Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej to mocna odpowiedź na zagrożenia cyfrowe

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej została podpisana przez prezydenta Andrzeja Dudę na początku sierpnia. Regulacja m.in. nakłada obowiązki na firmy telekomunikacyjne związane z walką z nadużyciami. Definiuje też podstawowe formy takich nadużyć, m.in. smishing i CLI spoofing.

"Nowa ustawa o zwalczaniu nadużyć w komunikacji elektronicznej to konkretna, mocna odpowiedź na najczęściej występujące zagrożenia cyfrowe, z którymi spotkał się niemal każdy obywatel Polski korzystający z internetu i telefonii komórkowej. Oszustwa telefoniczne, SMS-owe, fałszywe e-maile czy spreparowane strony internetowe – dzięki tej ustawie przestępcom znacznie trudniej będzie przeprowadzić każdy z tych rodzajów ataku lub ich skuteczność będzie ograniczona" – podkreślił na środowej konferencji prasowej szef resortu cyfryzacji Janusz Cieszyński.

Obecny na konferencji dyrektor Państwowego Instytutu Badawczego NASK Wojciech Pawlak zaznaczył, że zwalczanie nadużyć w komunikacji elektronicznej to jedno z zadań, jakie postawione są przed Instytutem "zarówno w obszarze rozwoju i wykorzystania najnowszych technologii bezpieczeństwa, jak i współpracy przy projektach w obszarze legislacyjnym".

"Nowa ustawa jest tego bardzo dobrym przykładem – nadaje wyższą rangę rozwiązaniom, które już zostały przez NASK wdrożone, takim jak Lista ostrzeżeń przed złośliwymi stronami, ale także uruchamia nowe, wartościowe narzędzia, które wpłyną na poprawę cyberbezpieczeństwa w naszym kraju" - mówił.

Jak przekazano, 23 marca 2020 roku CERT Polska uruchomił listę ostrzeżeń przed niebezpiecznymi stronami, zaś 27 kwietnia 2021 roku ten sam zespół rozpoczął przyjmowanie zgłoszeń dotyczących niebezpiecznych wiadomości SMS.

"Oba rozwiązania okazały się skuteczne, w znaczący sposób ograniczając i utrudniając działalność cyberprzestępców. Obecnie ranga tych narzędzi została dodatkowo podniesiona. Równocześnie ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wprowadza też nowe rozwiązania, oferujące kilkanaście dodatkowych korzyści dla osób i organizacji funkcjonujących w polskiej przestrzeni cyfrowej" - przekazał resort cyfryzacji.

Dodano, że wejście w życie ustawy to cztery podstawowe korzyści: bezpieczniejsze SMS-y, bezpieczniejsze połączenia telefoniczne, bezpieczniejsza poczta elektroniczna i bezpieczniejszy internet.

Dzięki ustawie wprowadzono m.in. nowy i łatwy do zapamiętania numer do zgłaszania podejrzanych wiadomości SMS: 8080. Od 24 marca przyszłego roku możliwe będzie także blokowanie smishingu, w tym również wiadomości SMS, które nie zawierają linków, przez operatorów na podstawie listy wzorców tworzonej przez CSIRT NASK.

Również od 24 marca przyszłego roku zacznie działać tzw. lista nadpisów wiadomości SMS zastrzeżonych dla instytucji publicznych. "Kiedy otrzymujemy wiadomość SMS, wyświetla nam się informacja o jej nadawcy. Do tej pory przestępcy mogli łatwo tę informację podmienić, tak żeby odbiorca miał wrażenie komunikacji z konkretną instytucją, np. z konkretnym bankiem. Lista nadpisów sprawi, że wykorzystanie przez przestępców nazwy, która zostanie w tej liście zastrzeżona, nie będzie możliwe. Dodatkowo użytkownik będzie mógł sprawdzić w wyszukiwarce na stronie CSIRT NASK, czy nadpis, z którego dostał wiadomość, rzeczywiście należy do jakiejś instytucji" - przekazał resort.

Ustawa nakłada na dostawców poczty elektronicznej, którzy mają powyżej 500 000 użytkowników lub dostarczają swoje usługi podmiotowi publicznemu, obowiązki: stosowanie mechanizmów SPF, DMARC i DKIM, umożliwiających weryfikację nadawcy wiadomości e-mail, zapewnianie możliwości uwierzytelniania wieloskładnikowego (MFA). Podmiot publiczny ma obowiązek korzystania z poczty chronionej przez mechanizmy SPF, DMARC i DKIM.

Ustawa podnosi listy ostrzeżeń przed złośliwymi stronami do rangi ustawowej. 24 godziny na dobę, 7 dni w tygodniu zespół CERT Polska wpisuje na tę listę domeny, które wprowadzają użytkowników w błąd i wyłudzają od nich dane.

Regulacja umożliwia przedsiębiorcom telekomunikacyjnym blokowania domen znajdujących się na liście ostrzeżeń. Wprowadza także dodatkową procedurę odwoławczą w sprawie wpisanych na listę domen do Prezesa Urzędu Komunikacji Elektronicznej.

Wprowadza ponadto listę numerów instytucji publicznych, na które będzie można przyjmować połączenia, lecz z których nie będzie można ich wykonywać. Od 24 września przyszłego roku umożliwi również blokadę połączenia lub ukrycia identyfikacji numeru przy rozpoznaniu spoofingu.

Podejrzane wiadomości SMS można zgłaszać na nowy numer 8080, natomiast wiadomości e-mail i niebezpieczne strony internetowe – na stronie incydent.cert.pl.(PAP)

autor: Marcin Chomiuk

mchom/ mark/