"Tylko w filmach tak to wygląda". Jak się poluje na zamachowców w sieci

W sobotnim ataku w centrum Krakowa zginęło sześć osób, a 16 trafiło do szpitali. 24-letni Michał Oksiński strzelał z samochodu do przechodniów na Rynku Głównym i w okolicznych ulicach. Po około 20 minutach postrzelili go i zatrzymali policjanci, którzy sami zostali poważnie ranni. Zamachowiec zmarł w poniedziałek nad ranem.

Od soboty (7 listopada) wraca pytanie, czy atakowi można było zapobiec. Czy Michał Oksiński zostawił w sieci ślady, które służby powinny zauważyć? I czy w ogóle istnieje ktoś, kto takie ślady systematycznie zbiera?

Zadzwoniłem z tym pytaniem do człowieka, który przez lata zajmował się przeczesywaniem internetu w Centralnym Biurze Śledczym Policji. Prosi o anonimowość. Zanim odpowiedział, zadał kontrpytanie.

– Mam ci powiedzieć ładnie, czy tak jak jest w życiu?

Jak jest w życiu.

Fora ekstremistów i darknet

Pierwsze złudzenie, które mój rozmówca rozwiewa, to wyobrażenie o wszechwidzącym systemie, który skanuje w internecie każdy wpis umieszczany przez użytkowników.

– Nie mamy jednego, zintegrowanego systemu monitorującego takie zagrożenia. Koncepcja, że wpiszesz "bomba", a jakiś system czy keylogger (rejestrator wybieranych klawiszy – red.) to wyłapie i przekaże dalej, to fikcja. Tylko w filmach tak to się odbywa – mówi.

– W życiu wygląda to inaczej. Mieliśmy na przykład sytuację w szkole w Kujawsko-Pomorskiem, gdzie jeden z uczniów napisał na forum, że zabije wszystkich. Ktoś z jego kolegów wysłał to na policję, a policja sygnału nie zlekceważyła i w porę interweniowała. To jest jeden z "systemów" monitorowania: ludzie sami zgłaszający niepokojące informacje.

Drugie źródło to praca operacyjna w miejscach, gdzie radykałowie rozmawiają między sobą.

– Są takie grupy w sieci i takie "pokoje", gdzie spotykają się różni ekstremiści. Masz też na przykład ludzi, którzy zajmują się chemią albo są pasjonatami pirotechniki i wymieniają się w internecie informacjami dotyczącymi materiałów wybuchowych. I my musimy w takich miejscach być. Logujemy się najczęściej na lewe dane, z lewego IP, żeby zobaczyć, co oni w ogóle piszą, w których "pokojach" są itd. To robi zarówno policja, jak i Agencja Bezpieczeństwa Wewnętrznego, a teraz także piony ds. cyberprzestępczości – opowiada.

Tego typu fora to jednak prostszy przypadek. Schody zaczynają się w darknecie, czyli ukrytej części internetu, która nie jest widoczna dla tradycyjnych wyszukiwarek.

– Tam często jesteś bardzo mocno weryfikowany. Mieliśmy taką sytuację na jednym z serwisów, że zweryfikowali nas po trzech, czterech minutach i dali do zrozumienia, żebyśmy sobie poszli – wspomina ekspert.

– To są grupy zamknięte albo półzamknięte. Oni wiedzą, że taki Muchomorek17 jest już znany, bo wcześniej zrobił jakieś "wałki" i wymieniał się informacjami. To ludzie, którzy ukrywają się za wirtualną tożsamością i bardzo ciężko jest dotrzeć do tego, kto się za nią kryje. Jeśli sytuacja tego wymaga, najczęściej odzywamy się wtedy do Amerykanów albo do Izraelczyków i oni nam w tym pomagają.

Kawa z szefem bezpieczeństwa

Skoro policja nie ma własnych narzędzi do przeczesywania sieci, kto je ma? Nasz rozmówca odpowiada: firmy, które tę sieć stanowią.

– My jako policja nie mamy takich programów monitorujących, dlatego korzystamy najczęściej z informacji dostarczonych przez firmy zewnętrzne. Jeśli odezwiemy się do giganta technologicznego, który jest właścicielem np. jakiegoś dużego medium społecznościowego, i powiemy, że szukamy przykładowo frazy "zabiję prezydenta", to oni są w stanie nam to przefiltrować i wyselekcjonować odpowiednie wpisy oraz wiadomości – tłumaczy.

Ta współpraca nie zawsze opiera się jednak na urzędowej korespondencji.

– Tego typu firmy mają najczęściej swoje oddziały w Polsce i ludzi, którzy odpowiadają za bezpieczeństwo. I my z takimi ludźmi utrzymujemy kontakty, bo nasze cele są zbieżne. Czasem wygląda to tak, że spotkamy się półformalnie na kawie i mówię: "słuchaj, mam prośbę, gdybyście zwrócili uwagę na to i na tamto". No i oni to wyłapują, a potem nam podrzucają – wyjaśnia.

– Oczywiście robią to nieoficjalnie, bo jeżeli w mediach wyjdzie informacja, że dana platforma inwigiluje swoich klientów, to automatycznie wszyscy uciekną gdzieś indziej. To jest bardzo delikatna sprawa.

"Ode mnie tego nie dostałeś"

Media społecznościowe to jedno. Ale z punktu widzenia służb bardzo ważne są też platformy zakupowe. Bo ten, kto na przykład szykuje ładunek wybuchowy, wcześniej gdzieś musi kupić składniki.

– Tutaj ta współpraca wygląda podobnie. Prosimy przykładowo, żeby sprawdzili nam, czy ktoś kupił taki i taki kwas siarkowy w takiej i takiej ilości, a oni robią filtr za okres pół roku wstecz. Dostajemy gościa, a potem sami go już sobie opracowujemy – tłumaczy mój rozmówca.

– Dla firmy ktoś, kto kupuje nawóz amonowy, to zwykły klient. Dla nas ktoś, kto oprócz nawozu kupuje jeszcze kilka innych, konkretnych komponentów, jest potencjalnym zagrożeniem. Bo wiemy, że jeżeli to połączy, może stworzyć ładunek wybuchowy. Nie musi, ale może.

Osobny tor dotyczy przepływów pieniędzy.

– Banki mają obowiązek zgłaszania podejrzanych transakcji do Generalnego Inspektora Informacji Finansowej. To się po prostu monitoruje. Taki mają obowiązek – mówi. Algorytmy bywają jednak toporne: po wybuchu pełnoskalowej wojny w Ukrainie wiele osób dla żartu wpisywało w tytułach przelewów obelżywe hasła o Putinie, co uruchamiało alerty. – Algorytm wyłapał: Putin, Rosja, atak. I wystarczy – kwituje mój rozmówca.

Z krajowymi dostawcami usług, jak twierdzi nasz informator, współpraca idzie sprawnie. Czasami konkretne dane są przekazywane, zanim służby same o nie poproszą. Z wieloma zagranicznymi podmiotami bywa jednak trudniej. Dlatego sporo spraw załatwia się z nimi poza oficjalnym obiegiem.

– Odzywasz się do oficera łącznikowego w kraju i mówisz, czego potrzebujesz. On ci każe napisać oficjalne pismo. Oficjalnie dostajesz odmowę. Ale pod stołem dostajesz karteczkę z danymi, o które prosiłeś. Oczywiście w pakiecie ze standardową formułką: "ode mnie tego nie dostałeś" – opowiada.

– Żeby była jasność, w drugą stronę to też tak działa. Jeśli ktoś potrzebuje czegoś od nas, to działamy na zasadzie wzajemności – dodaje.

Ruch odbywa się też w innym kierunku: czasami służby poszczególnych krajów wzajemnie informują się o zagrożeniach.

– Bardzo często dostajemy sygnały z amerykańskich i niemieckich służb. Pamiętam, jak przynieśli nam na przykład informacje o planowanym zamachu terrorystycznym w Wałbrzychu. Szczególnie Amerykanie są na to wyczuleni.

Nasz rozmówca przekonuje, że po sobotnim zamachu służby pracują na najwyższych obrotach. Pierwsze efekty widać w komunikatach: sześć zatrzymań w ciągu doby za wpisy pochwalające atak w Krakowie.

– Gwarantuję ci, że teraz wszyscy mają ręce pełne roboty, bo służby bardzo boją się naśladownictwa. Firmy, które monitorują te fora, na pewno dostały polecenia, żeby wyłapywać wszystkie niepokojące sygnały – mówi.

Tyle że większość takich wpisów to głupota, nie zapowiedź. Jak odróżnić jedno od drugiego?

– Jest tyle czynników pobocznych, że głowa mała. Jeśli każdą sytuację będziemy traktować ostro, to zwariujemy, bo tych wpisów jest mnóstwo, choćby teraz pod adresem ministra Kierwińskiego. Ale nie jest problemem usiąść na takim podejrzanym gościu przez dwa, trzy dni i zobaczyć, co to w ogóle za historia. Czy jest sens to ruszać, czy to zwykłe gadanie. Są do tego możliwości, są do tego narzędzia.

Samotny wilk

Czy Michał Oksiński mógł się prześlizgnąć przez to sito? Zdaniem naszego rozmówcy – tak, bo wszystkiego wyłapać się nie da. Ale możliwy jest też taki scenariusz, że żadnych śladów w sieci po prostu nie zostawił.

– Wszystko wskazuje na to, że to był samotny wilk. Grupy ekstremistyczne są mocno infiltrowane przez Agencję Bezpieczeństwa Wewnętrznego. ABW ma do tego komórki, ma w tych grupach pozyskane aktywa operacyjne. Ale on prawdopodobnie do żadnej z takich grup nie należał. Dlatego szedłbym raczej w kierunku samoradykalizacji – tłumaczy ekspert.

– Poza tym, jeśli faktycznie byłoby tu tło ekstremistyczne, to dlaczego wcześniej zabił siostrę i rodziców? Nie klei mi się to. Raczej obstawiałbym dzieciaka, który zawsze chciał zaistnieć, ale nie potrafił. Jego znajomi mówili, że był bardzo delikatny, często się obrażał, płakał. W szkole nie mógł się zaadaptować do grupy. Nie miał dziewczyny ani przyjaciół. Typowe cechy samotnego wilka.

– Broń zapewne dawała mu poczucie mocy. Sprawiała, że czuł się zauważalny. Spotykał się na strzelnicy z bardzo mocnymi zawodnikami i równolegle opracowywał swój plan. Bo uważam, że z dużym wyprzedzeniem musiał sobie zaprogramować w głowie, że to zrobi. To nie była decyzja podjęta pod wpływem impulsu. Był na to zbyt dobrze przygotowany – podkreśla nasz informator.