Alert RCB

Alert RCB to według Rządowego Centrum Bezpieczeństwa system SMS-owego powiadamiania ludności o zagrożeniach, uruchamiany w sytuacjach nadzwyczajnych, gdy istnieje prawdopodobieństwo bezpośredniego zagrożenia życia ^[1]. Wiadomości są bezpłatne i żaden operator nie może naliczyć za nie opłat ^[1]. W bezpieczeństwie teleinformatycznym Alert RCB ma drugie znaczenie: jego nazwa i forma bywają podrabiane w kampaniach smishingu, a przestępcy liczą na zaufanie, jakim ludzie darzą komunikaty państwowe.

Jak działa

RCB przygotowuje alert na podstawie informacji o potencjalnych zagrożeniach od ministerstw, służb, na przykład policji, straży pożarnej i straży granicznej, oraz od urzędów i instytucji centralnych ^[1]. Centrum monitoruje sytuację 24 godziny na dobę przez 7 dni w tygodniu ^[1]. Najmniejszym obszarem, na który można wysłać alert, jest powiat ^[1].

Wiadomość rozsyłają operatorzy komórkowi. Decyduje przebywanie w zasięgu stacji bazowej (BTS) położonej na terenie objętym zagrożeniem ^[1]. Na alert nie trzeba się zapisywać, a RCB nie gromadzi i nie przetwarza danych odbiorców ^[1]. Wystarczy, że telefon jest włączony i w zasięgu sieci; dotyczy to także użytkowników ofert na kartę ^[1]. Alert RCB nie jest częścią aplikacji RSO i nie wymaga instalowania żadnego programu ^[1].

RYS. 1Droga Alertu RCB do telefonu

Treść jest krótka. RCB podaje, że komunikat wysyłany SMS-em może liczyć najwyżej 160 znaków ze spacjami i nie może zawierać polskich znaków diakrytycznych ^[2]. Przykładowe komunikaty dotyczą między innymi powodzi i burz ^[2]. CERT Orange Polska opisuje, że system był pilotażowo testowany między czerwcem a grudniem 2018 roku ^[6]. Zwraca też uwagę, że Polska nie korzysta z technologii cell broadcast, w której komunikat może mieć do 1395 znaków, a jego dostarczenie jest natychmiastowe ^[6].

Fałszywe alerty

Nadawca SMS-a nie jest w sieciach komórkowych mocno uwierzytelniony. Sekurak, opisując incydent z 2018 roku, zauważył, że w sieciach GSM podszycie się pod nazwę albo numer nadawcy jest stosunkowo proste ^[4]. To klasyczny spoofing (podszywanie się) i warunek skutecznej socjotechniki.

W listopadzie 2018 roku mieszkańcy gmin Dukla i Horodło dostali fałszywy SMS, który nakazywał mężczyznom w wieku 18–65 lat stawić się w urzędzie gminy w związku z sytuacją na Ukrainie ^[3]. Wiadomość miała nazwę nadawcy ALERTRCB ^[4]. RCB ostrzegło przed nią własnym alertem, który według Niebezpiecznika dotarł około 20 godzin po fałszywce i do znacznie większej grupy osób niż pierwotny SMS ^[3]. Sprawą zajęły się ABW i policja ^[4]. Ten przypadek pokazuje, że fałszywy alert nie musi wyłudzać pieniędzy; może służyć dezinformacji i wywołaniu niepokoju.

We wrześniu 2024 roku, w czasie powodzi, oszuści rozsyłali wiadomości podszywające się pod RCB z linkami do złośliwych stron; wykonanie poleceń z tych stron mogło skończyć się kradzieżą pieniędzy z konta ^[5]. Niebezpiecznik przytoczył przy tej okazji przypomnienie RCB, że Centrum nigdy nie wysyła żadnych linków ^[5]. Ten sam tekst ostrzegał przed fałszywymi zbiórkami dla powodzian ^[5]. Był to typowy phishing podpięty pod aktualne wydarzenie.

Jak odróżnić prawdziwy alert

Najprostsze kryteria wynikają wprost z opisu systemu. Zestawia je tabela.

Brak wymienionych sygnałów nie dowodzi autentyczności. Sekurak podkreśla, że prawdziwe alerty przychodzą nieprzewidywalnie, o każdej porze, co utrudnia zwykłemu użytkownikowi odróżnienie ich od podróbek ^[4]. W razie wątpliwości warto sprawdzić komunikat na stronie RCB w serwisie gov.pl.

Ochrona systemowa

Podszywanie się pod nadawców publicznych utrudnia ogłoszona w sierpniu 2023 roku ustawa o zwalczaniu nadużyć w komunikacji elektronicznej ^[7]. CERT Polska opisuje, że ustawa przewiduje rejestr zastrzeżonych nazw nadawców SMS używanych przez podmioty publiczne i obowiązek blokowania przez operatorów wiadomości z fałszywymi odmianami tych nazw ^[7]. W raporcie za 2025 rok zespół pisze, że instytucja, która zgłosi nadpis, uzyskuje do niego pełne prawo, a próba wysłania wiadomości z tym nadpisem przez innego nadawcę jest blokowana ^[8].

Drugim mechanizmem są wzorce złośliwych SMS-ów. CERT Polska publikuje wyrażenia regularne opisujące kampanie, a operator w ciągu 5 minut pobiera wzorzec i musi blokować pasujące wiadomości ^[8]. W 2025 roku 790 wzorców doprowadziło do zablokowania 1 883 610 złośliwych SMS-ów ^[8]. Podejrzaną wiadomość można przekazać na numer 8080; opisuje to hasło zgłoszenie podejrzanego SMS-a na numer 8080. W 2025 roku CERT Polska przyjął 295 169 zgłoszeń podejrzanych wiadomości SMS ^[8]. Za obsługę tych mechanizmów odpowiada zespół opisany w haśle CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON.

W WordPressie

Alert RCB nie jest funkcją WordPressa, ale dotyka stron na nim zbudowanych na dwa sposoby.

Portale, które przedrukowują alerty. Lokalne serwisy informacyjne i strony gmin często publikują treść alertu. Warto przepisywać ją z oficjalnego źródła i nie dodawać do niej skróconych adresów. Czytelnik, który nauczył się, że alert nie ma linków, powinien móc tę zasadę stosować także do przedruków.

Przejęte witryny jako zaplecze kampanii. Strona phishingowa podpięta pod fałszywy alert musi gdzieś działać. W 2025 roku CERT Polska otrzymał 144 320 zgłoszeń phishingu dotyczących samych polskich sieci ^[8]. Na Listę Ostrzeżeń przed niebezpiecznymi stronami trafiło w tym roku 244 341 domen ^[8], a poprawnie wdrożona lista blokuje zagrożenie w ciągu 5 minut od dodania domeny ^[8]. Jeżeli włamywacz umieści fałszywą zbiórkę albo złośliwe przekierowanie na przejętej stronie WordPress, domena właściciela może zostać zablokowana razem z nią. Zanim właściciel poprosi o zdjęcie takiego wpisu na czarną listę (blacklisting), powinien przeprowadzić czyszczenie przejętej strony i usunąć przyczynę włamania.