🇵🇱 Niewidzialny spust. O ekosystemie The Com i złu, które zyskało model biznesowy

Zamiast wstępu: tekst, którego nie chciałem pisać

Nie chciałem.

Naprawdę.

Przez kilka tygodni odkładałem ten temat jak nierozpakowaną przesyłkę, o której wiesz, że zawiera coś, czego nie chcesz zobaczyć. Wiedziałem, że tam jest. Wiedziałem, że przyjdzie moment, kiedy będę musiał ją otworzyć. Ale każdego ranka wybierałem coś innego — kawę, spacer, inne teksty. Teksty o rzeczach bezpieczniejszych.

Nie istnieją bezpieczne tematy.

To zdanie jest jedyną prawdą, do której doszedłem w tej pracy w ciągu ostatnich lat.

Wpadłem na The Com przypadkowo. Tak jak wchodzi się w ciemne uliczki algorytmu — kliknięcie za kliknięciem, link za linkiem, aż nagle jesteś w miejscu, do którego świadomy człowiek nigdy sam by nie trafił. Czytałem raport FBI z 2025 roku. Rutynowe przeglądanie. Zawodowy nawyk. I wtedy zobaczyłem jedno zdanie — jedno, konkretne zdanie — które zrobiło coś z moim oddechem.

„Ofiary mają zazwyczaj od 10 do 17 lat. FBI obserwowało przypadki ofiar w wieku 9 lat.”

Dziewięć lat.

Dziewięć.

Odłożyłem raport. Wyszedłem na balkon. Nigdy wcześniej nie paliłem. Przez chwilę myślałem, żeby zacząć.

Nie zacząłem. Wróciłem do komputera. Napisałem ten tekst.

Bo ktoś musi.

Ale zanim przejdę do tego, co odkryłem — muszę powiedzieć jeszcze jedno. Ten tekst nie jest podręcznikiem bezpieczeństwa. Nie jest zbiorem rekomendacji dla działów IT ani poradnikiem dla rodziców, którzy chcą sprawdzić historię przeglądania na telefonie dziecka. Jest czymś, czego w Europie prawie nie ma: próbą opisania zjawiska w całej jego złożoności — technologicznej, socjologicznej, ludzkiej. Próbą nazwania zła, które zyskało model biznesowy, zanim zdążyliśmy je zobaczyć.

Czytaj dalej. Nawet jeśli nie chcesz.

Szczególnie jeśli nie chcesz.

Część I: Geneza. Skąd przyszło zło z angielskim akcentem

I.1. Zanim był ekosystem — była rozmowa

Każda zbrodnia zaczyna się od rozmowy.

To niepozorna obserwacja, która ginie w hałasie technicznych raportów, policyjnych statystyk i akademickich analiz. Ale ona jest prawdziwa. Każdy sieciowy gang, każda kryminalna platforma, każdy cyfrowy kartel — zaczął się od dwóch ludzi, którzy zaczęli ze sobą rozmawiać na forum.

Od nicku.

Od statusu.

Od tego, ile masz punktów reputacji na stronie, na której handluje się skradzionymi loginami do Instagrama.

The Com — Community, Wspólnota — nie zaczęło się od konspiracji. Nie od planowania. Nie od rewolucyjnej ideologii ani od geopolitycznej strategii, jaką lubią rozkładać na slajdach analitycy cyberszpiegostwa. The Com zaczęło się od dzieci, które chciały mieć ładny nick na Twitterze.

Dosłownie.

OG Usernames. Original Gangster Usernames. Krótkie, rzadkie, jednosylabowe nazwy użytkowników na platformach społecznościowych — @fire, @king, @black — które w odpowiedniej społeczności warte były setki, a niekiedy tysiące dolarów. Nie metaforycznie. Dosłownie. W prawdziwej walucie. Płaconej przez krypto, PayPala, przez prepaidowe karty podarunkowe kupowane w supermarketach.

Forum OGUsers — założone w 2017 roku — było na początku handlową giełdą próżności. Miejscem, gdzie można było kupić, sprzedać, wymienić cyfrową tożsamość. Miejscem, gdzie liczyło się posiadanie czegoś, czego nie mógł mieć każdy.

Ale rynki mają swoją logikę. Kiedy popyt rośnie, a podaż jest ograniczona, ktoś zaczyna kraść.

I ktoś zaczął kraść.

Najpierw kradziono konta. Potem kradziono całe tożsamości. Potem — i to był moment, w którym wszystko się zmieniło — zaczęto kraść dostęp do kart SIM.

I w tym momencie ze świata nicków i statusów wyłoniło się coś zupełnie innego. Coś, co FBI potrzebowało lat, żeby nazwać. Coś, co zanim dostało nazwę, zdążyło już wyrządzić szkody liczone w miliardach dolarów i zrujnować życia liczone w tysiącach ludzi.

I.2. SIM swap — niewidzialna broń

Wyobraź sobie, że twój telefon milknie.

Bez ostrzeżenia. Bez wyjaśnienia. Po prostu przestaje działać. Żadnych połączeń. Żadnych SMS-ów. Żadnego internetu. Ekran żyje, bateria naładowana — ale ty jesteś odcięty od reszty świata.

Nie wiesz jeszcze, że w tym samym momencie ktoś inny odbiera twoje wiadomości. Twoje kody weryfikacyjne. Twój dostęp do banku. Do kryptowalut. Do poczty. Do życia, które nieświadomie — przez lata, krok po kroku — powierzyłeś numerowi telefonu.

To jest SIM swapping.

Technologia jest banalnie prosta. Przerażająco prosta. Przestępca dzwoni do operatora komórkowego i podszywa się pod ciebie — pod twoją tożsamość, którą wcześniej zdobył: imię, nazwisko, numer PESEL albo ostatnie cztery cyfry karty kredytowej. Dane, które wyciekły z jakiegoś serwisu trzy lata temu. Dane, które kupił za kilka dolarów na forum w darknecie. Dane, które leżą spokojnie w jednej z miliardowych baz skradzionych informacji, krążących między hakerami jak pliki mp3 w 2003 roku — bezpłatnie, otwarcie, dostępne dla każdego, kto wie, gdzie szukać.

Operator wyrabia duplikat karty SIM.

Twoje SMS-y trafiają do przestępcy.

Twój bank wysyła kod weryfikacyjny — do przestępcy.

Twoja giełda kryptowalut wysyła kod weryfikacyjny — do przestępcy.

Twój świat — do przestępcy.

Nie potrzebujesz żadnego specjalistycznego oprogramowania. Nie musisz być hakerem w żadnym ze znanych znaczeń tego słowa. Potrzebujesz informacji, pewnego głosu i odrobiny tupetu. I kogoś, kto ci powie jak to zrobić. Kogoś, kto nauczył się wcześniej — na forum. W sieci. W społeczności.

W The Com.

Badacze opisali ten mechanizm jako jedną z najszybciej rosnących form cyberprzestępczości drugiej dekady XXI wieku — właśnie dlatego, że łączy prostotę techniczną z niszczycielską skutecznością. To nie jest luka w systemie operacyjnym wymagająca miesięcy pracy programistycznej. To jest luka w człowieku. W zaufaniu, które operator telekomunikacyjny pokłada w głosie po drugiej stronie słuchawki. W założeniu, że ktoś, kto zna twój PESEL, musi być tobą.

Nie musi.

Wystarczy, że wie, gdzie go szukać.

I.3. Skąd pochodzi nazwa

FBI używa tej nazwy oficjalnie. W dokumentach publicznych. W alertach adresowanych do całej infrastruktury krytycznej Stanów Zjednoczonych.

„The Com”. Skrót od The Community — Wspólnota. Albo od Community of Practice — co jest, nawiasem mówiąc, terminem stosowanym w pedagogice dla oznaczenia grup uczących się razem, dzielących wiedzę i doświadczenia w imię wspólnego doskonalenia.

Ironia jest tak gęsta, że można ją kroić nożem.

The Com to nie jest organizacja. Nie ma prezesa, rady nadzorczej ani siedziby. Nie ma statutu ani listy członków. Nie można jej zamknąć, klikając „usuń konto”. The Com to ekosystem — zbiorczy termin na angielskojęzyczną przestrzeń cyberprzestępczości, która wyrosła z połączenia kultury forów hakerskich, sceny handlu kradzionymi kontami i subkultury social engineeringu — manipulacji psychologicznej — wymierzonej w pracowników korporacji i operatorów telekomunikacyjnych.

To środowisko. Żywe. Ewoluujące. Zdolne do samonaprawy po każdej operacji policyjnej, po każdym aresztowaniu, po każdym zamknięciu kolejnego forum.

FBI w swoim ostrzeżeniu z 2025 roku podzieliło The Com na trzy nakładające się sfery.

Hacker Com — cyberprzestępcy sensu stricto. Odpowiedzialni za ataki na korporacje, SIM-swapping, ransomware, phishing. Ich motywacja jest finansowa i jasna: wejść, ukraść, wyjść.

IRL Com — In Real Life. To warstwa, w której przemoc wychodzi z ekranu i staje się fizyczna. Swatting — wysyłanie uzbrojonych jednostek policji pod adres ofiary na podstawie fałszywego zgłoszenia. Porwania. Wymuszenia. Tortury. Cyfrowe narzędzia w służbie bardzo analogowej przemocy.

Extortion Com — grono, którego opisem można ludziom odbierać sen. Systematyczne polowanie na nieletnie ofiary. Wytwarzanie i dystrybucja materiałów przedstawiających seksualne wykorzystanie dzieci. Dzieci terroryzowane przez dzieci — na polecenie dorosłych, którzy siedzą za klawiaturami i przeliczają zyski.

Trzy sfery.

Jedna nazwa.

Jeden ekosystem.

I jeden fakt, który trzeba powiedzieć głośno, zanim przejdziemy dalej: żadna z tych sfer nie funkcjonuje w izolacji. Haker, który dziś kradnie kryptowaluty, jutro może być rekruterem. Swatter, który posyła policję pod drzwi ofiary, jest częścią tej samej sieci co ten, który szantażuje dziewięciolatki. The Com nie jest zbiorem osobnych przestępstw. Jest środowiskiem, w którym przestępstwo staje się stylem życia — i które potrafi wciągnąć w ten styl każdego, kto wystarczająco długo w nim przebywa.

O tym jest ten tekst.

Część II: Anatomia bestii. Jak działa The Com

II.1. Forum jako inkubator zbrodni

Dark0de.

Zapamiętaj tę nazwę.

To był pierwszy naprawdę ważny punkt zborny anglojęzycznych cyberprzestępców. Forum założone na początku drugiej dekady XXI wieku — precyzyjniej: gdzieś między 2009 a 2011 rokiem, bo jego początki są tak samo nieostre jak początki każdej subkultury, która przez lata wolała nie być widoczna. Zlikwidowane przez organy ścigania w 2015 roku w skoordynowanej operacji obejmującej ponad dwadzieścia krajów. Sześćdziesiąt aresztowań. Cztery kontynenty. Nagłówki w prasie przez tydzień.

A potem cisza.

I ekosystem żył dalej.

Bo likwidacja forum to nie jest likwidacja społeczności. To tylko zmiana adresu. Ludzie, którzy się tam poznali, wiedzą już o sobie wystarczająco dużo — wystarczająco, żeby przenieść się gdzie indziej i zacząć od nowa. Ze znajomościami. Z reputacją. Z metodami dopracowanymi przez lata.

Po Dark0de przyszło RaidForums — założone przez osiemnastoletniego Portugalczyka ukrywającego się za nickiem „Omnipotent”. Chłopak był drobny, nieznany, zamieszkały w małym kraju na skraju Europy. Żaden cyfrowy geniusz z biografii Hollywood. I zbudował platformę, która w szczytowym momencie liczyła ponad pół miliona aktywnych użytkowników.

Pół miliona.

Dla porównania — to więcej niż populacja średniej wielkości europejskiego miasta.

Zapamiętaj tę skalę.

RaidForums zaczęło od trollingu — dosłownie, od napadów na streamy Twitcha. Raiding — koordynowane ataki grupy na kanały innych streamerów, zakłócanie transmisji, spamowanie komentarzy. To była rozrywka. Internetowa rozrywka bez konsekwencji, przez którą śmiały się setki tysięcy ludzi siedzących przed ekranami. Ale platformy, na których gromadzą się tłumy z impulsywną agresją i anonimowością, ewoluują w jednym kierunku.

W kierunku eskalacji.

Zawsze w kierunku eskalacji.

Z trollingu na RaidForums zrobiło się miejsce handlu danymi. Z handlu danymi — marketplace kradzieży tożsamości. Z marketplace — inkubator grup hakerskich, które zaatakowały firmy z listy Fortune 500.

Nie z dnia na dzień. Powoli. Krok po kroku. Jak woda, która drąży kamień — nie siłą, ale wytrwałością i czasem.

Dokładnie tak samo jak wychowuje się przestępców.

II.2. OGUsers — gdzie narodziła się kultura reputacji

OGUsers to forum, które zamieniło kryminalizm w grę statusową.

Na OGUsers liczyło się jedno: reputacja. Ile masz respect points. Jak cię widzą inni. Jak skuteczny byłeś w zdobywaniu kont, w manipulacji, w tym, co nazywali callingiem — dzwonieniu do operatorów i help desków pod fałszywą tożsamością. Każda udana akcja przekładała się na punkty. Każde punkty — na pozycję w hierarchii. Każda pozycja — na dostęp do lepszych narzędzi, lepszych kontaktów, lepszych celów.

To był system motywacyjny zaprojektowany jak gra wideo.

I działał.

Calling — wywoływanie — był traktowany jak akt artystyczny.

Serio.

Najlepsi callersi nagrywali swoje akcje. Udostępniali je na forum. Zbierali oklaski. Chwalone były te rozmowy, w których udało się jak najnaturalniej wcielić w ofiarę — w przestraszoną babcię, która zapomniała PIN-u, w celebrytę zdesperowanego przed premierą albumu, w menedżera IT dużej korporacji, który z wysiłkiem w głosie prosi o reset hasła, bo szef zaraz ma ważne spotkanie i czas nagli.

Teatr.

Cyberprzestępczość jako performance.

To była kultura, zanim stała się infrastrukturą. I właśnie to czyni ją tak trudną do zrozumienia — bo nie zaczęła się od chciwości. Zaczęła się od potrzeby bycia widzianym. Od potrzeby uznania. Od bardzo ludzkiego pragnienia, żeby należeć do czegoś, co uważa się za wyjątkowe.

Ale kultura stała się infrastrukturą. I wtedy ktoś zauważył, że SIM swapping — doskonalony miesiącami jako narzędzie do kradzieży twitterowych nicków — można zastosować do kradzieży czegoś dużo cenniejszego. Bitcoin. Ethereum. Cyfrowe waluty trzymane na giełdach kryptowalutowych, chronionych przez dwuetapową weryfikację SMS.

Krytyczny moment: 2020–2021. Kryptowalutowy boom.

Kiedy wartość kryptowalut eksplodowała, OGUsers z dnia na dzień stało się miejscem, gdzie miliony dolarów leżały w zasięgu ręki. Dokładniej — w zasięgu telefonu i dobrze przygotowanego skryptu rozmowy.

Przestępcy przestali kraść nicki.

Zaczęli kraść portfele.

I w tym momencie — w tym jednym konkretnym przełomie między próżnością a chciwością — narodziło się coś, czego organy ścigania nie potrafiły jeszcze nazwać, ale już czuły pod stopami. Coś, co rosło szybciej niż jakikolwiek znany im model przestępczy. Coś, co za kilka lat dostanie nazwę The Com — i stanie się największym anglojęzycznym ekosystemem cyberprzestępczości w historii.

II.3. Lizard Squad — protoplasta spektaklu

Zanim zrozumiesz Scattered Spider, musisz zrozumieć Lizard Squad.

2014 rok. Świat jeszcze nie wiedział, że granie w gry wideo na Boże Narodzenie może być okazją do globalnego eksperymentu z uwagą. 25 grudnia 2014 roku, w dniu, kiedy miliony dzieci na całym świecie sięgały po konsole dostane pod choinkę — Lizard Squad wyłączyło PlayStation Network i Xbox Live jednocześnie.

Nie dla pieniędzy.

Dla uwagi.

Sto dziesięć milionów użytkowników PlayStation. Czterdzieści osiem milionów użytkowników Xbox. Wszyscy odcięci w tej samej chwili, tego samego dnia.

Ich przywódca — Julius Kivimäki, siedemnastoletni Fin — usłyszał wyrok: dwa lata w zawieszeniu. Pojawiał się potem w mediach i z rozbrajającą wprost swobodą demonstrował brak jakichkolwiek wyrzutów sumienia. Jakby chodziło o grę, którą wygrał.

Kivimäki był notabene aresztowany ponownie w 2023 roku — tym razem za atak na fińskie centrum psychoterapeutyczne, z którego wykradziono i upubliczniono wrażliwe dane dziesiątek tysięcy pacjentów leczonych na problemy psychiczne. Szantażował ich indywidualnie. Żądał od każdego pieniędzy za milczenie.

Ten sam człowiek. Inne narzędzia. Ta sama logika spektaklu połączonego z przemocą.

Lizard Squad jako organizacja rozpadło się. Ale pozostawiło coś cenniejszego niż organizacja — model.

Model ataku jako performance.

Model zbrodni jako show.

Taktyka leak and brag — atakujesz i chwalisz się publicznie, prowokujesz ofiary na Twitterze, nagrywasz reakcje, budujesz legendę. Pokazujesz innym, że można. Że jest łatwo. Że nikt cię nie dotknie. To jest bezpośredni przodek strategii komunikacyjnej Lapsus$, Scattered Spider i całego The Com na następne dziesięć lat.

Zło jest banalne. I lubi się pokazywać.

I kiedy się pokazuje — rekrutuje.

II.4. Lapsus$ — nastolatki, które pokonały Dolinę Krzemową

Przyszedł Lapsus$.

Koniec 2021 roku. Telegram. Grupka nastolatków — głównie z Wielkiej Brytanii i Brazylii, wielu niepełnoletnich — i w ciągu kilku miesięcy skompromitowali kolejno: NVIDIA, Samsung, Microsoft, Uber, Rockstar Games.

Czytasz to jeszcze raz.

NVIDIA. Samsung. Microsoft. Uber. Rockstar Games.

Firmy o łącznej kapitalizacji liczonej w bilionach dolarów. Firmy z tysiącami specjalistów od cyberbezpieczeństwa. Firmy, które wydają rocznie na ochronę swoich systemów tyle, ile nieduże państwo na obronę narodową.

Pokonane przez dzieciaków, które nie miały jeszcze prawa jazdy.

Jak?

Nie „hakowali” w hollywodzkim sensie. Nie pisali arcydzieł kodu w mrocznych piwnicach przy blasku monitorów. Nie używali nieznanego dotąd oprogramowania. Nie eksploatowali luk w systemach, nad których usunięciem pracowałyby tygodniami całe zespoły inżynierów.

Dzwonili.

Dzwonili do help desków.

Przekonywali pracowników IT, że są z firmy. Że zapomnieli hasła. Że potrzebują pilnie resetu dostępu. Że to bardzo ważne, że szef na nich czeka, że projekt stoi, że za chwilę będzie spotkanie z klientem i jeśli nie dostaną dostępu teraz, to będą problemy — i ty, pracowniku help desku, będziesz odpowiedzialny za te problemy.

I pracownicy help desków — zestresowani, przepracowani, nagradzani za szybkie zamykanie ticketów, nie za podejrzliwość — resetowali dostępy.

Lapsus$ wchodzili przez frontowe.

Kultura performance’u Lizard Squad + kultura manipulacji OGUsers + boom kryptowalut + zasięg Telegrama = Lapsus$.

To nie jest metafora. To jest dosłowne równanie ewolucji ekosystemu. Każdy z tych elementów coś wniósł: estetykę spektaklu, technikę manipulacji, motywację finansową, narzędzie komunikacji. Razem stworzyły coś, na co korporacyjna Ameryka nie była gotowa — i, jak się okaże, przez długi czas gotowa nie będzie.

Szczyt tej historii to atak na Rockstar Games. Arion Kurtaj — osiemnastolatek z Oksfordu, zdiagnozowany w spektrum autyzmu, uznany przez sąd za niezdolnego do stanięcia przed wymiarem sprawiedliwości w standardowym trybie — w pokoju hotelowym, pod ochroną policji, za pomocą telewizora, Fire Stika i telefonu komórkowego zinfiltrował systemy Rockstar Games i opublikował w internecie materiały wideo z niedokończonego Grand Theft Auto VI.

Z telewizora hotelowego.

Pod ochroną policji, która miała mu uniemożliwić kolejny cyberatak.

Pomyśl o tym przez chwilę.

Nie chodzi o to, że był genialny — choć był. Chodzi o to, że system, który miał go powstrzymać, nie wiedział, co powstrzymuje. Policjanci pilnowali człowieka. Nikt nie pilnował telewizora.

To jest kwintesencja The Com: luka nie w kodzie, nie w protokole bezpieczeństwa, nie w konfiguracji sieci. Luka w wyobraźni tych, którzy myślą, że wiedzą, jak wygląda zagrożenie.

Lapsus$ w 2022 roku zostało rozbite przez brytyjską policję. Kilku członków usłyszało wyroki. Arion Kurtaj trafił do zamkniętego zakładu psychiatrycznego na czas nieokreślony.

Ekosystem przeżył.

I wyewoluował w coś jeszcze bardziej niebezpiecznego.

Część III: Scattered Spider. Kiedy hakerzy odkryli korporację

III.1. UNC3944 — tożsamość, która ukrywa się za akronimem

Scattered Spider.

FBI nazywa ich UNC3944. Palo Alto Networks — Muddled Libra. Microsoft — Octo Tempest. Każda firma od cyberbezpieczeństwa ma własny kryptonim dla tej samej grupy — bo tak działa branża security, trochę jak rywalizujące redakcje. Wszyscy piszą o tym samym, każdy z własną nazwą dla bohatera.

Ale bohater jest jeden.

I jest bezwzględny.

Scattered Spider wyłoniło się z głębi The Com jako coś jakościowo innego od poprzedników. Lapsus$ było chaotyczne, efemeryczne, żyjące chwilą spektaklu. Scattered Spider było — i jest, bo nadal działa — profesjonalne. Zimne. Zorientowane na wynik finansowy z precyzją, której można by pozazdrościć niejednej legalnej firmie.

Microsoft nazwał Scattered Spider „jedną z najniebezpieczniejszych finansowych grup przestępczych na świecie”.

Nie hakerów.

Grup przestępczych.

To rozróżnienie ma znaczenie — i warto się przy nim zatrzymać. Słowo „haker” niesie ze sobą aurę technicznego geniuszu: samotnik, kod, niezbadane głębiny systemu. Scattered Spider nie jest grupą hakerów. Jest grupą przestępczą, która używa technologii tak samo, jak inne grupy przestępcze używają samochodów, telefonów i intimidacji. Narzędzie się zmieniło. Logika — nie.

III.2. Ataki na serce korporacyjnej Ameryki

Wrzesień 2023. MGM Resorts International — jeden z największych operatorów kasyn i hoteli w Stanach Zjednoczonych. Firma z rocznym przychodem przekraczającym czternaście miliardów dolarów. Firma, która wierzyła — i miała prawo wierzyć — że stać ją na bezpieczeństwo.

Scattered Spider potrzebowało dziesięciu minut i jednego telefonu.

Znaleźli profil LinkedIn pracownika działu IT MGM. Imię. Nazwisko. Stanowisko. Informacje, które sam zostawił publicznie, bo tak działa networking i budowanie zawodowej widoczności w 2023 roku. Zadzwonili do help desku. Podali te dane. Powiedzieli, że zapomnieli hasła. Poprosili o reset dostępu.

Dostali go.

Potem zaczął się paraliż. Systemy kasyn przestały działać. Automaty do gier — wygaszone. Kasy — wyłączone. Systemy rezerwacji hotelowych — martwe. Przez Las Vegas hulał cyfrowy, lodowaty wiatr: dziesiątki tysięcy gości nie mogło zameldować się w pokojach, płatności kartą nie przechodziły, dane klientów — adresy, numery paszportów, numery ubezpieczeń społecznych — wypłynęły do przestępców. Straty oszacowano na ponad sto milionów dolarów. Samo przywracanie systemów trwało tygodnie.

W tym samym czasie Caesars Entertainment — inny gigant tej samej branży — zapłacił okup szacowany na piętnaście milionów dolarów w kryptowalutach. Cicho. Szybko. Zanim media zdążyły zadać pytania.

Cisi.

Nikt nie chce, żeby świat wiedział, że dał się okraść przez grupę nastolatków z angielskim akcentem.

Ale te dwa ataki — MGM i Caesars, przeprowadzone w odstępie kilku tygodni — zmieniły coś w zbiorowej świadomości korporacyjnej Ameryki. Nie dlatego, że były pierwsze. Dlatego, że były zbyt widoczne, żeby je zignorować. Zbyt kosztowne, żeby je przemilczeć. I zbyt proste — przerażająco, obelżywie proste — żeby móc dalej wierzyć, że wystarczają techniczne zabezpieczenia.

Jeden telefon.

Jeden pracownik, który chciał dobrze wykonywać swoją pracę.

Sto milionów dolarów.

III.3. Noah Urban — człowiek z Florydy, który zarabiał miliony

Noah Michael Urban.

Dwadzieścia lat.

Palm Coast, Floryda.

Sosa. Elijah. King Bob — to były jego nicki w cyberprzestępczym świecie. Tożsamości, które zakładał i zdejmował jak ubrania, w zależności od tego, z kim rozmawiał i co chciał osiągnąć.

FBI weszło do jego domu w marcu 2023 roku i znalazło na komputerze stacjonarnym kryptowaluty o wartości 2,89 miliona dolarów. To była kwota, której nie ukrył — albo którą zdążył ukryć najgorzej. Łączne straty jego ofiar? Między 9,5 a 25 milionami dolarów. Ponad trzydzieści ofiar indywidualnych.

Podczas przesłuchania przez FBI Urban przyznał spokojnie — i ten spokój jest może najważniejszą informacją w całej jego sprawie — że od stycznia 2021 do marca 2023 roku zarobił osobiście kilka milionów dolarów na kradzieżach kryptowalut. Mówił o tym jak o pracy. Jak o rutynie. Wstawać rano, sprawdzać konto, liczyć zyski, planować kolejny ruch.

Praca jak każda inna.

W jednej z udokumentowanych akcji włamał się do konta AOL ofiary, przeprowadził SIM swap potwierdzony przez operatora AT&T, a następnie uzyskał dostęp do giełdy kryptowalutowej ofiary i przelał 374 tysiące dolarów.

Jedna operacja.

Jeden telefon do operatora.

374 tysiące dolarów.

Czas trwania: kilka godzin.

Urban przyznał się do winy w kwietniu 2025 roku. W lipcu 2025 roku usłyszał wyrok: dziesięć lat więzienia federalnego i trzynaście milionów dolarów grzywny.

Dziesięć lat.

Jego ofiary straciły więcej niż pieniądze. Straciły poczucie bezpieczeństwa, które budowały latami — nie przez naiwność, lecz przez normalne zaufanie do systemu, który miał działać. Straciły zaufanie do własnego imienia — bo ktoś nim mówił w słuchawce, pewnym i spokojnym głosem, przekonując operatora, że jest nimi.

Ofiar nie obchodziły złe oceny Urbana w szkole. Nie obchodziło ich jego dzieciństwo. Nie interesowało ich, jak spędza wieczory i co motywuje jego wybory. Nic go nie usprawiedliwia.

Nic.

Ale jego portret — młody, angielskojęzyczny, z Florydy, z dostępem do internetu i bez struktury, która przekierowałaby ten umysł gdzie indziej — pojawi się jeszcze w tej książce. Bo bez zrozumienia, jak powstaje Noah Urban, nie zrozumiemy, jak nie tworzyć kolejnych.

III.4. Tyler Buchanan — Szkot w cieniu palm Majorki

Tyler Buchanan.

Obywatel Wielkiej Brytanii. Szkocja.

Aresztowany 12 czerwca 2024 roku na lotnisku Palma de Mallorca, gdy próbował opuścić kraj z urządzeniami elektronicznymi, w których znaleziono kryptowaluty o wartości dwudziestu siedmiu milionów dolarów.

Dwadzieścia siedem milionów.

Buchanan jest oskarżony o współudział w atakach Scattered Spider: wywieranie presji na pracowników firm telekomunikacyjnych, wymuszenia na korporacjach i setki SIM swapów przeprowadzonych na osobach prywatnych — ludziach, którzy pewnego ranka spojrzeli w telefon i zobaczyli, że przestał działać.

W lutym 2025 roku przyznał się do winy. Czeka na wymiar kary.

Liczba jego ofiar idzie w setki.

Tysiące utraconych środków.

I tysiące chwil — tych trudnych do opisania, które zostają długo po tym, jak konto zostanie odblokowane i pieniądze odzyskane albo spisane na straty — kiedy ktoś patrzy w telefon i widzi: „Brak zasięgu”. I zanim jeszcze zdąży pomyśleć, zanim rozum dorobi jakiekolwiek racjonalne wyjaśnienie, ciało już wie. Lodowate ściśnięcie w żołądku. Skurcz.

Bo już raz to przeżyli.

I wiedzą, że to uczucie nie wynika z zasięgu sieci.

III.5. Wspólnik w Europie — i logika sieci bez granic

W kwietniu 2026 roku Brytyjczyk związany ze Scattered Spider przyznał się do winy przed sądem w Wielkiej Brytanii. W dostępnych materiałach prasowych jego tożsamość nie jest ujawniana — ale fakty, które wiadomo, są wymowne same w sobie. Człowiek działający na terenie Europy, operacyjnie powiązany z grupą, której geograficzne centrum stanowiła Floryda i zachodnie wybrzeże Stanów Zjednoczonych.

Jeden ekosystem.

Dwa kontynenty.

Żadnej granicy, która miałaby znaczenie.

The Com nie zna granic. The Com nie zna jurysdykcji. The Com to nowy typ organizacji przestępczej — bez kwatery głównej, bez prezesa, bez hierarchii, której odcięcie głowy zatrzymuje ciało. Używam tutaj słowa „organizacja” z wahaniem, bo ono sugeruje strukturę, a The Com jej nie ma — przynajmniej nie w żadnym sensie, który rozpoznałby prawnik ani prokurator.

To mycelium — sieć grzybni, która rośnie pod powierzchnią, niewidoczna z góry, ale łącząca wszystko ze wszystkim. Kiedy wytniesz jeden węzeł, grzyb rośnie dalej. Inne nici przejmują jego funkcję. Sieć zapamiętuje, adaptuje się, napełnia luki.

Każde aresztowanie jest prawdziwym sukcesem operacyjnym. I każde aresztowanie jest jednocześnie przypomnieniem, że nie jest to sukces wystarczający.

Bo za każdym Urbanem i Buchananem, za każdym Kurtajem i każdym anonimowym Brytyjczykiem przyznającym się do winy przed sądem — jest tuzin rekrutów na Telegramie, którzy obserwowali ich kariery z zazdrością, nie z przestrogą. Którzy widzą wyrok i liczą: dziesięć lat za kilkanaście milionów dolarów. Albo — jeśli jesteś ostrożniejszy, sprytniejszy, mniej widoczny — żadnego wyroku i konto pełne krypto.

Ekosystem przeżywa swoich bohaterów.

I uczy się na ich błędach.

Część IV: Narzędzia. Cyfrowy arsenał The Com

IV.1. Phishing, vishing, smishing — trzy litery, jeden mechanizm

Trzy słowa.

Jedno zło.

Phishing — e-mail udający coś legalnego. Wiadomość od „banku”, od „Microsoftu”, od „twojego szefa” — z linkiem, który prowadzi do fałszywej strony zbierającej hasła. Mechanizm stary jak internet, wciąż skuteczny, bo wciąż trafia w to samo: w zaufanie, pośpiech i chwilowe rozproszenie uwagi.

Vishing — to samo, tylko głosem. Telefon. Ktoś mówi do ciebie ludzkim głosem — często z angielskim akcentem, niekiedy z modulatorem korygującym wiek albo płeć — i przekonuje cię do zrobienia czegoś, czego świadomie byś nie zrobił. Różnica między phishingiem a vishingiem jest jak różnica między listem a rozmową twarzą w twarz: to drugie jest trudniejsze do zignorowania, bo angażuje inną warstwę mózgu. Warstwę, która od tysięcy lat jest zaprojektowana do ufania głosom.

Smishing — SMS. Ten sam mechanizm w stu sześćdziesięciu znakach.

Scattered Spider specjalizowało się we wszystkich trzech, ale vishing był ich koronkowym narzędziem — i powód jest prosty. Natywni użytkownicy języka angielskiego brzmiący naturalnie, bez akcentu, bez gramatycznych potknięć, bez twardego „R”, które przez lata było sygnałem ostrzegawczym przy wschodnioeuropejskich próbach ataku. Kiedy dzwoni ktoś, kto brzmi jak kolega z biura — mózg nie podnosi alarmu. Bo po co miałby?

Trellix w swojej analizie operacyjnego modelu Scattered Spider opisuje precyzyjną, wieloetapową sekwencję ataku, którą można by włączyć do podręcznika zarządzania projektem: rozpoznanie celu przez OSINT — LinkedIn, Glassdoor, wewnętrzne katalogi pracowników; vishing do help desku pod fałszywą tożsamością; reset MFA; dostęp do sieci korporacyjnej; a potem powolne, cierpliwe poruszanie się w poziomie przez sieć — od serwera do serwera, od konta do konta, aż do dotarcia do danych finansowych lub dostępu do chmury.

Cierpliwość.

To jest właśnie to, czego nie spodziewasz się po nastolatkach grających w gry wideo w niedzielne popołudnie.

Cierpliwość drapieżnika, który wie, że ma czas. Który nie musi się spieszyć, bo nikt go jeszcze nie widzi. Który może czekać tydzień, dwa tygodnie, miesiąc wewnątrz twojej sieci — i w tym czasie zbierać, mapować, planować.

Nie wychodzić.

Po prostu być w środku i czekać.

IV.2. MFA Fatigue — zmęczenie jako broń

Jest taka technika, której sama nazwa powinna wywoływać dreszcz.

MFA Fatigue. Zmęczenie wieloskładnikowym uwierzytelnianiem.

Zacznijmy od podstaw: MFA — Multi-Factor Authentication — to system, który po wpisaniu hasła prosi cię o dodatkowe potwierdzenie tożsamości. Często jest to powiadomienie push na telefonie: „Czy to Ty próbujesz się zalogować? Potwierdź lub odrzuć.” Przez lata uważano to za rozwiązanie bliskie doskonałemu. Hasło możesz ukraść. Telefon fizycznie musisz mieć przy sobie.

Scattered Spider znalazło sposób, żeby ukraść nie telefon — ale uwagę jego właściciela.

Działa tak: atakujący zna już twoje hasło — kupił je w darknecie za kilka dolarów, albo wyłudził phishingiem tydzień wcześniej. Próbuje się zalogować. Twój telefon dostaje powiadomienie push.

Odrzucasz.

Atakujący próbuje ponownie. Twój telefon dostaje kolejne powiadomienie.

Odrzucasz.

Ponownie. I jeszcze raz. Co pięć sekund. Przez pół godziny. Przez godzinę. W środku nocy. O czwartej nad ranem, kiedy ze snu wyrywa cię wibracja telefonu. Rano, w drodze do pracy, kiedy prowadzisz samochód. W trakcie ważnego spotkania, gdy telefon milczy na blacie stołu i co chwilę zaświeca.

W końcu — zmęczony, rozdrażniony, w połowie przytomny — klikasz „Potwierdź”.

I atakujący jest w środku.

Palo Alto Networks Unit 42 dokumentuje MFA Fatigue jako jeden z fundamentalnych narzędzi Scattered Spider. Grupy używają jej systematycznie, nierzadko w połączeniu z jednoczesnym atakiem vishingowym — telefon od kogoś, kto podaje się za pracownika działu IT i mówi spokojnym, profesjonalnym głosem, że to on wysyła powiadomienia, że to rutynowa weryfikacja, że wystarczy jedno kliknięcie i wszystko wróci do normy.

I klikasz.

Bo zmęczenie jest ludzkie.

I zło zna ludzkie zmęczenie lepiej niż ty sam.

Warto powiedzieć to wyraźnie, bo często umyka w dyskusjach technicznych: MFA Fatigue nie jest luką w protokole kryptograficznym. Nie jest błędem w kodzie. Jest luką w biologii — w tym, że ludzki mózg nie jest zaprojektowany do utrzymywania czujności przez wiele godzin pod ciągłym bombardowaniem powtarzającymi się bodźcami. Zmęczenie uwagi jest tak samo przewidywalne jak zmęczenie mięśni. I tak samo można je zaplanować.

IV.3. BYOVD — kiedy napastnik wyłącza alarm

Kiedy Scattered Spider jest już w środku sieci, nie zatrzymuje się na danych finansowych widocznych na pierwszym piętrze. Idzie dalej. W głąb. W poziomie i w pionie, przez każdy serwer, do którego może się dostać.

Jednym z narzędzi tej głębokiej penetracji jest technika o nazwie BYOVD — Bring Your Own Vulnerable Driver, przynieś własny podatny sterownik. Mechanizm jest tak elegancki w swojej perfidii, że trudno go nie docenić czysto technicznie, niezależnie od moralnej odrazy wobec jego zastosowania.

Działa tak: przestępca instaluje na komputerze ofiary sterownik systemowy — plik z legalnym, ważnym podpisem cyfrowym, wystawionym przez zaufanego producenta oprogramowania. System operacyjny widzi legalny podpis i przepuszcza sterownik bez pytań. Ale sterownik zawiera znane podatności, które pozwalają atakującemu na wyłączenie oprogramowania antywirusowego z najgłębszego poziomu systemu — z poziomu, do którego antywirus sam nie ma dostępu.

Tłumacząc na język codzienności: wchodzą do twojego domu z kluczem sąsiada, wyłączają alarm kodem, który poznali wcześniej, i zmieniają zamki od środka. Zanim firma zorientuje się, że ktoś tam jest — przestępcy spędzili wewnątrz tygodnie. Albo miesiące. Czytają pocztę. Kopiują pliki. Mapują strukturę sieci. Rozmawiają z serwerami, które firma uważa za bezpieczne.

Raport CISA z 29 lipca 2025 roku wymienia sektory atakowane przez Scattered Spider: telekomunikacyjny, finansowy, technologiczny, gier wideo, hotelarski i lotniczy.

Hotelarstwo i lotnictwo.

Zatrzymaj się na chwilę przy tych dwóch słowach.

Hotele wiedzą, kiedy wyjeżdżasz z domu. Wiedzą, w jakich terminach twój dom jest pusty. Linie lotnicze wiedzą, gdzie lecisz i kiedy wracasz. Mają twój numer paszportu, numer karty kredytowej, adres, dane kontaktowe. Mają historię podróży z ostatnich lat — włącznie z podróżami służbowymi, które mogą powiedzieć komuś, gdzie pracujesz i jakie masz relacje biznesowe.

To nie są abstrakcyjne dane.

To jest klucz do twojego życia — i do twojego domu, kiedy cię w nim nie ma.

IV.4. Ransomware — finalny akord, podpisany cyrylicą

Powiązania Scattered Spider z grupą ransomware BlackCat / ALPHV są udokumentowane przez FBI i CISA — i są warte osobnego akapitu, bo pokazują coś istotnego o architekturze współczesnej cyberprzestępczości.

Scattered Spider nie działało samo. Działało jako Initial Access Broker — dosłownie: broker pierwszego dostępu. Wchodziło do sieci korporacyjnych metodami, które poznaliśmy w poprzednich rozdziałach: vishing, MFA Fatigue, SIM swapping. A potem — zamiast działać dalej samodzielnie — sprzedawało lub udostępniało ten dostęp rosyjskojęzycznym grupom ransomware, które przejmowały inicjatywę: szyfrowały dane, paraliżowały infrastrukturę i wysyłały żądania okupu liczonego w milionach dolarów.

Podział pracy.

Model B2B.

Dystrybucja ryzyka i zysku między partnerami, którzy nigdy się nie spotkali i prawdopodobnie nigdy nie spotkają.

Zło ma własny LinkedIn.

I ma własną strukturę korporacyjną: angielskojęzyczni specjaliści od wejścia, rosyjskojęzyczni specjaliści od eksploatacji. Jedna strona mówi bez akcentu do pracowników help desków w Las Vegas. Druga szyfruje serwery i negocjuje okup przez komunikator na Torze. Razem tworzą łańcuch dostaw, który kończy się albo przelewem w kryptowalutach, albo tygodniowym paraliżem firmy wartej miliardy dolarów.

Albo — co zdarza się nierzadko — obydwoma jednocześnie.

Warto dodać tu jedną obserwację, która rzadko pojawia się w raportach technicznych, a powinna: ten model współpracy między angielskojęzycznym The Com a rosyjskojęzycznymi grupami ransomware nie jest przypadkowy ani oportunistyczny. Jest strukturalny. Obie strony potrzebują siebie nawzajem. Grupy ransomware są wysoce skuteczne technicznie, ale ich akcenty i gramatyczne błędy w phishingowych e-mailach od lat są sygnałem ostrzegawczym dla systemów bezpieczeństwa. Scattered Spider rozwiązuje ten problem: mówi po angielsku jak tubylec, wchodzi przez drzwi frontowe i podaje klucze.

Partnerstwo strategiczne.

W najciemniejszym możliwym sensie tego słowa.

Część V: Kiedy sieć zaczyna boleć fizycznie

V.1. Swatting — kiedy zabawa staje się wyrokiem śmierci

Jeden telefon.

Anonimowy.

„Na ulicy X trwa strzelanina. Zakładnicy. Napastnik jest uzbrojony.”

W kilka minut pod wskazanym adresem pojawia się jednostka SWAT — Special Weapons and Tactics. Uzbrojona po zęby. Wyposażona w kamizelki, tarcze, snajperów na dachu. Z adrenaliną ustawiającą refleks na zero sekund tolerancji. Z rozkazem traktowania każdej sytuacji jako potencjalnie śmiertelnej — bo tak brzmi protokół, bo tak uczy szkolenie, bo w tym zawodzie chwila wahania może kosztować życie własne lub kolegi.

I wchodzą do mieszkania, gdzie siedzi nieprzygotowany człowiek — gamer, streamer, przypadkowa ofiara — który nie ma broni, nie ma zakładników, nie ma nic. Tylko strach i kompletne niezrozumienie, co się właśnie dzieje.

I jest szansa, że ktoś zginie.

28 grudnia 2017 roku. Wichita, Kansas. Andrew Finch wyszedł do drzwi własnego domu, kiedy zadzwoniono. Nie wiedział, że chwilę wcześniej ktoś zadzwonił na numer alarmowy 911 i powiedział, że właśnie zastrzelił ojca, że trzyma matkę jako zakładniczkę, że ma w ręku broń i jest gotowy strzelać dalej. Policjant zobaczył człowieka wychodzącego z domu. Wystrzelił.

Andrew Finch był ofiarą sporu w grze Call of Duty.

Dwóch graczy pokłóciło się o zakład wart dwa dolary. Jeden z nich podał drugiemu fałszywy adres. Drugi zamówił na ten adres jednostkę SWAT — bo można. Bo są serwisy, które to oferują. Bo w ekosystemie The Com swatting to usługa dostępna za kilkadziesiąt dolarów w kryptowalutach.

Andrew Finch nie grał w tę grę.

Zginął przez nią.

Tyler Raj Barriss — sprawca telefonu — usłyszał wyrok: dwadzieścia lat więzienia federalnego. Jego wspólnik, który podał fałszywy adres, usłyszał wyrok: piętnaście miesięcy. Dwa dolary. Jedno życie.

Swatting jest powszechną bronią The Com — używaną jako forma zemsty na nielojalnych członkach społeczności, jako narzędzie zastraszania ofiar, które nie chcą płacić, jako środek nacisku w wymuszeniach. I jako rozrywka.

Rozrywka.

Piszę to słowo i zostawiam je bez komentarza.

Ktoś bawi się tym, że posyła do twojego domu uzbrojoną policję.

I jeden z takich ludzi trafił w kogoś, kto wyszedł otworzyć drzwi.

V.2. Pokolenie, które terroryzuje siebie nawzajem

FBI w swoim ostrzeżeniu z 2025 roku opisuje coś, co trudno ogarnąć rozumem — nie dlatego, że jest skomplikowane, lecz dlatego, że jest tak proste i tak straszne jednocześnie. The Com prowadzi systematyczne kampanie sextortion przeciwko nieletnim ofiarom. Nie sporadyczne. Nie przypadkowe. Systematyczne — z procedurami, ze skryptami, z podziałem ról.

Mechanizm jest zawsze podobny.

Przestępca — często sam nastolatek, czasem dorosły, zawsze powiązany z ekosystemem The Com — nawiązuje kontakt z dzieckiem na platformie, gdzie dzieci są. Roblox. Discord. TikTok. Instagram. Fortnite. Wybór platformy jest nieprzypadkowy: to miejsca, gdzie dzieci czują się u siebie, gdzie mają tożsamości zbudowane latami, gdzie mają znajomych i gdzie granica między wirtualnym a realnym jest dla nich najcieńsza.

Buduje relację. Tygodnie. Niekiedy miesiące.

Udaje rówieśnika. Osobę zainteresowaną romantycznie. Fana twórczości dziecka. Kogoś, kto naprawdę rozumie — bo co do zasady mało kto rozumie. Kogoś, kto jest zawsze dostępny, zawsze życzliwy, zawsze po twojej stronie.

I potem prosi o zdjęcia.

Intymne.

Dostaje je — bo dzieci ufają, bo są samotne, bo cyfrowy świat rozmył granicę między bliskim a obcym w sposób, którego nie rozmyło żadne wcześniejsze pokolenie. Bo trzynastolatek, który od trzech miesięcy rozmawia z kimś każdego wieczoru, naprawdę może czuć, że ta osoba jest przyjacielem. Naprawdę może nie wiedzieć, że po drugiej stronie ekranu ktoś skrupulatnie realizuje skrypt opracowany po to, żeby doprowadzić właśnie do tego momentu.

I zaczyna się szantaż.

„Wyślę to twoim rodzicom. Twojej szkole. Wrzucę do sieci. Wszyscy zobaczą.”

Dzieci nie mówią rodzicom. Ze wstydu — bo uwierzyły, że zrobiły coś złego. Z lęku — bo zagrożenie jest konkretne i natychmiastowe. Z przekonania, że to ich wina — bo ktoś im to powiedział i mózg trzynastolatka nie ma jeszcze narzędzi, żeby tej narracji skutecznie się oprzeć.

I zostają z tym same.

W środku nocy. Z telefonem. Z wiadomościami, które przychodzą. Z żądaniami, które rosną. Z poczuciem, że nie ma wyjścia.

Zginęły przez to dzieci.

Dosłownie.

FBI udokumentowało przypadki samobójstw nieletnich ofiar sextortion powiązanych z ekosystemem The Com. Nie jednostkowe. Przypadki. W liczbie mnogiej. Dzieci, którym nikt nie powiedział na czas, że to nie jest ich wina. Że szantażysta kłamie. Że można się z tego wydostać.

Nikt im nie powiedział — bo nie wiedziały, jak powiedzieć, że potrzebują pomocy.

Najstarszą zidentyfikowaną ofiarą sextortion w dokumentach FBI było dziecko w wieku dziewięciu lat.

Dziewięć lat.

Dziewięć.

Nie ma tu żadnej metafory. Żadnego symbolu. Żadnej figury retorycznej, która ochroniłaby cię przed pełnym znaczeniem tych słów.

Dziewięcioletnie dzieci.

Piszę to zdanie i mam świadomość, że brzmi jak punkt kulminacyjny — jak to miejsce w reportażu, po którym powinno nastąpić rozwiązanie, jakiś ratunek, cokolwiek, co przywróci porządek świata. Ale nie ma tu porządku do przywrócenia. Jest tylko fakt, który należy przyjąć w całości, bez znieczulenia: ekosystem przestępczy, który zaczął się od kradzieży nicków na Twitterze, dotarł do dziewięciolatków.

I to nie jest koniec.

To jest to, co wiemy już dziś.

Część VI: Oblicza ekosystemu. Jak The Com się mnoży

VI.1. Odporność — dlaczego nie można tego zabić

Organy ścigania na całym świecie od lat próbują rozbić The Com. Operacje z nazwami brzmiącymi jak kody z filmów akcji. PowerOff. Operation Cookie Monster. Operation Cronos. Arrests rozsiane po całej Europie i Ameryce, komunikaty prasowe, konferencje, zdjęcia serwerów ułożonych w rzędach jak trofea.

I za każdym razem — po tygodniach, miesiącach — ekosystem się regeneruje.

Bo The Com nie ma jednej głowy do odcięcia.

To jest fundamentalna różnica między tym, z czym mamy do czynienia, a wszystkim, co prawo karne wypracowało przez ostatnie sto lat jako skuteczną metodę walki z przestępczością zorganizowaną. Klasyczna organizacja przestępcza — mafia, kartel, gang — ma strukturę. Ma hierarchię. Ma kogoś na górze, kogo aresztowanie wywołuje chaos w dole. Ma fizyczne miejsca spotkań, które można obserwować, rachunki bankowe, które można zamrozić, łańcuchy dowodzenia, które można przeciąć.

The Com nie ma żadnego z tych elementów.

CloudSek — firma specjalizująca się w analizie zagrożeń cyfrowych — opisuje The Com jako „fluid, interest-based network”: sieć, której członkowie dołączają i odchodzą, tworzą tymczasowe koalicje wokół konkretnych projektów, rozpadają się po ich zakończeniu i reformują w nowych konfiguracjach. Dziś pracujesz z grupą X nad atakiem na firmę telekomunikacyjną. Jutro X się rozwiązuje i trzech jej byłych członków tworzy grupę Y razem z kimś, kogo znasz z Telegrama. Za miesiąc Y robi coś zupełnie innego.

To jest dokładnie model działania nowoczesnych kancelarii prawnych, firm konsultingowych, startupów technologicznych.

Zło skopiowało model nowoczesnego, płynnego biznesu.

I działa to sprawniej niż hierarchia — bo hierarchia ma słabe punkty. Płynna sieć ich nie ma. Kiedy wytniesz węzeł, sieć przepływa wokół dziury. Kiedy aresztujesz lidera, nie ma następcy do aresztowania, bo nie ma lidera. Jest tylko kolejna rekonfiguracja ludzi, którzy znają swoje zadania i wiedzą, gdzie się spotkać.

Nie online — metaforycznie. Online — dosłownie.

VI.2. Rekrutacja — lejek, który zaczyna się od gry

Droga od użytkownika forum gamingowego do aktywnego członka sieci przestępczej jest zdumiewająco krótka.

I zdumiewająco normalna.

To jest może najważniejsza obserwacja w tej części — nie dlatego, że jest nowa, lecz dlatego, że jej konsekwencje są wciąż niedoszacowane. Nikt, kto wchodzi do The Com, nie wchodzi tam z pełną świadomością, dokąd zmierza. Nikt nie decyduje pewnego ranka: „Od dziś będę cyberprzestępcą”. Decydują o wiele mniejsze rzeczy. Seryjnie. Każda oddzielnie — do zaakceptowania.

Zaczynam od gry.

Dołączam do Discorda — bo tam jest społeczność, bo tam są ludzie, którzy mówią tym samym językiem, którzy rozumieją te same żarty, którzy nie patrzą na mnie jak dziwak.

Dostaję zaproszenie do prywatnego kanału z „exclusive tips” — bo ktoś mnie wyróżnił, bo byłem aktywny, bo ktoś mnie zauważył. A bycie zauważonym, kiedy ma się czternaście lat i siedzi się w swoim pokoju, jest jedną z najmocniejszych nagród, jakie można otrzymać.

Uczę się podstaw — jak sprawdzić czyjś numer IP, jak wygenerować spam, jak wygląda skrypt rozmowy z operatorem telekomunikacyjnym.

Ktoś mnie chwali. Ktoś mnie widzi.

Staję się częścią grupy. Naprawdę należę.

I zaczyna się eskalacja.

Każdy krok wydaje się naturalny. Każdy krok to tylko jeden mały krok ponad poprzedni — nigdy przepaść, zawsze zaledwie próg. Nikt nie mówi ci pierwszego dnia: „Teraz będziesz terroryzował dziewięciolatki.” Mówią: „A wiesz, że możesz zarobić tu parę dolców?”

I zarabiasz.

I kolejny krok jest łatwiejszy. Bo już przekroczyłeś poprzedni i nic się nie stało. Bo pieniądze są realne i natychmiastowe. Bo grupa cię chwali. Bo czujesz się kompetentny — może pierwszy raz w życiu w sposób, który przynosi namacalne dowody.

Psycholodzy badający radykalizację — w każdym jej rodzaju, od ekstremizmu politycznego po przestępczość zorganizowaną — nazywają ten proces escalation through normalization: eskalacja przez normalizację. Każdy kolejny krok nie wygląda jak przekroczenie granicy, bo granica przesunęła się już wcześniej. Nikt nie skacze przez przepaść. Wszyscy idą przez most, który był budowany pod ich stopami, krok po kroku, przez kogoś, kto wiedział dokąd prowadzi.

VI.3. Telegram — infrastruktura zbrodni

Po przejęciu RaidForums przez FBI w 2022 roku ekosystem przeniósł się masowo na Telegram.

To nie był przypadkowy wybór.

Telegram jest dla The Com tym, czym giełda papierów wartościowych jest dla finansów — centralnym miejscem, gdzie wszystko się odbywa, gdzie wszystko ma cenę, gdzie wszystko można kupić, sprzedać i wymienić. Różnica jest taka, że giełda papierów wartościowych działa pod nadzorem regulatora. Telegram — przez długi czas — nie działał pod nadzorem nikogo.

Powodów jest kilka. Szyfrowanie end-to-end w tajnych czatach sprawia, że nawet Telegram nie może odczytać treści rozmów. Brak weryfikacji tożsamości przy rejestracji oznacza, że konto można założyć na prepaidową kartę SIM kupioną gotówką, bez żadnego śladu prowadzącego do prawdziwej osoby. Możliwość tworzenia kanałów i grup bez limitu uczestników pozwala na operacje w skali niemożliwej na żadnym innym porównywalnym narzędziu. Możliwość prowadzenia botów automatyzuje cały cykl operacyjny — od rekrutacji przez szkolenie po dystrybucję narzędzi.

Na Telegramie działa dosłownie wszystko: sprzedaż skradzionych danych, rekrutacja nowych członków, szkolenia z technik manipulacji, aukcje kryptowalut, wymiana narzędzi hakerskich, organizacja SIM swapów, planowanie swattingu, handel materiałami z seksualnym wykorzystaniem dzieci.

Jeden kanał. Tysiące subskrybentów. Żadnej widoczności dla policji bez nakazu sądowego — a nakaz sądowy wymaga współpracy platformy — a współpraca platformy wymaga czasu — a czas w cyberprzestępczości to waluta sama w sobie.

Zbyt wolno.

Warto dodać, że od 2024 roku Telegram — pod presją europejskich regulatorów i po aresztowaniu swojego założyciela Pawła Durowa we Francji w sierpniu 2024 roku — zaczął ostrożnie zmieniać politykę moderacji treści i współpracy z organami ścigania. To zmiana realna, ale — jak dotąd — niewystarczająca. Ekosystem przestępczy adaptuje się szybciej, niż platforma zmienia politykę. I wie, że zawsze istnieje kolejna platforma za horyzontem.

VI.4. Kryptowaluta — paliwo, które pali trudno gasić

Bitcoin jest często kojarzony z wolnością finansową, decentralizacją, anarcho-libertariańskim marzeniem o pieniądzu poza kontrolą rządów i banków.

The Com widzi w kryptowalutach coś prostszego: anonimową walutę do przesyłania i prania zysku z kradzieży. Walutę, która nie wymaga konta bankowego, nie wymaga nazwiska, nie zostawia papierowego śladu w żadnej szufladzie żadnego oddziału żadnego banku.

Liczby mówią same za siebie. IC3 — Internet Crime Complaint Center FBI — w raporcie rocznym za 2024 rok dokumentuje, że całkowite straty z przestępstw kryptowalutowych zgłoszone do FBI przekroczyły 5,6 miliarda dolarów. Rok wcześniej, w 2023 roku, było to 3,9 miliarda. Wzrost o ponad czterdzieści procent w ciągu jednego roku.

Czterdzieści procent.

Rok do roku.

To nie jest zjawisko marginalne. To jest jedna z najszybciej rosnących form przestępczości finansowej w historii.

Kryptowalutowe portfele są trudniejsze do śledzenia niż klasyczne transfery bankowe — ale nie niemożliwe. Mixery i tumblery zaciemniają ślad transakcji, rozbijając je na dziesiątki małych operacji przez dziesiątki pośrednich portfeli. Sieci takie jak Monero zostały zaprojektowane ze strukturalną anonimowością jako podstawową właściwością — nie jako dodatek, lecz jako cel.

Ale nie są niewidoczne.

FBI potrafi śledzić kryptowaluty — i udowodniło to wielokrotnie. W sprawie Noaha Urbana agenci przejęli bezpośrednio z jego komputera w Palm Coast kryptowaluty o wartości 2,89 miliona dolarów. W sprawach Silk Road, BTC-e i dziesiątkach innych operacji udowodnili, że blockchain — paradoksalnie — zostawia bardziej trwały ślad niż gotówka. Każda transakcja jest zapisana na zawsze. Pytanie tylko, czy organy ścigania mają czas, narzędzia i zasoby, żeby ją prześledzić.

Niekiedy mają.

Częściej — nie zdążają.

A w ekosystemie The Com liczy się to, co zawsze: tempo. Kto jest szybszy. Kto zanim ktoś zdąży zareagować, zdążył już przenieść środki, zmienić platformę i otworzyć kolejny kanał.

Ekosystem żyje w luce między przestępstwem a reakcją.

I ta luka — wciąż — jest wystarczająco szeroka.

Część VII: Korporacyjna Ameryka nieprzygotowana. Systemowe zaniedbanie

VII.1. Help desk — najsłabsze ogniwo projektowane na porażkę

Przez lata branża cyberbezpieczeństwa inwestowała miliardy w technologię. Firewalle nowej generacji. Systemy detekcji anomalii oparte na uczeniu maszynowym. AI monitorujące ruch sieciowy w czasie rzeczywistym i reagujące na podejrzane wzorce szybciej niż jakikolwiek człowiek.

Scattered Spider omijało to wszystko jednym telefonem.

Help desk — punkt wsparcia technicznego — był i pozostaje najsłabszym ogniwem każdej korporacji. Nie dlatego, że pracownicy help desków są niekompetentni. Dlatego, że system, w którym pracują, został zaprojektowany wbrew bezpieczeństwu — i nikt tego nie naprawił.

Pracownicy help desków są szkoleni na user experience, nie na security adversarial thinking. Te dwa cele są — w kontekście manipulacji psychologicznej — strukturalnie sprzeczne. Są nagradzani za szybkie rozwiązywanie problemów, nie za podejrzliwość. Ich KPI mówi: „zamknij ticket w ciągu X minut.” Ich premię wyznacza wskaźnik satysfakcji użytkownika — czyli to, czy dzwoniący był zadowolony z rozmowy.

Kiedy dzwoni ktoś z pilną sprawą — ktoś zestresowany, ktoś, kto mówi, że szef zaraz ma spotkanie, że system nie działa, że wszystko stoi — presja systemowa nakazuje pomóc. Szybko. Sprawnie. Bez niepotrzebnych pytań, które frustrują i obniżają wskaźnik satysfakcji.

I to jest podatność, której nie naprawia żaden firewall. Bo firewall filtruje pakiety sieciowe. Nie filtruje ludzkich odruchów pomocności.

CISA w zaktualizowanym raporcie z 29 lipca 2025 roku rekomenduje konkretne działania: weryfikacja tożsamości przez callback na wcześniej zweryfikowany numer — nie na numer podany przez dzwoniącego; architektura zero-trust zakładająca, że żaden użytkownik nie jest domyślnie zaufany; szkolenia z phishing-resistance dla wszystkich pracowników, ze szczególnym naciskiem na help desk jako pierwszą linię obrony.

To są dobre rekomendacje.

Większość firm ich nie wdrożyła.

Powód jest zawsze ten sam: wdrożenie kosztuje. Kosztuje czas, pieniądze i — co najtrudniejsze — organizacyjne tarcie, które powstaje, gdy każdy reset hasła nagle wymaga dodatkowego kroku weryfikacji. Użytkownicy narzekają. Produktywność chwilowo spada. Ktoś w zarządzie pyta, czy to naprawdę konieczne.

A cyberatak czai się tuż za rogiem.

Może.

Tego „może” nie można przecenić. To jest serce problemu — nie ignorancja, nie złośliwość, lecz racjonalna, krótkowzroczna kalkulacja. Koszt wdrożenia jest pewny i natychmiastowy. Ryzyko ataku jest niepewne i odległe. W każdym cyklu budżetowym bezpieczeństwo przegrywa z kwartalnymi wynikami. I będzie przegrywać — dopóki koszt ataku nie spadnie na tych samych ludzi, którzy podejmują decyzje budżetowe.

W MGM Resorts kosztem ataku były straty przekraczające sto milionów dolarów.

Mimo to — lekcja nie została odrobiona.

VII.2. MGM i Caesars — anatomia zbiorowej amnezji

Wróćmy do jesieni 2023.

MGM Resorts. Ponad sto milionów dolarów strat. Tygodnie paraliżu. Wycieki danych milionów klientów — imiona, adresy, numery paszportów, numery ubezpieczeń społecznych. Systemy przywracane ręcznie, serwer po serwerze, podczas gdy w kasynach Las Vegas automaty do gier stały wygaszone, a goście hotelowi nie mogli wejść do własnych pokojów.

Caesars Entertainment. Okup piętnastu milionów dolarów w kryptowalutach. Cicho. Szybko. Zanim media zdążyły zapytać.

Po tych dwóch atakach — bo były to ataki przeprowadzone w odstępie tygodni przez tę samą grupę, jak gdyby na pokaz — nastąpiło to, co zawsze następuje po spektakularnych katastrofach w korporacyjnej Ameryce.

Konferencje. Eksperci. White papers.

„Musimy zmienić podejście.”

„Zero trust jest przyszłością.”

„Szkolenia, szkolenia, szkolenia.”

A potem — minął kwartał. Potem kolejny. Budżety zostały zatwierdzone. Projekty bezpieczeństwa przesunięte na dalszą kolejkę. Nowi pracownicy onboardowani w przyspieszonym trybie, bo tak wymaga efektywność operacyjna. Help deski nadal premiowane za szybkie zamykanie ticketów.

W 2024 roku Scattered Spider zaatakował kolejne firmy. W 2025 roku kolejne.

Machina korporacyjna ma krótką pamięć. Nie z powodu złej woli — lecz dlatego, że jej mechanizmy napędowe są ustawione w innym kierunku. Presja na wyniki kwartalne. Presja na user experience. Presja na szybki onboarding nowych pracowników, bo nie można czekać tygodnia na dostępy — projekt stoi. Każda z tych presji jest zrozumiała w izolacji. Razem tworzą środowisko, w którym bezpieczeństwo systematycznie przegrywa z wydajnością.

Palo Alto Networks w analizie operacyjnego playbooka Scattered Spider opisuje ataki na systemy VMware ESXi, na Azure AD, na zasoby AWS — na całą infrastrukturę chmurową, bez której współczesna korporacja nie istnieje nawet przez godzinę. To już nie jest kradzież danych. To jest możliwość paraliżu całej organizacji — zamrożenia jej procesów, zaszyfrowania jej historii, wymazania jej zdolności do działania.

Chmura miała być bezpieczna.

Okazuje się, że jest dokładnie tak bezpieczna jak pracownik help desku, który odbiera telefon w poniedziałkowy poranek i słyszy po drugiej stronie przekonujący, spokojny, natywny angielski głos z wcześniej przygotowanym skryptem.

Nic więcej.

Nic mniej.

VII.3. Gdy zagrożenie przekracza korporacje: infrastruktura krytyczna

Łatwo jest myśleć o cyberatakach jak o problemie korporacyjnym — o kradzieży danych, o wykupieniu się z ransomware’u, o wstydzących się firm, które zapłaciły okup. Trudniej jest wyobrazić sobie coś innego.

Wyobraź sobie atak na sieć energetyczną w środku zimy.

Wyobraź sobie atak na system zarządzania wodociągami miejskimi.

Wyobraź sobie atak na szpitalny system informatyczny w trakcie masowego wypadku.

World Economic Forum w „Global Cybersecurity Outlook 2026” ostrzega, że cyberataki na infrastrukturę krytyczną — energetykę, wodociągi, transport, ochronę zdrowia — stają się nową normą konfliktu hybrydowego i cyberprzestępczości zorganizowanej. Nie incydentem. Normą.

Raport wskazuje, że siedemdziesiąt dwa procent liderów biznesowych globalnie postrzega ryzyko cyberataku jako „bardzo istotne”. Ale tylko piętnaście procent firm ma plany reagowania na incydenty rzeczywiście przetestowane w symulacjach.

Piętnaście procent.

Osiemdziesiąt pięć procent ma plany w szufladach.

Plany, które zostaną otwarte po raz pierwszy wtedy, gdy będzie już za późno na ich czytanie.

To jest zaniedbanie systemowe w skali globalnej. I nie jest ono wyłącznie problemem Ameryki.

Europa inwestuje w cyberbezpieczeństwo — i robi to coraz szybciej. Wartość europejskiego rynku cyberbezpieczeństwa szacowana była w 2024 roku na blisko 67 miliardów dolarów; IDC prognozuje wzrost wydatków na bezpieczeństwo w Europie o 11,8 procent rok do roku w 2025 roku, napędzany przez presję regulacyjną NIS2, zaostrzającą się aktywność cyberprzestępczą i geopolityczne napięcia. Komisja Europejska przeznaczyła ponad 1,4 miliarda euro na granty w obszarze cyberbezpieczeństwa w ramach programu Digital Europe.

To są liczby, przy których trudno mówić o ignorancji.

I mimo to ENISA w raporcie NIS360 za 2024 rok stwierdza wprost, że wszystkie sektory objęte dyrektywą NIS2 — od energetyki przez transport po ochronę zdrowia — napotykają poważne trudności w budowaniu dojrzałości cyberbezpieczeństwa i spełnianiu wymogów regulacyjnych. Inwestycje rosną. Luki operacyjne pozostają.

Piętnaście procent firm dysponujących przetestowanymi planami reagowania to nie jest liczba specyficzna dla Ameryki.

To jest liczba globalna.

I Europa nie jest wyjątkiem — jest jej częścią.

Scattered Spider atakuje firmy anglojęzyczne — bo mówi po angielsku.

Ale techniki, które wypracował, nie wymagają angielskiego.

Wymagają tylko telefonu i kogoś, kto odbierze.

Część VIII: Twarze pod maskami. Profil sprawców

VIII.1. Kim są ludzie za nickami

Piszę „ludzie” — i to słowo jest tutaj najtrudniejsze.

Bo to są ludzie. Nie algorytmy. Nie bezosobowe wektory zagrożeń wyświetlane jako czerwone kropki na mapach prezentacji bezpieczeństwa. Ludzie z historią, z twarzami, z rodzicami, z sypialnią, w której stoi komputer.

Młodzi, przeważnie.

Biała, angielskojęzyczna klasa średnia lub robotnicza Zachodu. Dostęp do internetu od dzieciństwa — nie jako przywilej, lecz jako powietrze, coś co po prostu jest. Gry wideo jako pierwsza społeczność, pierwsza przestrzeń, w której można być kimś, kogo w szkole nikt nie widzi. Discord jako drugi dom — miejsce, gdzie znajomości są prawdziwe, choć bez twarzy, gdzie hierarchia jest zrozumiała i możliwa do zdobycia, gdzie wysiłek przekłada się bezpośrednio na status.

Noah Urban — syn Florydy. Dwadzieścia lat, Palm Coast, sprawny analitycznie umysł z dostępem do technologii i z brakiem struktury, która przekierowałaby ten umysł gdzie indziej. Gdzie indziej — to mogło być studium informatyki, praca w sektorze bezpieczeństwa, kariera w jednej z firm, które dziś ścigają ludzi takich jak on. Zamiast tego — kilka milionów dolarów w krypto i dziesięć lat w federalnym więzieniu.

Tyler Buchanan — Szkot z ambicjami nieadekwatnymi do dostępnych mu ścieżek. Urodzony w kraju, w którym możliwości legalne istnieją, ale są mniej widoczne, mniej natychmiastowe, mniej spektakularne niż dwadzieścia siedem milionów dolarów w portfelu kryptowalutowym w wieczór przed aresztowaniem na lotnisku w Palmie.

Arion Kurtaj — osiemnastolatek z Oksfordu, zdiagnozowany w spektrum autyzmu, z intelektem, który w odpowiednim systemie wsparcia mógłby robić rzeczy niewyobrażalnie cenne. Zamiast tego — hotelowy pokój, telewizor, Fire Stick i atak na Rockstar Games. Genialny. I w kompletnym, instytucjonalnym rozpadzie wszystkiego, co powinno go było złapać wcześniej.

Nie tłumaczę ich przez pryzmat trudnego dzieciństwa.

Ofiar nie obchodziło ich dzieciństwo. I słusznie — bo ból ofiary nie staje się mniejszy przez żadną biografię sprawcy.

Ale profil sprawców ma znaczenie dla prewencji. Dla zrozumienia, jak szkoła, środowisko, platforma i brak alternatyw systematycznie produkuje przestępców w miejscach, gdzie przy odrobinie innej architektury społecznej powstawaliby innowatorzy. To nie jest usprawiedliwienie. To jest diagnoza — i diagnoza jest warunkiem leczenia.

Zło nie bierze się znikąd.

Zło rośnie w lukach.

VIII.2. Kobiety w The Com — niewidzialna warstwa ekosystemu

CloudSek w swojej analizie anatomii The Com zwraca uwagę na obecność kobiet w ekosystemie — zjawisko opisywane rzadko, bo przeczy mitologicznej narracji o samotnym hackerze-mężczyźnie, który w ciemnym pokoju walczy z korporacyjnym systemem. Ta narracja jest wygodna. Jest też nieprawdziwa.

Kobiety w The Com są obecne w co najmniej trzech rolach — i granice między nimi są często płynne.

Pierwsza rola: uczestniczki aktywne. Rekruterki na platformach gamingowych i w mediach społecznościowych, budujące relacje z potencjalnymi nowymi członkami. Administratorki i moderatorki kanałów Telegram, zarządzające przepływem informacji i dostępem do zasobów. Osoby prowadzące konta social media służące do zbierania danych OSINT — profilowania ofiar, mapowania ich sieci kontaktów, ustalania, kto jest cel i jak do niego dotrzeć.

Druga rola: ofiary wciągnięte. Kobiety, które weszły w orbitę The Com przez romantyczne relacje z jego członkami — i zostały zinstrumentalizowane. Szantażowane wiedzą o działalności partnera. Wciągane stopniowo we współpracę pod presją. Będące jednocześnie ofiarą i — w pewnym momencie — uczestniczką.

Trzecia rola: ofiary sextortion. Cel operacji, nie jej sprawcy. Kobiety i dziewczynki, których intymne wizerunki stały się walutą szantażu — niezależnie od tego, czy były pełnoletnie, czy nie.

Ekosystem jest płynny. Role się nakładają. Ta sama osoba może przez rok przechodzić wszystkie trzy stany — i w żadnym momencie nie mieć pełnej świadomości, gdzie się naprawdę znajduje.

To jest może najcichszy wymiar The Com: nie spektakl, nie korporacyjny paraliż, nie kryptowalutowy okup. Lecz to, co dzieje się z konkretnymi kobietami, które znalazły się zbyt blisko tego ekosystemu — i nie miały ani wiedzy, ani infrastruktury, żeby się z niego wydostać.

Granica między ofiarą a sprawcą jest w The Com niekiedy dramatycznie cienka.

I nikt nie powiedział im, że przekroczyły.

VIII.3. Trzynaste urodziny — próg, którego nikt nie pilnuje

Trzynaste urodziny.

Discord i większość platform społecznościowych wymaga trzynastu lat jako minimalny wiek rejestracji. Trzynaście lat — arbitralna data, wynikająca z amerykańskiego prawa COPPA chroniącego prywatność dzieci w sieci, a nie z jakiegokolwiek badania psychologicznego mówiącego, że trzynastolatek jest gotowy na niekontrolowany kontakt z ekosystemami, o których piszę w tym tekście.

W tym samym roku, w którym dziecko może legalnie założyć konto na Discordzie — jest już w pełnym zasięgu rekruterów The Com.

Badacze cyberprzestępczości mówią o radicalization funnel — lejku radykalizacji analogicznym do tego, który opisuje się przy islamskim ekstremizmie czy prawicowym terroryzmie. Analogia nie jest przypadkowa ani prowokacyjna. Jest precyzyjna: mechanizm jest ten sam. Izolacja, poczucie wyjątkowości, stopniowe zacieranie granic, eskalacja przez normalizację, wspólnota jako podstawowe źródło tożsamości i wartości.

Droga wygląda tak:

Forum gamingowe — pierwsze miejsce, gdzie jest dobrze, gdzie ktoś mówi twoim językiem.

Serwer Discord z zaproszeniem do ekskluzywnego kanału — wyróżnienie, bycie wybranym spośród tłumu.

Nauka podstaw — jak sprawdzić czyjś numer IP, jak wygenerować spam, jak wygląda skrypt rozmowy z operatorem. Wiedza jako waluta i klej społeczny.

Uczestnictwo w mniejszych akcjach — pierwszy krok po drugiej stronie. Mały. Prawie niewidoczny.

Coraz poważniejsze operacje — każda logiczna w kontekście poprzedniej.

Każdy krok jest mały.

Każdy krok wydaje się odwracalny.

Aż nagle nie jest.

I nikt — ani rodzic, który nie wiedział, na jakim serwerze spędza czas jego dziecko, ani nauczyciel, który nie miał narzędzi ani języka, żeby rozmawiać o tym, co dzieje się online, ani platforma, która tylko sprawdziła, że użytkownik podał datę urodzenia wskazującą na trzynaście lat — nikt w tym momencie nie stał przy drzwiach.

Drzwi były otwarte.

I ktoś stał po drugiej stronie, żeby je otworzyć jeszcze szerzej.

Część IX: System, który zawodzi. Prawo i jego granice

IX.1. Jurysdykcja — asymetria, której prawo nie naprawiło

The Com działa globalnie.

Prawo działa lokalnie.

To zdanie brzmi jak banał. Jest fundamentem problemu.

Przestępca siedzący w Anglii atakuje firmę w Nevadzie za pomocą serwera proxy w Rumunii, płatność odbiera w Bitcoinie przemieszanym przez mixer zarejestrowany na Seszelach, a rozmowy prowadzi przez serwer Telegrama zarejestrowany w Dubaju.

Które prawo ma zastosowanie?

Który prokurator ma właściwe kompetencje?

Kto wystawia nakaz?

Kto go egzekwuje — i na podstawie jakiej umowy, w jakim języku, w jakim terminie?

Odpowiedź brzmi: wszyscy i nikt jednocześnie. I właśnie ta odpowiedź jest największym prawnym darem, jaki współczesny porządek prawny nieświadomie wręczył ekosystemom takim jak The Com.

Umowy o ekstradycji między krajami są powolne, biurokratyczne i politycznie skomplikowane nawet między sojusznikami. Tyler Buchanan zatrzymany na Majorce w czerwcu 2024 roku czekał miesiące na formalne procedury ekstradycyjne między Wielką Brytanią, Hiszpanią i Stanami Zjednoczonymi — trzema krajami, które teoretycznie mają zbliżone systemy prawne, wspólne wartości i wzajemne umowy o współpracy w sprawach karnych.

Miesiące.

A w tym czasie ekosystem żył dalej. Rekrutował. Szkolił. Atakował. Zarabiał.

Każda operacja policyjna, która kończy się sukcesem — bo niektóre kończą się sukcesem, i należy to doceniać — wymaga koordynacji między agencjami z różnych krajów, różnych systemów prawnych, różnych kultur instytucjonalnych, często operujących na różnych systemach informatycznych, które nie rozmawiają ze sobą bez pośrednika. Każdy taki sukces jest wynikiem ogromnego wysiłku dyplomatycznego i proceduralnego.

Ekosystem przestępczy nie potrzebuje żadnej dyplomacji.

Wystarczy Telegram i kryptowaluta.

Asymetria jest strukturalna. I dopóki nie zostanie zaadresowana — nie przez kolejny raport, lecz przez konkretne zmiany w architekturze prawnej współpracy międzynarodowej — każde aresztowanie będzie wyjątkiem potwierdzającym regułę bezkarności.

IX.2. Wyroki — rachunek, który nie odstraszy

Noah Urban dostał dziesięć lat.

To dużo.

Naprawdę dużo — jeśli patrzymy na to oczami systemu, który traktuje karę jako odpowiedź proporcjonalną do szkody. Dziesięć lat życia za lata wyrządzonej krzywdy. Trzynaście milionów dolarów grzywny za kilkanaście milionów ukradzionych.

Ale pytanie, które musi zostać zadane — nawet jeśli jest niewygodne — brzmi inaczej: czy ktokolwiek w The Com zmienił zachowanie z powodu wyroku Urbana?

Badania kryminologiczne dotyczące cyberprzestępczości są w tej kwestii konsekwentnie pesymistyczne. Efekt odstraszający wyroków działa tylko wtedy, kiedy sprawca — w momencie podejmowania decyzji — postrzega ryzyko złapania jako wysokie i realne. Nie w teorii. Nie jako abstrakcyjną możliwość. Jako prawdopodobieństwo, z którym liczy się w swojej codziennej kalkulacji.

W ekosystemie The Com ta kalkulacja wygląda inaczej.

Setki operacji nigdy nie prowadzą do aresztowania. Anonimowość jest technologicznie zakorzeniona — przez kryptowaluty, Tor, prepaidowe SIM-y, łańcuchy proxy. Sukcesy policji są widoczne i komentowane, ale success stories przestępców — te, które nigdy nie zakończyły się wyrokiem — krążą po kanałach Telegrama jako dowód, że można. Że wielu innych robi to samo i żyje dobrze.

Dwudziestolatek kalkuluje: dziesięć procent szansy na złapanie. Dziesięć procent szansy na wyrok po złapaniu. Przy dwudziestu siedmiu milionach dolarów w portfelu kryptowalutowym.

To nie jest odstraszające.

To jest ryzyko biznesowe — i to nie szczególnie wysokie jak na branżę.

Warto powiedzieć to wprost, bo system wymiaru sprawiedliwości zbyt długo opiera strategię wobec cyberprzestępczości na założeniu, że dłuższy wyrok jest rozwiązaniem. Nie jest. Nie dlatego, że przestępcy są głupi albo niemoralni — lecz dlatego, że efekt odstraszający działa przez prawdopodobieństwo złapania, nie przez długość wyroku po złapaniu. Krótki wyrok z wysokim prawdopodobieństwem egzekucji odstraszy bardziej niż długi wyrok z prawdopodobieństwem marginalnym.

A prawdopodobieństwo złapania w The Com jest wciąż — mimo wszystkich sukcesów organów ścigania — marginalnym.

IX.3. Czego wymaga skuteczna odpowiedź — i dlaczego to nie jest kwestia technologii

CISA w raporcie z 2025 roku rekomenduje konkretne kroki techniczne i proceduralne: rezygnację z weryfikacji SMS na rzecz sprzętowych kluczy bezpieczeństwa FIDO2; zasadę call-back verification dla każdego resetu hasła lub MFA — dzwonienie z powrotem na wcześniej zarejestrowany numer, nie na ten podany przez dzwoniącego; ograniczenie uprawnień help desku do absolutnego minimum; monitorowanie masowego pobierania danych z sieci korporacyjnych; regularne symulacje phishingowe dla wszystkich pracowników.

IC3 — Internet Crime Complaint Center FBI — zachęca ofiary do raportowania każdego incydentu, nawet tego, który wydaje się zbyt błahy lub zbyt wstydliwy, żeby zgłaszać. Bo każde zgłoszenie buduje obraz sieci. Każde połączenie między danymi ofiary a danymi sprawcy może być elementem, który w końcu domknie układankę i umożliwi aresztowanie.

To są właściwe rekomendacje.

I nie są wystarczające.

Efektywna odpowiedź na The Com wymaga czegoś, czego żaden raport techniczny nie może wyprodukować: zrozumienia, że ta walka toczy się przede wszystkim w ludzkim mózgu. Nie w kodzie. Nie w protokole. W mózgu.

W mózgu pracownika help desku, który odebrał telefon o siódmej rano i słyszy pilny, naturalny, anglojęzyczny głos z prośbą o pomoc.

W mózgu trzynastolatka, który od trzech miesięcy rozmawia każdego wieczoru z kimś, kto go rozumie — i który teraz prosi o zdjęcie.

W mózgu dyrektora IT, który kolejny kwartał odkłada wdrożenie zero-trust, bo projekt infrastrukturalny jest pilniejszy i budżet jest napięty i nikt jeszcze nie zaatakował tej konkretnej firmy.

W mózgu dziecka, które dostało wiadomość z groźbą i nie wie, komu o tym powiedzieć.

Technologia może zmniejszyć powierzchnię ataku. Może utrudnić, spowolnić, podnieść koszt. Ale nie może naprawić ludzkiej ufności, ludzkiego zmęczenia, ludzkiej potrzeby przynależności, ludzkiego strachu przed wstydem. Tych rzeczy nie naprawia firewall.

Naprawia je — jeśli w ogóle cokolwiek naprawia — edukacja. Nie jako jednorazowy slajd na szkoleniu BHP. Jako trwałe wyposażenie człowieka w rozumienie mechanizmów, przez które jest atakowany. Jako rozmowa z dzieckiem — nie jedna, nie przy okazji afery w wiadomościach, lecz systematyczna, zanim wydarzy się coś, o czym dziecko nie będzie wiedziało, jak powiedzieć.

I jako polityka.

Jako decyzje regulacyjne, które zmuszą platformy do odpowiedzialności za to, co na nich rośnie. Jako standardy weryfikacji tożsamości, które operatorzy telekomunikacyjni będą musieli stosować — nie dlatego, że chcą, lecz dlatego, że prawo im nie pozwoli inaczej.

Bo czekanie na dobrą wolę ekosystemu, który zarabia na braku tych standardów, jest strategią, której skuteczność widzieliśmy przez ostatnie dziesięć lat.

Część X: Europejska perspektywa. Czy jesteśmy bezpieczni?

X.1. Nie ma europejskiej wyspy bezpieczeństwa

Chciałbym ci powiedzieć, że Europa jest bezpieczna.

Nie mogę.

The Com działa globalnie. Angielskojęzyczne grupy atakują korporacje wszędzie, gdzie korporacje istnieją. Europejscy pracownicy odbierają telefony. Europejscy nastolatkowie grają na Discordzie. Europejska infrastruktura krytyczna — energetyczna, finansowa, transportowa — jest podłączona do tej samej sieci, której luki Scattered Spider mapuje z cierpliwością drapieżnika.

Zacznijmy od Francji, bo to tu piszę te słowa — i bo Francja jest pod tym względem szczególnie wymownym przykładem.

ANSSI — Agence nationale de la sécurité des systèmes d’information, francuska agencja ds. cyberbezpieczeństwa — w swoim Panoramie de la cybermenace 2024 odnotowała 4 386 zdarzeń bezpieczeństwa, z czego 1 361 zakwalifikowano jako poważne incydenty. Wzrost o piętnaście procent w stosunku do roku poprzedniego. Platforma Cybermalveillance.gouv.fr — rządowy serwis pomocy dla ofiar cyberataków — przekroczyła w 2025 roku pół miliona obsłużonych ofiar: wzrost o dwadzieścia procent rok do roku. Liczba przedsiębiorstw szukających pomocy wzrosła o siedemdziesiąt trzy procent.

Siedemdziesiąt trzy procent.

W ciągu jednego roku.

Naruszenia danych zgłoszone do CNIL — francuskiego odpowiednika UODO — osiągnęły w 2024 roku 5 629 przypadków, o dwadzieścia procent więcej niż rok wcześniej. Liczba incydentów dotykających ponad milion osób podwoiła się. Najtragiczniejszy przykład: atak na France Travail — urząd pracy — z marca 2024 roku, który skompromitował dane czterdziestu trzech milionów obywateli. Czterdzieści trzy miliony. Niemal dwie trzecie populacji Francji.

Nie jesteśmy celem specjalnym.

Jesteśmy celem zwykłym.

I to jest właśnie najgorsze w tej informacji — nie spektakularność, lecz banalność. Francja nie znalazła się na celowniku dlatego, że ktoś podjął szczególną decyzję. Znalazła się tam dlatego, że jest duża, jest połączona, ma nowoczesną infrastrukturę cyfrową i ma ludzi odbierających telefony.

Obraz nie jest wyjątkowy dla Francji. Niemcy, Niderlandy, Polska, Szwecja, Włochy — każdy kraj UE ma swój własny odpowiednik tej statystyki. ENISA w swoich raportach dokumentuje systematyczny wzrost incydentów we wszystkich sektorach na całym kontynencie. Europa nie jest wyspą. Europa jest lądem stałym — i morze, które ją otacza, nie zatrzymuje zagrożeń, które nie potrzebują łodzi.

X.2. Europejskie dzieci online

Europejskie dzieci są online.

To zdanie jest tak banalne, że trudno je napisać.

A jednak.

Badania EU Kids Online wskazują, że ponad osiemdziesiąt pięć procent dzieci w wieku 9–16 lat w Europie korzysta z internetu codziennie. Ponad połowa ma własny smartfon przed ukończeniem jedenastego roku życia. We Francji statystyki są zgodne z europejską normą — a niekiedy ją przekraczają: według badań CREDOC ponad sześćdziesiąt procent francuskich dzieci w wieku od dziesięciu do dwunastu lat jest aktywnych na platformach społecznościowych, które oficjalnie wymagają trzynastu lat.

Discord. TikTok. Roblox. Minecraft. Fortnite.

To są miejsca, gdzie dzieci spędzają czas.

To są miejsca, gdzie rekruterzy The Com — i sprawcy sextortion — szukają ofiar.

Mechanizm opisany przez FBI nie jest specyficzny dla anglosaskiego kręgu kulturowego. Nie operuje w języku angielskim, bo wymaga języka angielskiego — operuje w nim, bo tak mówi The Com. Ale rekruter mówiący po francusku, po polsku, po niemiecku lub po włosku, używający dokładnie tego samego skryptu, dokładnie tego samego lejka rekrutacyjnego, który opisałem w Części VI — istnieje. Ekosystem lokalnych imitatorów rośnie tam, gdzie rośnie świadomość, że model działa.

A my jesteśmy połączeni.

Wszyscy.

Dyrektywa NIS2 — unijna regulacja dotycząca bezpieczeństwa sieci i systemów informacyjnych, która weszła w życie w 2023 roku i nakłada na państwa członkowskie obowiązek wdrożenia standardów cyberbezpieczeństwa do końca 2024 roku — jest krokiem w dobrym kierunku. Ale dyrektywa dotyczy infrastruktury. Nie dotyczy jedenastolatki na Robloxie, która dostała zaproszenie od kogoś, kto twierdzi, że ma trzynaście lat i interesuje się tymi samymi grami.

Prawo może regulować serwery.

Nie może zastąpić rozmowy.

X.3. Co możemy zrobić — i czego nie możemy dalej odkładać

Zanim wpadnę w ton poradnikowy — którego szczerze nie znoszę, bo sprawia, że tragedie wyglądają jak nieodrobione zadania domowe — chcę powiedzieć jedno:

Wiedza nie wystarczy.

Można wiedzieć wszystko o SIM swappingu i odebrać telefon od kogoś, kto brzmi przekonująco i mówi, że dzwoni z banku, że to rutynowa weryfikacja, że wystarczy podać kod z SMS-a.

Można wiedzieć wszystko o sextortion i być dzieckiem, które jest samotne, i dostaje od kogoś uwagę. Prawdziwą, ciepłą, codzienną uwagę. Przez miesiące.

Wiedza jest konieczna.

Ale nie wystarczająca.

Potrzebna jest infrastruktura bezpieczeństwa. Systemowa. Wykraczająca poza indywidualną odpowiedzialność — bo indywidualna odpowiedzialność to jest to, co zawodzi jako pierwsze, kiedy ktoś jest zmęczony, przestraszony lub ma jedenaście lat.

Operatorzy telekomunikacyjni — Orange, SFR, Bouygues, T-Mobile, Vodafone, każdy z nich w każdym europejskim kraju — muszą wdrożyć procedury anti-SIM-swap wymagające wieloetapowej weryfikacji tożsamości przy każdej prośbie o wymianę karty. Nie jako opcję. Jako standard regulacyjny, którego nie spełnienie pociąga konsekwencje prawne.

Platformy społecznościowe muszą — a nie „powinny”, muszą — ponosić realną odpowiedzialność za treści i mechanizmy rekrutacyjne, które na nich krążą. Ustawa DSA — Digital Services Act — weszła w życie w Unii Europejskiej. Jest narzędziem. Teraz kwestią jest jego egzekucja: czy KE i krajowe organy nadzorcze będą miały wolę polityczną, zasoby i szybkość reakcji wymagane do realnego nadzoru nad platformami, które mierzą swój ruch w miliardach użytkowników.

Szkoły muszą — a nie „mogłyby”, muszą — włączyć cyberbezpieczeństwo i psychologię manipulacji do programu nauczania tak samo poważnie jak matematykę. Nie jako jednorazową lekcję przy okazji Dnia Bezpiecznego Internetu. Jako strukturalną kompetencję — taką samą jak umiejętność czytania. Bo cyfrowy świat nie jest środowiskiem opcjonalnym dla dzieci urodzonych po 2010 roku. To jest ich powietrze. I powinny wiedzieć, czym oddychają.

I rządy — europejskie, każdy z osobna i UE jako instytucja — muszą traktować ekosystemy takie jak The Com jako zagrożenie terrorystyczne, nie tylko kryminalne. Nie dlatego, że to słowo brzmi poważniej. Dlatego, że traktowanie zjawiska jako terroryzmu uruchamia inne zasoby, inną koordynację służb i inną pilność reakcji politycznej.

FBI już tak je traktuje.

Europol ma narzędzia, ale wciąż za mało mandatu.

My — jako obywatele, jako rodzice, jako pracownicy firm i jako wyborcy — mamy prawo wymagać, żeby to się zmieniło.

I mamy odpowiedzialność, żeby tego wymagać głośno.

Część XI: Przyszłość. Dokąd to zmierza

XI.1. AI — kiedy narzędzie staje się multiplikatorem

Raport WEF Global Cybersecurity Outlook 2026 wskazuje na sztuczną inteligencję jako fundamentalny mnożnik siły dla cyberprzestępców.

Nie metaforyczny.

Dosłowny.

Zacznijmy od tego, co już się dzieje — bo nie mówimy tu o przyszłości science fiction, lecz o teraźniejszości udokumentowanej w aktach sądowych i raportach wywiadowczych.

Deepfake audio pozwala na stworzenie przekonującego klonu głosu dyrektora finansowego — na podstawie nagrania trwającego trzydzieści sekund, dostępnego publicznie z wywiadu na YouTube lub podcastu. Ten klon dzwoni do pracownika działu finansów z poleceniem natychmiastowego przelewu. Głos brzmi znajomo. Intonacja jest właściwa. Stres w głosie jest odpowiedni — bo AI nauczyła się go z nagrań. Pracownik słyszy szefa, któremu ufa.

Deepfake wideo idzie krok dalej: wideo konferencja z „prawdziwą twarzą” szefa, z prawdziwymi twarzami kilku kolegów. Wszyscy siedzą przy wirtualnym stole. Wszyscy mówią. Wszyscy patrzą prosto w kamerę.

W 2024 roku pracownik hongkońskiej firmy przelał dwadzieścia pięć milionów dolarów po tym, jak uczestniczył właśnie w takiej wideokonferencji.

Wszyscy uczestnicy byli fałszywi.

Wszyscy wyglądali prawdziwie.

Wszystkie dwadzieścia pięć milionów dolarów znikło.

To nie jest skrajny, wyjątkowy przypadek, który przytoczyłem dla efektu dramatycznego. To jest demonstracja kierunku — i kierunek jest jasny. The Com już eksperymentuje z AI-generowanymi skryptami do vishingu: personalizowanymi na podstawie danych OSINT z LinkedIn, z mediów społecznościowych, z publicznych profili firmowych. Skrypt wie, jak się nazywa twój szef. Wie, jak mówi. Wie, jakich słów używa w e-mailach, bo przejrzał jego publiczne posty i profile przez ostatnie trzy lata.

Już niedługo możliwe będzie w pełni zautomatyzowane dzwonienie na help deski przez boty, które brzmią jak ludzie, mówią jak ludzie i nigdy — dosłownie nigdy — nie zmęczą się powtarzaniem tego samego skryptu przez dwanaście godzin dziennie.

Kiedy to nastąpi w skali — a to jest pytanie „kiedy”, nie „czy” — liczba ataków nie wzrośnie dwukrotnie ani dziesięciokrotnie. Wzrośnie w sposób, którego obecne modele reagowania nie są w stanie obsłużyć. Bo obecne modele zakładają, że atakujący jest człowiekiem, który potrzebuje czasu, który popełnia błędy, który śpi.

Bot nie śpi.

Bot nie popełnia błędów.

Bot może przeprowadzić dziesięć tysięcy ataków vishingowych jednocześnie — i dla każdego z nich brzmi jak pierwszy i jedyny rozmówca, który poświęca pełną uwagę.

XI.2. Po rozbiciu — co naprawdę zostaje

Po aresztowaniach Urbana, Buchanana i innych członków Scattered Spider media napisały o „rozbiciu grupy”. Nagłówki były triumfalne. Komunikaty prasowe FBI — szczegółowe i satysfakcjonujące. Coś zostało zrobione.

I zostało.

Ale tytuły nagłówków wymagają doprecyzowania — bo rozróżnienie, które się za nimi kryje, jest fundamentalne dla zrozumienia, z czym mamy do czynienia.

Scattered Spider jako konkretna, zidentyfikowana konfiguracja ludzi, nicków i infrastruktury — rozpadło się. Urban jest w więzieniu. Buchanan czeka na wyrok. Inni zniknęli z widocznych kanałów. Ta konkretna konstelacja nie istnieje.

The Com jako ekosystem — nie rozpadł się. Nie osłabł w żaden mierzalny sposób. Nie zmniejszył liczby ataków. Nie przestał rekrutować.

CloudSek dokumentuje, że grupy operacyjnie powiązane z The Com działają teraz pod nowymi nazwami, z nowymi rekrutami werbowanymi przez kanały, których poprzednia infrastruktura nie obejmowała, z przeorganizowaną architekturą komunikacyjną dostosowaną do wniosków wyciągniętych z błędów Scattered Spider.

Nowe konta Telegram.

Nowe fora.

Nowi rekruci, którzy nigdy nie słyszeli nazwy Scattered Spider — ale znają ten sam playbook, bo ktoś im go przekazał, bo istnieje jako know-how ekosystemu, nie jako własność jednej grupy.

Ten sam playbook.

Lepiej ukryty.

Mycelium nie umiera, kiedy wytniesz jeden grzyb. Rośnie wokół cięcia. Adaptuje się. Zapamiętuje, gdzie było niebezpiecznie. Omija to miejsce przy następnym wzroście.

Aresztowania mają wartość — dla ofiar, dla sprawiedliwości, dla wyraźnego sygnału, że bezkarność nie jest absolutna. Nie należy tego umniejszać.

Ale aresztowania nie są strategią.

Są koniecznym elementem odpowiedzi na zjawisko, które wymaga odpowiedzi systemowej — nie reaktywnej.

XI.3. Generacja Alpha — wewnątrz, nie naprzeciw

Dzieci urodzone po 2010 roku — generacja Alpha — są pierwszą generacją, dla której internet istniał przed świadomym wspomnieniem.

Nie „wchodzą” do internetu.

Są w internecie.

To zdanie brzmi prosto. Jego konsekwencje są rewolucyjne — i wciąż niedostatecznie zrozumiane przez wszystkich, którzy w imieniu tej generacji podejmują decyzje.

Dla dorosłego, który wychował się bez internetu i wszedł w niego jako nastolatek lub młody dorosły, internet jest miejscem, do którego się idzie i z którego się wraca. Jest przestrzenią wydzieloną — oddzieloną od realnego życia przez gest kliknięcia i otwarcia przeglądarki. Można ją zamknąć. Można od niej odejść. Ma granicę.

Dla dziecka urodzonego po 2010 roku ta granica nie istnieje. Internet nie jest miejscem, do którego się idzie. Jest powietrzem, którym się oddycha — niewidzialnym, wszechobecnym, niezbędnym. Przyjaciel z Discorda jest tak samo realny jak przyjaciel z klasy — bo obaj istnieją na tym samym poziomie codziennego doświadczenia. Reputacja zbudowana w grze jest tak samo ważna jak reputacja zbudowana w szkolnym korytarzu. Zagrożenie, które przychodzi przez ekran, jest tak samo realne jak zagrożenie, które przychodzi przez drzwi.

Ekosystemy takie jak The Com powstawały, rosły i rozwijały się wewnątrz tej generacji. Nie jako zewnętrzne zagrożenie, które „wchodzi” do ich świata. Jako część ich świata — naturalny element środowiska, tak jak naturalnymi elementami środowiska były rówieśnicza presja i szkolny mobbing dla poprzednich generacji. Tyle że rówieśnicza presja kończyła się za szkolną bramą.

The Com nie kończy się nigdzie.

Starsze pokolenia pytają: „Jak to możliwe, że dziecko daje się wciągnąć?”

Jest w tym pytaniu nieuświadomione założenie: że istnieje moment graniczny, wyraźna decyzja, jeden krok ponad linię, po którym wszystko się zmienia. Że dziecko „daje się wciągnąć” jak wciąga się ofiarę w zasadzkę — nagle, wbrew woli, z pełną świadomością, że coś złego się dzieje.

Generacja Alpha odpowiedziałaby inaczej: „Jak to jest możliwe, że pytasz w sposób, który zakłada, że jest jakiś wyraźny moment wciągnięcia?”

Nie ma momentu.

Jest ciągłość.

Stopniowe, niezauważalne przesunięcie środowiska — jak wzrost temperatury w pomieszczeniu, którego nie zauważasz, bo zmiany są zbyt małe, żeby każda z osobna wyzwoliła alarm. I nie ma chwili, którą można wskazać palcem i powiedzieć: tutaj. W tym momencie przekroczyłeś.

I to jest najstraszniejsza prawda o The Com — i o wszystkich ekosystemach, które rosną wewnątrz pokoleń zamiast naprzeciw nich.

Nie możemy na nie czekać przy bramie.

Musimy być w środku — jako rodzice, jako pedagodzy, jako decydenci — z wiedzą, językiem i obecnością, które pozwolą nam być rozpoznawalnymi nawet w miejscach, do których nas nie zaproszono.

Albo zostaniemy przy bramie.

I będziemy się dziwić, że nikt przez nią nie wyszedł.

Część XII: Ciszy nie będzie — Epilog

Próbowałem skończyć pisanie tego tekstu kilka razy.

Za każdym razem wracałem.

Bo nie mogłem tego zostawić.

Bo zawsze znajdzie się jeszcze jeden raport. Jeszcze jeden wyrok. Jeszcze jeden areszt. Jeszcze jedna ofiara, której danych nie opublikowano, bo sprawa jest w toku. Jeszcze jeden dziewięciolatek, którego nikt jeszcze nie zidentyfikował.

To jest los każdego, kto pisze o tych rzeczach: nie ma domknięcia. Nie ma rozwiązania, które możesz podać czytelnikowi jak lek. Nie ma szczęśliwego końca, który pozwoliłby wam obojgu odetchnąć i zamknąć książkę z poczuciem, że świat jest właściwy i poradzi sobie bez Twojej uwagi.

Jest tylko raport FBI leżący na biurku. I jedno zdanie, które zmienia oddech.

I ty też to zdanie czytasz właśnie teraz.

I ty też to wiesz.

Przez lata w tej pracy nauczyłem się jednego: obojętność nie jest brakiem uczuć. Obojętność jest decyzją. Codzienną, ponawianą, często nieświadomą decyzją, żeby nie patrzeć. Żeby nie pytać. Żeby nie wiedzieć.

Bo wiedza zobowiązuje.

A my — jako społeczeństwo, jako kultura, jako cywilizacja, która zbudowała internet i oddała go dzieciom bez instrukcji obsługi — wybraliśmy niewiedzę. Wybraliśmy komfort ignorancji. Wybraliśmy, żeby algorytmy decydowały, co widzimy, co czujemy, co uważamy za ważne — i w tej selekcji The Com był zawsze zbyt ciemny, zbyt techniczny, zbyt odległy, żeby trafić do świadomości dopóki nie stał się czyimś problemem.

Dopóki nie stał się Twoim problemem.

I w tej ignorancji wyrósł The Com.

Nie z próżni.

Z nas.

Noah Urban ma wyrok: dziesięć lat federalnego więzienia i trzynaście milionów dolarów grzywny. Siedzi. System zadziałał — wolno, z opóźnieniem, z kosztami, których ofiary zapłacić nie powinny były. Ale zadziałał.

Tyler Buchanan czeka na wymiar kary po przyznaniu się do winy w lutym 2025 roku. Kryptowaluty zabezpieczone. Dwadzieścia siedem milionów dolarów w aktach sprawy.

Brytyjczyk związany ze Scattered Spider przyznał się do winy przed sądem w Wielkiej Brytanii wiosną 2026 roku. Kolejna szpila wbita w ekosystem.

Ale ekosystem żyje.

Ekosystem rekrutuje.

Ekosystem adaptuje.

I każda szpila, którą wbijamy, jest prawdziwym sukcesem — i każda jest zaledwie jedną szpilą w organizm, który nauczył się rosnąć wokół bólu.

Chcę ci powiedzieć coś, czego nie nigdy nie piszę na końcu swoich tekstów. Coś, co jest zbyt proste, żeby brzmiało poważnie. Zbyt oczywiste, żeby wydawało się odkryciem.

Rozmawiaj ze swoimi dziećmi.

Nie pouczaj. Nie strasz. Nie blokuj i nie zakazuj — bo blokowanie i zakazywanie w świecie, gdzie każde dziecko ma smartfon od jedenastego roku życia, jest gestem bezsilności udającym kontrolę. Dziecko zablokowane w domu znajdzie The Com przez router sąsiadów. Dziecko, które może przyjść do ciebie z każdą rzeczą — może nie pójdzie tam w ogóle.

Rozmawiaj.

Pytaj, z kim rozmawiają online. Pytaj, co im się podoba na Discordzie. Pytaj, kto jest w ich ulubionym serwerze. Pytaj bez osądzania — pytaj z ciekawością, z zainteresowaniem, z autentyczną obecnością. Pytaj tak, żeby odpowiedź była możliwa, nie przestraszona. Żeby milczenie nie było bezpieczniejsze niż szczerość.

Bo jedyną rzeczą, która naprawdę działa — i to udowadniają badania, i to powtarzają zeznania ofiar, i to mówią psychologowie pracujący z dziećmi po traumie sextortion — jest to, żeby dziecko wiedziało, że może przyjść do ciebie z każdą rzeczą.

Nawet z tą, za którą się wstydzi.

Zwłaszcza z tą.

Wróćmy na chwilę do tego jednego zdania z raportu FBI.

Najmłodsza zidentyfikowana ofiara: dziewięć lat.

To zdanie istnieje w dokumencie rządowym Stanów Zjednoczonych. Zostało napisane przez agentów, którzy nie są autorami literackimi, nie szukali efektu, nie budowali narracji. Napisali je, bo zebrali dowody. Przesłuchali świadków. Udokumentowali sprawę z proceduralnością, która nie zna znieczulenia.

Gdzieś żyje dziecko, które przeżyło to, co zostało opisane w tym zdaniu.

Gdzieś są rodzice tego dziecka.

Gdzieś jest terapeuta albo psycholog, który tydzień po tygodniu próbuje pozbierać to, co zostało.

To zdanie nie jest metaforą. To zdanie jest rzeczywistością, która istnieje niezależnie od tego, czy ją czytamy.

I ta rzeczywistość powinna boleć.

Powinna boleć fizycznie.

Powinna nie dawać spać.

Jeśli nie boli — to jest właśnie ten moment, kiedy obojętność stała się wyborem.

Ekosystem The Com jest niewidzialny dla większości ludzi. Działa poza zasięgiem wzroku — w kanałach Telegrama, na forach z losowymi nazwami, w sesjach voice chatów na prywatnych serwerach Discorda, w cieniu platform, które zbudowaliśmy jako narzędzia połączenia i które ktoś inny zamienił w narzędzia polowania.

Jest wyspecjalizowany i samowystarczalny. Zdolny do regeneracji po każdym ciosie organów ścigania. Napędzany przez rekrutację, motywowany przez pieniądze, chroniony przez technologię i anonimowość, zasilany przez systemową obojętność instytucji, które powinny były zareagować wcześniej i nie zareagowały.

Ale jest jeden element, którego żaden ekosystem cyberprzestępczy nigdy nie sforsuje — dopóki nie pozwolimy mu go utracić.

Uwaga.

Twoja uwaga.

Uwaga rodzica, który pyta.

Uwaga nauczyciela, który zauważa i ma język, żeby powiedzieć to, co zauważył.

Uwaga operatora telekomunikacyjnego, który wdraża protokół weryfikacji zamiast optymalizować czas obsługi zgłoszenia.

Uwaga dyrektora IT, który nie odkłada projektu zero-trust na następny kwartał — bo wie, że następny kwartał może być za późno.

Uwaga dziennikarza, który pisze — nawet kiedy temat jest trudny, techniczny i nie generuje klikalności.

Uwaga czytelnika, który czyta do końca.

Tytuł tego artykułu mówi o niewidzialnym spuście.

Spust jest niewidzialny, bo leży w codzienności. W telefonie, który odbiera pracownik help desku w poniedziałkowy ranek i słyszy po drugiej stronie spokojny, naturalny głos z pilną prośbą. W powiadomieniu push, na które klikasz zirytowany o drugiej w nocy, bo przyszło po raz trzydziesty tego dnia i tylko chcesz żeby przestało. W wiadomości na Discordzie do samotnego dziecka, które dostaje od kogoś uwagę po raz pierwszy od tygodnia — i które nie wie, że ta uwaga ma cenę.

Niewidzialne spusty wyzwalają widzialne katastrofy.

I każda z tych katastrof — każde przejęte konto, każda skradziona tożsamość, każdy zhakowany portfel, każda sparaliżowana korporacja, każde zastraszane dziecko, każde życie, które nie wróciło już do poprzedniego kształtu po tym, jak ktoś powiedział przez telefon ich imieniem — zaczyna się od tego samego miejsca.

Od momentu, kiedy ktoś postanowił nie patrzeć.

Patrzmy.

Koniec.

Nota bibliograficzna

Tekst powstał na podstawie weryfikowanych źródeł instytucjonalnych, sądowych i branżowych. Wszystkie fakty dotyczące postępowań sądowych, wyroków, raportów rządowych i analiz branżowych oparte są na dokumentach publicznych i źródłach zweryfikowanych. Imiona i dane sprawców cytowane są wyłącznie w oparciu o oficjalne dokumenty sądowe i komunikaty prasowe organów ścigania.

I. Źródła rządowe i instytucjonalne — USA

1. CISA / FBI / NSA / MS-ISAC: Updated Advisory on Scattered Spider Group [Joint Cybersecurity Advisory], 29 lipca 2025 r. — federalny alert opisujący taktyki, techniki i procedury (TTP) grupy; rekomendacje obronne dla infrastruktury krytycznej; pełna dokumentacja operacyjna.

https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-243a (wersja pierwotna, 2023; advisory z 2025 dostępny przez portal CISA)

2. FBI Internet Crime Complaint Center (IC3): 2024 Internet Crime Report, opubl. kwiecień 2025 r. — roczny raport o cyberprzestępczości w USA; dane dotyczące strat finansowych (16,6 mld USD), kategorii przestępstw, kryptowalut (9,3 mld USD strat) i przestępstw wobec dzieci.

https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf

3. FBI IC3: Public Service Announcement — The Com, PSA nr I-072325, lipiec 2025 r. — ostrzeżenie dotyczące ekosystemu The Com, zagrożeń sextortion wobec nieletnich i powiązań cyberprzestępczości z przemocą fizyczną.

https://www.ic3.gov/PSA/2025/PSA250723 (dostęp przez portal ic3.gov)

4. FBI: Scattered Spider Technical Alert [PDF], lipiec 2025 r. — techniczny dokument operacyjny z indykatorami kompromitacji (IOC) i mapowaniem MITRE ATT&CK.

https://www.fbi.gov/investigate/cyber (dostęp przez portal FBI Cyber)

II. Źródła rządowe i instytucjonalne — Europa i Francja

5. ENISA: ENISA Threat Landscape 2024 (ETL 2024), wrzesień 2024 r. — 12. edycja rocznego raportu Europejskiej Agencji ds. Cyberbezpieczeństwa; osiem głównych kategorii zagrożeń; analiza incydentów od czerwca 2023 do lipca 2024.

https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024

6. ANSSI (Agence nationale de la sécurité des systèmes d’information): Panorama de la cybermenace 2024, luty 2025 r. — 4 386 zdarzeń bezpieczeństwa zgłoszonych do CERT-FR, wzrost o 15% r/r; analiza zagrożeń dla sektorów strategicznych Francji.

https://cyber.gouv.fr/nous-connaitre/publications/panoramas-de-la-cybermenace/panorama-de-la-cybermenace-2024/

7. Cybermalveillance.gouv.fr: Rapport d’activité 2024, 2025 r. — ponad 500 000 obsłużonych ofiar, wzrost o 20% r/r; wzrost zgłoszeń ze strony przedsiębiorstw o 73%.

https://www.cybermalveillance.gouv.fr/

8. Ministère de l’Intérieur (France): Rapport annuel sur la cybercriminalité 2024, grudzień 2024 r. — oficjalny raport o cyberprzestępczości we Francji, dane Ministerstwa Spraw Wewnętrznych.

https://www.interieur.gouv.fr/actualites/actualites-du-ministere/rapport-annuel-sur-cybercriminalite-2024

III. Wyroki sądowe i dokumentacja postępowań karnych

9. The Record (Recorded Future News): Scattered Spider member Noah Urban pleads guilty to federal charges, kwiecień 2025 r. — dokumentacja przyznania się do winy; opis zarzutów i okoliczności sprawy.

https://therecord.media/noah-urban-scattered-spider-guilty-plea

10. CyberScoop: Noah Urban sentenced to 10 years in prison for Scattered Spider-related crimes, lipiec 2025 r. — wyrok 10 lat więzienia federalnego i 13 mln USD grzywny.

https://cyberscoop.com/noah-urban-scattered-spider-sentence-10-years/

11. SecurityAffairs: Tyler Buchanan, a member of the Scattered Spider group, pleaded guilty, luty 2025 r. — przyznanie się do winy Szkota aresztowanego na Majorce; zabezpieczenie kryptowalut o wartości 27 mln USD.

https://securityaffairs.com/tyler-buchanan-scattered-spider-guilty-plea.html

12. HelpNet Security: British national pleads guilty to Scattered Spider cybercrime charges, kwiecień 2026 r. — postępowanie przed sądem w Wielkiej Brytanii; aktor operujący na terenie Europy.

https://www.helpnetsecurity.com/2026/04/scattered-spider-uk-guilty-plea/ (data dostępu: kwiecień 2026)

13. U.S. Department of Justice: Indictment — United States v. Noah Michael Urban et al. — pierwotny akt oskarżenia; dokumentacja zarzutów federalnych.

https://www.justice.gov/usao-sdfl (dostęp przez portal DOJ)

IV. Raporty branżowe i analizy firm cyberbezpieczeństwa

14. CloudSEK: The COM: Anatomy of an English-Speaking Cybercriminal Ecosystem and the Origins of Scattered Spider, Lapsus$, Hunters International, luty 2026 r. — kompleksowa analiza struktury The Com, historii OGUsers, Dark0de, RaidForums; model organizacyjny, role uczestników, łańcuch dostaw.

https://www.cloudsek.com/blog/the-com-anatomy-of-an-english-speaking-cybercriminal-ecosystem-and-the-origins-of-scattered-lapsus

15. Palo Alto Networks Unit 42: A Peek Into Muddled Libra’s Operational Playbook, luty 2026 r. — analiza maszyny wirtualnej przejętej podczas IR w 2025 roku; szczegółowy opis TTP, narzędzi i infrastruktury Scattered Spider / Muddled Libra / UNC3944.

https://unit42.paloaltonetworks.com/muddled-libra-ops-playbook/

16. Palo Alto Networks Unit 42: Threat Group Assessment: Muddled Libra (Updated May 2025), maj 2025 r. — szeroka analiza atrybutu, ewolucji grupy od 2022 do 2025, partnerstwa z RaaS.

https://unit42.paloaltonetworks.com/threat-group-assessment-muddled-libra-2024/

17. Trellix Advanced Research Center: Scattered Spider: The Modus Operandi, sierpień 2023 r. (aktualizowana) — techniczny opis taktyk: vishing, MFA fatigue, BYOVD, STONESTOP/POORTRY; mapowanie MITRE ATT&CK.

https://www.trellix.com/blogs/research/scattered-spider-the-modus-operandi/

18. Dataminr Pulse: How Scattered Spider, LAPSUS$ and Hunters International Illustrate the Evolution of Cybercrime — analiza ewolucji ekosystemu anglojęzycznej cyberprzestępczości; recruitment pipeline i modele monetyzacji.

https://www.dataminr.com/blog/scattered-spider-lapsus-cybercrime-evolution (dostęp przez portal Dataminr)

19. GBHackers: Inside Muddled Libra’s Playbook: Call Center Attacks for Initial Breach, lipiec 2025 r. — szczegółowa analiza ataków vishingowych na help deski; aktualna aktywność grupy po operacjach policyjnych.

https://gbhackers.com/inside-muddled-libras-playbook-call-center-attacks/

20. GBHackers: English-Speaking Cybercriminal Network ‘The COM’ Drives Global Disruption, listopad 2025 r. — opis współczesnego The Com jako wielofunkcyjnej ekonomii przestępczej.

https://gbhackers.com/cybercriminal-network/

V. Raporty globalne i akademickie

21. World Economic Forum: Global Cybersecurity Outlook 2026, styczeń 2026 r. — analiza makrotrendów; rola AI jako multiplikatora dla cyberprzestępców; zagrożenia dla infrastruktury krytycznej; 72% liderów biznesowych ocenia ryzyko jako „bardzo istotne”; tylko 15% firm posiada przetestowane plany reagowania.

https://www.weforum.org/publications/global-cybersecurity-outlook-2026/

22. ENISA: Report on the State of Cybersecurity in the Union 2024, listopad 2024 r. — przekrojowy raport o stanie cyberbezpieczeństwa UE; dane dotyczące incydentów w infrastrukturze krytycznej.

https://www.enisa.europa.eu/sites/default/files/2024-11/2024%20Report%20on%20the%20State%20of%20the%20Cybersecurity%20in%20the%20Union.pdf

23. EU Kids Online: Kids Online Research — europejskie badania dotyczące korzystania z internetu przez dzieci i młodzież (9–16 lat); dane dotyczące codziennego użytkowania (85%+), posiadania smartfonów, kontaktów z nieznajomymi online.

https://www.eukidsonline.net/

24. ResearchGate / Akademickie czasopisma cyberbezpieczeństwa: A Study of the Emerging Trends in SIM Swapping Crime — akademicka analiza mechanizmów SIM swappingu, skali zjawiska, luk w systemach operatorskich.

https://www.researchgate.net/publication/sim-swapping-crime-trends (dostęp przez ResearchGate)

VI. Dziennikarstwo śledcze i media specjalistyczne

25. KrebsOnSecurity (Brian Krebs): Tag: The Com — wieloletnia seria artykułów śledczych Briana Krebsa dokumentujących ekosystem The Com od jego początków; pierwotne źródło wielu ustaleń przyjętych przez organy ścigania.

https://krebsonsecurity.com/tag/the-com/

26. CyberScoop: FBI warns ‘The Com’ poses threat of real-world violence alongside cybercrime — reportaż o ostrzeżeniu FBI dotyczącym powiązań ekosystemu z przemocą fizyczną (swatting).

https://cyberscoop.com/fbi-the-com-cybercrime-real-world-violence/

27. The Record (Recorded Future News): What is Scattered Spider? — kompendium wiedzy o grupie; historia, ataki, aresztowania, aktualne działania.

https://therecord.media/scattered-spider-explainer

28. Wired: The Teenager Running One of America’s Most Sophisticated Hacker Groups — profil młodych sprawców z The Com; kontekst społeczny i psychologiczny.

https://www.wired.com/story/scattered-spider-teen-hackers/ (dostęp przez Wired)

VII. Akty prawne i regulacje przywołane w tekście

29. Dyrektywa NIS2 (UE) 2022/2555 — dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii; weszła w życie 16 stycznia 2023 r.; termin implementacji: 17 października 2024 r.

https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555

30. Rozporządzenie DSA (Digital Services Act, UE) 2022/2065 — akt o usługach cyfrowych regulujący odpowiedzialność platform za treści; stosowany w pełni od lutego 2024 r.

https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022R2065

Tekst ma charakter reportażowo-eseistyczny. Wszystkie fakty dotyczące postępowań sądowych, wyroków, raportów rządowych i analiz branżowych oparte są na dokumentach publicznych i zweryfikowanych źródłach. Imiona i dane sprawców cytowane są wyłącznie w oparciu o oficjalne dokumenty sądowe i komunikaty prasowe organów ścigania.