mObywatel / Profil Zaufany (mDowód)

mObywatel i Profil Zaufany to dwa polskie narzędzia tożsamości cyfrowej. Ustawa o aplikacji mObywatel definiuje aplikację jako oprogramowanie dla urządzeń mobilnych, w którym udostępniane są usługi podmiotów publicznych i niepublicznych ^[1]. Korzystanie z niej jest bezpłatne i dobrowolne ^[1]. Profil Zaufany to według serwisu gov.pl bezpłatny środek identyfikacji elektronicznej, który pozwala potwierdzić tożsamość w internecie i podpisywać dokumenty elektronicznie ^[3]. Oba narzędzia są cenne dla przestępców, bo otwierają drogę do spraw urzędowych i danych osobowych.

Składniki

Ustawa z 26 maja 2023 roku rozróżnia kilka elementów, które w mowie potocznej zlewają się w jedno „mObywatel” ^[1].

Dokument mObywatel zawiera między innymi nazwisko, imiona, numer PESEL, datę urodzenia, obywatelstwo i fotografię z Rejestru Dowodów Osobistych; wydawany jest na 5 lat ^[1]. Serwis gov.pl opisuje mDowód jako cyfrową wersję dowodu osobistego z własną serią, numerem, datą wydania i terminem ważności ^[2]. Można nim posłużyć się między innymi w urzędzie, przychodni i hotelu; wyjątkiem są wniosek o nowy dowód i podróż za granicę ^[2]. Podpis złożony Profilem Zaufanym ma według gov.pl taką samą wagę jak podpis odręczny ^[3]. Profil Zaufany służy też do logowania w systemach administracji publicznej, takich jak Platforma Usług Elektronicznych ZUS, Internetowe Konto Pacjenta i e-Urząd Skarbowy ^[8]. Przez e-Urząd Skarbowy można na przykład rozliczyć podatek PIT, CIT albo VAT ^[8]. Jeden środek identyfikacji otwiera więc dostęp do danych o zdrowiu, składkach i podatkach tej samej osoby.

Jak działa

Użytkownikiem aplikacji może zostać osoba uwierzytelniona środkiem identyfikacji elektronicznej, który zawiera co najmniej imię, nazwisko i numer PESEL, albo osoba, której tożsamość potwierdził urząd gminy ^[1]. Po ustaleniu tożsamości dokument mObywatel wydawany jest automatycznie ^[1]. Telefon z aplikacją może też służyć jako jeden z czynników uwierzytelniania Profilu Zaufanego ^[1].

Weryfikacja dokumentu opiera się na kryptografii. Dokument przekazywany do sprawdzenia użytkownik opatruje podpisem elektronicznym weryfikowanym certyfikatem użytkownika aplikacji ^[1]. Osoba sprawdzająca może potwierdzić autentyczność i ważność dokumentu, weryfikując jego dane albo zaawansowaną pieczęć elektroniczną ministra właściwego do spraw informatyzacji ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Od uwierzytelnienia do weryfikacji mDowodu

Zagrożenia i skutki

Zaufanie do rządowej marki czyni z niej wygodny pretekst dla phishingu. We wrześniu 2023 roku Niebezpiecznik opisał SMS-y informujące, że w skrzynce odbiorczej mObywatela czeka wiadomość, i zachęcające do zalogowania ^[4]. Link prowadził do domeny zarejestrowanej dwa dni wcześniej ^[4]. Według Niebezpiecznika celem były dane logowania i informacje osobiste z aplikacji, przydatne potem w atakach socjotechnicznych na klientów banków ^[4]. Był to typowy smishing.

Skutki takiego wyłudzenia są poważniejsze niż utrata hasła do forum. Przejęty środek identyfikacji pozwala działać w cudzym imieniu w e-administracji, co prowadzi do kradzieży tożsamości i przejęcia konta. Profil Zaufany służy do podpisywania dokumentów z mocą podpisu odręcznego ^[3], więc jego przejęcie daje sprawcy narzędzie do składania oświadczeń w imieniu ofiary. Dostęp do kont w ZUS, urzędzie skarbowym i Internetowym Koncie Pacjenta ^[8] oznacza też wgląd w dane, które ułatwiają kolejne, lepiej dopasowane oszustwa.

Fałszywe strony coraz trudniej odróżnić wzrokiem. CERT Polska zwraca uwagę, że praktycznie każdy z podstawowymi umiejętnościami technicznymi może zrobić stronę łudząco podobną do znanej, a jedynym wiarygodnym źródłem informacji jest adres w pasku przeglądarki ^[7]. Zespół radzi czytać domenę od prawej strony i uważać na znaki podobne do liter, czyli atak homograficzny (homograph attack) ^[7].

Jak się bronić

• Logować się w aplikacji biometrią zamiast wpisywać hasło; Niebezpiecznik zauważa, że przy prawidłowym używaniu aplikacji nie wpisuje się haseł na stronach ^[4]. Opisuje to hasło uwierzytelnianie biometryczne.
• Otwierać usługi z aplikacji albo z adresu wpisanego ręcznie, nie z linku w SMS-ie ^[7].
• Zgłaszać podejrzane strony. Od sierpnia 2024 roku aplikacja ma usługę Bezpiecznie w sieci, w której można zgłosić oszustwo i otrzymywać alerty o najpoważniejszych zagrożeniach ^[5]. Dla innych rodzajów oszustw aplikacja podpowiada kanał zgłoszenia, na przykład SMS na numer 8080 ^[5].
• Rozważyć zastrzeżenie numeru PESEL, które utrudnia posłużenie się cudzymi danymi.

CERT Polska wymienia aplikację mObywatel jako jeden z kanałów zgłaszania złośliwych stron i oszustw ^[6]. Zespół wysyła też przez nią powiadomienia push o największych kampaniach oszustw ^[6]. Szerzej o zespole pisze hasło CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON.

W WordPressie

mObywatel i Profil Zaufany nie są częścią WordPressa, ale wpływają na to, jak strona na nim zbudowana obchodzi się z tożsamością klientów.

Formularze zbierające dane z dowodu. Wtyczki formularzy pozwalają łatwo dodać pole na numer PESEL albo przesłanie skanu dokumentu. Każde takie pole zwiększa skutki ewentualnego wycieku. Zasada minimalizacji z RODO każe pytać, czy dane są potrzebne. Gdy trzeba potwierdzić tożsamość osoby obecnej na miejscu, ustawa przewiduje weryfikację dokumentu mobilnego przez sprawdzenie jego danych lub pieczęci elektronicznej ^[1], więc kopia dokumentu zapisana w katalogu uploads nie zawsze jest potrzebna.

Witryna jako zaplecze phishingu. Fałszywa strona logowania do mObywatela musi być gdzieś hostowana. W 2025 roku CERT Polska otrzymał 144 320 zgłoszeń phishingu hostowanego w polskich sieciach ^[6]. Przejęta witryna WordPress może posłużyć jako taki serwer, dlatego właściciel powinien chronić konto administratora, na przykład przez uwierzytelnianie dwuskładnikowe (2FA), i reagować na powiadomienia o szkodliwych treściach na swojej domenie.