Od profilu do zlecenia. Jak sieć zmienia werbunek i kontrwywiad

Cyfryzacja przesuwa część rozpoznania i werbunku do codziennych kontaktów zawodowych oraz mediów społecznościowych. Obca służba może zacząć od analizy profilu, sprawdzić wiedzę danej osoby pod pozorem konsultacji, a następnie poprosić ją o informacje niepubliczne. W Polsce komunikatory służyły również do rekrutowania wykonawców rozpoznania i sabotażu. Kontrwywiad musi więc rozpoznawać cały proces: od typowania człowieka i nawiązania kontaktu po przekazanie informacji, wykonanie zadania i zapłatę.

Od śladu cyfrowego do kontaktu z człowiekiem

Brian Iselin, były żołnierz australijskiego Korpusu Wywiadu Wojskowego i były funkcjonariusz Australijskiej Policji Federalnej, opisuje w artykule opublikowanym na platformie Medium w październiku 2026 roku kontakt, który zaczyna się od pozornie zwykłej oferty pracy, konsultacji lub współpracy z think tankiem. Rekruter wydaje się wiarygodny, pytania początkowo dotyczą spraw zawodowych, a cała wymiana przypomina zwykły proces rekrutacyjny. Jej rzeczywistym celem może być jednak ustalenie, co dana osoba wie, do jakich informacji ma dostęp i jakie dane może zdobyć. Z czasem rozmówca może zostać poproszony o przekazanie informacji, które nie są publicznie dostępne.

Cyfrowe profile dostarczają materiału do typowania potencjalnych celów. Na podstawie historii zatrudnienia, specjalizacji, wystąpień, udziału w konferencjach i sieci kontaktów można wnioskować, jaką wiedzę ma dana osoba i do jakich informacji może mieć dostęp. Pojedynczy szczegół może wydawać się nieistotny, ale zestawienie wielu informacji może pomóc odtworzyć strukturę organizacji, jej priorytety, prowadzone projekty lub relacje między pracownikami.

Zaciera się zatem granica między OSINT-em, czyli analizą informacji publicznie dostępnych, a HUMINT-em, czyli pozyskiwaniem informacji od ludzi. Analiza profilu może prowadzić do celowego kontaktu, a rozmowa – do sprawdzania wiedzy i dostępu rozmówcy. Nie oznacza to, że każda analiza publicznego profilu jest działaniem HUMINT. Pokazuje natomiast, że działania rozpoczynające się od danych otwartych mogą przejść w bezpośrednie oddziaływanie na konkretną osobę.

Nie jest to nowe zjawisko. David Omand, Jamie Bartlett i Carl Miller zwracali uwagę na przenikanie się tych obszarów już w 2012 roku. Opisywali SOCMINT, czyli wywiad oparty na gromadzeniu i analizie informacji z mediów społecznościowych. Materiałem do analizy mogą być publiczne wpisy, profile, grupy, sieci kontaktów i aktywność użytkowników. Autorzy postulowali traktowanie SOCMINT jako odrębnego pola analizy i włączenie go do ram wywiadowczych przy zachowaniu jasnych zasad gromadzenia, weryfikowania i wykorzystywania danych. Ich praca stanowi ważne tło dla obecnej dyskusji: platformy społecznościowe są jednocześnie źródłem informacji, mapą relacji i miejscem nawiązywania kontaktów.

Z kolei Iselin opisuje ten problem jako „nowy HUMINT”. Warto jednak podkreślić, że jest to teza publicystyczna, a nie formalna zmiana definicji wywiadu osobowego. Sformułowanie o „człowieku, który nigdy nie zostaje źródłem” zwraca uwagę na ryzyko nieświadomego ujawnienia informacji. Nie należy jednak utożsamiać każdej osoby, która opublikowała użyteczny szczegół lub odpowiedziała na wiadomość, z agentem czy formalnie zwerbowanym źródłem.

Rekrutacja ukryta w ofercie pracy

Francuska Dyrekcja Generalna Bezpieczeństwa Wewnętrznego (DGSI) ostrzegła w publikacji z 20 kwietnia 2026 roku przed zdalnymi próbami rekrutacji osób z różnych branż. Według DGSI celem mogą być również osoby bez bezpośredniego dostępu do tajemnic, jeśli ich kontakty zawodowe lub prywatne prowadzą do przydatnych informacji. Przykrywką mogą być oferty pracy, konsulting, zlecenia analityczne lub współpraca z think tankiem.

Podobny schemat opisały służby państw należących do Five Eyes w biuletynie „Ochrona naszych tajemnic”, wydanym w czerwcu 2026 roku przez ASIO, CSIS, FBI, MI5 i NZSIS. Według ostrzeżenia osoby związane z chińskim wywiadem wojskowym mogą podszywać się pod pracowników firm konsultingowych, think tanków lub agencji rekrutacyjnych, a następnie poszukiwać kandydatów za pośrednictwem portali zawodowych i serwisów z ofertami pracy. Zdalne rozmowy i próbne opracowania pozwalają sprawdzić, jaką wiedzę ma kandydat i do jakich informacji może dotrzeć. Później mogą pojawić się prośby o dane niepubliczne oraz propozycja przeniesienia rozmowy na komunikator. Biuletyn wymienia zarówno osoby mające bezpośredni dostęp do informacji, jak i naukowców, dziennikarzy czy pracowników think tanków.

Brytyjska National Protective Security Authority (NPSA, Krajowy Urząd ds. Ochrony Bezpieczeństwa) zwraca w swoim poradniku uwagę, że rekruter może badać przede wszystkim dostęp i kontakty kandydata, a nie jego przydatność do pracy. Poradnik opisuje przypadek konsultanta, który odpowiedział na ofertę zdalnego zlecenia analitycznego, a następnie został poproszony o przekazanie informacji określanych jako „wyłączne” oraz o opisanie swoich kontaktów w brytyjskiej administracji. Według NPSA dalsze sprawdzenie firmy wskazywało, że stanowiła ona przykrywkę chińskiej służby.

DGSI opisała również przypadek fałszywych profili na portalach zawodowych w materiale z 2025 roku. Profile skontaktowały się z pracownikami firmy rozwijającej wrażliwe technologie. Jeden z nich ujawnił informacje o harmonogramie prac i postępach technologicznych. DGSI nie podała, kto stał za tym konkretnym kontaktem, ani nie przypisała go określonej służbie. Przykład pokazuje jednak, jak rozmowa prowadzona pod osłoną relacji zawodowej może doprowadzić do ujawnienia informacji strategicznych.

Nieświadomy rozmówca, zwerbowane źródło i agent wykonawczy

Kontrwywiad musi precyzyjnie odróżniać osobę, która nieświadomie ujawniła użyteczny szczegół, od osoby świadomie zwerbowanej oraz od wykonawcy konkretnego zadania. Sytuacje te mogą łączyć się w jednym łańcuchu operacyjnym, ale nie są tym samym.

W badaniu Marka Button, Dawida Sherpherda i Jeyonga Junga opublikowanym w 2025 roku przeanalizowano odpowiedzi z ankiety przeprowadzonej wśród 2 tysięcy brytyjskich profesjonalistów. Około jedna czwarta respondentów była słabo przygotowana na ryzyko fałszywych profili i akceptowała zaproszenia bez dostatecznej weryfikacji. Wynik dotyczy pierwszego etapu kontaktu i deklarowanych zachowań badanych. Nie określa liczby udanych operacji szpiegowskich. Pokazuje jednak, że szkolenia powinny obejmować rozpoznawanie sposobów nawiązywania kontaktu, a nie ograniczać się do przypominania o zakazie ujawniania tajemnic.

Amerykańskie sprawy Korbeina Schultza i Kevina Mallory’ego pokazują, jak kontakt internetowy może doprowadzić do świadomego przekazywania informacji. FBI opisało sprawę Schultza w artykule z czerwca 2026 roku. Były analityk wywiadu wojskowego otrzymywał zlecenia analityczne od osoby podającej się za klienta firmy konsultingowej. Później żądano od niego coraz bardziej wrażliwych materiałów. Z komunikatu Departamentu Sprawiedliwości USA wynika, że Schultz został skazany na 84 miesiące więzienia. Był to przypadek świadomego przekazywania danych, a nie nieświadomego udziału w zbieraniu informacji.

W sprawie byłego oficera CIA i DIA Kevina Mallory’ego pierwszy kontakt nastąpił przez LinkedIn. Sąd Apelacyjny USA dla IV Okręgu w orzeczeniu z 2022 roku opisał, jak rekruter przedstawiający się jako chiński pośrednik biznesowy nawiązał kontakt z Mallorym i zaoferował mu pracę konsultingową. Mallory został później skazany za szpiegostwo. LinkedIn był w tym przypadku początkowym kanałem kontaktu, który doprowadził do świadomej współpracy.

Rosyjskie działania w sieci: rozpoznanie celów i zlecanie zadań

Cyfrowe typowanie ludzi nie dotyczy wyłącznie chińskich działań opisywanych przez Five Eyes. Deutschlandfunk przytoczył ostrzeżenie niemieckiego BfV. Według urzędu rosyjskie służby analizowały profile pracowników, by wyszukiwać osoby podatne na wpływ lub możliwe do zwerbowania. Taka analiza może poprzedzać kontakt, ale sama nie oznacza jeszcze, że dana osoba została zwerbowana.

We wrześniu 2025 roku cztery niemieckie instytucje – Bundeskriminalamt, BfV, BAMAD i BND – opublikowały wspólny komunikat. Ostrzegły w nim przed rekrutowaniem za pośrednictwem mediów społecznościowych osób do prostych zadań szpiegowskich i sabotażowych, często za niewielkie pieniądze i bez ujawniania zleceniodawcy. Podobny model analizują Kinga Redlowska, Marta Popyk i Tom Keatinge. Opisują zdalne zlecanie doraźnych zadań przez Telegram, Viber, Instagram i inne platformy oraz finansowy wymiar tego modelu.

Werbunek do wykonania takiego zadania różni się od pozyskiwania wiedzy eksperckiej pod przykrywką oferty pracy. W pierwszym przypadku osoba może otrzymać polecenie obserwacji, fotografowania obiektu lub innego działania w terenie. W drugim może stopniowo ujawniać informacje podczas rozmowy, nie wiedząc, że druga strona sprawdza jej dostęp. Oba zjawiska pokazują jednak, że platformy cyfrowe mogą obsługiwać różne etapy operacji: od wyszukania człowieka i nawiązania kontaktu po przekazanie zadań, komunikację i zapłatę.

Polski kontekst: Telegram, kryptowaluty i zmiana modelu werbunku

Polskie ustalenia ABW pokazują, jak cyfrowy werbunek wygląda w działaniach wymierzonych w Polskę. W raporcie Misja Bezpieczne państwo za lata 2024-2025 Agencja opisała działania rosyjskich służb, które miały poszukiwać za pośrednictwem komunikatorów osób gotowych podjąć się zadań w zamian za szybki zarobek. Oferty dotyczyły czynności, które na pierwszy rzut oka mogły nie mieć związku z działalnością wywiadowczą. Według raportu komunikacja między zleceniodawcami a wykonawcami odbywała się głównie w internecie, a wynagrodzenia wypłacano w kryptowalutach.

ABW wskazała również na zmianę w strukturze tych działań. Według jej oceny do 2023 roku rosyjskie służby opierały część przedsięwzięć na doraźnie pozyskiwanych przez internet „jednorazowych” wykonawcach. W latach 2024-2025 miały w większym stopniu stawiać na tworzenie bardziej złożonych komórek sieciowych, opartych na hermetycznych strukturach przestępczych. Agencja zaznaczyła również, że w tym okresie mniej wyraźny stał się podział zadań między GRU a FSB: obie służby prowadziły działania wymierzone w obiekty wojskowe i cywilne, stosownie do posiadanych możliwości. Są to ustalenia i ocena ABW przedstawione w jej raporcie.

ABW podała, że 27 lipca 2026 roku do sądu skierowano akt oskarżenia przeciwko Vitalijowi S. Według komunikatu mężczyzna miał rozpoznać magazyn w województwie lubelskim, nagrać obiekt i przekazać dokumentację zleceniodawcy w ramach przygotowań do podpalenia. Do werbunku i przekazywania poleceń wykorzystywano Telegram, a wynagrodzenie wypłacono w kryptowalutach. Agencja poinformowała, że przygotowania wykryto przed realizacją planowanego podpalenia. Opis dotyczy zarzutów przedstawionych przez ABW, a nie prawomocnych ustaleń sądu.

Sprawa pokazuje, że cyfrowe kanały mogą łączyć kilka elementów operacji: rekrutację, rozpoznanie obiektu, przekazanie materiałów zleceniodawcy i zapłatę. To inny mechanizm niż fałszywa oferta pracy służąca do sprawdzenia wiedzy pracownika lub urzędnika. Dla kontrwywiadu ważne jest jednak to, że wykonawca może przebywać w Polsce, zleceniodawca za granicą, a komunikacja i rozliczenia mogą odbywać się w sieci.

Polskie działania obejmują także tworzenie kanałów zgłaszania podejrzanych kontaktów. W 2025 roku ABW uruchomiła na Telegramie wielojęzycznego chatbota @ABW\_STOPdywersji\_bot, za pośrednictwem którego można zgłaszać m.in. próby werbunku i propozycje wykonania zadań dywersyjnych. Kampania ABW Cichy Front informuje o sposobach działania sprawców, sygnałach ostrzegawczych i reagowaniu na podejrzane sytuacje. Agencja przedstawia ją jako element szerszych działań, które wymagają współpracy instytucji państwa i obywateli.

Jak kontrwywiad musi dostosować metody

Zebrane przykłady wskazują na kilka obszarów, w których kontrwywiad musi działać wcześniej i skuteczniej łączyć informacje.

Rozpoznanie powinno obejmować etap poprzedzający werbunek. Analiza nie może zaczynać się dopiero po wykryciu wycieku tajnych dokumentów. Wcześniejsze sygnały mogą obejmować fałszywe profile, niejasne oferty pracy, sondowanie kontaktów oraz próby sprawdzenia dostępu danej osoby.

Ocena ryzyka musi obejmować osoby z dostępem pośrednim. Pracownik bez poświadczenia bezpieczeństwa może znać harmonogramy, dostawców, ekspertów albo wewnętrzne relacje w organizacji. DGSI oraz służby państw Five Eyes zwracały uwagę, że informacje mogą być pozyskiwane również od osób, które nie zajmują formalnie wrażliwych stanowisk.

Analitycy muszą łączyć dane o profilu z wiedzą o relacjach i organizacji. OSINT może pomóc ustalić, kto ma dostęp do informacji i z kim współpracuje. HUMINT może pojawić się, gdy ktoś nawiązuje rozmowę, zleca opracowanie lub próbuje wydobyć informacje. Rozpoznanie cyfrowe należy więc łączyć z analizą relacji danej osoby i jej otoczenia.

Instytucje potrzebują wspólnego systemu reagowania. Działy bezpieczeństwa i kadr, zespoły cyberbezpieczeństwa oraz przełożeni powinni wiedzieć, jak postępować po otrzymaniu podejrzanej oferty. Pracownicy muszą mieć prosty kanał zgłoszenia i wiedzieć, jakie materiały zachować: profil nadawcy, treść ogłoszenia, wiadomości oraz informacje o płatności. Amerykański dokument sygnowany przez NCSC (National Counterintelligence and Security Center, Narodowe Centrum Kontrwywiadu i Bezpieczeństwa), DCSA (Defense Counterintelligence and Security Agency, Agencja Kontrwywiadu i Bezpieczeństwa Obronnego) oraz FBI zawiera m.in. zalecenia dotyczące weryfikowania ofert dodatkowej pracy i przypominania byłym pracownikom o obowiązku ochrony informacji.

Kontrwywiad powinien ustalać, kto organizuje działania, a nie poprzestawać na wykonawcy. Sprawy opisywane przez ABW i RUSI pokazują, że osoba wykonująca pojedyncze zadanie może być tylko jednym ogniwem sieci. Należy ustalać, kto ją zwerbował, kto przekazywał polecenia i pieniądze, kto odbierał dokumentację oraz czy te same osoby organizowały działania w innych państwach. W sprawach transgranicznych wymaga to współpracy służb i organów ścigania.

Nadzór musi obejmować także analizę danych publicznych. Publiczna dostępność profilu nie wyjaśnia celu jego analizy ani dalszych działań podejmowanych wobec konkretnej osoby. Służby powinny umieć określić, kiedy obserwacja cyfrowa przechodzi w celowe rozpoznanie człowieka, nawiązanie kontaktu lub próbę pozyskania informacji. Skala dostępnych danych zwiększa znaczenie kontroli celu, zakresu i sposobu ich wykorzystywania.

Cyfrowe narzędzia zmieniają pole działania, lecz nie gwarantują powodzenia

Kyle S. Cunliffe w analizie opublikowanej w 2023 roku wskazuje, że internet ułatwia wyszukiwanie potencjalnych źródeł i nawiązywanie z nimi kontaktu, lecz nie usuwa problemu zaufania ani ryzyka kontrwywiadowczego. Jego analiza dotyczy zachodnich prób werbunku w Rosji i Chinach, a więc innego kierunku działań niż chińskie próby pozyskiwania informacji na Zachodzie. Stanowi jednak ważny kontrapunkt: narzędzia cyfrowe ułatwiają niektóre etapy operacji, ale same nie przesądzają o jej powodzeniu.

Cyfryzacja wymusza zatem zmianę metod kontrwywiadu, ponieważ przesuwa zagrożenie na wcześniejsze etapy i poszerza krąg osób, do których mogą dotrzeć obce służby. Kontrwywiad musi rozpoznawać publiczne ślady, relacje zawodowe, pozorne oferty pracy, zdalne zlecenia, komunikację i przepływy pieniędzy. Powinien też rozróżniać nieświadome ujawnienie informacji, świadomy werbunek oraz rekrutację do zadania sabotażowego. Takie rozróżnienie pozwala dobrać właściwe metody ochrony, wykrywania i reagowania.