ustawa o zwalczaniu nadużyć w komunikacji elektronicznej

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej to polska ustawa z 28 lipca 2023 roku, ogłoszona w Dzienniku Ustaw 25 sierpnia 2023 roku pod pozycją 1703 ^[1]. Określa obowiązki przedsiębiorców telekomunikacyjnych i dostawców poczty elektronicznej w zapobieganiu nadużyciom, kompetencje Prezesa UKE oraz zasady sprzeciwu wobec zablokowania SMS-a i wpisania domeny na listę ostrzeżeń ^[1]. W prasie branżowej nazywana jest potocznie ustawą anty-spoofingową i anty-smishingową ^[3]. Dotyczy przede wszystkim operatorów, ale jej mechanizmy, zwłaszcza lista ostrzeżeń, mogą objąć także zwykłą stronę internetową.

Czego zakazuje

Ustawa zakazuje nadużyć w komunikacji elektronicznej i wymienia cztery ich rodzaje: generowanie sztucznego ruchu, smishing, CLI spoofing oraz nieuprawnioną zmianę informacji adresowej ^[1]. Smishing zdefiniowano jako wysłanie SMS-a, w którym nadawca podszywa się pod inny podmiot, aby nakłonić odbiorcę do przekazania danych, niekorzystnego rozporządzenia mieniem, otwarcia strony, połączenia albo instalacji oprogramowania ^[1]. CLI spoofing to nieuprawnione posłużenie się przy połączeniu głosowym numerem wskazującym na inny podmiot, czyli odmiana podszywania się (spoofingu) w telefonii ^[1]. Sama zmiana adresu IP nadawcy nie jest nieuprawnioną zmianą informacji adresowej ^[1].

Ustawa wprowadza też przestępstwa. Wysłanie SMS-a, MMS-a lub wiadomości w innej usłudze komunikacji z podszyciem się pod inny podmiot w celu wyłudzenia danych, haseł albo pieniędzy podlega karze pozbawienia wolności od 3 miesięcy do 5 lat ^[1]. Tak samo zagrożone jest podszywanie się pod cudzy numer przy połączeniu głosowym, typowe dla vishingu i oszustw „na pracownika banku” ^[1].

Obowiązki

Obowiązki rozkładają się na kilka grup podmiotów. Zestawienie poniżej obejmuje najważniejsze.

SMS-y. CSIRT NASK, czyli zespół CERT Polska / CSIRT NASK, na podstawie zgłoszeń od odbiorców i informacji od operatorów tworzy wzorzec wiadomości wyczerpującej znamiona smishingu i przekazuje go operatorom ^[1]. Zgłoszenia przyjmuje pod numerem skróconym 8080; zob. zgłoszenie podejrzanego SMS-a na numer 8080 ^[1]. Nazwy kończące się wyrażeniem „#RP” w polu nadawcy SMS-a zastrzeżono dla podmiotów publicznych ^[1].

RYS. 1Blokowanie smishingu według ustawy

Połączenia. Numery wpisane do wykazu Prezesa UKE służą wyłącznie do odbierania połączeń, więc połączenie wychodzące podszywające się pod taki numer można zablokować ^[1]. Wykaz nazywany jest w prasie DNO (Do Not Originate) ^[4].

Poczta. Dostawca poczty obsługujący co najmniej 500 000 użytkowników albo podmiot publiczny ma obowiązek stosować SPF, DKIM i DMARC, a podmiot publiczny musi korzystać z poczty z tymi mechanizmami ^[1]. Dostawca poczty dla podmiotu publicznego oferuje też uwierzytelnianie wieloskładnikowe (MFA) ^[1]. Ustawa nie nakłada tego obowiązku na zwykłych właścicieli domen.

Lista ostrzeżeń i strony WWW

Artykuł 20 ustawy daje podstawę liście ostrzeżeń przed niebezpiecznymi stronami. Wpisuje się na nią domeny, których podstawowym celem jest wprowadzenie użytkowników w błąd i wyłudzenie ich danych lub mienia; prowadzi ją CSIRT NASK ^[1]. Każdy może zgłosić taką domenę ^[1]. Operator będący stroną porozumienia może usunąć domenę ze swoich serwerów DNS i przekierować ruch na stronę CSIRT NASK z informacją o ostrzeżeniu ^[1]. CERT Polska prowadzi listę od marca 2020 roku, a domena pozostaje na niej przez 6 miesięcy ^[2].

Podmiot mający tytuł prawny do domeny wpisanej na listę może wnieść do Prezesa UKE sprzeciw ^{[1] [2]}. Sprzeciw zawiera wskazanie domeny, uzasadnienie i dane podmiotu, jest podpisany kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo osobistym i trafia na adres do doręczeń elektronicznych Prezesa UKE ^[1].

W WordPressie

Właściciela strony na WordPressie ustawa dotyczy głównie przez listę ostrzeżeń. Przejęta witryna bywa używana do hostowania stron phishingowych, na przykład podrobionego formularza logowania do banku w podkatalogu. Jeśli CSIRT NASK uzna, że domena służy wyłudzeniom, wpisze ją na listę, a klienci operatorów uczestniczących w porozumieniu przestaną ją widzieć ^{[1] [2]}. Skutek przypomina wpis na czarną listę (blacklisting) w przeglądarkach.

Kolejność działań po takim zdarzeniu jest zwykle następująca: usunąć złośliwe pliki, ustalić drogę włamania, na przykład podatność we wtyczce, a dopiero potem wnieść sprzeciw z uzasadnieniem, że domena nie służy już wyłudzeniom. Uzasadnienie jest obowiązkowym elementem sprzeciwu ^[1].

Druga styczność dotyczy poczty wysyłanej ze strony, na przykład z formularza kontaktowego. Duzi dostawcy poczty muszą stosować SPF, DKIM i DMARC ^[1], więc poprawne rekordy w domenie nadawcy pomagają, by wiadomości ze strony nie były odrzucane.

Kary

Za nadużycia popełniane przez przedsiębiorcę telekomunikacyjnego oraz za niewykonanie obowiązków przez operatora albo dostawcę poczty Prezes UKE może nałożyć karę do 3% przychodu z poprzedniego roku ^[1]. Niezależnie od kary za niewykonanie obowiązków przez operatora może nałożyć na kierującego przedsiębiorstwem telekomunikacyjnym karę do 300% miesięcznego wynagrodzenia ^[1]. Kierownik podmiotu publicznego, który nie korzysta z poczty z mechanizmami SPF, DKIM i DMARC, podlega karze do jednokrotności przeciętnego wynagrodzenia ^[1]. Od decyzji o karze przysługuje odwołanie do Sądu Ochrony Konkurencji i Konsumentów ^[1].

Historia i stan wdrożenia

Ustawa weszła w życie po upływie 30 dni od ogłoszenia, a przepisy o liście ostrzeżeń już następnego dnia po ogłoszeniu ^[1]. Przepisy o wykazie numerów weszły w życie po 6 miesiącach, a blokowanie SMS-ów z zastrzeżonymi nadpisami operatorzy rozpoczęli po 6 miesiącach od wejścia w życie ustawy ^[1]. Wykaz DNO ruszył w marcu 2024 roku ^[4]. W sierpniu 2024 roku Niebezpiecznik oceniał, że skutki są niewielkie: na początku lipca wykaz zawierał 2 numery, a pod koniec sierpnia 7 ^[5]. Ustawa nie zastępuje ogólnych przepisów, takich jak ustawa o krajowym systemie cyberbezpieczeństwa, lecz ją zmienia ^[1].