Wycieki z #DworczykLeaks rozprowadza skoordynowana białoruska siatka. Kto nią zarządza?

Kolejne maile z poczty ministra Michała Dworczyka, ujawniające korespondencję premiera z jego współpracownikami na temat wsparcia białoruskiej opozycji, zostały opublikowane 6 lipca na kanale Telegram.

Od miesiąca tego rodzaju informacje są publikowane codziennie – jednak tym razem ujawnił je inny kanał niż dotychczas. Mamy do czynienia z całą siatką Telegramowych kanałów, współpracujących z nimi portali i mediów, przede wszystkim białoruskich, w niektórych sytuacjach także rosyjskich, które „karmione” są niepublicznymi materiałami z Polski.

Próba zdefiniowania tej struktury nie jest łatwa, opiera się bowiem o szczegółową analizę ujawnianych materiałów oraz sposobu ich rozchodzenia się w sieci. Ważny jest każdy szczegół, który pozwala powiązać kolejne kanały informacji. Najpierw jednak zarysujmy główny obraz.

Kto dysponuje materiałami z Polski?

Na tym etapie #DworczykLeaks najbardziej prawdopodobne jest, że niepublicznymi dokumentami z Polski oraz mailową korespondencją Dworczyka dysponuje koordynująca operację grupa, białoruska lub rosyjska, mająca bieżący kontakt z administratorami przynajmniej kilkunastu kanałów na Telegramie.

Grupa ma dostęp nie tylko do prywatnej skrzynki ministra Dworczyka, ale też do jego skrzynki sejmowej, oraz do przejętych kont w mediach społecznościowych osób, głównie publicznych, związanych najczęściej ze Zjednoczoną Prawicą.

Materiały przekazywane są współpracownikom do publikacji w sposób chaotyczny, który nie daje się dziś ułożyć w żaden logiczny schemat.

Każdy, kto je przeczyta, musi dojść do wniosku, że nieoficjalne kontakty z polskimi władzami są obarczone wysokim ryzykiem ich upublicznienia. To utrudni utrzymanie międzynarodowych relacji, nie tylko w Unii Europejskiej czy ze Stanami Zjednoczonymi, ale także w NATO (jeden z opublikowanych maili dotyczył właśnie ustaleń z Sekretarzem Generalnym NATO).

Zwłaszcza że #DworczykLeaks trwa już miesiąc, wycieki publikowane są codziennie, a w czerwcu dodatkowo włamano się do skrzynki sejmowej ministra Dworczyka.

Bezsilność polskich władz i służb w tej sytuacji jest istotną informacją dla wszystkich partnerów zagranicznych.

Drugi cel to cel wewnętrzny białoruskich władz: przekonać własnych obywateli, że za protestami białoruskiej opozycji po wyborach prezydenckich w sierpniu 2020 r. stały inne państwa, w tym Polska, a nie sami Białorusini. Wycieki z polskiej korespondencji doskonale się do tego nadają.

Spokojny początek

Aby zobaczyć, jak wygląda siatka wykorzystywana w tej operacji, musimy dokładnie przyjrzeć się kolejnym etapom #DworczykLeaks.

Zaczęło się 5 lutego, Wtedy na platformie Telegram powstaje kanał - nazwijmy go Kanałem A (nie ujawniamy nazwy, by nie powiększać jego popularności), który zaczyna publikować niejawne dokumenty, pochodzące z najwyższych polskich urzędów: Kancelarii Premiera, czasem z Ministerstwa Spraw Zagranicznych lub innych, związanych z polskim rządem.

Na kanale nie ma informacji, skąd pochodzą dokumenty, ani że jest to wyciek ze skrzynki ministra Dworczyka (czy jakiejkolwiek innej). Kanał działa do dziś i wciąż publikuje polskie materiały.

8 lutego zupełnie inny białoruski kanał, istniejący od dawna – @Ludazhor – zamieszcza zdjęcia maila, który ma pochodzić (nie wiadomo, czy to prawda) ze skrzynki pocztowej Karola Kotowicza, sekretarza dyrektora Centrum Informacyjnego Rządu. To plik tekstowy z informacją na temat planów utworzenia Fundacji Dyplomacji Narodowej (miała powstać, by wspierać w Polsce białoruskich opozycjonistów).

W tym samym poście pojawia się informacja, że dokumentem miał się pochwalić sam Kotowicz, podczas mocno zakrapianej imprezy w mieszanym towarzystwie (nie ma dowodów, że to prawda).

Białoruski kanał @Ludazhor prowadzony jest przez Jurija Tierecha. To przedsiębiorca (przynajmniej oficjalnie), od kilku lat bloger, od niedawna publicysta głównej, białoruskiej państwowej gazety „Sovetskaya Belorus - Belarus Segodnya”, popierającej administrację Aleksandra Łukaszenki i atakującej opozycję.

Od 8 lutego do ostatniej dekady kwietnia w opisywanej operacji niewiele się dzieje, poza publikowaniem kolejnych dokumentów na Kanale A. Te jednak rozchodzą się w sieci bardzo słabo. Pod koniec kwietnia operacja przyspiesza. Nie wiadomo, czy ma to jakiś związek z sytuacją zewnętrzną, ale warto zauważyć, że 22 kwietnia Władimir Putin i Aleksander Łukaszenka na spotkaniu ustalają, że dojdzie do zwiększenia współpracy między służbami białoruskimi i rosyjskimi.

Niespójności, czyli to nie jest ta sama grafika!

Zaledwie kilka dni później, 28 kwietnia na Kanale A zostaje opublikowana prezentacja, autorstwa płk. Krzysztofa Gaja, wówczas doradcy ministra Dworczyka, zawierająca projekt polskiej kompanii zmechanizowanej. Są tam grafiki, informacje o uzbrojeniu i sprzęcie wojskowym.

29 kwietnia artykuł na ten temat, z powołaniem się na Kanał A jako na źródło, publikuje portal Belvpo.com – to portal białoruski, choć istnieją podejrzenia, że w rzeczywistości prowadzony jest przez Rosjan. Autorem artykułu jest Mikołaj Kryłow, który zamieszcza w nim grafikę – schemat organizacyjny kompanii.

I tu zauważyłam pierwszy istotny szczegół. Użyta w artykule grafika, która według samego autora artykułu ma pochodzić, tak jak i wszystkie informacje w tekście, z materiałów płk. Gaja opublikowanych na Kanale A – w rzeczywistości nigdy nie została na Kanale A opublikowana.

W ujawnionej tam prezentacji jest, owszem, grafika, bardzo podobna, na pierwszy rzut oka identyczna. Ale kiedy przyjrzymy się jej dokładnie, okaże się, że to inny schemat. Różnią się zarówno modele pokazanych transporterów, jak i zamieszczone na górze strony dane liczbowe, brakuje też informacji, widocznych na grafice z Kanału A w prawej części strony.

Artykuł Belvpo został powielony przez wiele białoruskich i rosyjskich portali na przełomie kwietnia i maja, w każdym użyto tej samej grafiki.

To nie koniec tej historii. Dużo później, bo 8 czerwca, zarówno prezentację znaną z Kanału A, jak i schemat znany z Belvpo, udostępnił Kanał B – ten, który do dziś codziennie publikuje wycieki ze skrzynki mailowej ministra Dworczyka. Kanał B opublikował najwięcej plików płk. Gaja dotyczących projektu kompanii zmechanizowanej – więcej niż Kanał A. Skąd je wziął?

Pierwsze zarysy skoordynowanej siatki

Wróćmy do tego, co się dzieje w kwietniu. 30 kwietnia Kanał A publikuje dużą notatkę o tym, że polscy politycy krytykują finansowanie białoruskiej opozycji przez rząd. To dezinformacja, do której stworzenia wykorzystano dwa przejęte konta w mediach społecznościowych.

Najpierw na jednym z nich opublikowano spreparowany wpis o „pisowskim Mordorze na czele z Kaczyńskim” i dołączono do niego zdjęcia - uwaga! - dokumentu na temat planów powołania Fundacji Dyplomacji Narodowej. Tak, chodzi o ten sam dokument, który 8 lutego opublikował kanał Ludazhor – ten, który miał pochodzić z maila Karola Kotowicza.

Fake news rozszedł się zarówno na Telegramie, jak i na platformie VK czy portalu blogowym livejournal.com, bardzo popularnej na Wschodzie. Na Telegramie rozpowszechniały ją (powołując się na Kanał A) m.in. kanały: Zheltye Slivy i Nevolf. Warto zapamiętać te nazwy, bo będą się powtarzać.

Kanał Zheltye Slivy prowadzony jest przez białoruskiego, prołukaszenkowskiego dziennikarza Aleksandra Bieńko, zatrudnionego w oficjalnej białoruskiej gazecie „Bialorus Siegodnia” i współpracującego przy wydawaniu gazety administracji Łukaszenki. Kanał Nevolf to kolejny kanał prołukaszenkowski. Zasłynął udostępnieniem na początku maja video, nagranego przez białoruskich funkcjonariuszy służb bezpieczeństwa.

Jeśli macie dość komplikacji, powiązań, kanałów i wpisów – warto na tym etapie zapamiętać tylko dwie rzeczy:

• Już na pierwszym etapie całej operacji do rozpowszechniania informacji, pochodzących z wycieku z okolic polskiego rządu, użyto kilku różnych kanałów na Telegramie, przede wszystkim białoruskich, a do dalszego ich rozpowszechniania włączono kolejne kanały, blogi i portale, także rosyjskie.
• Niespójność między publikowanymi dokumentami pozwala przypuszczać, że dysponował nimi ktoś jeszcze, poza autorami analizowanych wpisów i artykułów, i to właśnie on przekazywał materiały autorom.

#DworczykLeaks

Do początku czerwca operacja znowu zwalnia. Kanał A publikuje w maju tylko dwa dokumenty. Ale 4 czerwca rusza kanał, o którym wszyscy już chyba słyszeli – nazwijmy go Kanałem B, który od początku informuje, że publikuje materiały pochodzące ze skrzynki mailowej ministra Dworczyka.

Ciekawe, że rusza dokładnie dzień po tym, jak szefowie służb białoruskich i rosyjskich, a dokładniej Komitetu Bezpieczeństwa Państwowego (KGB) Białorusi i Służby Wywiadu Zagranicznego Rosji (SWR) wydają komunikat, że „porozumieli się w sprawie prowadzenia wspólnych działań, mających na celu przeciwdziałanie destrukcyjnej działalności Zachodu, mającej na celu destabilizację sytuacji politycznej oraz społeczno-ekonomicznej na terenie państwa związkowego” (czyli Białorusi i Rosji).

Współpraca służb między Białorusią a Rosją staje się oficjalna.

Na Kanale B 8 czerwca pojawia się najszerszy wybór opisywanych wcześniej dokumentów płk. Krzysztofa Gaja. Tego samego dnia rusza też akcja informowania polskich mediów i polityków o tym, że kanał jest i działa.

Nieustalona dotąd osoba wchodzi na konto żony Michała Dworczyka na Facebooku, tam zamieszcza informację o zhakowaniu maila Dworczyka i załącza link do Telegramu. Podobną informację z tym samym linkiem udostępniono kilkadziesiąt razy na Twitterze, pod tweetami mediów i polityków.

Użyto do tego celu innego zhakowanego konta, należącego do Katarzyny K. - osoby prywatnej, która w 2020 roku była pracownikiem jednego z polskich think tanków, zajmujących się polityką międzynarodową, a kilka lat wcześniej odbywała staż w dwóch polskich ministerstwach.

Wykorzystano konta posłanki PiS

Ale najciekawsze jest pierwsze konto, na którym opublikowano link do Telegramu oraz do wpisu na koncie żony Michała Dworczyka. Ten post szybko zniknął, jednak zachowały się jego ślady w narzędziach do monitoringu mediów społecznościowych.

Użyto konta należącego do posłanki PiS Ewy Szymańskiej. To ważny ślad, ponieważ osiem dni później, 16 czerwca, na Telegramie rozpowszechniano kolejnego fake newsa, z kolejnymi sfabrykowanymi „krytycznymi głosami” polskich polityków na temat finansowania przez rząd Morawieckiego białoruskiej opozycji.

Dezinformacja była bardzo podobna do tej z ostatnich dni kwietnia – znów były fabrykowane wpisy na kontach w mediach społecznościowych, a potem dorobiona do nich notatka. I tu jednym z wykorzystanych kont było ponownie konto posłanki Ewy Szymańskiej – tym razem z platformy Instagram.

Zaś do upublicznienia fake newsa użyto nieznanego dotychczas kanału „Як Мае Быць”. Czyli: osoby mające dostęp do konta posłanki Szymańskiej 8 czerwca rozpowszechniały informację o wycieku maili Dworczyka na Kanale B, a 16 czerwca szerzyły dezinformację, która była rozpowszechniana przez zupełnie inny kanał.

Ten szczegół znów pozwala nam zaobserwować, że mamy do czynienia nie z jedną osobą, która dostała się do skrzynki ministra Dworczyka, lecz z całą siatką współpracujących ze sobą cyberprzestępców, blogerów, mediów, którzy w sposób bardzo zróżnicowany szerzą treści uderzające w Polskę, przekazywane im prawdopodobnie przez kogoś koordynującego tę akcję.

Przełamany monopol

Konto Ewy Szymańskiej dotychczas było jedynym twardym powiązaniem (jeśli chodzi o dane dostępne publicznie) między Kanałem B, publikującym treści z maila Dworczyka, a resztą siatki. To jednak zmieniło się 6 lipca.

Tego dnia Kanał A po raz pierwszy opublikował screeny maili ze skrzynki pocztowej ministra Dworczyka – do tej pory monopol miał na nie Kanał B. Są to screeny, które na Kanale B nigdy się nie ukazały. Kolejny raz widać, że materiałami dysponuje ktoś inny – ktoś, kto rozdziela je różnym kanałom informacji według sobie tylko wiadomego klucza. Wszystko wskazuje na to, że tajemnicze ktosie to agenci białoruskich lub rosyjskich służb.

Skąd ta zmiana? Dotychczasowa aktywność obu kanałów pokazuje, że Kanał A jest wykorzystywany do użytku wewnętrznego (czyli na Białorusi, ewentualnie w Rosji), a Kanał B ma oddziaływać na Polskę (i zapewne jej zachodnich sojuszników).

Opublikowane 6 lipca maile odkrywają nieoficjalne ustalenia dotyczące wsparcia polskich polityków dla białoruskiej opozycji. To nie jest temat, który w Polsce i na Zachodzie kogokolwiek by poruszał – to wsparcie jest bowiem oczywiste. Natomiast na Białorusi od miesięcy budowany jest przekaz o tym, że protesty po wyborach prezydenckich w sierpniu 2020 roku inspirował i organizował Zachód, a nie Białorusini.

Pokazane maile pochodzą z gorącego okresu – to dni między 19 a 22 sierpnia 2020 r., świeżo po białoruskich wyborach, w trakcie trwania największych protestów. Dotyczą:

• ustaleń na temat spotkania premiera Morawieckiego ze Stepianem Putiło, prowadzącym białoruski opozycyjny kanał Nexta, informujący o protestach,
• rozmów Michała Dworczyka z politykami Koalicji Obywatelskiej w celu zbudowania „ponadpartyjnego zaplecza” dla działań rządu na rzecz białoruskiej opozycji,
• ustaleń, z jakim podmiotem będzie współpracować polski rząd, by wspierać Białorusinów – wskazano Fundację Białoruski Dom.

Screeny na użytek białoruskiej polityki

Takie treści to dla środowiska prołukaszenkowskiego znakomity dowód na to, że za protestami stały polskie władze, a sytuacja na Białorusi nie wynikała z buntu obywateli białoruskich, lecz została wywołana przez sąsiednie państwa – w tym przypadku przez Polskę.

Prawdopodobnie dlatego screeny pojawiły się na Kanale A. I oczywiście zostały dalej rozpowszechnione – do wieczora 6 lipca ten wpis został udostępniony na dziesięciu innych kanałach, w tym wszystkich dotychczas opisywanych – poza Belvpo.

Ale tu sytuacja jest jeszcze ciekawsza – otóż Belvpo opublikowało tę samą notatkę co Kanał A jako własną, nie powołując się na żadne inne źródło. Tyle że tym razem na platformie Yandex Zen, a nie na Telegramie. I zrobiło to mniej więcej w tym samym czasie co Kanał A. Zupełnie tak, jakby ten sam materiał dostały jednocześnie dwa źródła.

Jak widać, mamy do czynienia z rozległą siatką wielu kanałów informacji, działających na różnych platformach, wspierających Aleksandra Łukaszenkę, wykorzystujących materiały z nieuprawnionego dostępu do skrzynek mailowych w Polsce, być może do nieznanych dziś innych nośników informacji, zawierających dokumenty polskiego rządu, oraz do kont w mediach społecznościowych.

Tymi materiałami dysponuje nie jeden kanał, z którego informacje rozchodzą się dalej, nie dwa kanały, lecz prawdopodobnie ktoś stojący nad nimi, blisko administracji Łukaszenki i białoruskich służb. Wszystko wskazuje, że są to białoruscy lub rosyjscy agenci. To oni dziś decydują, co wypłynie i kiedy, w którym miejscu, do kogo będzie adresowana nowa informacja.

Po kilku miesiącach trwania operacji, po miesiącu od ujawnienia wycieku ze skrzynki mailowej ministra, nikt z polskich władz nie ma wpływu na to, co zostanie ujawnione w sieci.