Phishing analogowy. Fałszywe świadectwo ochronne z „UPRP”, na które prawie się nabraliśmy

Zajmujemy się bezpieczeństwem IT. Filtrujemy pocztę, prowadzimy szkolenia, tłumaczymy klientom, żeby nie klikali w linki. A i tak przez chwilę mieliśmy w rękach dokument, który wyglądał na urzędowe świadectwo ochronne na nasz znak towarowy - i który świadectwem ochronnym nie był.

Nie przyszedł mailem. Przyszedł listem poleconym.

Dwie linie czasu

Zacznijmy od końca, bo to najmocniejszy dowód w całej sprawie.

Tak wygląda prawdziwa historia naszego zgłoszenia, wprost z rejestru UPRP:

Data	Zdarzenie
21.08.2025	data zgłoszenia (Z.589207)
27.08.2025	data ujawnienia
15.09.2025	publikacja w Biuletynie UP, początek okresu sprzeciwowego
15.12.2025	koniec okresu sprzeciwowego
27.01.2026	data udzielenia prawa (R.392428)
18.05.2026	publikacja w Wiadomościach UP

A teraz dokument, który dostaliśmy pocztą. Data udzielenia prawa: 14.10.2025. Pismo datowane na 15.10.2025.

Czyli ponad trzy miesiące przed faktycznym udzieleniem prawa - i w samym środku okresu sprzeciwowego, kiedy udzielenie prawa jest po prostu niemożliwe. Ustawa wymaga, żeby najpierw upłynął trzymiesięczny termin na wniesienie sprzeciwu przez osoby trzecie. Urząd nie mógł wydać takiego świadectwa 14 października, bo 14 października nikt jeszcze nie wiedział, czy sprzeciw wpłynie.

Data na fałszywce nie jest przypadkowa. Przypada dokładnie miesiąc po publikacji w Biuletynie.

Dlaczego to prawie zadziałało

Klasyczny phishing łapiemy odruchowo, bo zwykle coś w nim zgrzyta: dziwny nadawca, byle jaki polski, presja czasu w pierwszym zdaniu. Tutaj nie zgrzytało nic - poza jednym szczegółem, o którym za moment.

Zadziałały cztery rzeczy naraz:

1. To była wiadomość oczekiwana. Złożyliśmy zgłoszenie znaku towarowego i czekaliśmy na decyzję. Nie dostaliśmy nieoczekiwanego pisma z zaskoczenia - dostaliśmy dokładnie to, na co czekaliśmy. Oczekiwanie to najskuteczniejszy wektor socjotechniczny, jaki istnieje, bo wyłącza pytanie „skąd to się tu wzięło?”.

2. Idealny moment. Miesiąc po publikacji w BUP to punkt, w którym zgłaszający już się niecierpliwi, a jeszcze nie zna realnego terminu decyzji. Za wcześnie, żeby pismo wyglądało podejrzanie. Za późno, żeby dalej pamiętać dokładny harmonogram procedury.

3. Kanał. Papier, koperta, list polecony. Mamy wdrukowane, że polecony to coś poważnego. Tymczasem nadanie polecone kosztuje kilka złotych i nie weryfikuje nadawcy w żaden sposób - potwierdza wyłącznie, że przesyłka została doręczona.

4. Wykonanie. Godło, giloszowa ramka, właściwa podstawa prawna, poprawna nazwa departamentu, nazwisko dyrektora, stopka „podpisano elektronicznym podpisem kwalifikowanym” i ciąg znaków wyglądający jak dane certyfikatu.

Zapaliło się nam światełko przy opłacie: kwota w euro, płatna na rachunek we włoskim banku. UPRP jest polskim urzędem i pobiera opłaty na swój rachunek w NBP, w złotówkach. To był jedyny element, który nie pasował - i tylko dlatego zadzwoniliśmy do Urzędu Patentowego, żeby zweryfikować dokument innym kanałem. Nie e-mailem z pisma. Nie numerem telefonu z pisma. Numerem ze strony uprp.gov.pl.

Numer, którego fałszerz nie mógł znać

Na piśmie widnieje: „PRAWO OCHRONNE NR Z.589207”.

Przedrostek Z oznacza numer zgłoszenia. Udzielone prawo ochronne dostaje własny numer z przedrostkiem R - w naszym przypadku R.392428 - i to on trafia do rejestru oraz na prawdziwe świadectwo.

Fałszerz wpisał numer zgłoszenia w miejsce numeru prawa, bo w październiku 2025 numer R.392428 jeszcze nie istniał. Powstał dopiero 27 stycznia 2026. Przestępca mógł przepisać wyłącznie to, co było jawne w chwili pisania listu.

To jest, moim zdaniem, najbardziej uniwersalna lekcja z tej sprawy: fałszywy dokument może zawierać tylko dane publiczne. Wszystko, co powstaje wewnątrz urzędu i pojawia się dopiero na końcu procedury, jest poza jego zasięgiem. Jeśli szukasz jednego pola do sprawdzenia - szukaj tego, którego napastnik nie miał skąd wziąć.

Stopka „podpisu kwalifikowanego”

UPRP publikuje na swojej stronie skany fałszywek zgłoszonych przez przedsiębiorców. Porównaliśmy nasz dokument z jednym z nich - świadectwem opublikowanym przez Urząd jako fałszywe, datowanym na lipiec 2023 r., podpisanym przez zupełnie inną osobę, z innego departamentu.

Stopka certyfikatu w obu dokumentach jest praktycznie identyczna. Ciąg „klucza” w naszym piśmie różni się od tego z opublikowanej przez UPRP fałszywki dwoma znakami na czterdzieści. Reszta - co do znaku, razem z tym samym charakterystycznym początkiem.

Inaczej mówiąc: ten sam szablon krąży od co najmniej trzech lat. Zmieniają się w nim nazwiska, daty i departamenty. Stopka „podpisu” zostaje, bo nikt jej nie czyta.

Kiedy już się na nią spojrzy, sama się sypie:

• Deklarowany algorytm to SHA256RSA, a rodzaj klucza - ECDSA P256. To dwa różne kryptosystemy. Prawdziwy certyfikat nie może mieć obu naraz.
• W „kluczu” występuje wielka litera O w miejscu, gdzie w zapisie szesnastkowym może stać wyłącznie cyfra 0. Ciąg zawiera też inne znaki spoza zakresu hex. To nie jest żaden klucz - to losowy tekst, który ma wyglądać technicznie.
• Podpis kwalifikowany weryfikuje się w pliku PDF albo w usłudze weryfikacyjnej, a nie przez odczytanie napisu na wydruku. Wydruk podpisu elektronicznego nie jest dowodem na nic.

Skąd oszuści w ogóle wiedzieli, że czekamy na decyzję

To pytanie zadaliśmy sobie najpierw, bo wyglądało to na wyciek. Nie było wyciekiem.

Postępowanie o udzielenie prawa ochronnego jest z założenia jawne. Zgłoszenie po badaniu formalnym publikuje się w Biuletynie Urzędu Patentowego, a od tej publikacji biegnie trzymiesięczny termin na wniesienie sprzeciwu przez inne podmioty. Żeby ktokolwiek mógł się sprzeciwić, musi wiedzieć, kto, co i kiedy zgłosił. Jawność nie jest tu wadą systemu - jest jego mechanizmem.

W publicznej bazie znajdują się: oznaczenie, data zgłoszenia, numer, klasy nicejskie, dane zgłaszającego wraz z adresem korespondencyjnym oraz status sprawy. Wszystko, czego potrzeba, żeby napisać wiarygodne pismo i wysłać je pod właściwy adres w odpowiednim momencie. Tak samo działają bazy EUIPO i WIPO - zgłoszenia unijne i międzynarodowe są na celowniku dokładnie z tego samego powodu.

To jest cały sekret. Żadnego włamania, żadnego insidera. Zwykły OSINT na otwartym rejestrze plus stoper odliczający od daty publikacji.

Warto to sobie przełożyć na własną firmę: jakie Wasze procesy są jawne z mocy prawa? KRS, CEIDG, rejestry zamówień publicznych, BIP jednostek samorządowych, ogłoszenia o wynikach przetargów, rejestr BDO. Każdy z nich mówi obcemu człowiekowi, czego się w danym tygodniu spodziewacie.

Co z tego wynika proceduralnie

Wnioski, które wdrożyliśmy u siebie i które polecamy klientom:

Weryfikacja zawsze innym kanałem. Nie odpowiadaj na maila, nie dzwoń pod numer z pisma, nie skanuj kodu QR z dokumentu. Znajdź kontakt niezależnie i zadzwoń. Ta jedna zasada rozbraja większość ataków tego typu - w naszym przypadku rozbroiła ten.

Sprawdź w rejestrze, zanim zapłacisz. Rejestr UPRP jest jawny i darmowy. Trzydzieści sekund w e-wyszukiwarce pokazuje status sprawy, numer prawa i datę udzielenia. Gdyby ktokolwiek u nas zajrzał tam 15 października, zobaczyłby trwający okres sprzeciwowy i brak numeru R - koniec dyskusji.

„Spodziewane” nie znaczy „prawdziwe”. To najtrudniejszy nawyk do wyrobienia, bo działa wbrew intuicji. Im bardziej pismo pasuje do tego, na co czekasz, tym uważniej je czytaj - właśnie dlatego, że ktoś mógł policzyć, kiedy zaczniesz czekać.

Papier nie jest uwierzytelnieniem. Godło, pieczęć, giloszowa ramka i list polecony to elementy graficzne i usługa pocztowa. Żadne z nich nie potwierdza tożsamości nadawcy.

Każdy nowy rachunek bankowy przechodzi drugą parę oczu. Zwłaszcza zagraniczny, zwłaszcza w obcej walucie. To powinna być twarda reguła w księgowości, niezależna od tego, kto prosi o przelew i jak pilne to jest. Biała lista rachunków kontrahentów i urzędów kosztuje jedno popołudnie, a zamyka całą klasę wyłudzeń.

Termin, którego nie ma w przepisach, to sygnał ostrzegawczy. Fałszywki lubią straszyć wygaśnięciem prawa w ciągu kilku-kilkunastu dni. Realne terminy w postępowaniu przed UPRP są inne i zawsze da się je sprawdzić w ustawie albo u rzecznika patentowego.

Rzecznik patentowy jako filtr. Jeśli prowadzicie sprawę przez pełnomocnika, urząd kieruje całą korespondencję do niego. Pismo, które przychodzi bezpośrednio do spółki, jest wtedy automatycznie podejrzane. To najprostszy strukturalny sposób na odcięcie tego wektora.

Zgłoś, nawet jeśli nie zapłaciłeś. Podrobienie dokumentu urzędowego i usiłowanie oszustwa to art. 270 § 1 i art. 286 § 1 Kodeksu karnego. UPRP zbiera zgłoszenia i publikuje skany fałszywek - dzięki temu następna firma ma z czym porównać swoje pismo. My mieliśmy z czym porównać właśnie dlatego, że ktoś przed nami zgłosił.

Gdzie sprawdzić

Urząd Patentowy RP

• Ostrzeżenie przed wprowadzającymi w błąd wezwaniami do zapłaty, fakturami lub sfałszowanymi decyzjami - stanowisko Urzędu, jedyny prawidłowy numer rachunku, kanał zgłaszania oraz skany fałszywek nadesłanych przez przedsiębiorców
• Fałszywe świadectwo ochronne - skan PDF - ten sam szablon, na który trafiliśmy, w wersji z 2023 r.
• Sfałszowana decyzja z 10.09.2025 - skan PDF - wariant mailowy, wysyłany z domeny łudząco podobnej do urzędowej, z terminem zapłaty „w ciągu 21 dni pod rygorem wygaśnięcia prawa”
• e-Wyszukiwarka UPRP - darmowa weryfikacja statusu sprawy, numeru prawa i dat. To jest to jedno miejsce, w którym każde takie pismo rozstrzyga się w trzydzieści sekund

EUIPO (znaki unijne)

• Misleading invoices - przeszukiwalna baza firm i rejestrów rozsyłających wprowadzające w błąd faktury, wraz z ich skanami. Strona ma przełącznik języka w prawym górnym rogu. EUIPO nigdy nie wysyła faktur ani wezwań do zapłaty i korzysta wyłącznie z dwóch hiszpańskich rachunków - każdy inny numer konta na piśmie „od EUIPO” oznacza fałszywkę
• Podręcznik postępowania z wprowadzającymi w błąd wezwaniami do zapłaty (Europol/EUIPO, PDF, EN) - dobra podstawa, jeśli chcecie zrobić z tego wewnętrzną procedurę
• Raport o skali zjawiska za 2024 r. (PDF, EN)

Na koniec

Najbardziej niewygodny wniosek jest taki, że nasza firma zajmuje się bezpieczeństwem, a i tak zabrakło niewiele. Nie uratowała nas wiedza o kryptografii ani żaden system. Uratował nas jeden telefon wykonany dlatego, że kwota była w euro.

To dobra wiadomość i zła jednocześnie. Zła - bo obrona wisiała na jednym szczególe, który mógł zostać dopracowany przez fałszerza równie łatwo jak reszta pisma. Dobra - bo nawyk „sprawdź innym kanałem” jest darmowy, nie wymaga żadnego wdrożenia i działa tak samo na maila z fakturą, telefon od „banku” i kopertę z godłem.

Filtr antyspamowy nie przeczyta koperty. Człowiek przy segregatorze - tak, o ile wie, czego szukać.