Autor: Wojciech Ciemski

Wprowadzenie do problemu / definicja luki

Europol opublikował stanowisko w sprawie caller ID spoofing – manipulowania prezentacją numeru dzwoniącego, zwykle z użyciem VoIP lub dedykowanych aplikacji, aby połączenie wyglądało na zaufane (bank, urząd, policja). Według dokumentu zjawisko to jest dziś jednym z głównych motorów oszustw finansowych i inżynierii społecznej w Europie. Europol szacuje globalne straty na ok. 850 mln EUR rocznie, a połączenia głosowe i SMS stanowią ok. 64% zgłoszonych przypadków nadużyć.

W skrócie

• Skala: sieci telefoniczne w Europie są zalewane podszytymi połączeniami; w skrajnych okresach w Finlandii nawet 90% połączeń przychodzących z zagranicy było oszustwami.
• Problem śledczo-prawny: podszywanie jest łatwe, a dochodzenia – trudne; brakuje spójnych standardów technicznych i ram prawnych dla traceback.
• Rozwiązania: Europol wzywa do ujednolicenia standardów, międzynarodowego systemu traceback, odróżniania legalnego od nielegalnego spoofingu oraz lepszej współpracy operatorów, regulatorów i LEA.
• Nie tylko głos: równolegle ewoluuje smishing i nadużycia SIM/KYC/KYT – potrzebna szersza higiena tożsamości w telekomunikacji.

Kontekst / historia / powiązania

Help Net Security opisuje, że caller ID spoofing stał się trwałym ułatwiaczem cyberoszustw w Europie – od Vishingu i “tech support scams” po swatting – przy czym śledztwa komplikują transgraniczność i tzw. “spoofing-as-a-service”.

Finlandia uchodzi za pioniera: po wdrożeniu krajowych środków regulacyjnych i filtracji, wolumen nadużyć znacząco spadł; krajowy regulator Traficom wdrożył obowiązki dla operatorów i rekomendacje wykrywania/wycinania spoofingu.

Analiza techniczna / szczegóły luki

Jak działa spoofing?
Atakujący modyfikuje nagłówki sygnalizacji (SIP/SS7) tak, aby prezentowany CLI/ANI wyglądał wiarygodnie. Często używa trasowania przez wiele dostawców VoIP, aby utrudnić traceback. Celem jest wiarygodność przez pierwsze sekundy rozmowy – wystarczająco, by skłonić ofiarę do ujawnienia danych lub wykonania przelewu.

Kluczowe wektory i typowe MO:

• Podszywanie pod banki, urzędy, policję – socjotechnika + natychmiastowe żądania płatności/OTP.
• “Tech support scams” – rzekome wsparcie IT, wymuszanie zdalnego dostępu/płatności;
• “Swatting” – fałszywe zgłoszenia alarmowe z CLI ofiary.

Warstwa obrony – przegląd:

• Listy DNO/DNC, nieprzydzielone numery, blacklisty, wykrywanie zniekształceń numeracji – szybkie filtry hurtowe w sieci operatora.
• Weryfikacja międzyoperatorska “home network check” dla połączeń przychodzących z zagranicy na numery krajowe; fiński model blokuje połączenia z numerem krajowym, jeśli nie da się potwierdzić ich legalności.
• Usługi branżowe typu GSMA Call Check – chmurowe sprawdzanie CLI (spoofing, nieprawidłowe połączenia międzynarodowe) na potrzeby operatorów.
• STIR/SHAKEN – ramy uwierzytelniania połączeń wykorzystywane szeroko w Ameryce Północnej; w Europie ich implementacja bywa ograniczona przez lokalne przepisy i prywatność.

Praktyczne konsekwencje / ryzyko

• Dla biznesu: zakłócenia działania call-center, ryzyko reputacyjne (podszywanie się pod markę), straty finansowe wskutek przejętych procesów (np. fałszywe polecenia przelewów).
• Dla obywateli: zaufanie do połączeń głosowych/SMS gwałtownie maleje; rośnie “fatigue” użytkowników i tolerancja na ignorowanie realnych ostrzeżeń z banku/urzędu.
• Dla operatorów: presja regulacyjna i wymogi KYC/KYT w łańcuchu hurtowego routingu; obowiązek filtracji transgranicznej i współpracy śledczej.

Rekomendacje operacyjne / co zrobić teraz

Dla operatorów telekomunikacyjnych (MNO/MVNO/VoIP):

1. Wdrożyć filtrację “layered”: DNO/DNC, listy nieprzydzielonych numerów, detekcja nieprawidłowej numeracji; monitorować anomalie ruchu (czas, kierunki, częstotliwości).
2. Zweryfikować połączenia z numerem krajowym pochodzące z zagranicy (home-network/proxy validation) – jeśli brak weryfikacji, rozłączać lub kierować na urządzenie sygnalizacyjne.
3. Skorzystać z branżowych usług anty-fraud (np. GSMA Call Check) i uzgodnić standardowe interfejsy API do wymiany danych.
4. Przygotować się na żądania traceback – zdefiniować SLA, punkty kontaktowe 24/7, ścieżki prawne udostępniania danych.

Dla regulatorów/LEA:

1. Ujednolić ramy prawne dla traceback: kto może wnioskować, jakie dane można udostępniać i komu; wprowadzić mechanizmy egzekucyjne.
2. Zdefiniować legalny vs. nielegalny spoofing (np. PBX, call-back, numery korporacyjne) oraz nałożyć obowiązki weryfikacyjne na dostawców.
3. Wspierać PPP i współdzielenie informacji (operatorzy, dostawcy, organy ścigania) zamiast żmudnego MLAT – w UE można bazować na EIO.

Dla organizacji (CISO/IT/Bezpieczeństwo):

• “Never trust the caller ID”: polityka “call-back przez oficjalny numer” dla banków, dostawców i urzędów.
• Playbook w SOC/CSIRT: szablony komunikatów do klientów, procedura zgłaszania brand spoofingu operatorowi/regulatorowi.
• Weryfikacja transakcji wysokiego ryzyka kanałem niezależnym (MFA na aplikację, nie SMS), anty-smishing w MDM, szkolenia pracowników.

Dla użytkowników:

• Nie podawaj danych przez telefon z inicjatywy rozmówcy; rozłącz się i oddzwoń na numer z oficjalnej strony.
• Zgłaszaj nadużycia do banku/operatora; włącz filtry anty-spamowe i blokadę połączeń.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

STIR/SHAKEN vs. europejskie podejście “toolbox + weryfikacja krajowa”

• STIR/SHAKEN (USA/Kanada) zapewnia kryptograficzne uwierzytelnienie tożsamości numeru w łańcuchu SIP; w praktyce ograniczają je jednak kwestie zaufania do wystawców certyfikatów, brak KYC u części dostawców i “wycieki” przez bramy międzynarodowe.
• UE – Europol rekomenduje neutralny, międzynarodowy traceback, weryfikację połączeń z numerem krajowym przychodzących z zagranicy i vendor-neutralny zestaw narzędzi (DNO/DNC/blacklisty/anomalie); nie narzuca jednego frameworka (np. STIR/SHAKEN) ze względu na różnice prawne i prywatnościowe.
• GSMA Call Check uzupełnia oba światy jako usługowy element weryfikacji CLI, który operatorzy mogą łatwo zintegrować.

Podsumowanie / kluczowe wnioski

• Caller ID spoofing jest dziś kluczowym enablerem oszustw w Europie; bez skoordynowanych działań technicznych i regulacyjnych skala problemu będzie rosnąć.
• Sprawdzone na produkcji są warstwowe filtry + walidacja połączeń z numerami krajowymi z zagranicy (model fiński).
• Europa potrzebuje wspólnych standardów i sprawnych ścieżek traceback, a organizacje – twardych procedur weryfikacji rozmów i edukacji użytkowników.

Źródła / bibliografia

1. Europol – Position Paper on Caller ID Spoofing (PDF).
2. Help Net Security – Europe’s phone networks are drowning in fake calls. (Help Net Security)
3. Traficom (Finlandia) – rekomendacje/regulacje dot. wykrywania i zapobiegania spoofingowi. (Kyberturvallisuuskeskus)
4. GSMA – Call Check (usługa weryfikacji CLI dla operatorów). (gsma.com)
5. FCC – Combating Spoofed Robocalls with Caller ID Authentication (STIR/SHAKEN). (fcc.gov)

Wprowadzenie do problemu / definicja luki

NHS Lothian (Szkocja) poinformował, że w wyniku wewnętrznego nadużycia uprawnień doszło do nieuprawnionego dostępu do danych medycznych ok. 100 pacjentów. Rutynowy audyt ujawnił incydent w Edinburgh Royal Infirmary; po dochodzeniu wewnętrznym Police Scotland potwierdziła postawienie zarzutów kobiecie podejrzanej o dostęp do rekordów bez podstawy służbowej. Poszkodowani otrzymali listy z informacją o naruszeniu; zgłoszenia trafiły do Information Commissioner’s Office (ICO). Zdarzenie zgłoszono policji 16 września 2025 r., a o zarzutach poinformowano 31 października 2025 r..

W skrócie

• Skala: ~100 rekordów pacjentów.
• Wektor: dostęp wewnętrzny (insider), „kompletnie nieodpowiedni interes osobisty” – jak wskazano w korespondencji do pacjentów.
• Status prawny: kobiecie postawiono zarzuty; sprawę przekazano do Procurator Fiscal (prokuratura w Szkocji).
• Zgodność/zgłoszenia: powiadomiono ICO oraz policję; pacjenci otrzymali listy.
• Potencjalna kwalifikacja: przestępstwo z Section 170 Data Protection Act 2018 (unlawful obtaining/disclosure of personal data).

Kontekst / historia / powiązania

Naruszenia z udziałem personelu medycznego nie są incydentami odosobnionymi. ICO w 2023 r. informowało o skazaniu byłej sekretarki NHS za nielegalny dostęp do >150 rekordów – precedens potwierdzający, że indywidualni pracownicy mogą ponosić odpowiedzialność karną za „snooping”.
Serwisy branżowe również akcentują wątek insider threat w NHS Lothian; DataBreaches.net zebrało doniesienia prasowe i wyjaśniło rolę prokuratora (Procurator Fiscal) w szkockim systemie.

Analiza techniczna / szczegóły luki

Na podstawie dostępnych informacji incydent ma charakter niewłaściwego użycia legalnego konta (misuse of legitimate access), a nie włamania z zewnątrz. Kluczowe elementy łańcucha zdarzeń:

1. Wykrycie przez monitoring/audyt – rutynowa kontrola logowań do EHR wskazała dostęp do kart pacjentów bez uzasadnienia klinicznego.
2. Identyfikacja osoby i izolacja – wskazano, że to działanie pojedynczej osoby; sprawczyni nie jest już zatrudniona w NHS Lothian.
3. Zawiadomienia i ścieżka prawna – NHS zawiadomił ICO i policję, a Policja Szkocji potwierdziła przyjęcie zgłoszenia 16.09.2025 r. i skierowanie sprawy do prokuratury.

Z perspektywy zgodności, takie zachowanie wpisuje się w Section 170 DPA 2018: bezprawne pozyskanie/ujawnienie/retencja danych. Przepis przewiduje m.in. obrony ustawowe (np. interes publiczny lub wykrywanie przestępstw), które w tej sprawie – sądząc z narracji organów – wydają się niezastosowane.

Praktyczne konsekwencje / ryzyko

• Ryzyko dla prywatności pacjentów: ujawnienie wrażliwych danych zdrowotnych (special category data) może skutkować stygmatyzacją, szkodą emocjonalną lub nadużyciem informacji w relacjach osobistych.
• Ryzyko wtórne: choć nie ma sygnałów o dalszym wycieku na zewnątrz, każde nieuprawnione odczytanie w EHR stanowi naruszenie poufności i może wymagać oceny ryzyka oraz – jeśli uzasadnione – notyfikacji pacjentów (co nastąpiło).
• Ryzyko regulacyjne/karne: pracownikom grożą działania karne z DPA 2018; organizacji – działania nadzorcze ICO i obowiązki wg wytycznych dot. zgłaszania naruszeń w ochronie zdrowia.

Rekomendacje operacyjne / co zrobić teraz

Dla jednostek ochrony zdrowia:

1. Wzmocnić monitoring „break-glass” i anomalii dostępu do EHR (reguły: dostęp do list rodzinnych/znajomych, celebrytów, częste otwieranie rekordów spoza listy opieki, dostęp poza godzinami).
2. Just-in-time access & reautoryzacja – wymagać potwierdzenia celu przy wglądzie do rekordów poza listą przypisanych pacjentów.
3. Regularne audyty i raporty „snooping score” dla kierowników klinicznych; szybkie przeglądy outlierów.
4. Szkolenia scenariuszowe: odpowiedzialność karna z Section 170 DPA 2018 + przypomnienie o Common Law Duty of Confidentiality.
5. Procedury notyfikacyjne zgodne z wytycznymi dla sektora zdrowia (ocena ryzyka, 72h do organu – gdy wymagane, transparentna komunikacja do pacjentów).

Dla zespołów bezpieczeństwa/IT:

• RBAC & least privilege: systematyczny przegląd ról, usuwanie zbędnych uprawnień.
• DLP w kontekście EHR: alerty przy eksportach/drukowaniu, ograniczenia zrzutów ekranu.
• Automaty „peer access check”: blokada lub eskalacja, gdy użytkownik otwiera rekord osoby o tym samym nazwisku/adresie (sygnał potencjalnych powiązań).
• Szybkie wyłączanie kont po odejściu pracownika (incident wskazuje, że osoba „już nie pracuje” – polityka offboardingu musi być natychmiastowa).

Dla pacjentów (poszkodowanych):

• Zachować korespondencję od NHS Lothian i – w razie potrzeby – skontaktować się z infolinią/ICO, jeżeli zauważalne są skutki naruszenia (np. dalsze ujawnienia).

Różnice / porównania z innymi przypadkami

ICO wcześniej ścigał podobne incydenty „ciekawskiego wglądu” (tzw. snooping) – np. sprawa byłej sekretarki NHS, która uzyskała dostęp do >150 rekordów. To potwierdza, że prokuratura/ICO nie ogranicza się do kar administracyjnych dla organizacji, ale pociąga do odpowiedzialności karnej osoby fizyczne. W obecnej sprawie ścieżka jest szkocka (Procurator Fiscal), lecz podstawy prawne (DPA 2018 s.170) są wspólne.

Podsumowanie / kluczowe wnioski

• Incydent w NHS Lothian to klasyczny przykład insider threat w ochronie zdrowia: legalne konto, nielegalny cel.
• Wczesne wykrycie przez audyt logów i sprawne zgłoszenia (policja, ICO, pacjenci) ograniczyły eskalację.
• Jednostki medyczne powinny systemowo przeciwdziałać „snoopingowi”: anomalia dostępu + edukacja + jasne konsekwencje z DPA 2018.

Źródła / bibliografia

1. STV News: „Woman charged after around 100 patient records accessed in data breach”, 31.10.2025. (STV News)
2. PA News (Inverness Courier): „Woman charged after NHS patients’ records accessed in data breach”, 31.10.2025. (Inverness Courier)
3. DataBreaches.net: „UK: Woman charged after NHS patients’ records accessed in data breach”, 01.11.2025. (DataBreaches.Net)
4. UK Legislation: Data Protection Act 2018 – Section 170 (unlawful obtaining etc. of personal data). (Legislation.gov.uk)
5. ICO – „Former NHS secretary found guilty of illegally accessing medical records”, 17.11.2023 (tło orzecznicze). (Information Commissioner’s Office)