Haker z FSB wpadł przez PayPal i jeden numer telefonu. Sprawa Void Blizzard i lekcje cyberbezpieczeństwa dla firm
Szóstego listopada 2025 r. tajska policja, we wspólnej operacji z FBI, weszła do pokoju hotelowego na Phuket i zatrzymała trzydziestopięcioletniego rosyjskiego programistę, który przyleciał na wyspę tydzień wcześniej. Denis Obrezko opuścił hotel w asyście funkcjonariuszy, a jego laptop, telefon i portfel kryptowalut trafiły do depozytu dowodów. Dziewiątego lipca 2026 r., miesiąc po ekstradycji do Stanów Zjednoczonych, Obrezko, już trzydziestosześcioletni, stanął przed sądem federalnym w Bostonie i nie przyznał się do zarzutu udziału w spisku obejmującym nieuprawniony dostęp do chronionych systemów komputerowych. Sprawę prowadzi wydział bezpieczeństwa narodowego Departamentu Sprawiedliwości, oskarżony przebywa w areszcie bez możliwości poręczenia, a w razie skazania grozi mu do dziesięciu lat pozbawienia wolności.
Ta historia jest czymś więcej niż kroniką kryminalną. To przekrój przez współczesny model rosyjskiej cyberprzestępczości: prywatna spółka z licencją, jaką wydaje FSB, były funkcjonariusz w roli wiceszefa, ofiary od holenderskiej policji po organizacje wspierające Ukrainę, wreszcie seria banalnych zaniedbań, z których FBI złożyło tożsamość podejrzanego jak mozaikę. Dla prawnika zajmującego się cyberbezpieczeństwem sprawa sprowadza się do trzech pytań: jak działa jurysdykcja wobec sprawców zza granicy, jak buduje się atrybucję ataku oraz co w praktyce zmienia uznanie go za operację wspieraną przez państwo. Warto znać odpowiedzi, zanim udzieli ich za nas własny incydent.
Ciasteczko warte 64 tysięcy nazwisk
We wrześniu 2024 r. holenderscy analitycy odkryli, że ktoś dostał się do systemów tamtejszej policji krajowej i przejął skrzynkę pocztową jednego z pracowników. Nie było spektakularnego exploita. Było skradzione ciasteczko: niewielki plik sesyjny, który przeglądarka zapisuje po zalogowaniu. Taki plik działa jak podrobiona przepustka; system uznaje, że jego okaziciel przeszedł już kontrolę, więc nie pyta ani o hasło, ani o drugi składnik uwierzytelniania. W przejętej skrzynce była służbowa książka adresowa, a w niej potencjalnie kontakty do wszystkich 64 tysięcy funkcjonariuszy, być może także dane informatorów. Holenderski wywiad wojskowy uznał, że kraj po raz pierwszy padł ofiarą celowego cybersabotażu grupy wspieranej przez Rosję, i nadał sprawcom kryptonim Laundry Bear, ujawniony publicznie 27 maja 2025 r. Microsoft, który tego samego dnia opublikował własny raport, używa nazwy Void Blizzard; w firmowej taksonomii zagrożeń „Blizzard” oznacza po prostu Rosję.
Według ustaleń Microsoftu grupa działa co najmniej od kwietnia 2024 r. i celuje w państwa NATO oraz Ukrainę, od administracji i obronności po transport, media, ochronę zdrowia i organizacje pozarządowe, a jej specjalnością jest masowe wykradanie poczty elektronicznej. Kilka lat wcześniej z serwerów organizacji Aleksieja Nawalnego wyciekło ponad pół miliona adresów e-mail; część zarejestrowanych osób otrzymywała później pogróżki, a śledztwa dziennikarskie powiązały używane wówczas fałszywe domeny ze środowiskiem biznesowym Samary, w szczególności z biznesmenem Michaiłem Dudinem. To nazwisko warto zapamiętać; jeszcze wróci.
Z prawnego punktu widzenia ten wektor jest pouczający, bo po incydencie nikt nie zapyta, czy w firmie „było MFA”. Art. 32 RODO wymaga środków odpowiednich do ryzyka, z uwzględnieniem stanu wiedzy technicznej; skoro kradzież tokenów sesyjnych przez złośliwe oprogramowanie typu infostealer jest techniką znaną i masową, adekwatność zabezpieczeń będzie oceniana również pod tym kątem.
Życiorys: z FSB przez Kaspersky Lab do Phuket
Według odtajnionego przy ekstradycji oświadczenia agenta FBI Obrezko w latach od 2012 do 2017 pracował w Federalnej Służbie Bezpieczeństwa; czym się tam zajmował, nie wiadomo. Ukończył moskiewską uczelnię techniczną imienia Baumana, wskazywaną w śledztwach dziennikarskich jako kuźnię kadr rządowych zespołów hakerskich. Agencja Reutera ustaliła, że w latach od 2017 do 2019 pracował także w Kaspersky Lab, a w 2021 r. występował publicznie jako zastępca dyrektora centrum informacyjno-analitycznego rosyjskiego ministerstwa do spraw sytuacji nadzwyczajnych. Od 2023 r., jak wynika z aktu oskarżenia, był zastępcą dyrektora spółki Yutek, która według tego samego dokumentu prowadziła operacje cyberszpiegowskie na zlecenie rosyjskiego rządu.
I tu robi się interesująco, choć z największym w tej sprawie zastrzeżeniem. Yutek-NN, zarejestrowana w Niżnym Nowogrodzie, miała, jak ustalili dziennikarze Radia Wolna Europa, wydaną przez FSB licencję na obrót sprzętem do niejawnego pozyskiwania informacji. W aktach sprawy „Ethan Hunt” to pseudonim niezidentyfikowanego współspiskowca, do którego Obrezko miał pisać; RFE/RL powiązało ten sam pseudonim, widniejący w popularnej aplikacji do identyfikacji połączeń, z Dudinem, biznesmenem z nawalnowskiego prologu, właścicielem Yutek-NN do 2018 r., a jego wspólnikiem miał być były oficer FSB Paweł Selezniew. Z żadnym z nich nie udało się skontaktować, a niezależni badacze, którzy analizowali dokumenty korporacyjne, określają te powiązania jako poszlakowe, nie zaś udowodnione. Dla porządku odnotujmy więc raz jeszcze: oskarżony nie przyznaje się do winy, jego obrońca zapowiada aktywną obronę co do faktów i co do prawa, a wszystko, co opisujemy, pochodzi z akt postępowania, raportów rządowych i publikacji prasowych, nie z prawomocnego wyroku.
Jak działa FBI: kryptowaluty, PayPal i jeden numer telefonu
Latem 2024 r. FBI otrzymało od partnera z sektora prywatnego, media wskazują na Microsoft, sygnał o kampanii wymierzonej w amerykańskie i europejskie firmy oraz instytucje. Akt oskarżenia opisuje spisek trwający co najmniej od 2023 r.: fałszywe domeny, sieci VPN i serwery proxy, a wśród pokrzywdzonych serwis społecznościowy, spółkę deweloperską, dostawcę oprogramowania chmurowego i amerykańską uczelnię. FBI zidentyfikowało dotąd co najmniej jedenaście zaatakowanych firm w USA i zastrzega, że to zapewne ułamek rzeczywistej listy.
Ścieżka identyfikacji wygląda jak podręcznik. Transakcje kryptowalutowe z lat 2024 i 2025, którymi opłacono serwer wirtualny i domenę używane w atakach, prowadziły do dostawcy internetu w Samarze. Adres e-mail używany przy tych transakcjach był powiązany z kontem Google założonym na prawdziwe nazwisko; to samo konto rejestrowało profile społecznościowe i konto PayPal, w którym podano ten sam numer telefonu i tę samą datę urodzenia. Ten sam pseudonim i to samo zdjęcie powtarzały się w kolejnych serwisach. Kilka godzin po publikacji raportu Microsoftu Obrezko miał napisać do „Ethana Hunta” z propozycją spotkania jeszcze tego samego dnia. Na zatrzymanym telefonie śledczy znaleźli zaś plik z wygenerowanymi przez sztuczną inteligencję streszczeniami ponad trzynastu tysięcy wykradzionych e-maili parlamentarzystów jednego z państw Europy Wschodniej; szpiegostwo także przechodzi transformację cyfrową i ma już swoje narzędzia zwiększające produktywność.
Analityk firmy Recorded Future trafnie zauważył, że śledczych nie doprowadził do celu jeden katastrofalny błąd, lecz łańcuch drobnych zaniedbań, które wzajemnie się potwierdzały. Można być znakomitym we włamywaniu się i przeciętnym w ochronie własnej tożsamości. Znamy tę metodologię z drugiej strony lustra: w sprawach, w których reprezentujemy ofiary oszustw inwestycyjnych, praca nad odzyskaniem środków wygląda identycznie, analiza przepływów w blockchainie plus biały wywiad, aż anonimowy portfel zetknie się z realnym światem, z giełdą, bramką płatniczą albo numerem telefonu. Anonimowość w sieci rzadko pęka z hukiem; częściej wycieka przez wygodę.
Dlaczego Phuket, a nie Moskwa
Rosja nie wydaje własnych obywateli; zakazuje tego wprost art. 61 rosyjskiej konstytucji. Amerykańskie nakazy potrafią więc latami czekać w uśpieniu, aż podejrzany kupi bilet lotniczy. Tak było z Jewgienijem Nikulinem, zatrzymanym w 2016 r. w Czechach w sprawie włamania do LinkedIn i skazanym w USA na siedem lat, oraz z Władisławem Kliuszynem, ujętym w 2021 r. w Szwajcarii; ten drugi po wyroku dziewięciu lat wrócił do Rosji w sierpniu 2024 r. w ramach wielkiej wymiany więźniów. Sam fakt, że Moskwa wymienia takich skazanych jak aktywa, mówi o ich statusie więcej niż niejeden raport. Tajlandia, związana ze Stanami Zjednoczonymi traktatem ekstradycyjnym, podkreśliła, że wydanie nastąpiło zgodnie z prawem krajowym i zobowiązaniami traktatowymi, z poszanowaniem gwarancji procesowych oskarżonego.
Granica między ściganiem a ochroną bywa przy tym czysto polityczna. Gdy w 2021 r. fala ataków ransomware grupy REvil uderzyła w amerykańskie szpitale i firmy, a prezydent Biden osobiście upomniał Władimira Putina, FSB przeprowadziła pokazowe zatrzymania członków grupy, zaznaczając, że czyni to na wniosek strony amerykańskiej. Były analityk holenderskiego centrum cyberbezpieczeństwa pyta wprost, co zawiodło w kalkulacji Obrezki: niedoszacowanie zachodnich służb czy przeszacowanie własnego parasola ochronnego. Psychologia ryzyka podpowiada trzecią odpowiedź: lata bezkarności rekalibrują percepcję zagrożenia skuteczniej niż jakiekolwiek szkolenie.
Państwo czy przestępca. Pytanie, które zmienia wszystko
W klasycznej cyberprzestępczości po włamaniu następuje monetyzacja: okup, szantaż, sprzedaż danych. Tu tego zabrakło, stąd pytanie holenderskiego analityka: skoro nie widać modelu biznesowego, to kto płaci; czy sprawca sprzedaje dane państwu, czy jest przez nie po prostu zatrudniony. Odpowiedź ma konkretne skutki prawne, i to na kilku płaszczyznach.
Po pierwsze, kwalifikacja karna. Amerykańska prokuratura postawiła zarzut z przepisów o przestępstwach komputerowych, nie o szpiegostwie, i nie jest to przypadek: logi, transakcje i rejestry kont można pokazać ławie przysięgłych bez ujawniania źródeł wywiadowczych. Na gruncie polskim analogiczne zachowania penalizują przede wszystkim art. 267 do 269b Kodeksu karnego, a działanie na rzecz obcego wywiadu może dodatkowo wchodzić w reżim zaostrzonych w 2023 r. przepisów o szpiegostwie. Po drugie, sankcje: publiczna atrybucja państwowa otwiera drogę środkom z unijnego reżimu sankcji za cyberataki, wpisom na listy i zamrożeniom aktywów. Po trzecie, ubezpieczenia. Po ataku NotPetya spór koncernu Merck z ubezpieczycielami o klauzulę wojenną zakończył się w styczniu 2024 r. ugodą w sporze rzędu 1,4 miliarda dolarów, po orzeczeniach korzystnych dla ubezpieczonego; rynek odpowiedział jednak po swojemu i od 31 marca 2023 r. samodzielne polisy cyber wystawiane w Lloyd’s muszą zawierać wyłączenie strat wynikających z cyberataków wspieranych przez państwa. Własną polisę warto przeczytać, zanim zrobi to likwidator szkody. Po czwarte wreszcie, egzekucja cywilna wobec sprawcy działającego spod państwowego parasola jest iluzoryczna; realna odpowiedzialność przesuwa się tam, gdzie da się ją wyegzekwować: na jakość własnych procedur, umowy z dostawcami i treść polisy. To te elementy będą oceniane po incydencie.
Lekcje dla firm w Polsce
Wektor z tej sprawy jest boleśnie uniwersalny: infostealer na komputerze pracownika, wykradziony token sesyjny, przejęta skrzynka. Uwierzytelnianie wieloskładnikowe pozostaje konieczne, ale nie jest amuletem; dojrzała polityka bezpieczeństwa obejmuje krótkie sesje, wiązanie tokenów z urządzeniem, dostęp warunkowy i monitoring wycieków danych logowania.
Na to nakłada się warstwa regulacyjna, która w Polsce właśnie zmieniła stan skupienia. Trzeciego kwietnia 2026 r. weszła w życie nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca dyrektywę NIS2. Objęte nią podmioty mają obowiązek samoidentyfikacji i rejestracji w wykazie do 3 października 2026 r.; podmioty kluczowe i ważne mają czas do 3 kwietnia 2027 r. na dostosowanie systemów i procedur; pierwszy audyt podmiotów kluczowych przypada do 3 kwietnia 2028 r., a administracyjne kary pieniężne, sięgające 10 milionów euro lub 2 procent światowego obrotu dla podmiotów kluczowych (7 milionów euro lub 1,4 procent dla ważnych), będą mogły być nakładane po upływie dwóch lat od wejścia w życie przepisów. Ustawa wprowadza też osobistą odpowiedzialność kierownika podmiotu, z karą pieniężną powiązaną z jego wynagrodzeniem oraz obowiązkiem odbycia szkolenia z cyberbezpieczeństwa; okres przejściowy nie jest więc czasem na czekanie, lecz jedynym momentem, w którym zgodność można zbudować bez presji postępowania. Instytucje finansowe od 17 stycznia 2025 r. stosują wprost rozporządzenie DORA, z własnym reżimem zgłaszania poważnych incydentów ICT, a niezależnie od wszystkiego RODO wymaga zgłoszenia naruszenia ochrony danych Prezesowi UODO co do zasady w 72 godziny oraz zawiadomienia osób, których dotyczy wysokie ryzyko.
Rytm zgłoszeń w nowym systemie liczony jest w godzinach: wczesne ostrzeżenie w 24 godziny, zgłoszenie incydentu w 72, raport końcowy w miesiąc. Terminy tej długości oznaczają, że decyzje trzeba podjąć wcześniej: kto kwalifikuje incydent, kto zgłasza, kto rozmawia z organami, jak zabezpieczamy dowody. Sprawa Obrezki pokazuje, że atrybucja bywa skuteczna, ale buduje się ją z danych zebranych w pierwszych godzinach, nie z zeznań składanych po miesiącach.
Podsumowanie
Wielkie operacje cybernetyczne rzadko przegrywają dziś z zaporami sieciowymi; częściej z wygodą własnych autorów, z jednym numerem telefonu wpisanym w zbyt wielu miejscach. Filmowy Ethan Hunt zrywał maski innym; tutaj, jeśli prokuratura ma rację, maska zsunęła się sama, przy rejestracji konta płatniczego. Dla firm wniosek jest mniej filmowy, za to praktyczny: o odporności organizacji przesądzają decyzje podjęte przed incydentem, od architektury dostępu, przez procedury zgłoszeń, po treść polisy ubezpieczeniowej. Jeżeli którykolwiek z tych obszarów wymaga w Państwa organizacji przeglądu, Kancelaria Prawna Skarbiec wspiera klientów zarówno we wdrożeniach NIS2, DORA i RODO, jak i w reagowaniu na incydenty oraz w dochodzeniu roszczeń, gdy do ataku już doszło.
Opisane zarzuty pozostają przedmiotem toczącego się postępowania; obowiązuje domniemanie niewinności.
Robert Nogacki – radca prawny (WA-9026), założyciel Kancelarii Prawnej Skarbiec.
Są prawnicy, którzy zajmują się prawem. I są tacy, którzy zajmują się problemami, na które prawo nie ma gotowej odpowiedzi. Od ponad dwudziestu lat Kancelaria Skarbiec pracuje na przecięciu prawa podatkowego, struktur korporacyjnych i ludzkiej niechęci do oddawania państwu więcej, niż się państwu należy. Doradzamy przedsiębiorcom z kilkunastu krajów – od tych z listy Forbesa po tych, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano.
Jeden z najczęściej cytowanych ekspertów prawa podatkowego w polskich mediach – pisze dla Rzeczpospolitej, Dziennika Gazety Prawnej i Parkietu nie dlatego, że to dobrze wygląda w CV, lecz dlatego, że pewnych rzeczy nie da się wyjaśnić w piśmie procesowym i ktoś musi je powiedzieć głośno. Autor AI Decoding Satoshi Nakamoto. Sztuczna inteligencja na tropie twórcy Bitcoina. Współautor nagrodzonej książki Bezpieczeństwo współczesnej firmy.
Kancelaria Skarbiec zajmuje czołowe pozycje w rankingach kancelarii podatkowych Dziennika Gazety Prawnej. Czterokrotny laureat Medalu Europejskiego, laureat tytułu International Tax Planning Law Firm of the Year in Poland.
Specjalizuje się w sporach z organami skarbowymi, międzynarodowym planowaniu podatkowym, regulacjach kryptoaktywów i ochronie majątku. Od 2006 roku prowadzi sprawę WGI – jedną z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. Wierzy, że prawo jest zbyt poważne, żeby traktować je wyłącznie poważnie – i że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.
