Komisja Cyfryzacji, Innowacyjności i Nowoczesnych Technologii, obradująca pod przewodnictwem posła Grzegorza Napieralskiego (KO), zastępcy przewodniczącego Komisji, zrealizowała następujący porządek dzienny:

– sprawozdanie prezesa Urzędu Komunikacji Elektronicznej z wykonywania swoich obowiązków i uprawnień określonych w ustawie z dnia 28 lipca 2023 r.  o zwalczaniu nadużyć w komunikacji elektronicznej.

W posiedzeniu udział wzięli: Przemysław Kuna prezes Urzędu Komunikacji Elektronicznej wraz ze współpracownikami, Grzegorz Barej ekspert Polskiej Izby Informatyki i Telekomunikacji, Joanna Karczewska członek Stowarzyszenia Absolwentów i Przyjaciół Politechniki Warszawskiej Elka PW oraz dr hab. Marta Grabowska kierownik Zespołu Społeczeństwa Cyfrowego i Informacji w Unii Europejskiej Centrum Europejskiego Uniwersytetu Warszawskiego.

W posiedzeniu udział wzięli pracownicy Kancelarii Sejmu: Magdalena Krzymowska i Jakub Konecki – z sekretariatu Komisji w Biurze Komisji Sejmowych.

Przewodniczący poseł Grzegorz Napieralski (KO):
Szanowni państwo, możemy już zaczynać. Otwieram posiedzenie Komisji Cyfryzacji, Innowacyjności i Nowoczesnych Technologii. Stwierdzam kworum.

Witam panie i panów posłów. Bardzo serdecznie witam pana Przemysława Kunę, prezesa Urzędu Komunikacji Elektronicznej, a także pana Jana Sołygę, zastępcę dyrektora Departamentu Bezpieczeństwa w UKE. Dziękuję za przybycie. Witam przedstawicieli strony społecznej – Polskiej Izby Informatyki i Telekomunikacji, Stowarzyszenia Elka PW oraz Centrum Europejskiego Uniwersytetu Warszawskiego.

Porządek posiedzenia przewiduje zapoznanie się ze sprawozdaniem prezesa UKE z wykonania swoich obowiązków i uprawnień określonych w ustawie z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. W myśl art. 33 tej ustawy co roku do 31 marca prezes UKE przedstawia Komisji sprawozdanie podsumowujące podejmowane w roku poprzednim działania będące realizacją zapisów ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.

Panie prezesie, oddaję panu głos. Bardzo proszę.

Prezes Urzędu Komunikacji Elektronicznej Przemysław Kuna:
Dzień dobry państwu. Dziękuję bardzo za udzielenie głosu. Przygotowałem krótkie streszczenie, które pokazywałoby najważniejsze elementy, które przedstawiliśmy w raporcie.

Z tego, co pamiętam, raport za zeszły rok, liczący 27 stron i w pełni opisujący nasze obowiązki oraz to, co wykonywaliśmy, został państwu przedłożony bodaj 26 marca. Oczywiście mamy kopie tego raportu, jeżeli ktoś by je chciał, natomiast wykonaliśmy krótkie streszczenie, na którym bym się oparł. Po przedstawieniu go jesteśmy oczywiście do państwa dyspozycji.

Szanowny panie przewodniczący, Wysoka Komisjo, drogie posłanki i posłowie oraz goście, jeżeli chodzi o raport dotyczący działalności prezesa UKE za poprzedni rok, miał on zdefiniowanych 11 głównych zadań, które wykonywaliśmy w zeszłym roku.

Przechodząc już do konkretnych liczb, chciałbym zacząć od smishingu. Jeżeli ktoś –  nie wiem – pierwszy raz spotyka się z tą nazwą, a w raporcie nazw jest dużo, to od razu tłumaczę. Krótka wiadomość tekstowa, która teoretycznie może być podejrzana o wyłudzanie danych albo jakieś nieuczciwości, oszustwa i tego typu rzeczy, potocznie albo nawet i niepotocznie nazywana jest smishingiem. W myśl ustawy z 2023 r. podlega to karaniu.

W 2025 r. odnotowaliśmy 295 169 zgłoszeń, które dotyczyły podejrzanych wiadomości SMS. Jako fałszywe zakwalifikowaliśmy 81 tys. tychże SMS-ów.

Na tej podstawie zespół reagowania na incydenty bezpieczeństwa komputerowego Naukowej i Akademickiej Sieci Komputerowej opracował i udostępnił przedsiębiorcom telekomunikacyjnym 790 wzorców wiadomości wykorzystywanych do automatycznego blokowania smishingu, co w zeszłym roku pozwoliło zablokować łącznie 1,88 mln fałszywych SMS-ów. Dane te potwierdzają, że system przeciwdziałania smishingowi działa efektywnie i pozwala na szybkie reagowanie na nowe kampanie związane z oszustwami.

Należy jednocześnie podkreślić, że przestępcy stale dostosowują swoje działania celem omijania zastosowanych zabezpieczeń, czego potwierdzeniem jest nie tylko wzrost liczby wprowadzonych przez CSIRT NASK wzorców w stosunku do 2024 r., ale również potrzeba stosowania coraz bardziej zaawansowanych narzędzi analitycznych i tworzenia wzorców w oparciu o algorytmy, które pozwalają na objęcie swoim zakresem większej liczby kampanii wyłudzających dane.

W tym miejscu należy zaznaczyć, że zgodnie z przepisami przedmiotowej ustawy wzorce fałszywych wiadomości SMS są upubliczniane na stronie CSIRT NASK w terminie od 14 do 21 dni,  co potencjalnie może ułatwić przestępcom szybszą adaptację do nowych warunków. Inaczej mówiąc, przestępcy po prostu zmieniają wzorce, zanim zostaną one opublikowane, więc dalej jest to poszerzane.

Należy również zwrócić uwagę na niskie zainteresowanie rejestracją nadpisów wiadomości SMS przez podmioty publiczne, które prowadzą kampanie informacyjne z wykorzystaniem wiadomości tekstowych. Na koniec 2025 r. zarejestrowanych było jedynie 325 takich działań. Nie korzystano również z postfiksu, jeśli chodzi o hashtag RP. Działania te pozwalałyby np. na wysyłanie SMS-ów przez przedsiębiorstwa państwowe albo na jakieś inne działalności, które pozwalają identyfikować te wiadomości jako prawdziwe i pochodzące od sprawdzonego nadawcy. To tyle na temat smishingu.

Drugą rzeczą, która wystąpiła w znacznej liczbie, jest ochrona przed CLI spoofingiem, czyli – mówiąc najbardziej potocznie – podmianą numeru abonenta, a więc przedstawianiem się innym numerem niż ten, z którego ktoś w rzeczywistości dzwoni.

Jeżeli chodzi o CLI spoofing, podstawowym narzędziem pozwalającym na ograniczenie tego nadużycia jest rozwiązanie organizacyjno-techniczne zwane bezpieczną zatoką, które w 2024 r. zostało wdrożone przez największych operatorów telekomunikacyjnych. Tak naprawdę była to umowa zawarta między prezesem UKE a czterema głównymi operatorami telekomunikacyjnymi. Natomiast dla pozostałych podmiotów sektora pan prezes Jacek Oko w tym samym roku wydał rekomendacje, które dotyczyły środków organizacyjnych i technicznych służących monitorowaniu, wykrywaniu oraz eliminowaniu CLI spoofingu, a także blokowaniu połączenia głosowego albo ukrywaniu identyfikacji numeru wywołującego dla użytkownika końcowego. Ogólnie wdrożenie rozwiązania ocenia się jako skuteczne i stabilne, co potwierdza również niewielka liczba zgłoszonych błędów.

W 2025 r. średnia liczba połączeń zablokowanych z ukrytą prezentacją numeru wynosiła około 5 mln tygodniowo. Niemniej pod koniec roku wartość ta wzrosła do 25 mln tygodniowo, co potwierdza dużą aktywność oszustów w okresie wzmożonej aktywności gospodarczej, np. przed świętami. Ponadto wysoka aktywność obserwowana była w dni robocze, gdy połączenia zablokowane stanowiły około 0,4% wszystkich połączeń realizowanych dziennie przez operatorów.

Jednym z elementów wspierających zwalczanie CLI spoofingu jest prowadzony w UKE rejestr numerów służących wyłącznie do odbierania połączeń głosowych, w którym na koniec 2025 r. zarejestrowanych było jedynie 65 numerów. Tak niskie zainteresowanie uprawnionych podmiotów sektora finansowego oraz sektora finansów publicznych powoduje, że w przestrzeni medialnej nadal pojawiają się informacje m.in. o podszyciu się pod numer infolinii banku i zmanipulowaniu klientów, którzy z tego tytułu utracili swoje środki finansowe.

Ochrona użytkowników internetu przed stronami wyłudzającymi dane lub doprowadzającymi do niekorzystnego rozporządzenia mieniem to jest trzeci punkt, nad którym chciałbym na chwilkę się pochylić.

W 2025 r. na listę ostrzeżeń wpisano 244 987 domen internetowych służących wyłudzeniom, przy jednoczesnym usunięciu z niej ze względu na błędną kwalifikację jedynie 643 domen. W tym przypadku – pomimo bardzo dużej liczby wpisów – do prezesa UKE wpłynęło jedynie 9 sprzeciwów, przy czym 1 sprzeciw uwzględniono, 1 nie został uwzględniony, a 7 nie spełniło wymagań formalnych, co wskazuje na wysoką skuteczność wprowadzonych mechanizmów. Inaczej mówiąc, ostrzeżenia otrzymało 245 tys. domen, z czego błędną kwalifikację przyznano 643 domenom, a uwzględniony był tak naprawdę 1 sprzeciw.

W zakresie pozostałych obowiązków prezesa UKE, jakie określono w ustawie, pragnę podkreślić, że w 2025 r. nie wystąpiły okoliczności, które zgodnie z art. 23 tejże ustawy wymagałyby wydania decyzji nakazującej przedsiębiorcy telekomunikacyjnemu zablokowanie dostępu do numeru lub usługi. Nie było konieczne podjęcie czynności kontrolnych w stosunku do podmiotów publicznych lub dostawców poczty elektronicznej w zakresie stosowania mechanizmów bezpieczeństwa poczty elektronicznej, co określa art. 24 ustawy. Nie doszło też do wszczęcia postępowania administracyjnego, które zmierzałoby do nałożenia na podmiot kary pieniężnej, na podstawie art. 27 tejże ustawy.

Podsumowując 2025 r., należy wskazać, że kluczowa w realizacji zadań ustawowych była ścisła współpraca z podmiotami sektora telekomunikacyjnego oraz innymi podmiotami zaangażowanymi w zwalczanie nadużyć w komunikacji elektronicznej. W szczególności chciałbym tu wymienić Naukową i Akademicką Sieć Komputerową – Państwowy Instytut Badawczy, Centralne Biuro Zwalczania Cyberprzestępczości oraz Komisję Nadzoru Finansowego.

Zaobserwowano zwiększoną aktywność w zakresie usług komunikacji interpersonalnej niewykorzystujących numerów, takich jak np. komunikatory, fora dyskusyjne i media społecznościowe, co dodatkowo przekonuje o skuteczności opracowanych i zaimplementowanych mechanizmów obronnych dla komunikacji numerowej. Wymagane byłoby zwiększenie motywacji uprawnionych podmiotów do rejestrowania numerów w jawnym wykazie numerów nieinicjujących połączeń, który jest prowadzony przez prezesa UKE. Poszerzanie ustawowego katalogu podmiotów, których wizerunek może zostać wykorzystany przez oszustów, ograniczałoby dodatkowe skutki wykorzystania numerów należących do podmiotów zaufania publicznego.

Szybko postępują zmiany technologiczne. Rośnie dostępność takich narzędzi jak algorytmy sztucznej inteligencji, wyspecjalizowane aplikacje oraz usługi w Internecie, m.in. smishing as a service, CLI spoofing as a service itp., które z założenia oferowane są jako narzędzia do wykorzystywania zarówno słabości standardów oraz protokołów stosowanych w komunikacji elektronicznej, jak i podatności ludzi na manipulację. To powoduje, że skuteczność funkcjonujących już rozwiązań z czasem może okazać się niewystarczająca.

Ostatnia analiza zgłoszeń skierowanych do prezesa UKE w 2025 r. oraz kontakty robocze z podmiotami zaangażowanymi w zwalczanie nadużyć w komunikacji elektronicznej wykazują, że stosowanie regulacji w praktyce nadal pozostaje na etapie kształtowania się jednolitych standardów interpretacyjnych. Brakuje ugruntowanego orzecznictwa sądów administracyjnych w zakresie stosowania ustawy, co może wpływać na sposób kwalifikowania określonych działań przez organy ścigania. W konsekwencji nadużycia, które mieszczą się w zakresie przedmiotowym ustawy, obecnie mogą być kwalifikowane w ramach postępowań karnych jako czyny zabronione na podstawie przepisów powszechnie obowiązujących.

Dwa krótkie słowa na temat 2026 r. Co będziemy chcieli kontynuować, a co wzmocnić?

W zakresie realizacji zadań określonych w przedmiotowej ustawie swój wysiłek w 2026 r. zamierzamy skupić na bieżącym monitorowaniu rozwiązań wdrożonych przez inne państwa, ze szczególnym uwzględnieniem krajów członkowskich Unii Europejskiej, w zakresie przeciwdziałania nadużyciom w komunikacji elektronicznej, które wykorzystują m.in. sztuczną inteligencję. Zamierzamy kontynuować współpracę i dalszą wymianę doświadczeń z przedsiębiorcami telekomunikacyjnymi, jak również z innymi organami, które są zaangażowane w działania mające na celu skuteczne zwalczanie nadużyć w komunikacji elektronicznej.

Planujemy przeprowadzenie cyklu warsztatów z podmiotami sektora telekomunikacyjnego. Będą one poświęcone analizie rozwiązań, jakie obecnie funkcjonują, pod kątem zagrożeń wynikających z nowych technologii, które są wykorzystywane przy nadużyciach w komunikacji elektronicznej. Ponadto chcemy dokonać przeglądów i potencjalnych aktualizacji rekomendacji wydanych przez prezesa UKE w dniu 12 lipca 2024 r.

Przeprowadzimy planowe kontrole u wybranych operatorów telekomunikacyjnych oraz kontrole doraźne, których celem będzie sprawdzenie stosowania ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.

Planujemy prowadzenie działań edukacyjnych skierowanych do konsumentów, przedsiębiorców i użytkowników końcowych. Ich celem będzie zwiększenie ich świadomości, a także kompetencji w zakresie identyfikacji zagrożeń związanych z nadużyciami w komunikacji elektronicznej oraz odpowiedniego reagowania, które minimalizowałoby ich negatywne skutki.

To jest streszczenie. Raport ma 27 stron. Jesteśmy do państwa dyspozycji.

Przewodniczący poseł Grzegorz Napieralski (KO):
Bardzo dziękuję, panie prezesie, za obecność i za przedstawienie tego skróconego raportu.

Otwieram dyskusję. Czy ktoś z panów i pań posłów chciałby zadać pytanie bądź zabrać głos? Bardzo proszę, pan poseł Dziedzic.

Poseł Adam Dziedzic (PSL-TD):
Dziękuję. W sprawozdaniu przekazali państwo liczbę zgłoszeń wiadomości SMS-owych przyjętych przez zespół reagowania na incydenty komputerowe oraz liczbę tych wiadomości zakwalifikowanych przez CERT jako fałszywe. Proszę podać informację, skąd wynikają tak duże rozbieżności pomiędzy zgłoszeniami a tą kwalifikacją. Czy zgłoszenia są właściwie nieadekwatne do zagrożenia? Czy źle są kwalifikowane? Dziękuję.

Przewodniczący poseł Grzegorz Napieralski (KO):
Proszę bardzo, panie prezesie.

Prezes UKE Przemysław Kuna:
Poproszę pana dyrektora…

Zastępca dyrektora Departamentu Bezpieczeństwa Urzędu Komunikacji Elektronicznej Jan Sołyga:
Panie przewodniczący, panie pośle, faktycznie tak jest, jak pan poseł wspomniał.

Zgłoszenia, które przyjmuje CSIRT NASK, obejmują różnego typu SMS-y. One są analizowane i porównywane. Sprawdza się właśnie, czy faktycznie charakter danego SMS-a ma – powiedzmy – takie znamiona, które są związane z jakimś wyłudzeniem itd. Stąd się bierze ta liczba. W stosunku do ogólnej liczby zgłoszonych SMS-ów tak naprawdę kwalifikowana jest mniejsza ich liczba.

Dopiero na tej podstawie budowane są wzorce, które – powiedzmy – w jakiś sposób starają się objąć jak najwięcej SMS-ów. Oczywiście w sprawozdaniu jest mowa o 790 wzorcach, które w swojej naturze obejmują jak największą liczbę wiadomości tekstowych, ponieważ CSIRT NASK nie prowadzi już tego typu działalności, że buduje wzorzec do każdej kampanii SMS-owej. Wiąże się to m.in. z możliwością przedsiębiorców telekomunikacyjnych w zakresie mechanizmów, które później implementują, blokując tego typu kampanie SMS-owe.

Oczywiście sama liczba osób potencjalnie pokrzywdzonych może być zdecydowanie wyższa, ponieważ za każdą taką kampanią, o której tu mówimy, a chodzi o liczbę 1,88 mln, może stać pojedyncza osoba, dziesięć osób bądź nawet kilkaset. Dziękuję.

Poseł Adam Dziedzic (PSL-TD):
Dziękuję. Czy mogę jeszcze?

Przewodniczący poseł Grzegorz Napieralski (KO):
Proszę bardzo, panie pośle. Oczywiście.

Poseł Adam Dziedzic (PSL-TD):
Interesuje mnie też kwestia nadmiernego wzrostu w okresie obejmującym marzec, kwiecień i maj. Czy państwo są w stanie podać przyczynę takiego wzrostu zablokowanych SMS-ów w tym okresie? Ich liczba przekracza grubo ponad 250 tys. w marcu, w kwietniu i w maju. Czy nieznana jest wam ta przyczyna? Dziękuję.

Zastępca dyrektora departamentu UKE Jan Sołyga:
Odpowiadam. Prowadziliśmy taką analizę.

Akurat tutaj trudno było odnieść się do jakichkolwiek – nie wiem – sytuacji czy zjawisk, które byłyby z tym powiązane, tak jak choćby w przypadku tego, o czym pan prezes wcześniej wspomniał, gdzie mamy okres świąteczny itd. W święta tych kampanii jest zdecydowanie więcej. Dziękuję.

Poseł Adam Dziedzic (PSL-TD):
Dziękuję bardzo.

Przewodniczący poseł Grzegorz Napieralski (KO):
Dziękuję bardzo. Czy ktoś jeszcze z posłów i posłanek chce zabrać głos? Nie słyszę. Czy ktoś z zaproszonych gości? Bardzo proszę. Też nie ma zgłoszeń.

Panie prezesie, w takim razie bardzo dziękuję.

Prezes UKE Przemysław Kuna:
Dziękujemy bardzo.

Przewodniczący poseł Grzegorz Napieralski (KO):
Widać i dokument, który państwo przygotowali, i pana dzisiejsze wystąpienie były bardzo treściwe i klarowne. Dziękuję za to wystąpienie.

Szanowni państwo, na tym zakończyliśmy rozpatrywanie sprawozdania i wyczerpaliśmy nasz porządek dzienny.

Zamykam posiedzenie Komisji. Bardzo dziękuję, panie prezesie. Szanowni państwo, dziękuję i do zobaczenia.