Afera mailowa: ile wiadomości zniknęło ze skrzynki Dworczyka? Znamy liczby [NEWS OKO.press]

W Parlamencie Europejskim trwają prace nad wnioskiem ministra sprawiedliwości Adama Bodnara o uchylenie immunitetu europosłowi Michałowi Dworczykowi, byłemu szefowi KPRM za czasów Mateusza Morawieckiego. Prawdopodobnie w lutym będzie nad nim głosować komisja prawna PE, a w marcu – cały parlament. Wniosek dotyczy afery mailowej, w której Dworczyk długo miał jedynie status poszkodowanego.

Jednak jesienią 2024 roku prokuratura poinformowała, że w drugim postępowaniu planuje postawić byłemu szefowi Kancelarii Premiera dwa zarzuty. Chodzi o niedopełnienie obowiązków dotyczących ochrony informacji oraz utrudnianie postępowania karnego. Sprawa usuwania maili dotyczy tego drugiego zarzutu.

Ale po kolei. W 2021 roku wybuchła afera mailowa. Nieznane osoby zaczęły publikować, najpierw na platformie Telegram, potem na stronie internetowej korespondencję z prywatnej skrzynki Michała Dworczyka. Skrzynka była prywatna, ale tematy maili – służbowe. Ostatnie wycieki opublikowano w październiku 2024 roku, przy czym wówczas na stronie pojawiała się już korespondencja różnych osób publicznych. Sprawcy włamali się bowiem do skrzynek znacznie większej liczby osób niż tylko do korespondencji Dworczyka.

O włamaniu wciąż niewiele wiadomo

W czerwcu 2021 roku prokuratura wszczęła śledztwo w sprawie włamania, szef KPRM miał w nim status pokrzywdzonego. Przez lata w tej sprawie prawie nic się nie działo. Dopiero jesienią 2024 roku prokuratura przesłała do sądu akty oskarżenia wobec trzech osób, które dostały się do skrzynki ministra. Każda z osób oskarżonych zrobiła to jednak po wybuchu afery. Nic też nie wskazuje na to, by miały one cokolwiek wspólnego z głośnymi publikacjami w internecie.

Do dziś nie wiadomo więc, kto stał za aferą. Ślady cyfrowe, zbadane między innymi przez amerykańską firmę Mandiant, zajmującą się cyberbezpieczeństwem, prowadzą na Białoruś, a być może także do Rosji. Odkryte przez OKO.press cyfrowe tropy także wskazują na udział Białorusi i Rosji w całej aferze. Nie oznacza to, że fizycznego włamania na skrzynkę musiał dokonać ktoś ze Wschodu. Nie wiemy przecież, na jakim etapie w sprawę miały się włączyć służby wywiadowcze któregoś z tych państw.

Dlaczego tak mało wiadomo o samym włamaniu? Odpowiedź na to pytanie być może znajduje się w drugim prokuratorskim dochodzeniu, wszczętym już po zmianie władzy. To właśnie w tym śledztwie Dworczyk ma mieć postawione zarzuty, jeżeli Parlament Europejski uchyli mu immunitet.

9 czerwca: 843 tysiące maili

Śledczy odtworzyli przebieg zdarzeń. Afera w Polsce wybuchła 8 czerwca 2021 wieczorem. Już następnego dnia funkcjonariusze ABW, powiadomieni o zdarzeniu, dokonali wstępnego przeglądu skrzynki, którą okazano im na służbowym komputerze KPRM. Zgrali wówczas jednak tylko te maile, które potencjalnie mogły służyć do phishingu, czyli oszustwa nastawionego na kradzież danych dostępowych do skrzynki. Wtedy też odnotowali, ile plików z wiadomościami znajdowało się w skrzynce ministra – było ich 843 380.

10 czerwca Prokuratura Okręgowa w Warszawie wszczęła śledztwo w sprawie włamania. Tego dnia skrzynka ministra nadal była aktywna i miały być z niej wysyłane obraźliwe wiadomości, poza kontrolą jej właściciela. Według śledczych właśnie wtedy Michał Dworczyk zwrócił się do kogoś, czyjego nazwiska prokuratura nie podaje, o wykonanie kopii zapasowej skrzynki do osobnego pliku i – jak piszą śledczy – „zlikwidowanie wszystkich dostępnych zasobów poczty z poziomu przeglądarki”.

Jak w 2024 roku tłumaczył sam minister Dworczyk: „Ze skrzynki zaczęto wysyłać obsceniczne wiadomości. Dlatego po dwóch dniach, w trakcie których funkcjonariusze oraz informatycy nie mogli odzyskać kontroli nad moją skrzynką, poleciłem wykonanie kopii binarnej jej zawartości oraz usunięcie materiałów z serwerów Wirtualnej Polski”.

29 czerwca: 46 tysięcy maili

14 czerwca Dworczyk pisemnie zawiadomił ABW o możliwości dokonania przestępstwa przez włamanie do jego poczty. Jednak dopiero 25 czerwca ABW zwróciła się do niego o wydanie kopii zapasowej skrzynki mailowej. Dworczyk udostępnił ją prokuratorom 29 czerwca, czyli trzy tygodnie po wybuchu afery. Śledczy zaczęli analizować korespondencję – i co się okazało? Że przekazana im kopia skrzynki zawiera jedynie 46 880 plików.

Zniknęły niemal wszystkie wiadomości wychodzące, czyli napisane przez Dworczyka. Zachowały się jedynie te, które były częścią rozmowy i można je było znaleźć w zapisie szerszej korespondencji.

Ponadto nie znaleziono korespondencji:

• z okresu od 10 marca do 9 czerwca 2020 roku – to czas pierwszych lockdownów z powodu pandemii w Polsce. Pierwszy dzień wskazanego okresu pokrywa się z dniem odwołania wszystkich imprez masowych z powodu koronawirusa;
• z następujących dni: 14 lipca 2020 roku, 22 czerwca 2019 roku, 1 czerwca 2019 roku, 19 maja 2019 roku, 8 sierpnia 2018 roku, 21 lipca 2018 roku, 25 listopada 2017 roku, 17 września 2017 r., 16 września 2017 r., 20 sierpnia 2017 r., 24 lipca 2017 r., 23 lipca 2017 roku, 9 lipca 2017 roku, 17 kwietnia 2017 roku, 19 lutego 2017 roku, 22 stycznia 2017 roku, 7 sierpnia 2016 roku, 12 grudnia 2016 roku.

Wygląda to tak, jak gdyby kasowano korespondencję z konkretnych dni. Według śledczych o tym, które wiadomości usunąć, miał decydować Michał Dworczyk.

Nie ma maili, nie ma dowodów

Skutki takiego działania są poważne. Po pierwsze: nieznane osoby, które włamały się do skrzynki, mają znacznie większą wiedzę na temat tego, co znajdowało się w korespondencji, niż prokuratura czy służby. I mogą z tej wiedzy skorzystać w dowolny sposób, który będzie dla nich korzystny.

Po drugie: według prokuratorów w trakcie czyszczenia skrzynki zniknęły także maile phishingowe oraz wiadomości wychodzące, które były odpowiedziami na phishing. W rezultacie usunięto korespondencję, która mogłaby wskazać, kto włamał się do skrzynki. Nawet jeśli nie udałoby się ustalić nazwisk sprawców, dane cyfrowe mogłyby wiele powiedzieć o kierunku cyberataku. Niestety, Dworczyk o usuwanie maili miał poprosić kogoś, kto się znał na tego rodzaju działaniach. Przynajmniej część zawartości skrzynki zlikwidowano w taki sposób, że odtworzenie korespondencji było niemożliwe.

Śledczy nie mieli więc jak ocenić, w jakim stopniu włamanie zagrażało bezpieczeństwu państwa i utracili dane źródłowe dotyczące włamań.

Drugi zarzut: niedopełnienie obowiązków

Jednocześnie z zachowanej korespondencji oraz wycieków maili w internecie wiadomo, że Dworczyk za pomocą swojej prywatnej skrzynki mailowej prowadził korespondencję dotyczącą:

• obronności i bezpieczeństwa państwa,
• działań służb specjalnych,
• kontaktów międzynarodowych Polski,
• tematów zawierających informacje objęte tajemnicą, prawnie chronione, które zgodnie z przepisami powinny znajdować się wyłącznie na zabezpieczonych urządzeniach i być przesyłane przy wykorzystaniu służbowej skrzynki e-mail.

„Naruszenie tych przepisów dotyczących bezpieczeństwa informacji stanowiło działanie na szkodę interesu publicznego i doprowadziło do ujawnienia przez nieustalone osoby informacji dotyczących istotnych kwestii związanych z polityką wewnętrzną i międzynarodową RP” – podkreślają śledczy. Właśnie dlatego chcą postawić byłemu ministrowi także drugi zarzut – niedopełnienia obowiązków wynikających z ustawy o ochronie informacji niejawnych.

Dworczyk: „Nie kasowałem”

Pierwsze informacje o tym, że prokuratura zarzuca Dworczykowi utrudnianie śledztwa przez usuwanie maili, media podały już kilka miesięcy temu. Europoseł zamieścił wówczas oświadczenie (cytowane także powyżej) na platformie X. Zapewnił wówczas:

„Po ujawnieniu ataku hakerskiego na moją skrzynkę mailową od razu zgłosiłem ten fakt szefowi ABW. (…) Nie kasowałem ani nie polecałem kasować żadnych maili. (…) Od początku współpracowałem z funkcjonariuszami ABW i prokuraturą w tej sprawie. Wszystkie działania były podejmowane za ich pełną wiedzą i kontrolą".

W wyjaśnianie sprawy zaangażował się też Janusz Cieszyński, były pełnomocnik rządu Morawieckiego ds. cyberbezpieczeństwa. We wpisach na platformie X stwierdził, że podczas wykonywania kopii zapasowej skrzynki doszło do błędu – skopiowano tylko wiadomości przychodzące, a wychodzące przypadkowo pominięto.

„Cała skrzynka z WP została usunięta przed wszczęciem śledztwa i przed podjęciem czynności przez ABW. Dlaczego? Ano dlatego, że nawet po zmianie hasła w logach było widać, że loguje się ktoś niepowołany. Została wykonana kopia lokalna (nie wiem w jakim zakresie) i z tej kopii lokalnej zgrali dane funkcjonariusze ABW na podstawie decyzji prokuratora” – napisał Cieszyński.

Cieszyński: zwykły błąd

W kolejnym wpisie wskazał wprost na to, że doszło do błędu. „Została źle wykonana kopia zapasowa (tylko wiadomości przychodzące). To o tyle ważne, że większość z nich i tak jest dostępna w formie oryginalnej wiadomości, na którą udzielono odpowiedzi”.

Nawet gdyby przyjąć wersję Cieszyńskiego, nie odpowiada ona na pytanie, dlaczego z kopii zniknęły nie tylko maile wychodzące, ale też obustronna korespondencja z konkretnych dni.

Z materiałów prokuratury wynika, że ustaliła ona, kto usuwał maile. Osoba ta ma już postawione zarzuty za utrudnianie śledztwa. Jej zeznania są elementem postępowania przeciwko Dworczykowi.