Kruchość dowodów cyfrowych w polskich sądach: dlaczego zbudowaliśmy EVIDION.pl (wcześniej znany pod nazwą roboczą NEXguard)

Ilustracja wygenerowana przez AI (model GPT Image 2 na platformie FOTOhub.app). Oznaczenie zgodnie z art. 50 AI Act.

Polski wymiar sprawiedliwości działa dziś na fundamencie przekonania, które jest technicznie nieprawdziwe, a mimo to powszechnie akceptowane w salach sądowych: że wydrukowany zrzut ekranu, poświadczony notarialnie za zgodność z ekranem urządzenia, stanowi dowód solidny, wiarygodny i w praktyce trudny do obalenia. To przekonanie funkcjonuje jednocześnie u sędziów, pełnomocników procesowych i samych stron sporu, a jego trwałość wynika nie ze złej woli czy niekompetencji uczestników postępowania, lecz z fundamentalnego rozjazdu pokoleniowego i technologicznego pomiędzy architekturą prawa dowodowego, zaprojektowaną w epoce dokumentu papierowego, a rzeczywistością cyfrową, w której każdy plik, każda wiadomość i każdy rekord bazy danych jest, z definicji, ciągiem bitów podlegającym edycji. Rzeczywistość techniczna jest brutalnie prosta: SMS-y, wiadomości z komunikatorów internetowych, dokumenty pakietu Office, arkusze kalkulacyjne, wiadomości e-mail, a wkrótce także materiały wideo i audio, można modyfikować w sposób, który po wydrukowaniu jest praktycznie niewykrywalny dla nieuzbrojonego oka, a często niewykrywalny nawet podczas głębszej analizy plików źródłowych, jeżeli osoba dokonująca fałszerstwa działała z odpowiednią rozwagą i podstawową znajomością struktury formatów danych.

Autor bloga informatykzakladowy.pl, praktykujący specjalista z doświadczeniem w bezpieczeństwie informatycznym, nie poprzestał na teoretycznym opisie problemu. Przeprowadził własnoręczny eksperyment, w którym na odbezpieczonym telefonie (poprzez tzw. root) zmodyfikował treść wiadomości SMS, a następnie przekazał wynik tej manipulacji notariuszowi w celu poświadczenia zgodności z ekranem urządzenia. Wynik tego eksperymentu jest bezlitosny dla obecnego modelu dowodowego: notarialnie poświadczony, sfałszowany SMS otrzymuje dokładnie ten sam status procesowy, co SMS autentyczny, ponieważ notariusz poświadcza jedynie fakt, że w danym momencie zobaczył określoną treść na ekranie urządzenia, a nie to, że treść ta odpowiada rzeczywistej, niezmodyfikowanej korespondencji zapisanej w bazie danych telefonu. To rozróżnienie - między poświadczeniem obserwacji a poświadczeniem autentyczności treści źródłowej - jest sedno całego problemu i jednocześnie fundamentem, na którym budujemy EVIDION.pl.

Anatomia problemu: dlaczego każda kategoria dowodu cyfrowego jest z osobna podatna na manipulację

Żeby zrozumieć skalę zagrożenia, trzeba przejść przez poszczególne kategorie dowodów cyfrowych z osobna, ponieważ każda z nich jest podatna na manipulację z innego, konkretnego powodu technicznego, a nie z jednego, uniwersalnego źródła słabości.

Wiadomości SMS są podatne na manipulację, ponieważ z architektonicznego punktu widzenia nie istnieje żaden niezależny, trzeci punkt odniesienia, do którego sąd czy biegły mógłby się zwrócić w celu weryfikacji treści. Operatorzy telekomunikacyjni nie przechowują treści wiadomości SMS, jedynie metadane transmisyjne dotyczące samego faktu połączenia sieciowego, więc jedynym repozytorium treści są lokalne bazy danych telefonów nadawcy i odbiorcy. Skoro obie te bazy znajdują się fizycznie w rękach stron sporu, a nie u neutralnego podmiotu trzeciego, cała weryfikacja sprowadza się do pytania, czy dana strona miała motywację i umiejętności, aby zmodyfikować zawartość swojego urządzenia, zanim przekazała je do zbadania. Odblokowanie uprawnień administracyjnych telefonu (root na Androidzie, jailbreak na iOS) daje pełny dostęp do plików bazy danych aplikacji SMS, które w większości przypadków są zwykłymi plikami SQLite, edytowalnymi w dowolnym edytorze bazodanowym dostępnym bezpłatnie w internecie.

Komunikatory internetowe, takie jak WhatsApp, Messenger, Telegram czy Signal, są teoretycznie lepiej zabezpieczone, ponieważ większość z nich stosuje szyfrowanie end-to-end oraz szyfrowane lokalne bazy danych. W praktyce to zabezpieczenie chroni transmisję między urządzeniami, a nie integralność danych już zapisanych na urządzeniu końcowym. Po przejęciu uprawnień administracyjnych telefonu możliwe jest przechwycenie kluczy deszyfrujących lokalną bazę danych komunikatora, edycja jej zawartości poza aplikacją, a następnie przywrócenie zmodyfikowanej bazy na urządzenie w taki sposób, że aplikacja wyświetla ją identycznie jak oryginał, bez żadnego widocznego śladu ingerencji z perspektywy interfejsu użytkownika. To sprawia, że popularne przekonanie, jakoby szyfrowanie end-to-end automatycznie gwarantowało niepodważalność treści konwersacji, jest mylące: szyfrowanie chroni przed podsłuchem w trakcie transmisji, nie przed manipulacją danych już zapisanych lokalnie.

Dokumenty pakietu Microsoft Office, w formatach DOCX, XLSX i PPTX, są być może najłatwiejszym celem manipulacji ze wszystkich kategorii dowodów cyfrowych, ponieważ ich struktura jest publicznie znana, w pełni udokumentowana i od dawna wystandaryzowana. Format ten to w istocie archiwum ZIP zawierające zestaw plików XML opisujących treść, formatowanie i metadane dokumentu. Wystarczy rozpakować taki plik dowolnym menedżerem archiwów, otworzyć plik core.xml zawierający metadane, takie jak data utworzenia, data ostatniej modyfikacji i nazwa autora, zmodyfikować te wartości tekstowo, zapisać zmieniony plik z powrotem jako archiwum ZIP o rozszerzeniu docx lub xlsx, i otrzymać dokument, który dla każdego systemu operacyjnego, dla każdego programu biurowego i dla każdego biegłego bez specjalistycznej wiedzy o wewnętrznej strukturze formatu Office Open XML będzie wyglądał identycznie jak dokument autentyczny, utworzony rzeczywiście w podanej dacie. Co istotne, tego typu manipulacja nie wymaga nawet posiadania samego programu Microsoft Word - cały proces można wykonać przy użyciu darmowego edytora tekstu i menedżera archiwów, dostępnych domyślnie w każdym systemie operacyjnym.

Wiadomości e-mail stawiają fałszerzowi mniejsze wyzwanie niż mogłoby się wydawać osobom nietechnicznym, ponieważ podstawowe protokoły transportu poczty elektronicznej, takie jak SMTP, powstały w latach siedemdziesiątych i osiemdziesiątych ubiegłego wieku, w czasach, gdy internet był siecią zamkniętą, opartą na wzajemnym zaufaniu instytucji akademickich, a nie publiczną infrastrukturą wymagającą uwierzytelniania nadawcy czy integralności treści w tranzycie. Jeżeli dwie strony sporu przedstawią sądowi odmienną treść tej samej korespondencji e-mailowej, nie istnieje żaden prosty, powszechnie dostępny mechanizm jednoznacznego rozstrzygnięcia, która wersja jest prawdziwa, ponieważ identyfikator wiadomości generowany przez klienta pocztowy nadawcy nie zawiera ani sumy kontrolnej treści, ani podpisu kryptograficznego wiążącego tę konkretną treść z konkretnym momentem wysłania. Nowsze mechanizmy uwierzytelniające domenę nadawcy, takie jak SPF, DKIM i DMARC, poprawiają sytuację, ale tylko częściowo: wiążą wiadomość z domeną, z której została wysłana, a nie z konkretną osobą fizyczną czy konkretną, niezmodyfikowaną treścią odczytywaną później przez odbiorcę, a poza tym rzadko który pełnomocnik procesowy czy sędzia wie, jak w praktyce odczytać i zinterpretować nagłówki techniczne wiadomości, by z tych mechanizmów skorzystać.

Dlaczego system prawny nie jest w stanie samodzielnie nadgonić tego problemu

Skala problemu technicznego byłaby mniej dramatyczna, gdyby system prawny dysponował odpowiednimi mechanizmami kompensującymi tę podatność. Nie dysponuje, i to z kilku, nakładających się na siebie powodów strukturalnych.

Pierwszy powód to niedostateczne przygotowanie kadr orzeczniczych. Sędziowie orzekający w sprawach cywilnych w Polsce w toku swojej edukacji prawniczej i aplikacji sędziowskiej otrzymują znikomy zakres wiedzy o technicznej stronie dowodów elektronicznych, a przedmioty dotyczące cyberprzestępczości i informatyki śledczej bywają fakultatywne lub wręcz nieobecne w programie kształcenia. Nie jest to zarzut personalny wobec konkretnych sędziów, lecz opis systemowego niedopasowania programu kształcenia prawniczego do rzeczywistości technologicznej, w której funkcjonuje dzisiejszy obrót gospodarczy i prywatna komunikacja obywateli.

Drugi powód ma charakter proceduralny. W polskim procesie cywilnym ciężar podważenia wiarygodności przedstawionego dowodu spoczywa na stronie przeciwnej, a nie na sądzie działającym z urzędu. Sąd, co do zasady, nie ma obowiązku samodzielnie badać autentyczności wydruku SMS-a czy zrzutu ekranu z komunikatora, jeżeli żadna ze stron nie zgłosi w tym zakresie zastrzeżeń. W sytuacji, w której świadomość możliwości technicznej manipulacji dowodem cyfrowym jest wśród pełnomocników procesowych i stron postępowania znikoma, oznacza to w praktyce, że ogromna liczba spraw cywilnych rozstrzyganych jest na podstawie materiału, którego autentyczności nikt nawet nie próbował skontrolować, nie z powodu złej wiary uczestników postępowania, lecz z powodu braku wiedzy, że taka kontrola jest w ogóle potrzebna.

Trzeci powód dotyczy systemu biegłych sądowych, który w teorii powinien stanowić bezpiecznik na wypadek, gdy strona zgłosi zastrzeżenia co do autentyczności dowodu. W praktyce ten bezpiecznik działa wadliwie z co najmniej trzech powodów. Po pierwsze, powołanie biegłego informatyka wydłuża postępowanie nawet o rok, co samo w sobie zniechęca strony i sądy do korzystania z tej ścieżki, zwłaszcza w sprawach o relatywnie niższej wartości przedmiotu sporu. Po drugie, strona nie ma realnego wpływu na wybór konkretnego biegłego z listy danego okręgu sądowego, a lista ta nie zawsze zawiera osoby o kompetencjach odpowiadających wąskiej specjalizacji technicznej wymaganej do oceny konkretnego dowodu, na przykład manipulacji plikiem SQLite komunikatora versus manipulacji strukturą XML dokumentu Office. Po trzecie, stawki wynagrodzenia biegłych sądowych w Polsce są rażąco niskie względem realiów rynku IT - nawet dla osób z tytułem profesorskim stawka godzinowa nie przekracza około 100 złotych, co w naturalny sposób zniechęca najlepiej wykwalifikowanych specjalistów bezpieczeństwa informatycznego do podejmowania się tej roli, skoro na komercyjnym rynku audytu bezpieczeństwa czy informatyki śledczej mogą zarobić wielokrotnie więcej. To nie jest zarzut wobec uczciwości biegłych jako grupy zawodowej - to opis rynkowego mechanizmu selekcji negatywnej, w którym zadania najbardziej wymagające technicznie są systemowo powierzane rynkowi usług o niskiej atrakcyjności finansowej dla osób z najwyższymi kwalifikacjami.

Czwarty, rzadziej dyskutowany powód, dotyczy samej logiki proceduralnej sądów w podejściu do formy dowodu elektronicznego. Zdarza się, że dowody cyfrowe, takie jak logi systemowe liczące kilka megabajtów danych strukturalnych, są wymagane w formie papierowego wydruku, mimo że taki wydruk z definicji utrudnia analizę zawartych w nim danych, a niekiedy sądy odmawiają przyjęcia dowodu w postaci elektronicznej, mimo że strona dysponuje pełnym materiałem cyfrowym gotowym do analizy przez biegłego. To zderzenie logiki papierowej i logiki cyfrowej odbywa się każdego dnia w polskich salach sądowych, a jego realne koszty ponoszą konkretni ludzie i konkretne firmy, których sprawy rozstrzygane są na podstawie materiału gorszej jakości, niż mogłoby to wynikać z dostępnych możliwości technicznych.

Front, który jeszcze się nie otworzył w pełni: synteza wideo i audio

Wszystko powyżej odnosi się do problemu, który już dziś jest realny i mierzalny w tysiącach spraw sądowych rocznie. Znacznie poważniejsze zagrożenie dopiero się rozwija, i to w tempie, które żaden krajowy system prawny na świecie nie nadąża dziś w pełni absorbować. Dowody wideo i audio uchodziły dotychczas za relatywnie odporniejsze na fałszerstwo niż tekst, ponieważ ich manipulacja wymagała specjalistycznego sprzętu, umiejętności montażowych i czasu. Rozwój generatywnej sztucznej inteligencji, w szczególności modeli syntezy wideo i klonowania głosu, zmienia tę kalkulację fundamentalnie. Dziś jeszcze bywa możliwe wykrycie artefaktów wizualnych świadczących o syntetycznym pochodzeniu materiału wideo, takich jak niedoskonałości w ruchu ust, migotanie krawędzi czy niekonsekwencje w oświetleniu. W perspektywie najbliższych dwóch, trzech lat taka detekcja stanie się dla przeciętnego obserwatora, a nawet dla sądu bez dostępu do wyspecjalizowanych narzędzi analitycznych, praktycznie niemożliwa.

Konsekwencje tej zmiany dla systemu dowodowego są dwutorowe i wzajemnie się wzmacniają w najgorszy możliwy sposób. Z jednej strony, każdy autentyczny dowód wideo przedstawiający sprawcę zdarzenia będzie można w przyszłości podważyć samym argumentem, że materiał równie dobrze mógł zostać wygenerowany syntetycznie, co otwiera pole do systematycznego podważania nawet prawdziwych dowodów przez stronę, której zależy na przewlekaniu postępowania lub zasianiu wątpliwości u sądu. Z drugiej strony, każdy fałszywy materiał wideo lub audio wygenerowany syntetycznie będzie równie trudny do zdemaskowania, jak dziś edytowany zrzut ekranu z komunikatora, tyle że skala potencjalnej szkody - na przykład w sprawach rozwodowych, w sporach pracowniczych czy w postępowaniach karnych - jest nieporównywalnie większa niż w przypadku sfałszowanego SMS-a. System prawny, który dziś z trudem radzi sobie z wykrywaniem manipulacji plikami XML dokumentów Office, nie ma statystycznie żadnych szans na samodzielne poradzenie sobie z nadchodzącą falą materiałów syntetycznych, jeżeli nie zostanie wyposażony w infrastrukturę techniczną pozwalającą odróżniać materiał zweryfikowany od niezweryfikowanego już w momencie jego powstania, a nie post factum, w toku kosztownej i czasochłonnej opinii biegłego.

Dlaczego budujemy EVIDION.pl, wcześniej znany pod nazwą roboczą NEXguard

To wszystko - kruchość poszczególnych kategorii dowodów, strukturalna niewydolność systemu biegłych, brak przygotowania kadr orzeczniczych oraz nadchodząca eskalacja związana z syntezą AI - złożyło się na przekonanie, że problem opisany powyżej nie jest problemem, który da się rozwiązać apelami o większą świadomość prawniczą, punktowymi szkoleniami dla aplikantów czy kampaniami edukacyjnymi w mediach branżowych, choć każde z tych działań ma swoją wartość i swoje miejsce w szerszej strategii naprawczej. Jest to problem strukturalny, wymagający rozwiązania infrastrukturalnego, i to właśnie z tego przekonania wywodzi się projekt, który dziś funkcjonuje pod nazwą EVIDION.pl, a wcześniej rozwijany był pod nazwą roboczą NEXguard.

Zmiana nazwy z NEXguard na EVIDION.pl nie była kosmetyczna. Odzwierciedlała ewolucję samego projektu: od koncepcji skoncentrowanej wąsko na ochronie i zabezpieczeniu pojedynczego urządzenia lub kanału komunikacji, ku szerszej wizji infrastruktury dowodowej, obejmującej cały cykl życia dowodu cyfrowego - od momentu jego powstania lub przechwycenia, przez etap przechowywania i wersjonowania, aż po moment prezentacji przed sądem lub organem administracyjnym. Nazwa EVIDION nawiązuje bezpośrednio do samego pojęcia evidence - dowodu - i sygnalizuje ambicję zbudowania nie kolejnej aplikacji zabezpieczającej, lecz pełnoprawnej warstwy infrastrukturalnej dla materiału dowodowego, analogicznej do tego, jak w innych, bardziej regulowanych sektorach gospodarki funkcjonują dziś systemy governance evidence, łączące kontrakty, polityki, decyzje i incydenty w jeden, spójny, kryptograficznie zabezpieczony i w pełni odtwarzalny łańcuch dowodowy, odporny na retrospektywną rekonstrukcję pod presją sporu.

Sens architektoniczny EVIDION.pl sprowadza się do jednej, fundamentalnej zmiany punktu odniesienia: przesunięcia momentu zabezpieczenia dowodu z końca łańcucha dowodowego, gdzie dziś dominuje notarialne poświadczenie zrzutu ekranu wykonane tygodnie lub miesiące po zdarzeniu, na sam początek tego łańcucha, czyli na moment, w którym dana treść cyfrowa faktycznie powstaje, jest przechwytywana lub odbierana przez stronę. Zamiast opierać się na założeniu, że strona przedstawiająca dowód działa w dobrej wierze, a druga strona i tak nie będzie w stanie skutecznie podważyć jego autentyczności z powodu braków proceduralnych i technicznych opisanych powyżej, system tworzy niezależny, kryptograficznie zabezpieczony zapis stanu materiału w chwili jego zarejestrowania. Taki zapis obejmuje nie tylko samą treść, ale również metadane techniczne umożliwiające późniejszą, obiektywną weryfikację integralności, w tym znacznik czasu odporny na manipulację, sumę kontrolną treści oraz łańcuch powiązań kryptograficznych wiążących poszczególne elementy materiału dowodowego w spójną, niemożliwą do wyrywkowej edycji strukturę, zbliżoną koncepcyjnie do mechanizmów wykorzystywanych w rozwiązaniach typu evidence ledger stosowanych już dziś w regulowanych sektorach finansowym i ubezpieczeniowym na Zachodzie.

To podejście, choć nowatorskie na polskim rynku prawno-technologicznym, nie jest wynalezione od zera. Świat regulacji finansowych, ubezpieczeniowych i technologicznych na Zachodzie od kilku lat buduje infrastrukturę tego typu, w odpowiedzi na wymogi takich aktów jak DORA, NIS2 czy AI Act, opartą na strukturalnych, w pełni odtwarzalnych dowodach zgodności, łączących kontrakty, polityki, decyzje i incydenty w jeden, niezmienialny graf dowodowy, wykorzystujący technologię kryptograficznego hashowania do zapewnienia odporności materiału na manipulację i umożliwiający pełną, chronologiczną odtwarzalność wersji. Różnica polega na tym, że tego rodzaju infrastruktura powstawała dotychczas głównie z myślą o wymogach regulacyjnych sektora finansowego i o zgodności korporacyjnej, nie z myślą o realnym, codziennym problemie polskiego postępowania cywilnego i karnego, w którym miliony spraw rocznie rozstrzygane są na podstawie wydruków niemożliwych do rzetelnej weryfikacji technicznej. EVIDION.pl powstaje właśnie w tej przestrzeni, którą dotychczas nikt w Polsce nie zaadresował z wystarczającą determinacją i skalą: pomiędzy codzienną praktyką sądową opartą na papierowych wydrukach i notarialnych poświadczeniach a nowoczesną infrastrukturą dowodową, jaką dysponują dziś najbardziej regulowane branże na świecie.

Trzy filary, na których opiera się cała koncepcja

Pierwszym filarem jest przekonanie, że pytanie o autentyczność dowodu powinno stać się bezprzedmiotowe, nie zaś rozstrzygane w drodze kosztownej i wielomiesięcznej opinii biegłego. Jeżeli integralność materiału jest matematycznie weryfikowalna od momentu jego powstania, dzięki mechanizmom kryptograficznym rejestrującym stan pliku, znacznik czasu i łańcuch powiązań, pytanie "czy to jest prawdziwe" przestaje wymagać subiektywnej oceny sądu bez odpowiednich kompetencji technicznych, a staje się pytaniem sprawdzalnym w sposób obiektywny, powtarzalny i niewymagający interpretacji. To jest fundamentalna różnica względem obecnej praktyki notarialnego poświadczania zrzutów ekranu, które poświadcza jedynie fakt obserwacji ekranu w danym momencie, nie zaś rzeczywistą integralność treści źródłowej.

Drugim filarem jest przekonanie, że problem manipulacji dowodem cyfrowym nie zniknie, lecz przyspieszy w tempie proporcjonalnym do rozwoju generatywnej sztucznej inteligencji, a system dowodowy, który dziś z trudem radzi sobie z wykrywaniem edytowanych zrzutów ekranu, nie ma najmniejszych szans na samodzielne poradzenie sobie z nadchodzącą falą materiałów syntetycznych bez odpowiedniej infrastruktury technicznej wdrożonej z odpowiednim wyprzedzeniem, a nie w reakcji na już zmaterializowany kryzys zaufania do dowodów wideo i audio.

Trzecim filarem jest przekonanie, że odciążenie systemu biegłych sądowych z zadań o charakterze technicznie banalnym, takich jak potwierdzenie autentyczności dokumentu, którego integralność mogłaby zostać zweryfikowana automatycznie w kilka sekund przez odpowiednio zaprojektowany system, pozwoli przesunąć uwagę, czas i ograniczone zasoby biegłych na sprawy rzeczywiście złożone, wymagające głębokiej, eksperckiej analizy, a nie rozstrzygania powtarzalnych, technicznie prostych pytań o autentyczność wydruku SMS-a czy dokumentu Office.

Konkluzja, która jest w istocie punktem wyjścia

Wnioski płynące z problemu opisanego przez informatykzakladowy.pl są jednoznaczne i stanowią dla nas mandat do działania, a nie jedynie temat do dyskusji na branżowym blogu. Polski system sądowy operuje dziś na architekturze dowodowej zaprojektowanej dla świata, w którym manipulacja treścią cyfrową wymagała specjalistycznego sprzętu i wiedzy dostępnej wyłącznie wąskiej grupie ekspertów. Świat, w którym faktycznie żyjemy, oferuje te same możliwości manipulacji każdemu, kto posiada smartfon, komputer i motywację do wygrania sprawy, niezależnie od tego, czy ma rację merytoryczną. Ten rozjazd między łatwością fałszowania a zdolnością systemu prawnego do weryfikacji będzie się powiększał, nie zmniejszał, w miarę jak generatywna sztuczna inteligencja obejmuje coraz szersze spektrum mediów cyfrowych.

Budowa EVIDION.pl, wcześniej rozwijanego pod nazwą roboczą NEXguard, jest odpowiedzią na to konkretne, narastające ryzyko: nie kolejnym komentarzem o tym, jak bardzo dowody cyfrowe są kruche, lecz próbą realnego przesunięcia punktu zabezpieczenia dowodu na moment, w którym manipulacja jest jeszcze technicznie niemożliwa, a nie tylko trudna do udowodnienia post factum, wiele miesięcy po zdarzeniu, w toku kosztownego postępowania z udziałem biegłego, który sam funkcjonuje w systemie niedopłaconym i strukturalnie przeciążonym.