A jeśli prawdziwy cyberatak został jednocześnie użyty jako prowokacja informacyjna — tak, aby media, firma i administracja zaczęły pracować na liczbach i narracji dostarczonych przez samych napastników? Nie zakładam, że tak było. Sprawdzam, jakie ślady musiałyby istnieć, aby tę hipotezę potwierdzić albo odrzucić.
01 / Najpierw oddzielmy incydent od opowieści o incydencie
Atak jest realny. To nie znaczy, że każda liczba jest już faktem.
12 sierpnia Ministerstwo Cyfryzacji poinformowało po specjalnym posiedzeniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, że MyDr potwierdziło nieuprawniony dostęp do historycznych danych, sięgających do kwietnia 2024 roku. Resort użył ostrożnego sformułowania: incydent może dotyczyć 18,8 mln osób i ponad 12 tys. placówek.2
Dzień później MyDr nadal komunikowało, że nie jest w stanie potwierdzić pełnej ilości i rodzaju ujawnionych danych oraz że zrobi to po zakończeniu analizy śledczej. Firma potwierdziła natomiast zewnętrzne, celowe działanie przestępcze i historyczny charakter części danych.5
To rozróżnienie jest fundamentem całego tekstu. Nie badamy, czy incydent został wymyślony. Publiczne informacje wskazują, że nieuprawniony dostęp rzeczywiście nastąpił. Badamy coś subtelniejszego: czy na prawdziwy incydent mogła zostać nałożona warstwa informacyjna — precyzyjne liczby, skala i sugestie — którą następnie inni zaczęli nieświadomie wzmacniać.
Nie próbuję udowodnić, że rząd dał się nabrać. Próbuję ustalić, kto pierwszy policzył skalę — obrońcy czy napastnik.
Przemek. PIANO
Nie ma dziś publicznego dowodu, że incydent był przygotowaną prowokacją, operacją obcego państwa ani „ustawką”. Każde takie twierdzenie byłoby wyprzedzeniem materiału dowodowego. Można natomiast testować hipotezę manipulacji informacyjnej, bo część kluczowych twierdzeń pochodzi pierwotnie od osób podających się za sprawców.
02 / Liczba precyzyjna brzmi jak dowód — nawet gdy nim nie jest
18 814 422. 18,8 mln. Ponad 2 TB. 2,5 TB. Cztery liczby, cztery poziomy pewności.
Osoby podające się za sprawców przekazały Zaufanej Trzeciej Stronie twierdzenie o 18 814 422 unikatowych numerach PESEL oraz o około 2,5 TB danych. Redakcja wprost zaznaczyła, że nie ma możliwości zweryfikowania twierdzenia o 2,5 TB.1
Później w publicznej komunikacji państwa pojawia się skala 18,8 mln osób, a minister mówi o bazie przekraczającej 2 TB.26 To może być całkowicie poprawny wynik niezależnej analizy. Może też być zaokrągleniem liczby, która wcześniej pojawiła się u napastników. Publicznie nie znamy jeszcze metodologii, która rozstrzyga tę różnicę.
Precyzja liczby nie jest dowodem jej pochodzenia.
Dla analizy technicznej najważniejsze jest jeszcze jedno: rozmiar zbioru nie musi być równy liczbie bajtów wysłanych przez internet. I właśnie tu zaczyna się część, której nie da się załatwić konferencją prasową.
03 / Zanim pojawi się teoria — kalkulator
Ile naprawdę trwa przesłanie 2 TB?
Przyjmijmy na chwilę wariant najprostszy: 2 TB lub 2,5 TB to rzeczywista ilość danych, która musiała opuścić infrastrukturę przez sieć. Liczę w systemie dziesiętnym: 1 TB = 1012 bajtów. Wtedy 2 TB to 16 bilionów bitów, a 2,5 TB — 20 bilionów bitów.
Wzór: czas = liczba bajtów × 8 / przepływność łącza. To dolna granica. Rzeczywisty system dochodzi do niej tylko wtedy, gdy źródło danych, storage, CPU, szyfrowanie, sieć, odbiorca i wszystkie elementy po drodze potrafią utrzymać taki strumień.
| Efektywna przepływność | 2 TB | 2,5 TB | Co to znaczy praktycznie |
|---|---|---|---|
| 10 Mb/s | 18 dni 12 h | 23 dni 4 h | Powolny transfer możliwy do rozłożenia w czasie. |
| 50 Mb/s | 3 dni 16 h 53 min | 4 dni 15 h 7 min | Nadal bez potrzeby szybkiej infrastruktury. |
| 100 Mb/s | 44 h 27 min | 55 h 33 min | Dwa–trzy dni ciągłego strumienia. |
| 300 Mb/s | 14 h 49 min | 18 h 31 min | Jedna noc lub jeden długi dzień. |
| 500 Mb/s | 8 h 53 min | 11 h 7 min | Okno nocne wystarcza. |
| 1 Gb/s | 4 h 27 min | 5 h 33 min | Typowy szybki transfer serwer–serwer. |
| 2,5 Gb/s | 1 h 47 min | 2 h 13 min | Krótki, ale nadal mierzalny epizod. |
| 10 Gb/s | 26 min 40 s | 33 min 20 s | Możliwe w centrum danych lub chmurze, jeśli cały tor nadąży. |
| 40 Gb/s | 6 min 40 s | 8 min 20 s | Scenariusz graniczny, zależny od architektury. |
| 100 Gb/s | 2 min 40 s | 3 min 20 s | Matematyczne ekstremum; storage często stanie się wąskim gardłem. |
Tabela nie mówi, jaką przepustowość miało MyDr ani z jakiego miejsca wyprowadzono dane. Pokazuje tylko granice fizyczne. Bez topologii sieci, logów egress, parametrów storage i informacji o sposobie pobrania nie da się uczciwie wybrać jednego wiersza jako „tego właściwego”.
04 / Od zwykłego łącza do idealnej pogody
Scenariusze transferu — od najbardziej przyziemnych do ekstremalnych.
Największy błąd w dyskusji o 2 TB polega na wyobrażeniu sobie człowieka z laptopem, który „ściąga bazę” przez domowy internet. Atakujący może działać przez przejęty host, serwer VPS, inny system w centrum danych albo etapować dane wewnątrz infrastruktury. Liczy się najsłabsze ogniwo ścieżki, nie prędkość Wi‑Fi sprawcy.
2 TB wymaga około 44,5 godziny. Nie jest to szybkie, ale też nie jest niewiarygodne. Jeśli dostęp trwa kilka dni, transfer może zakończyć się zanim organizacja nazwie zdarzenie incydentem.
Około 4,5–5,5 godziny. Dla serwera w centrum danych to nie jest fantastyka. Taki strumień powinien jednak pozostawić ślady w telemetrii sieciowej, jeśli monitoring outbound faktycznie działał i obejmował właściwe miejsca.
27–33 minuty w idealnej matematyce. Wymaga, aby storage, host źródłowy, szyfrowanie, sieć i odbiorca utrzymywały taki transfer. Sam port 10 GbE nie wystarcza.
Kilka minut. To właśnie „najlepsze warunki pogodowe”: bardzo szybka infrastruktura, gotowe archiwum, brak rate limitów i storage zdolny czytać dane z odpowiednią prędkością. Publicznie nie ma dowodu, że taki scenariusz wystąpił.
Wniosek nie brzmi więc: „2 TB musiało być kopiowane przez dwa dni”. Brzmi: 2 TB można wyprowadzić od kilku minut do kilku tygodni, zależnie od architektury i sposobu działania. Czas samego transferu nie rozwiązuje zagadki. On dopiero mówi, jakich logów szukać.
05 / Najmniej filmowy wariant bywa najtrudniejszy do zauważenia
A jeśli nikt nie przesyłał 2 TB jednej nocy?
Atakujący nie dostaje punktów za widowiskowość. Jeżeli ma trwały dostęp, może ograniczać szybkość i rozłożyć eksfiltrację na wiele dni. Wtedy „wielki wyciek” nie musi wyglądać w sieci jak wielki pik.
| Czas | 2 TB — średnio | 2,5 TB — średnio | Interpretacja |
|---|---|---|---|
| 1 dzień | ~185 Mb/s | ~231 Mb/s | Widoczny, ale nadal daleki od granic współczesnej infrastruktury. |
| 3 dni | ~62 Mb/s | ~77 Mb/s | Ruch możliwy do wmieszania w zwykłe obciążenie. |
| 7 dni | ~26 Mb/s | ~33 Mb/s | Nie potrzeba „szybkiego ataku”. Potrzeba cierpliwości. |
| 30 dni | ~6,2 Mb/s | ~7,7 Mb/s | Praktycznie niewidoczny bez kontekstu, baseline’u i analizy zachowania. |
Najważniejsze pytanie nie brzmi: „jak szybko ukradli 2 TB?”. Brzmi: „jak długo mieli dostęp, zanim zaczęliśmy liczyć czas reakcji?”.
Jeżeli dostęp trwał tygodniami, konferencja prasowa dwa dni wcześniej lub później niewiele zmienia dla poufności danych. Jeżeli dostęp trwał trzydzieści minut, znaczenie ma alert w tej konkretnej półgodzinie. Bez czasu dwell time — czasu przebywania napastnika w środowisku — ocena szybkości reakcji jest prawie niemożliwa.
06 / Atakujący nie musi „pobierać” danych do siebie
Serwer → serwer. Najpierw staging, potem wynoszenie.
Eksfiltracja może składać się z kilku etapów. Dane mogą zostać najpierw skopiowane z bazy lub storage do innego miejsca w tej samej infrastrukturze. Ten ruch bywa dużo szybszy, bo nie opuszcza centrum danych. Dopiero później przygotowany pakiet może być wysyłany na zewnątrz wolniej, partiami lub przez kilka kanałów.
- DostępNapastnik uzyskuje możliwość czytania danych lub użycia konta/systemu.
- ZbieranieWyszukuje interesujące tabele, pliki, backupy albo zasoby obiektowe.
- StagingTworzy paczkę, kopię lub indeks w miejscu wygodnym do dalszego transferu.
- EgressDane opuszczają środowisko jednym lub wieloma strumieniami.
Dlatego brak jednego gigantycznego połączenia o rozmiarze 2 TB niczego jeszcze nie dowodzi. Forensics powinien połączyć telemetrię sieciową z logami dostępu do storage, baz, systemów plikowych, kont uprzywilejowanych i usług chmurowych.
Jeżeli staging odbył się wewnętrznie, „moment kradzieży” zależy od definicji. Z punktu widzenia poufności problem zaczyna się już wtedy, gdy nieuprawniona osoba może odczytać i skopiować dane. Z punktu widzenia ruchu sieciowego — dopiero gdy kopia opuszcza kontrolowane środowisko.
07 / Jedna liczba może opisywać cztery różne rzeczy
Co właściwie oznacza „2 TB danych”?
To pytanie powinno pojawić się przed każdą próbą rekonstrukcji. Publiczne „2 TB” może oznaczać rozmiar logiczny źródłowego zbioru, rozmiar backupu, rozmiar skompresowanego archiwum albo liczbę bajtów, które faktycznie opuściły system. Te wartości mogą być bardzo różne.
Suma tabel, dokumentów lub rekordów widziana przez aplikację. Nie mówi, ile trzeba wysłać po kompresji i deduplikacji.
Gotowa kopia może ominąć koszt milionów zapytań do produkcyjnej bazy i radykalnie zmienić charakter ataku.
Po kompresji dane tekstowe mogą zajmować mniej; obrazy, PDF-y lub już skompresowane pliki mogą prawie się nie zmniejszyć.
To wartość najważniejsza dla analizy egress. Powinna wynikać z logów i telemetrii, a nie z deklaracji którejkolwiek strony.
Jeżeli 2,5 TB to rozmiar logiczny, a przygotowane archiwum miało np. znacznie mniej, wszystkie czasy z poprzedniej tabeli maleją. Jeżeli zbiór obejmował dużo już skompresowanych dokumentów, zysk może być niewielki. Bez informacji o formacie danych podawanie jednego czasu transferu jest pozorną precyzją.
08 / Publiczna chronologia zaczyna się za późno
Brakuje najważniejszych dat: T0, T1, T2, T3 i T4.
Zaufana Trzecia Strona podała, że sprawcy przesłali zrzut wiadomości, którą mieli wysłać 5 sierpnia do prezesa firmy będącej właścicielem platformy. To twierdzenie wymaga niezależnego potwierdzenia.1 10 sierpnia MyDr publicznie informowało już o postępowaniu wyjaśniającym i zaangażowaniu organów ścigania.4 12 sierpnia państwo potwierdziło nieuprawniony dostęp i podało skalę możliwego oddziaływania.2
To są ważne punkty komunikacyjne. Nie są jednak punktami technicznymi, których potrzebuje analiza incydentu.
| Punkt | Pytanie | Dlaczego jest ważne |
|---|---|---|
| T0 — initial access | Kiedy nastąpił pierwszy potwierdzony nieautoryzowany dostęp? | Od niego liczy się dwell time, nie od konferencji prasowej. |
| T1 — collection | Kiedy rozpoczęto masowe odczyty, kopiowanie lub staging? | Pozwala ustalić, czy atak był szybki czy długotrwały. |
| T2 — exfiltration | Kiedy pierwsze bajty wyszły na zewnątrz i kiedy skończył się transfer? | To klucz do oceny egress monitoringu. |
| T3 — detection | Kiedy MyDr po raz pierwszy wykryło lub otrzymało wiarygodny sygnał incydentu? | Dopiero od tego punktu uczciwie mierzymy reakcję organizacji. |
| T4 — containment | Kiedy technicznie odcięto możliwość dalszego dostępu i transferu? | To koniec aktywnego okna, ale nie cofnięcie wcześniejszej kradzieży. |
5 sierpnia? 10 sierpnia? 12 sierpnia? To daty komunikacji. Atak ma własny zegar.
09 / „Odbicie serwerów” brzmi dobrze w telewizji, ale może opisywać nie ten problem
Czas reakcji trzeba mierzyć od wykrycia do containment — nie od posta do konferencji.
MyDr komunikowało, że po uzyskaniu informacji o potencjalnym incydencie uruchomiło procedury „niezwłocznie”.4 To poprawna deklaracja procesowa, ale bez godzin T3 i T4 nie pozwala policzyć faktycznego czasu reakcji.
Podobnie z określeniem „odbicie serwerów”. Publiczne informacje nie dowodzą, że napastnik przejął pełną kontrolę nad serwerami w sensie ransomware lub okupacji systemu. Nieuprawniony dostęp do danych może wynikać z podatności aplikacji, błędnych uprawnień, skradzionych poświadczeń, nadużycia API, dostępu do backupu lub wielu innych dróg. Każdy wariant wymaga innego containment.
Odcięcie aktywnego dostępu: izolacja komponentu, unieważnienie poświadczeń, zamknięcie podatnej ścieżki, ograniczenie egress. Cel: zatrzymać dalsze szkody.
Zabezpieczenie logów, obrazów systemów i artefaktów tak, aby nie zniszczyć śladów potrzebnych do rekonstrukcji i postępowania karnego.
Usunięcie mechanizmu dostępu i sprawdzenie, czy nie pozostały konta, tokeny, backdoory lub inne punkty utrzymania dostępu.
Przywrócenie usług z zaufanego stanu, monitorowanie nawrotu i walidacja integralności.
Odcięcie serwera nie cofa bajtów, które już wyszły.
Przemek. PIANO
Jeżeli eksfiltracja zakończyła się przed wykryciem, nawet wzorowa reakcja po T3 nie odzyska poufności. Można zatrzymać dalszy wyciek, zabezpieczyć dowody, ograniczyć skutki i ścigać sprawców. Nie można „odkraść” kopii, która została już zwielokrotniona.
10 / Narracja jest miękka. Telemetria jest twarda.
Co powinno istnieć, jeśli naprawdę wyprowadzono ponad 2 TB?
Nie każdy system przechowuje idealne logi i nie każdy przepływ jest widoczny w jednym miejscu. Ale tak duża operacja powinna pozostawić kombinację śladów. Ich brak nie zawsze oznacza brak wycieku; może oznaczać brak retencji, niewłaściwe punkty pomiarowe albo działanie poza monitorowanym torem.
- Telemetria egress / NetFlow / firewall / proxyDo jakich adresów i z jaką objętością wychodził ruch? Czy widoczny jest jeden duży strumień, wiele mniejszych czy brak danych z odpowiedniego segmentu?
- Logi dostępu do baz i storageCzy pojawiły się nietypowe masowe odczyty, eksporty, pobrania obiektów, snapshotów lub backupów?
- IAM i konta uprzywilejowaneKto i z jakich tokenów, kluczy, kont serwisowych lub sesji korzystał w okresie T0–T4?
- EDR i system operacyjnyCzy hosty wykonywały nietypowe operacje odczytu, kompresji, tworzenia dużych plików tymczasowych albo połączeń zewnętrznych?
- Logi warstwy aplikacyjnejJeżeli droga prowadziła przez aplikację lub API, czy wystąpiły anomalie liczby zapytań, paginacji, błędów lub nietypowych identyfikatorów klientów?
- Billing i metryki chmuroweW chmurze ogromny egress potrafi zostawić nie tylko log, ale także koszt i skok metryk.
- Artefakty staginguCzy powstały archiwa, tymczasowe katalogi, kopie lub zadania przygotowujące dane przed wyprowadzeniem?
Jeżeli państwo lub firma chcą przeciąć spekulacje, najcenniejsza nie będzie kolejna liczba. Będzie nią rekonstrukcja: T0 → T1 → T2 → T3 → T4.
11 / Prowokacja nie musi oznaczać fałszywego ataku
Cztery modele: od zwykłego cybercrime do operacji informacyjnej.
| Hipoteza | Opis | Co powinno ją potwierdzać lub osłabiać |
|---|---|---|
| H0 — zwykłe wymuszenie | Napastnicy uzyskali dostęp, pobrali dane i używają ich jako dźwigni do okupu lub sprzedaży. | Spójne logi eksfiltracji, wiarygodne próbki, infrastruktura i komunikacja typowa dla grup przestępczych. To wariant bazowy. |
| H1 — realny atak + zawyżona skala | Rdzeń incydentu jest prawdziwy, ale liczba rekordów albo TB została powiększona, aby zwiększyć presję. | Próbki są prawdziwe, lecz analiza pełnego zbioru nie potwierdza deklarowanej objętości lub liczby unikatowych osób. |
| H2 — realny atak + prowokacja informacyjna | Sprawca celowo dostarcza mediom prawdziwą próbkę i bardzo precyzyjne liczby, licząc na ich reprodukcję przed pełną weryfikacją. | Wczesne komunikaty innych podmiotów powtarzają liczby sprawcy bez jawnej niezależnej metodologii; późniejsze ustalenia rozjeżdżają się z narracją początkową. |
| H3 — test reakcji państwa | Celem obok pieniędzy jest obserwacja procedur, czasu reakcji, komunikacji służb i politycznej presji. | Wymagałoby śladów zamiaru: korespondencji, zachowania sprawców lub infrastruktury wskazującej na cel wykraczający poza wymuszenie. Publicznie takich dowodów dziś brak. |
Najbardziej niebezpieczna pułapka poznawcza brzmi: „jeżeli próbka jest prawdziwa, wszystko inne też jest prawdziwe”. Nie. Prawdziwy PESEL konkretnej osoby dowodzi, że sprawca ma co najmniej tę informację. Nie dowodzi automatycznie 18 814 422 unikatowych osób ani 2,5 TB danych.
Najlepsza prowokacja nie musi kłamać od początku do końca. Wystarczy prawdziwa próbka i liczba, której nikt jeszcze nie zdążył policzyć.
Przemek. PIANO
12 / Pytanie polityczne powinno mieć techniczną odpowiedź
Czy rządzący dali się złapać?
Na dziś nie ma podstaw, żeby to stwierdzić. Oficjalny komunikat nie mówi „wierzymy hakerom”. Mówi, że firma potwierdziła nieuprawniony dostęp i że incydent może dotyczyć 18,8 mln osób.2 Służby i firma mają dostęp do informacji, których opinia publiczna nie widzi. Możliwe więc, że liczba została niezależnie ustalona lub przynajmniej oszacowana na podstawie systemów MyDr.
Jednocześnie powstaje uzasadnione pytanie: dlaczego publiczna liczba jest tak bliska dokładnej liczbie podanej wcześniej przez osoby przypisujące sobie atak, skoro sama firma później zastrzega, że nie potrafi jeszcze potwierdzić pełnej ilości i rodzaju ujawnionych danych?15
Dokładna liczba sprawców pojawia się wcześniej niż pełna publiczna analiza; media i politycy pracują pod silną presją czasu.
Ministerstwo od początku używa „może dotyczyć”, a instytucje prowadzą działania operacyjne i kontrolne zamiast opierać się wyłącznie na komunikacie przestępców.
Nie znamy publicznie metodologii wyliczenia 18,8 mln ani technicznego źródła wartości ponad 2 TB.
Nie „czy minister uwierzył hakerom?”, tylko „które liczby państwo zweryfikowało niezależnie i na jakiej podstawie?”.
13 sierpnia minister informował, że wiadomo już, gdzie znajdował się błąd w oprogramowaniu i jakie elementy procesu nie zadziałały, a luki zostały uszczelnione. Mówił też, że nic nie wskazuje obecnie na udział zagraniczny.6 To kolejny argument, aby nie budować geopolitycznej teorii bez materiału.
13 / Najlepsza hipoteza to taka, której autor pomaga szukać słabych punktów
Co przemawia przeciwko prowokacji?
- Firma potwierdziła realne przestępcze działanieNie mówimy o czystej mistyfikacji medialnej. Rdzeń zdarzenia istnieje.
- Ministerstwo mówi o potwierdzeniu po stronie MyDrOficjalna skala mogła wynikać z analizy wewnętrznej, nawet jeśli pełne wyniki nie są jeszcze publiczne.
- UODO wszczął kontrolę środków technicznych i organizacyjnychTo formalna reakcja na potencjalnie realne naruszenie, nie wyłącznie reakcja medialna.3
- Brak publikacji danych nie jest dowodem prowokacjiWymuszenie działa właśnie dlatego, że sprawca może wstrzymywać publikację, dopóki ma nadzieję na zapłatę.
- Dokładna liczba może pochodzić z samej bazyJeżeli napastnik i obrońcy policzyli ten sam zbiór, naturalnie otrzymają podobny wynik.
- 2,5 TB może być prawdziwe mimo braku publicznej weryfikacjiBrak dowodu publicznego to nie dowód fałszu. To tylko granica tego, co możemy dziś uczciwie powiedzieć.
Najważniejszy kontrargument: zwykły cyberprzestępca również ma interes, aby podawać spektakularną, ale prawdziwą liczbę. Nie każda próba wywarcia presji jest „operacją informacyjną” w sensie strategicznym. Czasami jest po prostu negocjacją okupu prowadzoną przez przestępcę.
14 / Dziewiętnaście pytań za dziewiętnaście milionów
Pytania, które rozdzielą hipotezę od faktu.
- Kiedy według logów nastąpił pierwszy potwierdzony nieautoryzowany dostęp?Proszę o datę i możliwie dokładny przedział czasu T0.
- Kiedy rozpoczęła się pierwsza znana masowa operacja odczytu lub kopiowania danych?To T1, które pozwala oddzielić samo wejście od przygotowania wycieku.
- Kiedy pierwsze dane opuściły kontrolowane środowisko MyDr?T2 powinno wynikać z telemetrii sieciowej lub innych artefaktów.
- Kiedy zakończyła się ostatnia znana eksfiltracja?Czy po wykryciu incydentu nadal obserwowano transfer?
- Kiedy MyDr po raz pierwszy otrzymało wiarygodny sygnał o incydencie?To właściwy początek pomiaru czasu reakcji.
- Kiedy technicznie odcięto możliwość dalszego dostępu?Nie chodzi o komunikat „system bezpieczny”, lecz o faktyczny T4.
- Ile bajtów faktycznie opuściło infrastrukturę?Nie rozmiar bazy. Nie deklaracja sprawców. Egress.
- Co dokładnie oznacza publiczne „ponad 2 TB”?Rozmiar logiczny, backup, archiwum, dump, snapshot czy transfer po sieci?
- Czy 2,5 TB deklarowane przez sprawców zostało niezależnie potwierdzone?Jeżeli tak — jaką metodą?
- Skąd dokładnie pochodzi liczba 18 814 422?Czy jest wynikiem zapytania sprawcy, analizy MyDr, logów czy innej metodologii?
- Czy państwowe 18,8 mln zostało wyliczone niezależnie od deklaracji sprawców?To najważniejsze pytanie dla hipotezy prowokacji informacyjnej.
- Czy 18,8 mln oznacza dane faktycznie pobrane, czy dane potencjalnie dostępne?„Mógł mieć dostęp” i „skopiował” to dwa różne poziomy dowodu.
- Z jakiego komponentu pobierano dane?Produkcja, replika, backup, object storage, API czy inne źródło?
- Jaka była dostępna przepustowość tego komponentu i jego egress?Bez tego nie da się uczciwie ocenić realnego minimalnego czasu transferu.
- Czy monitoring wykrył anomalie ruchu wychodzącego?Jeżeli nie, czy dlatego, że ich nie było, czy dlatego, że nie monitorowano właściwego miejsca?
- Czy znaleziono staging, archiwa lub ślady przygotowania danych?To rozstrzyga, czy „2 TB” mogło być zebrane wcześniej i wyprowadzone później.
- Co dokładnie zostało „uszczelnione” po incydencie?Podatność aplikacji, konto, konfiguracja, proces, uprawnienia czy kilka elementów naraz?
- Czy po 5 sierpnia — jeśli data żądania okupu się potwierdzi — napastnik zachował jakikolwiek aktywny dostęp?To pozwoli ocenić, czy reakcja była containmentem czy tylko początkiem dochodzenia.
- Które elementy narracji sprawców zostały już sfalsyfikowane?Nie pytajmy wyłącznie, co się potwierdziło. Pytajmy też, gdzie napastnik kłamał.
15 / Werdykt na 14 sierpnia 2026
Nie teoria spiskowa. Testowalna hipoteza.
Można dziś powiedzieć trzy rzeczy jednocześnie i żadna nie przeczy pozostałym.
Technicznie 2 TB nie jest rozmiarem, którego „nie da się ukraść”. Przy 1 Gb/s to około 4 godziny i 27 minut. Przy 10 Gb/s — mniej niż pół godziny. Przy eksfiltracji rozłożonej na miesiąc wystarczy średnio około 6 Mb/s. Najbardziej niepokojący scenariusz nie musi być więc najbardziej spektakularny.
Politycznie również nie mamy podstaw, aby dziś stwierdzić, że rząd „dał się złapać”. Mamy natomiast pełne prawo oczekiwać odpowiedzi, czy wartości 18,8 mln i ponad 2 TB zostały ustalone niezależnie, oraz jak wyglądała techniczna oś zdarzeń przed publicznym komunikatem.
Jeżeli 2 TB naprawdę wyszło — pokażcie chronologię egress. Jeżeli nie wyszło — wyjaśnijcie, co oznacza 2 TB. Jeżeli 18,8 mln policzono niezależnie — pokażcie metodologię. Jeżeli nie — powiedzcie, które liczby nadal pochodzą od napastnika.
Nie trzeba wierzyć hakerom. Nie trzeba też wierzyć politykom. W tej historii najpierw trzeba uwierzyć logom — a potem sprawdzić, czy logi mówią to samo.
Przemek. PIANO
To właśnie odróżnia analizę od teorii spiskowej. Teoria szuka potwierdzenia. Analiza szuka punktu, w którym własna hipoteza może się rozpaść. Jeżeli niezależna rekonstrukcja pokaże pełne 2–2,5 TB egressu, 18,8 mln faktycznie pobranych osób i spójną oś T0–T4 — hipoteza prowokacji słabnie. Jeżeli okaże się, że wielkie liczby żyły publicznie szybciej niż dowody, pytanie trzeba będzie zadać ponownie.
przemek@piano.contact
16 / Materiał źródłowy
Źródła i status ustaleń
- Zaufana Trzecia Strona — „Hakerzy twierdzą, że ukradli dane ponad 18 milionów Polek i Polaków z firmy MyDr”. Źródło deklaracji o 18 814 422 unikatowych PESEL-ach i 2,5 TB; redakcja wskazuje brak możliwości weryfikacji wielkości 2,5 TB oraz pokazuje materiał przesłany przez osoby podające się za sprawców.
- Ministerstwo Cyfryzacji — komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa, 12.08.2026. Potwierdzenie nieuprawnionego dostępu do danych historycznych i informacja, że incydent może dotyczyć 18,8 mln osób oraz ponad 12 tys. placówek.
- UODO — „Prezes UODO skontroluje spółkę MyDr”, 13.08.2026. Zapowiedź kontroli środków technicznych i organizacyjnych, regularnego testowania zabezpieczeń oraz analizy ryzyka.
- CyberDefence24 — komunikacja MyDr z 10.08.2026. Informacja o uruchomieniu procedur reagowania, pracy zespołów bezpieczeństwa i zawiadomieniu organów ścigania.
- TVN24 — nowe oświadczenie MyDr, 13.08.2026. Firma informuje, że nie potrafi jeszcze potwierdzić ilości i rodzaju ujawnionych danych oraz wskazuje na historyczny charakter zbioru.
- Onet / wypowiedzi ministra cyfryzacji, 13.08.2026. Informacje o braku publicznej sprzedaży danych, zidentyfikowaniu błędu w oprogramowaniu i braku obecnych przesłanek udziału podmiotu zagranicznego.
- Praca Medyka — chronologia incydentu. Źródło wtórne wskazujące 5 sierpnia jako najpóźniejszy moment przełamania zabezpieczeń / żądania okupu; w tekście traktowane wyłącznie jako informacja wymagająca niezależnego potwierdzenia.
Stan publicznych informacji: 14 sierpnia 2026 r., godz. 08:18 CEST. Obliczenia czasów transferu są obliczeniami własnymi opartymi na przepływności liniowej i dziesiętnym TB (1012 B); pokazują dolne granice matematyczne, nie rekonstrukcję infrastruktury MyDr. Hipoteza prowokacji informacyjnej jest w artykule celowo oddzielona od potwierdzonego faktu nieuprawnionego dostępu. Nowe ustalenia śledztwa mogą zmienić ocenę poszczególnych scenariuszy.