Interpelacja #17036 - Interpelacja w sprawie wykorzystywania zautomatyzowanych skryptów do przejmowania terminów wizowych w systemie e-Konsulat

Interpelacja w sprawie wykorzystywania zautomatyzowanych skryptów do przejmowania terminów wizowych w systemie e-Konsulat Szanowny Panie Ministrze, do mojego biura poselskiego wpływają niepokojące informacje o masowym wykorzystywaniu zautomatyzowanych skryptów (botów) do blokowania i przejmowania wolnych terminów wizowych w systemie e-Konsulat oraz na platformach zewnętrznych operatorów, takich jak VFS Global. Problem ten jest szczególnie widoczny w placówkach na Białorusi, gdzie zorganizowane grupy pośredników oferują „gwarantowane” terminy za opłatą sięgającą nawet 330 euro, podczas gdy dla zwykłego wnioskodawcy samodzielna rezerwacja jest praktycznie niemożliwa. Analizy techniczne wskazują, że systemy wizowe są celem wyrafinowanych ataków. Przykładem jest botnet MSIL/Agent.PYO (znany jako „Konsulat.RemoteClient”), zaprojektowany specjalnie do automatycznego wypełniania formularzy w polskich konsulatach na Białorusi i omijania podstawowych zabezpieczeń. Zjawisko to nie tylko podważa zaufanie do polskiej służby konsularnej, ale stanowi realne zagrożenie dla bezpieczeństwa strefy Schengen, umożliwiając nieformalnym podmiotom kontrolę nad dostępem do procedur wizowych. W związku z powyższym proszę o odpowiedź na następujące pytania: Czy ministerstwo dysponuje analizami dotyczącymi skuteczności obecnych zabezpieczeń (CAPTCHA, geo-fencing, OTP) w systemie e-Konsulat oraz u operatorów zewnętrznych (VFS Global) w kontekście walki z botnetami typu MSIL/Agent.PYO? Czy ministerstwo posiada dane o skali zjawiska automatycznego rezerwowania terminów wizowych przez boty w systemach obsługujących wnioski wizowe? Proszę o dane z podziałem na placówki konsularne za lata 2024-2025. Czy ministerstwo prowadziło analizy dotyczące liczby osób, które uzyskały wizy Schengen z wykorzystaniem terminów przejętych przez zautomatyzowane skrypty? Jeśli tak - proszę o ich udostępnienie. Jeśli nie - dlaczego takie analizy nie są prowadzone? Czy zidentyfikowano podmioty działające na domenach zagranicznych, w tym rosyjskich, które oferują tego typu usługi? Jakie działania prawne i operacyjne podjęto wobec tych podmiotów? Kiedy i przez jaki podmiot przeprowadzony został ostatni audyt bezpieczeństwa oraz testy penetracyjne systemu e-Konsulat pod kątem podatności na automatyczne przejmowanie terminów (slot-scraping)? Proszę o udostępnienie wniosków z tego audytu. Czy ministerstwo monitoruje zagraniczne fora i komunikatory (m.in. Telegram), na których oferowane są boty do polskiego systemu wizowego? Czy podjęto współpracę z partnerami z UE w celu blokowania tych domen na poziomie systemowym? Z wyrazami szacunku Janusz Cieszyński

Odpowiedź na interpelację w sprawie wykorzystywania zautomatyzowanych skryptów do przejmowania terminów wizowych w systemie e-Konsulat Warszawa, 17-06-2026 Szanowny Panie Marszałku, w odpowiedzi na interpelację nr 17036 Pana Posła Janusza Cieszyńskiego w sprawie wykorzystywania zautomatyzowanych skryptów do przejmowania terminów wizowych w systemie e-Konsulat, uprzejmie informuję, co następuje. Wnioski wizowe w polskich urzędach konsularnych na terytorium Białorusi są składane w punktach przyjmowania wniosków wizowych prowadzonych przez usługodawcę zewnętrznego. Współpraca z usługodawcami zewnętrznymi jest rozwiązaniem szeroko stosowanym przez państwa Schengen na całym świecie i przewidzianym w kodeksie wizowym. Szczegółowe postanowienia dotyczące tej instytucji opisane są w art. 43 kodeksu wizowego oraz w załączniku X do Rozporządzenia PE i Rady (WE) nr 810/2019 z dnia 13 lipca 2009 r. Podstawą współpracy z usługodawcą zewnętrznym jest instrument prawny (umowa), który spełnia wymogi określone w powyższym załączniku X Rozporządzenia. Zgodnie z treścią art. 43 ust. 6 lit. e) ww. Rozporządzenia planowanie terminów wizyt osoby ubiegającej się o wizę w pomieszczeniach usługodawcy zewnętrznego zostało powierzone do realizacji usługodawcy zewnętrznemu – w przypadku Białorusi podmiotowi VFS Global. Należy także podkreślić, że konsulowie w zakresie swojej właściwości, odpowiadają za nadzór nad właściwą organizacją przyjęć interesantów realizowaną przez usługodawcę zewnętrznego. Zgodnie z art. 43 ust. 11 Rozporządzenia PE i Rady (WE) 810/2009 dane państwo członkowskie prowadzi ścisły nadzór realizacji postanowień instrumentu prawnego (umowy), w przedmiocie prawidłowego wywiązywania się usługodawcy zewnętrznego z powierzanych umową zadań. W ramach czynności kontrolnych konsulat lub organy centralne danego państwa członkowskiego regularnie przeprowadzają wyrywkowe kontrole w pomieszczeniach usługodawcy zewnętrznego. Konsulowie na bieżąco monitorują sytuację w zakresie zapisów oraz informują usługodawcę zewnętrznego o nowych niekorzystnych zjawiskach zgłaszanych w procesie rejestracji dla uszczelnienia samego sytemu i wdrożenia działań naprawczych. Takie kontrole są regularnie przeprowadzane przez polskich konsulów w Białorusi. Działania kontrolne zgodnie ze swoją właściwością terytorialną realizują konsulowie w Mińsku, Brześciu i Grodnie. Zgodnie z art. 43 ust. 11a Rozporządzenia PE i Rady (WE) 810/2009 państwo członkowskie jest zobowiązane do regularnego przedkładania Komisji Europejskiej sprawozdania ze współpracy z usługodawcami zewnętrznymi. W takich sprawozdaniach poruszane są także zjawiska oceniane jako negatywne lub identyfikowane konieczne do podjęcia działania, które są niezbędne w celu ich zapobieżenia. Następnie kwestie te są omawiane na Komitecie do spraw wiz Komisji Europejskiej. Kwestia dostępności składania wniosków wizowych w konkretnych lokalizacjach jest regularnie omawiana na forum lokalnej współpracy Schengen, w ramach której konsulowie obecni w danej lokalizacji podejmują działania służące harmonizacji i usprawnieniu procesów wizowych. Polska w tym formacie jest reprezentowana w Białorusi przez konsula RP w Mińsku. Z uwagi na zawieszenie działalności konsularnej przez większość państw strefy Schengen oraz wymuszoną przez działania władz białoruskich redukcję personelu dyplomatycznego i konsularnego w polskich urzędach na Białorusi, konsulowie, od sierpnia 2020 r., napotykają na ponadstandardowo wysoki popyt na polskie wizy. Powyższa sytuacja doprowadziła do trudności w zarejestrowaniu wniosku wizowego na wolny termin w punktach przyjmowania wniosków wizowych usługodawcy zewnętrznego. Wynika to z nadmiernego popytu względem możliwej do zaoferowania, w danych warunkach, podaży. W kwestii rejestracji elektronicznej wniosku wizowego, obecnie na Białorusi został wprowadzony nowy sposób rejestracji poprzez zapisanie się na listę oczekujących wnioskodawców. Zweryfikowani cudzoziemcy oczekują na wyznaczenie konkretnego terminu i miejsca złożenia wniosku wizowego. Na podstawie dostępności terminów przekazanych przez urząd konsularny usługodawca zewnętrzny informuje wnioskodawcę e-mailem o dostępie do rezerwacji. Cudzoziemiec w ciągu 48 godzin musi dokonać wyboru daty i godziny oraz dokończyć proces rejestracji. Jeżeli wnioskodawca w określonym czasie nie dokończy procesu rezerwacji od momentu powiadomienia, jego dane zostaną usunięte z kolejki oczekujących i konieczna będzie ponowna rejestracja. W przypadku pomyślnego dokonania rezerwacji na dogodną datę i godzinę wizyty w PPWW cudzoziemiec otrzymuje wiadomość e-mail z załączonym potwierdzeniem wizyty zawierającym datę, godzinę oraz inne szczegóły dotyczące złożenia wniosku. Należy podkreślić, że dostęp do procedury wizowej jest równy dla wszystkich zainteresowanych cudzoziemców. Informuję jednocześnie, że w grudniu 2020 r. Ministerstwo Spraw Zagranicznych wprowadziło w systemie e-Konsulat funkcjonalność przydzielania terminów w usługach wizowych w drodze losowania, która jest stosowana w placówkach zagranicznych, w których terminy były przechwytywane przez pośredników, a w 2024 r. mechanizm kolejkowania (udostępniane terminy są przydzielane zgodnie z kolejnością zapisania wniosku w systemie). Funkcjonalności losowania i kolejkowania umożliwiają zarejestrowanie się każdemu zainteresowanemu, a termin wizyty przydzielany jest automatycznie przez system. Mechanizmy losowania i kolejkowania są stale rozwijane o nowe opcje, jak również nowe funkcjonalności. W kwietniu bieżącego roku w 7 placówkach rozpoczął się pilotaż weryfikacji tożsamości poprzez wideoweryfikację, jako jednego z rozwiązań, które powinno znacznie ograniczyć liczbę fikcyjnych wniosków blokujących terminy wizyt oraz skrócić czas oczekiwania na wizytę w konsulacie. Takie podejście eliminuje możliwość zastosowania botnetów wykorzystujących software typu Agent.PYO. Wybór mechanizmu przydzielania terminów leży w kompetencji konsula. Konsulowie mają także możliwość zgłaszania podejrzanych adresów IP i adresów e-mail, które mają być zablokowane przez administratora. Dodatkowo system e-Konsulat jest stale poddawany testom bezpieczeństwa w środowisku wykonawcy oprogramowania (identycznym ze środowiskiem produkcyjnym), a także okresowo, przy wprowadzaniu większych zmian, szerszym testom, w tym testom penetracyjnym. Wszystkie zidentyfikowane podczas testów podatności są na bieżąco usuwane. Poza tym, jeszcze w tym roku planowane jest przeprowadzenie testów penetracyjnych realizowanych przez firmę zewnętrzną. Pragnę zapewnić, że konsulowie na bieżąco monitorują system i nie ustają w wysiłkach dla poprawy przez usługodawcę zewnętrznego systemu przyjęć wniosków. Konsulowie dokonują regularnych kontroli w punktach przyjmowania wniosków wizowych prowadzonych przez usługodawcę zewnętrznego. Ponadto, w ostatnim czasie wprowadzona została uzupełniająca procedura weryfikacji tożsamości zapisującego się na złożenie wniosku wizowego. Ma to na celu zapewnienie, że lokalni pośrednicy działający w sposób nieuprawniony nie będą mieli możliwości ingerowania w proces rejestracji na złożenie wniosku wizowego. Co więcej, w porównaniu z umowami zawieranymi w latach poprzednich skrócono okres ich obowiązywania. Rozwiązanie to zwiększa elastyczność oraz umożliwia regularną weryfikację zasadności korzystania z usług outsourcingowych w danej lokalizacji. Z wyrazami szacunku z up. Władysław Teofil Bartoszewski Sekretarz Stanu

Interpelacja w sprawie wykorzystywania zautomatyzowanych skryptów do przejmowania terminów wizowych w systemie e-Konsulat

01Treść pytania

02Odpowiedzi Ministerstwa2 odpowiedzi

03Powiązane

Komentarze do interpelacji