Cyberatak na ePUAP. Skrzynki nie działają, sprawą zajmuje się ABW

👁 118 przeczytań

We wtorek 10 listopada, tuż przed 21:00, wicepremier i minister cyfryzacji Krzysztof Gawkowski napisał na X, że „wykryty i zatrzymany został cyberatak na państwowy system ePUAP”. Godzinę później na stronie epuap.gov.pl wisiał baner: skrzynki ePUAP są niedostępne zarówno dla obywateli, jak i dla urzędów. Do sprawy włączono ABW. Ministerstwo nie podało, kto zaatakował, jak, ani kiedy system wróci do pełnej sprawności.

Poniżej rozdzielam to, co zostało potwierdzone oficjalnie, od tego, czego na razie nie wie nikt poza zespołami, które gaszą pożar. Na końcu praktyczna część: co zrobić z pismem i terminem oraz jak nie dać się złapać oszustom, którzy przy każdej takiej awarii ruszają z fałszywymi SMS-ami.

Wieczór krok po kroku

• Ok. 21:00 - wpis Krzysztofa Gawkowskiego na X o wykrytym i zatrzymanym ataku. Minister pisze, że zespoły odpowiedzialne za bezpieczeństwo systemu „podjęły natychmiastowe działania”, żeby utrzymać jego stabilność, i że trwają prace techniczne nad przywróceniem pełnej funkcjonalności (godzinę wpisu podaje CyberDefence24).
• 21:13 - Polsat News opisuje sprawę i zwraca uwagę na zgłoszenia w serwisie Downdetector, które wskazywały na możliwe problemy z domeną używaną do logowania.
• 21:38 - informację podaje Onet za PAP.
• 22:09 - CyberDefence24 cytuje komunikat z portalu ePUAP o niedostępnych skrzynkach.
• 22:17 - depesza PAP: według resortu chodziło o próbę zakłócenia pracy systemu.
• 23:19 - sprawdziłem stronę epuap.gov.pl. Baner nadal wisi: „Ze względu na trwające prace serwisowe skrzynki ePUAP są obecnie niedostępne dla obywateli i urzędów”.

Co wiadomo oficjalnie

Oficjalne źródła są do tej chwili dwa: wpis ministra i baner na stronie ePUAP. Z nich wynika pięć rzeczy:

• atak był, został wykryty i - jak pisze minister - zatrzymany;
• skrzynki ePUAP nie działają ani dla obywateli, ani dla urzędów;
• trwają prace nad przywróceniem pełnej funkcjonalności, bez podanej godziny;
• według ministra „infrastruktura Centralnego Ośrodka Informatyki jest bezpieczna”, a COI to instytucja, która utrzymuje ePUAP i wiele innych systemów państwa;
• w wyjaśnianie incydentu włączono Agencję Bezpieczeństwa Wewnętrznego, zgodnie z procedurami. Gawkowski zapowiedział, że o ustaleniach resort będzie informował na bieżąco.

Na stronie Ministerstwa Cyfryzacji do 23:15 nie było osobnego komunikatu o ePUAP. Nie znalazłem też ostrzeżenia CERT Polska ani CSIRT NASK dotyczącego tego zdarzenia.

Czego nie wiadomo

Lista jest dłuższa niż ta powyżej i warto ją znać, zanim przeczyta się w sieci gotowe teorie.

• Rodzaj ataku. Minister nie napisał, czy chodziło o zalanie serwerów ruchem (DDoS), czy o próbę włamania. Od tego zależy, czy w ogóle jest sens pytać o dane.
• Dane użytkowników. Nie ma ani informacji o wycieku, ani zapewnienia, że go nie było. Zdanie o bezpiecznej infrastrukturze COI to nie to samo co zapewnienie, że nic nie wyszło z samego ePUAP.
• Sprawca. Do późnego wieczora nikt nie przyznał się publicznie do ataku, a władze nikogo nie wskazały. Nie będę tu zgadywać.
• Termin naprawy. Brak.
• Profil zaufany, login.gov.pl i mObywatel. Oficjalnie nikt nie powiedział, czy atak ich dotknął. O 23:19 strony pz.gov.pl, login.gov.pl i mobywatel.gov.pl odpowiadały normalnie, ale to tylko sprawdzenie, czy serwer odpowiada, a nie test logowania i podpisywania pism.

Przy niemal każdym ataku pada dziś pytanie o sztuczną inteligencję po stronie napastników albo obrońców. Tym razem w żadnym źródle nie ma o niej ani słowa, więc i ja nic tu nie dopisuję.

Jak bardzo to boli? Mniej niż jeszcze rok temu

Dla zwykłego obywatela ePUAP nie jest już główną drogą do urzędu. Od początku 2026 roku pisma elektroniczne obywatele i firmy wysyłają do administracji przez e-Doręczenia, a ePUAP został w wybranych sprawach, m.in. w korespondencji między urzędami i z sądami administracyjnymi (przypomina o tym CyberDefence24). Strona e-Doręczeń o 23:19 odpowiadała normalnie.

Problem w tym, że wiele osób nadal ma w ePUAP stare pisma i korzysta z niego z przyzwyczajenia, a urzędy, które nie przeszły w pełni na e-Doręczenia, mogą mieć kłopot z obiegiem dokumentów. Na początku lutego ponad połowa zobowiązanych podmiotów publicznych nie miała jeszcze adresu do doręczeń elektronicznych.

Musisz dziś lub jutro coś złożyć? Co zrobić

• Sprawdź, czy sprawy nie da się wysłać przez e-Doręczenia. To dziś podstawowa droga elektroniczna do urzędu. Jeśli masz skrzynkę do e-Doręczeń, użyj jej.
• Termin w postępowaniu administracyjnym możesz zachować tradycyjnie. Kodeks postępowania administracyjnego uznaje termin za zachowany, jeśli pismo zostało nadane przed jego upływem w placówce pocztowej operatora wyznaczonego (Poczty Polskiej) albo złożone osobiście w urzędzie. Ostatniego dnia terminu poczta jest bezpieczniejsza niż czekanie na naprawę systemu.
• Zrób zrzut ekranu z komunikatem o awarii, z datą i godziną. Jeśli mimo wszystko spóźnisz się bez własnej winy, kpa pozwala prosić o przywrócenie terminu. Wniosek składa się w ciągu 7 dni od ustania przyczyny, razem z czynnością, której nie udało się dokonać. Zrzut to dowód, że przyczyna była.
• Sprawy podatkowe, ZUS i inne serwisy z własnym logowaniem to osobne serwisy. Jeśli logujesz się tam profilem zaufanym albo przez login.gov.pl i wszystko przechodzi, nic nie stoi na przeszkodzie, żeby sprawę załatwić.
• W pilnej sprawie zadzwoń do urzędu. Urzędnik też nie widzi teraz skrzynki ePUAP i może wskazać inną drogę.

Wszystkie drogi zapasowe i to, jak udokumentować awarię, rozpisałem osobno: ePUAP lub profil zaufany nie działa? Jak załatwić sprawę w terminie.

Uwaga na SMS-y i maile „z ePUAP”

Każda głośna awaria państwowego systemu to prezent dla oszustów. Schemat jest zawsze ten sam: wiadomość, że „Twoje konto ePUAP zostało zablokowane po ataku”, „musisz potwierdzić profil zaufany” albo „odebrać pismo”, i link do strony łudząco podobnej do rządowej. Tam wpisujesz login do banku albo dane karty.

• Nie klikaj w linki z takich SMS-ów i maili. Na ePUAP, profil zaufany czy login.gov.pl wchodź, wpisując adres ręcznie: epuap.gov.pl, pz.gov.pl, login.gov.pl, gov.pl.
• Patrz na adres strony, a nie na jej wygląd. Podróbki gov.pl mają adresy typu „gov-pl-weryfikacja” albo „epuap-login” na obcych domenach.
• Profil zaufany potwierdzasz przez bank albo w punkcie potwierdzającym. Nikt nie każe go „odblokować” przez link w SMS-ie.
• Podejrzany SMS przekaż na numer 8080 - to bezpłatna skrzynka CERT Polska. Podejrzaną stronę albo mail zgłoś na incydent.cert.pl. Więcej sygnałów ostrzegawczych w tekście Fałszywy SMS albo mail o ePUAP. Jak rozpoznać oszustwo po ataku.
• Jeśli już kliknąłeś i coś wpisałeś, od razu zadzwoń do banku, zmień hasła, a w aplikacji mObywatel rozważ zastrzeżenie numeru PESEL. To blokuje wzięcie kredytu na Twoje dane.

Czy moje dane z ePUAP są bezpieczne?

Uczciwa odpowiedź na wtorkowy wieczór: nie wiadomo, bo nikt tego nie ogłosił w żadną stronę. Jeśli resort albo CERT potwierdzą, że dane wyciekły, administrator ma obowiązek poinformować osoby, których to dotyczy. Do tego czasu rozsądne minimum to czujność na podejrzane wiadomości i, jeśli jeszcze tego nie zrobiłeś, zastrzeżony PESEL. Zastrzeżenie w mObywatelu zajmuje minutę i nie przeszkadza w codziennych sprawach, bo przed wizytą w banku można je czasowo cofnąć.

To nie pierwszy kłopot ePUAP w ostatnich tygodniach. W połowie października użytkownicy mieli przejściowe problemy z przedłużaniem profilu zaufanego. A we wrześniu sam Gawkowski mówił, że Polska jest najbardziej atakowanym cybernetycznie państwem w Europie, z kilkoma tysiącami ataków dziennie.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Źródła

• Wpis Krzysztofa Gawkowskiego na X, 10.11.2026, ok. 21:00 (osadzony w tekście CyberDefence24).
• Komunikat na stronie epuap.gov.pl, stan na 10.11.2026, 23:19.
• CyberDefence24, 10.11.2026, 22:09.
• Polsat News, 10.11.2026, 21:13.
• Onet / PAP, 10.11.2026, 21:38; depesza PAP w Radiu PiK, 22:17.
• RMF24 i TVP Info, 10.11.2026.
• Interia, 10.11.2026.