Atak typu ransomware na firmę EuroCert z 12 stycznia 2025 roku i wynikający z niego wyciek danych osobowych odbił się szerokim echem w świecie usług zaufania publicznego. Jako jeden z kluczowych dostawców podpisów kwalifikowanych i certyfikatów, EuroCert miał szczególny obowiązek chronić dane swoich klientów na najwyższym poziomie. W tym artykule przyjrzymy się, jak taki incydent może wpłynąć na korzystanie z podpisów kwalifikowanych oraz jakie znaczenie ma dla całego sektora usług zaufania (TSP – Trust Service Provider).
Podpisy kwalifikowane to fundament cyfrowego obiegu dokumentów w Polsce i Unii Europejskiej. Zgodnie z rozporządzeniem eIDAS są one traktowane na równi z podpisami własnoręcznymi. Umożliwiają bezpieczne zawieranie umów, podpisywanie dokumentów urzędowych czy korzystanie z platform przetargowych w formie elektronicznej. Dzięki odpowiednim zabezpieczeniom kryptograficznym gwarantują:
Wobec tak istotnych funkcji, każdy incydent, który dotyka dostawców usług zaufania, rodzi pytania o bezpieczeństwo i wiarygodność podpisów kwalifikowanych.
Według dostępnych informacji, EuroCert utrzymuje, że klucze prywatne potrzebne do składania podpisów kwalifikowanych nie zostały wykradzione. Incydent dotyczył przede wszystkim wycieku danych osobowych (PESEL, numery dowodów, hasła, dane kontaktowe). Systemy odpowiedzialne stricte za przechowywanie kluczy kryptograficznych i wydawanie certyfikatów miały pozostać nienaruszone. Oznacza to, że:
Jednocześnie należy pamiętać, że atak na infrastrukturę tak dużego dostawcy usług zaufania oznacza konieczność prowadzenia intensywnego audytu oraz dalszych analiz bezpieczeństwa, co w skrajnych przypadkach mogłoby prowadzić do unieważniania certyfikatów (gdyby pojawiły się nowe informacje o naruszeniu kluczy).
Rozporządzenie eIDAS (ang. Electronic Identification, Authentication and trust Services) nakłada na kwalifikowanych dostawców usług zaufania (TSP) obowiązek utrzymania rygorystycznych standardów bezpieczeństwa. Atak na EuroCert oznacza, że firma może podlegać teraz wnikliwym kontrolom ze strony organów nadzoru, co potencjalnie skutkuje:
W najgorszym wypadku, jeżeli organy kontrolne ustaliłyby poważne zaniedbania w zakresie bezpieczeństwa, fima może zostać zawieszona w świadczeniu usług kwalifikowanych. W praktyce oznaczałoby to konieczność szybkiego przeniesienia się klientów do innych dostawców w celu zachowania ciągłości działalności.
Chociaż sama infrastruktura podpisów kwalifikowanych nie ucierpiała, wyciek danych osobowych (m.in. numerów PESEL, dowodów tożsamości) może spowodować:
Z tego względu wszyscy korzystający z usług EuroCert powinni niezwłocznie zadbać o bezpieczeństwo swoich danych: zmienić hasła, włączyć uwierzytelnianie dwuskładnikowe w możliwie wielu usługach, a także zastrzec numer PESEL w aplikacji mObywatel.
Atak na dużego gracza, jakim jest EuroCert, wzbudził dyskusję w środowisku ekspertów ds. cyberbezpieczeństwa i dostawców usług zaufania. Możemy spodziewać się:
Według aktualnie posiadanych przez podpisano.pl informacji, podpisy EuroCert pozostają bezpieczne, a klucze prywatne nie zostały wykradzione. Niemniej, część użytkowników może chcieć zmienić dostawcę podpisu kwalifikowanego „na wszelki wypadek” – zwłaszcza jeśli nie czują się w pełni komfortowo po ostatnich wydarzeniach.
Z myślą o tych osobach w podpisano.pl przygotowaliśmy specjalną ofertę wymiany podpisów EuroCert na rozwiązania marki Certum:
Dzięki naszej ofercie:
Jeżeli chcesz dowiedzieć się więcej o ofercie wymiany, zapraszamy do bezpośredniego kontaktu poprzez podpisano.pl. Nasi eksperci doradzą Ci w doborze najlepszego rozwiązania i przeprowadzą przez proces migracji.
Bez względu na to, czy korzystasz z podpisów EuroCert, Certum czy innego dostawcy, istnieje kilka uniwersalnych zasad, które pomogą Ci chronić Twoje dane i certyfikaty:
Chcesz mieć pewność, że żadna istotna informacja o bezpieczeństwie podpisów kwalifikowanych Ci nie umknie? Regularnie odwiedzaj nasz portal podpisano.pl. Znajdziesz tam:
Wyciek danych osobowych z EuroCert miał przede wszystkim wpływ na szeroko rozumiane bezpieczeństwo klientów, a nie bezpośrednio na infrastrukturę podpisów kwalifikowanych. Mimo wszystko wydarzenie to rzuciło cień na cały sektor usług zaufania i wzbudziło dyskusję o skuteczności stosowanych środków ochrony. Rozporządzenie eIDAS nakłada na kwalifikowanych dostawców usług zaufania szczególne obowiązki w zakresie bezpieczeństwa – a ataki cyberprzestępców pokazują, że nawet najbardziej zaawansowane systemy można próbować przełamać.
Jeśli posiadasz podpis EuroCert, pamiętaj, że – według obecnej wiedzy – Twoje klucze prywatne są bezpieczne. Jeśli jednak obawiasz się o ciągłość usług i chcesz zminimalizować wszelkie możliwe ryzyko, podpisano.pl oferuje szybką i korzystną wymianę na podpisy Certum (SimplySign i Certum Mini). Skorzystaj z naszej oferty i ciesz się spokojem oraz wysokim poziomem bezpieczeństwa w codziennym obiegu dokumentów elektronicznych. Zapraszamy do kontaktu!
Jeśli masz jakiekolwiek wątpliwości lub pytania, skontaktuj się z nami
Odpowiemy na Twoje pytania, znajdziemy pasujący Ci termin oraz doradcę w Gdańsku, Gdyni, Krakowie, Warszawie lub Wrocławiu.
Możesz również napisać od nas emaila [email protected].
