla hakera zasobem o ograniczonej trwałości, a amerykański nakaz aresztowania nie. Przy sprawie irańskiego Mabna Institute pisaliśmy, że granica między aktem oskarżenia a wyrokiem bywa polityczna, nie prawna (zob. Polska na celowniku Teheranu. USA oskarżają 17 Irańczyków o kradzież badań z uczelni w 22 krajach). Tu ta granica się przesunęła: reżim upadł w grudniu 2024 r., a niespełna rok później jego haker stał przed sądem w Wirginii. Dla pokrzywdzonych wniosek jest praktyczny. Zawiadomienie złożone dziś buduje akta, które mogą czekać.

Po drugie, liczba z nagłówka i liczba z akt to dwie różne liczby. 136 mld dolarów zniknęło i wróciło w dziesięć minut; do sądu trafiły rachunki za monitoring sieci, szkolenia i utracone przychody. Odszkodowanie, ubezpieczenie i podatki rozlicza się z dokumentów, więc koszty incydentu trzeba liczyć od pierwszego dnia.

Po trzecie, zapłata okupu jest decyzją prawną. W latach 2013 i 2014 podjęły ją za ofiary banki, odmawiając przelewów do Syrii; na taką przypadkową tarczę nie można liczyć. Kto rozważa zapłatę, powinien wcześniej ustalić, na ile się da, komu płaci, co musi zgłosić i jak opisze tę płatność w księgach.

Po czwarte, najsłabszym punktem wielkich redakcji okazali się rejestrator domen, agencja reklamowa i dostawca ramki z rekomendacjami. Znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, obowiązująca od 3 kwietnia 2026 r., nakłada na podmioty kluczowe i ważne obowiązek zarządzania ryzykiem w łańcuchu dostaw i co do zasady daje im na dostosowanie czas do 3 kwietnia 2027 r.; pozostałym nakazuje to zwykła ostrożność. Umowa z dostawcą, który może przestawić cudzą domenę albo opublikować coś w cudzym imieniu, powinna regulować uwierzytelnianie, zgłaszanie incydentów i odpowiedzialność.

Po piąte, to, kim był napastnik, okazuje się czasem po latach, a w polskim prawie przesądza o kwalifikacji czynu. W pierwszych dniach po ataku nie warto więc opierać decyzji na założeniu, że po drugiej stronie są tylko studenci.

Firas Dardar nie został zatrzymany ani osądzony. Opis jego roli pochodzi z dokumentów oskarżenia i obowiązuje wobec niego domniemanie niewinności.

Robert Nogacki

Robert Nogacki jest radcą prawnym, założycielem i partnerem zarządzającym Kancelarii Prawnej Skarbiec, działającej nieprzerwanie od 2006 roku.

Prawo jest równe dla wszystkich, ale strony rzadko są równe: po jednej stoi organizacja, która ma czas, pieniądze i prawników, po drugiej człowiek, który ma jedną firmę, jedne oszczędności i jedno życie.

Klienci rzadko przychodzą do niego z problemem prawnym. Przychodzą z problemem, który ma także stronę prawną: z kontrolą, która zaczęła się od jednej faktury, z pieniędzmi powierzonymi komuś, kto zniknął, z firmą, którą trzeba przekazać dalej, zanim będzie za późno. Większość takich spraw rozstrzyga się na długo przed pierwszym pismem, w decyzjach podjętych bez pytania i w terminach, o których nikt nie pamiętał. Dlatego zaczyna od pytania, jak klient trafił w to miejsce, a nie od tego, co powinien był zrobić.

Doradza przedsiębiorcom i rodzinom z kilkunastu krajów, także tym, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano. Broni ich w kontrolach podatkowych i celno-skarbowych, w sporach z organami podatkowymi i w sprawach karnych skarbowych. Reprezentuje poszkodowanych w oszustwach inwestycyjnych i piramidach finansowych. Pomaga rodzinom zakładać fundacje rodzinne i planować sukcesję, żeby dorobek życia przetrwał dłużej niż jedno pokolenie.

Nie każdą sprawę da się wygrać. Każdą da się prowadzić tak, żeby klient wiedział, na czym stoi. Od 2006 roku reprezentuje pokrzywdzonych w sprawie WGI (Warszawskiej Grupy Inwestycyjnej), jednej z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. W sprawie upadłej giełdy kryptowalut Zonda (Zondacrypto, operator BB Trade Estonia OÜ) reprezentuje kilkuset poszkodowanych w postępowaniu prowadzonym przez Prokuraturę Krajową i w estońskim postępowaniu upadłościowym.

Kancelaria Prawna Skarbiec jest notowana w rankingach największych firm doradztwa podatkowego Dziennika Gazety Prawnej i Rzeczpospolitej, a w latach 2015 do 2018 czterokrotnie otrzymała Medal Europejski Business Centre Club i Europejskiego Komitetu Ekonomiczno-Społecznego. Robert Nogacki publikuje regularnie, w prasie i na stronie kancelarii, dla ludzi, którzy mają problem, a nie dyplom prawnika, bo opinia prawna, której klient nie rozumie, chroni tylko prawnika.

Wierzy, że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.