W ciągu ostatnich dwóch lat zespół CERT Polska intensywnie pracował nad nowym projektem legislacyjnym mającym na celu zwalczanie zagrożeń cybernetycznych. Współpracując z Ministerstwem Cyfryzacji, Urzędem Komunikacji Elektronicznej oraz firmami z sektora telekomunikacyjnego, przygotował ustawę, która ma odciążyć użytkowników od ataków phishingowych, smishingowych oraz innych form oszustw internetowych.
Efektem tych starań jest ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Przepisy weszły w życie 24 września, choć nie wszystkie zapisy obowiązywały już od tego momentu.
Phishing
W walce z phishingiem zastosowano sprawdzone autorskie rozwiązanie CERT Polska, czyli Listę ostrzeżeń. Projekt ten, istniejący od 2020 roku, powstał dzięki współpracy Ministerstwa Cyfryzacji oraz kilku operatorów telekomunikacyjnych. Wpisanie listy do ustawy umożliwia również innym operatorom korzystanie z niej, co zwiększa ochronę przed złośliwymi domenami. Skargi dotyczące blokowania domen rozpatrywane są bezpośrednio przez Prezesa Urzędu Komunikacji Elektronicznej.
Smishing
CERT Polska tworzy i upublicznia wzorce wiadomości smishingowych, a operatorzy telekomunikacyjni są zobowiązani blokować wiadomości, które pasują do tych wzorców. Wzorce są oparte na wyrażeniach regularnych, a system działa od kwietnia 2024 roku. Podmioty publiczne mają obowiązek korzystania z rejestru nadpisów wiadomości SMS, co ma zapewnić bezpieczeństwo użytkowników.
Spoofing e-mail
Podmioty publiczne muszą stosować protokoły SPF, DMARC oraz DKIM. Każdy z nich odgrywa istotną rolę w weryfikacji autentyczności nadawcy, upewniając się, że otrzymywane wiadomości są rzeczywiście wysyłane z prawidłowej domeny. W obliczu ataków cyberprzestępców te mechanizmy działają jak tarcza.
Wdrożone regulacje obowiązują tylko sektor publiczny, jednak zachęca się również podmioty prywatne do korzystania z tych rozwiązań. Stworzono narzędzie bezpiecznapoczta.cert.pl, które ma wspierać tę inicjatywę.
CLI spoofing
Aby walczyć ze spoofingiem telefonicznym opracowano rozwiązanie mające na celu blokowanie połączeń lub usuwanie zmodyfikowanych etykiet dzwoniących. Lista numerów, z których nie można wykonywać połączeń, została uruchomiona od marca 2024 roku, a pełna walka z tym zjawiskiem ma się rozpocząć najpóźniej do września 2024 roku.
Wszystkie powyższe inicjatywy mają na celu zwiększenie bezpieczeństwa użytkowników w sieci poprzez utrudnienie cyberprzestępcom działania oraz ochronę danych osobowych przed nieuprawnionym dostępem. Oczekuje się, że nowe regulacje przyniosą wymierne efekty w ograniczeniu ataków internetowych.
Zobacz też:
