Na łamach Niebezpiecznika zdarzyło nam się już krytykować niektóre z Alertów RCB (i szerzej: podejście do ostrzegania Polaków przed zagrożeniami). Ale to, co dzieje się w ostatnich dniach w związku z uderzeniem rosyjskiej rakiety Ch-101 w miejscowość Tarnawa-Kolonia w woj. lubelskim wymaga osobnego artykułu.
Gdzie spadła rosyjska rakieta
Zacznijmy od faktów:
- W nocy z 28.07 na 29.07 rosjanie użyli przeciwko Ukrainie 70 rakiet i 300 dronów. Ukraina strąciła większość z nadlatujących zagrożeń, ale nie wszystkie.
- O 2:00 postanowiono poderwać polskie F-16, bo część rakiet do celów na Ukrainie docierała lecąc w kierunku Polski i zbliżając się do naszej granicy (większość finalnie zmieniła kierunek lotu). Za jednym z pocisków manewrujących, który leciał w kierunku Polski, podążał ukraiński F-16. Nie udało mu się go razić i przed granicą z Polską ukraiński pilot zawrócił, a pocisk manewrujący wleciał na teren Polski o 3:40. Nasze wojsko miało informacje na temat tego obiektu, ale polski F-16 nie zdążył go przechwycić i pocisk ten o 3.46 uderzył w pole rzepaku.
Nasz myśliwiec (…) znalazł się dokładnie w miejscu upadku, kiedy ten pocisk uderzył w ziemię. Gdyby rakieta kontynuowała lot, podjęta byłaby decyzja o zestrzeleniu jej. Natomiast rakieta upadła w terenie przygodnym, niezamieszkanym – poinformował dowódca operacyjny RSZ gen. Ireneusz Nowak.
- O godzinie 3.50 w Lublinie i okolicy włączono się syreny alarmowe, budząc mieszkańców.
Decyzja o syrenach była słuszna, ale…
Wszyscy zgodzimy się z tym, że decyzja o włączeniu syren alarmowych była słuszna. Tak, zabrzmiały one już po upadku rakiety, ale trzeba pamiętać, że od decyzji “włączamy syreny” do startu syren mija trochę czasu. Jeśli minęło więcej niż 4 minuty, to oznacza, że decyzję podjęto kiedy pocisk manewrujący zmierzał w stronę Kraśnika i nie było wiadomo ani gdzie ani kiedy spadnie.
To czego zabrakło, to komunikatu, który powinien był się pojawić w radiu i w telewizji oraz na portalach.
Komunikatu, który wyjaśniałby dlaczego uruchomiono syreny. Bo od kilkunastu lat w Polsce nie mamy już wielu różnych alarmów dźwiękowych — osobnego dla “nalotu z powietrza”, osobnego dla “skażenia” itp. Mamy tylko jeden sygnał na start alarmu (3 minuty, dźwięk modulowany) i jeden na odwołanie (3 minuty, dźwięk ciągły). Dlatego właśnie, kiedy syreny zabrzmią, nie wiadomo czego alarm dotyczy (skażenia biologicznego? nalotu z powietrza zagrożenia powodzią?) i dlatego powód alarmu powinien być podany w mediach. Oficjalna rządowa rada co do syren alarmowych brzmi tak:
Jeśli usłyszysz sygnał alarmowy, włącz radio lub telewizor i stosuj się do komunikatów
Ale 29 listopada o 3:50 w mediach żadnych komunikatów odnośnie tego co się dzieje nie było… System nie zadziałał więc w sposób kompletny. A powód alarmu to informacja krytyczna. Bo wyjście na zewnątrz, kiedy obszar został skażony chemicznie to niezbyt dobry pomysł. Podobnie jak pozostanie w domu, zamiast wyjścia na zewnątrz i ruszenia do schronu, kiedy trwa nalot (albo ewakuacja ze względu na podnoszący się stan wód).
Dlatego bardzo ciekawi nas, jaką decyzję podjęły osoby z okolic Lublina, które w czwartkową noc usłyszały syreny? Ilu zostało w domu, słuchając radia/TV w oczekiwaniu na komunikat? Ilu złapało za plecak ewakuacyjny i ruszyło do schronu? Ilu w ogóle miało plecak ewakuacyjny…? O to ile osób miało dostęp do schronów nie pytamy, bo wiemy że w Polsce schronów praktycznie nie ma. Są natomiast punkty schronienia, które w opinii części ekspertów od obrony cywilnej są nazywane “zbiorowymi mogiłami” i eksperci odradzają korzystanie z nich w przypadku bombardowań.
Alert RCB dolał oliwy do ognia
Oliwy do ognia dolał piątkowy Alert RCB, który ponad dobę (!) po upadku pocisku manewrującego przekazał Polakom następujący komunikat:
MSWiA: badz przygotowany. Pobierz: poradnikbezpieczenstwa.gov.pl
Ten Alert RCB był zły z wielu powodów. Po pierwsze, przed adresem strony rządowej nie wskazano protokołu (ani http ani https). Możemy się tylko domyślać dlaczego. Otóż dwa lata, po jednym z ataków spoofingowych, temu RCB pisało tak:
Przypominamy, że prawdziwe Alerty RCB nie zawierają linków ani prośby o kliknięcie w odnośnik (…) Jeśli otrzymasz wiadomość, która wygląda jak Alert RCB, ale zawiera link lub budzi Twoje wątpliwości, prosimy, abyś nie klikał w odnośnik i nie odpowiadał na wiadomość.
RCB chciało skierować ludzi do poradnika, ale wpadło na dość nieudolny pomysł jak przesłać linka nieprzesyłając linka. I wyszedł taki potworek. Potworek, bo smartfony i tak adres wykryły automatycznie i podkreśliły, robiąc z niego klikalny odnośnik, przy czym z protokołem ustawionym na http. A poradnik bezpieczeństwa serwowany jest po https. A więc doszło dodatkowe, niepotrzebne przekierowanie. Razy 40 milionów obywateli…
Ale poza zaprzeczaniem samemu sobie i podważaniem własnej wiarygodności, RCB wyrządziło jeszcze jedną szkodę. Umieszczając linka w SMS-ie przekreśliło wysiłki wielu branż, np. bankowości, która od lat stara się wykształcić w Polakach nieklikanie w linki w SMS-ach i e-mailach. No cóż, teraz teraz przynajmniej potwierdziliśmy, że ta nauka była nieskuteczna. Bo Polacy jednak masowo w ten link z SMS-a kliknęli i — no któżby mógł się tego spodziewać — rządowa strona ruchu 40 milionów obywateli (i dodatkowych 40 milionów przekierowań z http) nie wytrzymała.
To nie koniec kompromitacji. Ten zrealizowany na zamówienie RCB atak DDoS wygenerował ruch, który położył nie tylko stronę z poradnikiem ale również wiele z innych serwisów w domenie rządowej. A kiedy miliony Polaków widziało błąd ładowania strony, wicepremier Gawkowski powiedział:
Nie mamy żadnej awarii na stronach gov.pl. Nie mamy żadnego ataku. Link, który został wysłany przez Rządowe Centrum Bezpieczeństwa działa, ale mamy zwiększony ruch sieciowy wynikający z olbrzymiego zaintersowania
“Wodociągi kieleckie w sposób wzorcowy usuwają awarię…”
Ale… szukając pozytywów: przynajmniej teraz wiemy, że jeśli chcemy zDDoS-ować jakieś wrogie Polsce serwisy, to wystarczy jak RCB podeśle do nich linka w alercie 😀
Ja: potrzebujemy krajowych zdolności cyber do skutecznego ddosowania wrogów
Mama: mamy RCB-DDOS-botnet w domu https://t.co/yxoVnCODP2— Niebezpiecznik (@niebezpiecznik) July 31, 2026
mAlert – pomysł polityków na na kolejną aplikację “ostrzegającą przed zagrożeniami”
Po takim paśmie porażek, coraz mocniej naciskany przez dziennikarzy i opinię społeczną minister spraw wewnętrznych i administracji Marcin Kierwiński zapowiedział, że powstanie “mAlert” — specjalna aplikacja do ostrzegania przed zagrożeniami.
Na razie szczegółów co do tego jak finalnie ma wyglądać nowa aplikacja zapowiadana przez ministra Kierwińskiego brak. Wiadomo że “będzie uruchomiona specjalna aplikacja w ciągu kilkunastu najbliższych tygodni“. Pytanie, czy taka aplikacja w ogóle powstać powinna
Kolejny rząd popełnia wciąż te same błędy…
Odnosimy wrażenie, że po czwartkowej porażce systemu ostrzegania obywateli przed zagrożeniami i piątkowym komunikacyjnym fiasku Alertu RCB rządzący panicznie szukają jakiegoś PR-owego wyjścia z tego bałaganu. Ale — w naszej ocenie — kolejna aplikacja dobrym wyjściem nie jest. Dlaczego? Powody są 4:
- bo jest już przecież taka rządowa aplikacja: RSO (opisywaliśmy ją w 2017 roku!). Działa. Ma ostrzeżenia, które nie muszą mieć limitu znaków. Ma szybsze niż wysyłka SMS powiadomienia push. Ma dodatkowe poradniki. Czyżby minister nie był tego świadomy? Przecież autorem jest jego ministerstwo…
- trzeba jednak pamiętać, że “ostrzeganie przez aplikację” wymaga, żeby ktoś miał smartfona i aplikację zainstalował
- ale także, żeby miał dostęp do internetu (bez tego alertu nie odbierze)
- jak również, żeby powiadomień nie miał wyciszonych (chyba, że aplikacja otrzymała od Apple zgodę na tzw. “Critical Alerts”)
W skrócie: kolejna aplikacja do ostrzegania Polaków, to kolejny raz powtarzanie tych samych błędów. Podsumujemy to tak:
My nie potrzebujemy kolejnej aplikacji. My potrzebujemy lepiej zorganizowanego systemu: szybszych procedur, koordynacji i współpracy między poszczególnymi elementami systemu.
A może Cell Broadcast zamiast SMS?
Zacznijmy od przypomnienia, czym jest Cell Broadcast i jakie ma wady i zalety w stosunku do SMS-ów.
Jak działa Cell Broadcast?
Cell Broadcast to technologia, która pozwala na konkretnie wyznaczonym obszarze sieci telefonii komórkowej nadawać stale, wielokrotnie komunikat tekstowy do wszystkich abonentów, którzy znajdą się w obrębie danego obszaru.
- Jest szybciej. Bo w przeciwieństwie do SMS, komunikat nie jest osobno wysyłany na każdy numer telefonu. Nie jest potrzebna lista numerów telefonów odbiorców. Nie ma ryzyka “kolejkowania wiadomości” i taka wysyłka mniej przeciążą sieć.
- Jest widoczniej. Bo w przeciwieństwie do SMS, komunikaty Cell Broadcast powodują, że telefon wydaje głośny dźwięk a powiadomienie o komunikacie jest pokazywane na ekranie bez względu na to, czy smartfon jest w trybie “nie przeszkadzać” i czy ma wyciszone dźwięki.
- Jest skuteczniej. Bo w przeciwieństwie do SMS, komunikaty Cell Broadcast otrzymają osoby bez aktywnej karty SIM a co więcej, alerty Cell Broadcast są aktywne przez zdefiniowany czas, dzięki czemu ostrzeżenie otrzymają osoby, które w późniejszym czasie pojawią się na zagrożonym obszarze (o ile alert dla obszaru wciąż jest aktywny). Takie osoby nie dostałyby SMS-a jeśli nie byłoby ponownej wysyłki alertów SMS-owych.
- Jest tak samo, jeśli chodzi o multimedia, zarówno Cell Broadcast jak i SMS to tylko tekst
- Jest równie (nie)bezpiecznie, jeśli chodzi o jamming czy spoofing. Mając IMSI Catchera można wysłać fałszywy alert zarówno po Cell Broadcast jak i SMS-em (niuanse tych ataków rozwijamy niżej)
- Nie jest pewne, jak taki komunikat odbiorą i zaprezentują użytkownikowi mniej popularne smartfony. Zwykły SMS odbierze każdy telefon, natomiast logika obsługi komunikatu Cell Broadcast przez niektóre “chińczyki” może być niestandardowa.
Dyskusje o tym, żeby ostrzegać Polaków poprzez mechanizm Cell Broadcast są starsze niż wdrożenie w Polsce Alertu RCB. Opisywaliśmy ten mechanizm w 2017 roku oraz w 2022 roku, kiedy zastanawialiśmy się nad pomysłem ówczesnego rządu, który chciał preinstalować na smartfonach Polaków specjalne apki ostrzegające przed zagrożeniami. Prace nad uruchomieniem mechanizmu Cell Broadcast trwały w Polsce za czasów poprzedniego rządu — wzmianki na jego temat znajdowały się w projekcie ustawy. Ale wraz ze zmianą władzy, temat ucichł. Dlaczego? Pytaliśmy i polityków i operatorów i ekspertów od obrony cywilnej i w zasadzie ciężko ustalić oficjalny powód, dla którego Cell Broadcast kiedyś był rozważany, a teraz już nie jest. Wiemy na pewno, że wdrożenie Cell Broadcast do obsługi Alertu RCB wiązałoby się z kosztami idącymi w miliony dla każdego z operatorów — ale patrząc na zyski tych firm, raczej nie byłby to dla nich zauważalny wydatek w budżecie. Wiemy też, że w wywiadzie dla Rzeczpospolitej ze stycznia 2025, Zbigniew Muszyński, dyrektor RCB powiedział tak:
W Ukrainie (Cell Broadcast) został przejęty przez Rosjan. Z informacji przekazanych przez służby wynika, że możliwość „podszycia się” pod Alert RCB w formie cell broadcastu jest zdecydowanie większa niż w przypadku wysyłki SMS-owej
Nie udało nam się znaleźć żadnego potwierdzenia co do “przejęcia Cell Broadcast” przez Rosjan na Ukrainie. Ale faktem jest, że — w uproszczeniu — w przeciwieństwie do SMS-ów dla sieci 4G i 5G, komunikaty Cell Broadcast nie są “kryptograficznie uwierzytelnione“, więc smartfon nie wie, czy pochodzą one od prawdziwego operatora, czy kogoś, kto w okolicy odpalił IMSI Catchera. Tylko że tak samo na spoofing podatne są klasyczne SMS-y. IMSI Catcher po prostu zrzuci ofiary do sieci 2G/3G, prześle im SMS-a od “Alert RCB” i efekt będzie taki sam (za wyjątkiem użytkowników iPhonów, którzy mają włączony Lockdown, bo ta opcja ignoruje tak podstawiane SMS-y).
Mówiąc wprost:
Cell Broadcast ma w naszej opinii więcej zalet niż wad, a podatność na atak jest lokalna i taka sama jak dla rozwiązania aktualnego bazujacego na SMS-ach.
Wnioski
Wydaje się więc, że najbardziej potrzebnym udoskonaleniem polskiego systemu ostrzegania ludności przed zagrożeniami jest:
- Wdrożenie Cell Broadcastu. Choć kosztowne (dla opertorów) to dające realne zalety (szybkość, precyzja) przy takim samym poziomie ryzyka jak SMS-y (możliwość spoofingu za pomocą lokalnego IMSI Catchera). System może działać na starcie równocześnie z wolniejszym i mniej dokładnym powiadamianiem SMS-owym. Te osoby, którym komunikaty Cell Broadcast pojawiają się poprawnie, mogłyby wysłać “STOP” na najkiś numer, aby wypisać się ze “starych” SMS-ów od Alertu RCB.
- Odświeżenie aplikacji RSO. Wprowadzenie uprawnienia do lokalizacji użytkownika po GPS, co pozwoli na bardziej precyzyjne powiadomienia bazujące na aktualnej lokalizacji użytkownika. Zawnioskowanie o tzw. “krytyczne powiadomienia”, które podobnie jak komunikaty Cell Broadcast przebijają się przez tryby “nie przeszkadzać” i towarzyszy im dźwięk alarmu nawet przy wyciszonych odgłosach telefonu.
- Usprawnienie komunikowania powodów uruchomienia syren alarmowych, czyli błyskawiczne informacje na ten temat w radio i TV (ale również w RSO i poprzez alerty Cell Broadcast)
Warto na koniec zwrócić uwagę, że:
każdy, nawet ten najsprawniej działający system ostrzegania ludności przed zagrożeniami, do niczego się nie przyda, jeśli osoby go obsługujące w porę nie otrzymają wyprzedzających informacji o nadciągającym zagrożeniu.
Z burzami i tsunami jest dość prosto — widać je na radach i sondach, jest sporo czasu na reakcję. Natomiast z rakietami zmierzającymi w stronę naszego kraju jest trudniej, bo czasu jest zdecydowanie mniej. Radary część z pocisków widzą, ale prędkość pocisku i horyzont radiolokacyjny wynikający z krzywizny Ziemi (tak, nie jest płaska!) powoduje, że zanim informacja o zagrożeniu dotrze do RCB i błyskawicznie zostanie przesłana do Polaków, i tak może być już za późno.
Dlatego warto byłoby zastanowić się, czy nie powinniśmy — wzorem Ukraińców — zbudować gęstej sieci czujników akustycznych, które na Ukrainie z powodzeniem wykrywają nadlatujące drony, także te niskolecące, trudnowidoczne/niewidoczne dla radarów (por. Zvook/Sky Fortress, FENEK, ARes). Mogłyby one świetnie uzupełnić tworzoną przez Wojska Obrony Cyberprzestrzeni aplikację Horyzont do zgłaszania zagrożeń.
Istotny apel na koniec, do Was wszystkich
System ostrzegania, systemem ostrzegania. Ale pamiętajcie, że ze względu na opisane powyżej słabości, przed niektórymi zagrożeniami możemy nie zostać w porę ostrzeżeni nawet jeśli będziemy mieli najdoskonalszy system ostrzegania ludności. Dlatego na kryzys (niekoniecznie od razu rozumiany jako “wojna”) warto się samodzielnie i zawczasu przygotować. Żeby nie marnować czasu, kiedy trzeba będzie się ewakuować albo kiedy po prostu zabraknie prądu, wody, internetu lub paliwa z jakiegokolwiek powodu.
Jak się za to zabrać, poza lekturą “Poradnika Bezpieczeństwa“? Śledźcie ekspertów z danych branż. Jeśli chodzi o tematykę obrony cywilnej to polecamy profil Zarządzanie Kryzysowe. Jeśli chodzi o kwestie nadlatujących nad Polskę pocisków manewrujących, to ciekawie opowiada o nich Michał Fiszer.
Polecamy te ż rzucić okiem na trzy konkretne poradniki, które stworzyliśmy z ekspertami z danych branż:
- Darmowy Jak przygotować się na kryzys? z Michałem “lcamtufem” Zalewskim
- Ty wybierasz ile płacisz: Radiokomunikacja dla amatorów — jak komunikować się z bliskimi i korzystać z interentu, kiedy nastąpi blackout z Wojciechem Bielakiem (SQ9PBS)
- Zapłać ile chcesz: Pierwsza pomoc dla każdego z lekarzem Jakubem Sieczko, instruktorem medycyny ratunkowej, który na co dzień lata w Lotniczym Pogotowiu Ratunkowym do najcięższych wypadków.
Zresztą, powyższe materiały warto po prostu znać nawet jeśli żadnych sytuacji kryzysowych nie ma na horyzoncie.
Wszystkiego bezpiecznego! I do kolejnego Alertu RCB — oby tylko o nadchodzącym deszczu.
