MON "zaprasza ochotników" do brygady międzynarodowej? Dezinformacja "białoruskiej grupy"

Od wieczora 17 kwietnia polscy internauci publikują w mediach społecznościowych wiadomości SMS, otrzymane wiadomości na Telegramie oraz maile, w których Ministerstwo Obrony Narodowej rzekomo ma zapraszać ochotników do służby w "LitewskoPolskoUkraińskim Korpusie", czyli brygadzie litewsko-polsko-ukraińskiej.

Treść SMS-ów rozsyłanych od nadawcy używającego nazwy "MON info" brzmiała: "MON zaprasza ochotnikow do sluzby w LitewskoPolskoUkrainskim Korpusie. Wszyscy chetni moga skladac wnioski droga elektroniczna na adres litpolukrbrig@ron.mil.pl" (pisownia oryginalna). Bardziej rozbudowana była wiadomość, którą Polacy otrzymywali za pośrednictwem komunikatora Telegram od nadawcy używającego nazwy "Ministerstwo Obrony Narodowej": "Jest łatwiej, szybciej i nowocześniej - od 23 kwietnia 2022 r. w wojsku obowiązuje nowy system rekrutacji dla wszystkich, którzy chcą wstąpić do armii. Ministerstwo Obrony Narodowej zaprasza ochotników do służby w Litewsko-Polsko-Ukraińskim Korpusie. Powołaliśmy Wojskowe Centra Rekrutacji, które zajmą się rekrutacją do wojska. Można spotkać się z ekspertami od rekrutacji, albo załatwić to przez internet. Wszyscy chętni mogą składać wnioski drogą elektroniczną na adres litpolukrbrig@ron.mil.pl". Ta sama treść widniała w mailach rozsyłanych z adresów w domenie mon-gov.com - poszerzona jednak o informację, że do wniosku trzeba załączyć m.in. zaświadczenie o niekaralności czy braku zaległości w składkach na ubezpieczenie społeczne.

Choć podawany w wiadomościach adres mailowy Litewsko-Polsko-Ukraińskiej Brygady im. Wielkiego Hetmana Konstantego Ostrogskiego (LITPOLUKRBRIG) jest prawdziwy, to zarówno dowództwo brygady, jak i Ministerstwo Obrony Narodowej ostrzegły już, że rozsyłane informacje są nieprawdziwe. Specjalny zespół ds. cyberbezpieczeństwa w MON stwierdził: "Opisywane operacje o charakterze dezinformacyjnym z wysokim prawdopodobieństwem zostały przeprowadzone przez białoruską grupę".

Litewsko-Polsko-Ukraińska Brygada, do której rzekomo ma trwać rekrutacja, została utworzona w 2014 roku. Liczy ponad cztery tysiące żołnierzy z trzech krajów, którzy na co dzień stacjonują w swoich jednostkach macierzystych wchodzących w skład brygady. Dowództwo stacjonuje w Lublinie, a pełnią je naprzemiennie wojskowi z Polski, Litwy i Ukrainy. Obecnie dowódcą jest Polak: gen. bryg. Jarosław Mokrzycki.

Użyty w wiadomościach o rzekomej rekrutacji adres mailowy brygady odpowiada temu na oficjalnej stronie. Sugeruje to, że akcja wysyłania wiadomości nie ma na celu pozyskanie danych potencjalnych kandydatów, bo ewentualne przesłane maile od ochotników trafiłyby do jednostki. Jednak brygada takich wiadomości nie rozsyłała. Na jej stronie 18 kwietnia opublikowano ostrzeżenie przed "fałszywymi SMS-ami dotyczącymi rekrutacji do LITPOLUKRBRIG" oraz krótki komunikat: "Litewsko-Polsko-Ukraińska Brygada nie prowadzi rekrutacji".

Tego samego dnia podobne ostrzeżenie opublikowano na profilu Wojsk Obrony Cyberprzestrzeni utworzonych w 2022 roku przez MON. "Stop Fake News! Uważaj na fałszywe komunikaty rozpowszechniane za pośrednictwem wiadomości SMS o procesie rekrutacji do Lithuanian-Polish-Ukrainian Brigade. Nie daj się oszukać, korzystaj tylko ze sprawdzonych i wiarygodnych źródeł" - napisano.

Więcej informacji na temat opisywanej akcji przedstawił 19 kwietnia Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego przy Ministerstwie Obrony Narodowej (CSIRT MON). W artykule na stronie zespołu stwierdzono: "Opisywane operacje o charakterze dezinformacyjnym z wysokim prawdopodobieństwem zostały przeprowadzone przez białoruską grupę UNC1151". Analitycy doszli do takich wniosków na podstawie kilkuletniej, stałej obserwacji aktywności tej grupy i stwierdzeniu technik oraz procedur "wpisujących się w modus operandi" tej grupy. "Jest to kontynuacja trwającej od kilku lat kampanii dezinformacyjnej pod kryptonimem 'Ghostwriter'" - podał CSIRT MON.

Nie po raz pierwszy białoruska grupa UNC1151 i kampania "Ghostwriter" pojawiają się w kontekście Polski. W 2021 roku analitycy międzynarodowej firmy Mandiant, badającej cyberzagrożenia na świecie, stwierdzili, że do tej grupy wiodą bezpośrednie tropy cyberszpiegowskiej operacji, której częścią był wyciek maili ze skrzynki m.in. ówczesnego szefa kancelarii premiera Michała Dworczyka. Wcześniej pisały o tym dziennikarki Fundacji Reporterów Anna Gielewska i Julia Dauksza, które w tekstach w Tvn24.pl i Vsquare.org stwierdzały m.in., że "istnieje bezpośredni związek między operacją 'Ghostwriter', realizującą rosyjskie cele, i atakami na skrzynki Dworczyka". Już wtedy alarmowano, że celem hakerów z grupy UNC1151 są instytucje i prywatne podmioty m.in. w Polsce, Litwie i Ukrainie, czyli krajach współtworzących brygadę LITPOLUKRBRIG.

CSIRT MON w swoim komunikacie dodaje, że "od momentu rosyjskiej napaści na Ukrainę zaobserwował znaczący wzrost aktywności grupy UNC1151 przeciwko Polsce oraz Ukrainie". I dalej: "W 2023 roku CSIRT MON zidentyfikował dwie próby dostarczenia złośliwego oprogramowania grupy UNC1151 do podmiotów nadzorowanych przez Ministra Obrony Narodowej". 

Utworzony przy MON zespół zauważył też: "Omawiany incydent korespondował z operacją propagandową prowadzoną od kilkudziesięciu godzin - sugerującą udział brygady (LITPOLUKRBRIG) w działaniach militarnych na terytorium Ukrainy". Również gen. Karol Molenda, dowódca Wojsk Obrony Cyberprzestrzeni, w rozmowie z portalem Niebezpiecznik.pl mówił, że "w tym incydencie na uwagę zasługuje fakt, że przed wysyłką tych wiadomości rozpoznaliśmy operację, która mogła mieć charakter 'wprowadzający' do dzisiejszych wydarzeń". Ta operacja miała polegać na promowaniu "dezinformacji o planowanym przez LITPOLUKRBRIG wkroczeniu na terytorium Ukrainy pod pretekstem misji pokojowej – rzekomo w celu umożliwienia Polsce dokonania aneksji".

Ani CSIRT MON, ani Wojska Obrony Cyberprzestrzeni nie podały konkretnych przykładów tej operacji. W rosyjskojęzycznej sieci znaleźliśmy jednak artykuł z 14 kwietnia 2023 roku o rzekomych przygotowaniach międzynarodowej brygady do wkroczenia na zachodnią Ukrainę. Ten tekst został powielony i cytowany przez wiele rosyjskich i białoruskich źródeł: na przykład portal Prawda.ru swój artykuł z 15 kwietnia zatytułował: "Polska planuje zagarnąć zachodnią Ukrainę z pomocą LITPOLUKRBRIG".

Oryginalny tekst rozpoczyna się słowami: "Dziś dla nikogo nie jest tajemnicą, że w kwaterze litewsko-polsko-ukraińskiej brygady stacjonującej w Lublinie oficerowie NATO, w szczególności ze Stanów Zjednoczonych, Polski i Litwy, opracowują plany różnych operacji". Następnie autor stwierdza, iż "dziś nie można wykluczyć, że to LITPOLUKRBRIG 'legalnie' przeprowadzi tzw. 'misję pokojową' na terytorium Zachodniej Ukrainy".

Dowody przedstawione w tekście to mieszanka prawdziwych wydarzeń z różnymi domysłami i nieprawdopodobnymi teoriami. Autor pisze np. o spotkaniu prezydentów Andrzeja Dudy i Wołodymyra Zeleńskiego czy o wizycie premiera Mateusza Morawieckiego w USA - i sugeruje, że podczas tych spotkań omawiano przyszłe działania brygady międzynarodowej na terenie Ukrainy. Snuje teorie o "trwającej tajnej mobilizacji w Polsce", "korpusie armii złożonym z ukraińskich uchodźców" czy "przygotowaniach do przeprowadzenia referendów w sprawie wejścia terytoriów zachodniej Ukrainy w skład Polski".

Akcja rozsyłania fałszywych wiadomości o rekrutacji do litewsko-polsko-ukraińskiej brygady wygląda więc rzeczywiście na część szerszej kampanii mającej przekonywać, że Polska ma zamiar zaanektować tereny zachodniej Ukrainy. Mimo że ten przekaz jest kierowany głównie do Rosjan, Polacy również powinni być wyczuleni na tego typu dezinformację. Tym bardziej, że - jak pisze w swoim komunikacie zespół działający przy resorcie obrony - "zagrożenie wynikające z przedmiotowego incydentu nie ma charakteru krótkotrwałego i operacja może być kontynuowana".