Bellingcat, organizacja uznawana za „złoty standard” w dziedzinie białego wywiadu, padła ofiarą techniki, którą sama udoskonaliła: analizy publicznie dostępnych danych 1. Opublikowany niedawno raport pokazuje, jak prosta luka w konfiguracji strony internetowej i kontrowersyjne praktyki moderacji doprowadziły do deanonimizacji ponad połowy zespołu 2. Prześledziliśmy to dochodzenie krok po kroku, by zrozumieć, jak cyfrowi łowcy sami stali się zwierzyną.

Co badamy

Przedmiotem naszej analizy jest publiczny raport badacza bezpieczeństwa, który wziął pod lupę cyfrowe aktywa Bellingcat — organizacji słynącej z dochodzeń opartych na otwartych źródłach 1. Impulsem do śledztwa był incydent na oficjalnym serwerze Discord prowadzonym przez kolektyw 3, który zakończył się zbanowaniem autora analizy za opublikowanie GIF-a na nieaktywnym kanale 4. Sprawdzamy, jakie metody zastosowano i co dokładnie odkryto, opierając się wyłącznie na opublikowanych ustaleniach.

Metodologia

Dochodzenie, przeprowadzone między 9 a 18 lutego 2026 roku 5, opierało się na pasywnych technikach OSINT (Open Source Intelligence — analizy informacji z publicznych źródeł). Badacz nie próbował przełamać żadnych zabezpieczeń ani uzyskać uwierzytelnionego dostępu. Jego metodyka obejmowała trzy główne kroki: analizę publicznie dostępnej mapy strony WordPress, profilowanie za pomocą publicznego API (Interfejsu Programowania Aplikacji) usługi Gravatar oraz skrobanie (automatyczne pobieranie) treści opublikowanych artykułów 6.

Jako źródło danych posłużyła publiczna mapa autorów author-sitemap.xml oraz 1318 artykułów dostępnych na stronie Bellingcat 7. Do analizy wykorzystano autorskie skrypty do ekstrakcji hashy Gravatar, automatyczny program do łamania wzorców adresów e-mail oraz skrobak profili 8. Cały proces był powtarzalny i oparty wyłącznie na publicznie dostępnych zasobach.

Sygnatura / wzorzec

Analiza ujawniła łańcuch zaniedbań w obszarze bezpieczeństwa operacyjnego (OPSEC), który rozpoczął się od incydentu w społeczności, a zakończył masową deanonimizacją. Trop prowadzi od polityki moderacji na Discordzie do domyślnej konfiguracji popularnego systemu zarządzania treścią.

Krok 1: Incydent na Discordzie i system „cross-ban”

Początkiem dochodzenia było wyrzucenie badacza z serwera Discord Bellingcat 4. Oficjalny powód bana, zapisany w systemie, brzmiał: „Discord ToS/Threats” (naruszenie regulaminu Discorda/groźby) 9, co stało w rażącej sprzeczności z faktyczną akcją — wysłaniem GIF-a. Co ciekawe, zanim interweniowali moderatorzy, autora pouczali inni użytkownicy bez żadnych uprawnień 10.

Kluczowym odkryciem było istnienie zautomatyzowanego systemu „cross-ban”, który rozpropagował blokadę na inne, powiązane serwery OSINT 11. W efekcie badacz został automatycznie zbanowany z serwera „Project Owl: The OSINT Community”, z którym nigdy nie wchodził w interakcję 12. Taki mechanizm, pozbawiony kontekstu i nadzoru, może tworzyć ryzyko niesłusznego wykluczenia z całego ekosystemu za jedno, potencjalnie błahe, naruszenie.

Dodatkową czerwoną flagą okazał się bot ModMail, używany do weryfikacji. Wymagał on od użytkownika nadania uprawnienia guilds, które pozwala botowi zobaczyć listę wszystkich serwerów Discord, do których należy użytkownik 13. Dla członków społeczności OSINT — dziennikarzy, aktywistów czy badaczy śledzących wrogie rządy — jest to fundamentalne ryzyko dla bezpieczeństwa operacyjnego 14. Lista serwerów to metadane, które mogą ujawnić tematy badawcze, przynależność do grup politycznych czy badane organizacje 15.

Krok 2: Analiza strony WordPress i wyciek hashy

Sprowokowany incydentem badacz postanowił przyjrzeć się publicznym zasobom Bellingcat. Szybko odkrył, że strona oparta na WordPressie została pozostawiona w domyślnej konfiguracji, bez żadnych dodatkowych zabezpieczeń 16. Domyślnie WordPress generuje publiczne mapy strony w formacie XML, w tym listę wszystkich autorów, którzy kiedykolwiek publikowali treści 17.

Każdy wpis autora w tej mapie zawierał link do jego awatara w usłudze Gravatar. A link ten zawierał skrót MD5 (funkcja skrótu, która tworzy unikalny „odcisk palca” dla danych) adresu e-mail autora 17. W ten sposób, z publicznie dostępnego pliku author-sitemap.xml, badacz wyodrębnił 173 unikalne hashe MD5 18. Należały one do całego przekroju redakcji: śledczych, analityków, współpracowników i redaktorów 19.

Krok 3: Łamanie hashy i deanonimizacja

Posiadanie hashy MD5 adresów e-mail to pierwszy krok do ich odzyskania. Skróty te można łamać, porównywać z bazami wycieków lub odpytywać publiczne API w poszukiwaniu powiązanych profili 20.

Badaczowi udało się złamać 89 ze 173 hashy (ponad 51%), odzyskując oryginalne adresy e-mail 21 22. Wśród nich znalazły się zarówno firmowe adresy w domenie @bellingcat.com, jak i prywatne konta na Gmailu, Protonmailu czy Hotmailu, a także adresy uniwersyteckie 23. Używanie przez kilku śledczych osobistych adresów e-mail stanowiło szczególne ryzyko, ponieważ pozwalało bezpośrednio połączyć ich działalność z prywatną tożsamością na innych platformach 24.

Następnie, wykorzystując odzyskane dane, odpytano publiczne API Gravatara. Dla 32 profili udało się pobrać pełne dane 25, w tym:

  • Prawdziwe imiona i nazwiska.
  • Lokalizacje geograficzne, takie jak Groningen (Holandia), Londyn (Wielka Brytania) czy Stambuł (Turcja) 26.
  • Powiązane konta w mediach społecznościowych (Twitter/X, Facebook, Flickr, YouTube) 26.
  • Biografie i opisy zawodowe 26.

Na koniec badacz zeskrobał wszystkie 1318 opublikowanych artykułów, aby pozyskać 232 unikalne nazwiska autorów 27. Nazwiska te posłużyły jako wsad do programu łamiącego hashe, co pozwoliło odzyskać kolejne adresy, w tym te powiązane z King’s College London, Stanford czy UC Berkeley 28.

Efekt końcowy: z pojedynczej, publicznie dostępnej mapy strony, zdeanonimizowano ponad połowę personelu i współpracowników Bellingcat 2.

Co to znaczy

Ujawnione zaniedbania stanowią gorzką lekcję dla całej branży OSINT i każdej organizacji, która ceni prywatność. Po pierwsze, pokazują, że nawet liderzy w dziedzinie białego wywiadu mogą zaniedbać podstawowe zasady własnego bezpieczeństwa operacyjnego. To klasyczny przypadek „szewc bez butów chodzi”.

Po drugie, sprawa obnaża ryzyko związane z domyślnymi konfiguracjami popularnego oprogramowania. WordPress, choć potężny, bez odpowiedniego utwardzenia może stać się źródłem wycieków. Publicznie dostępne API REST i mapy stron to znane wektory, które powinny być kontrolowane.

Po trzecie, incydent podkreśla systemowe zagrożenie, jakie niosą pozornie nieszkodliwe usługi firm trzecich, takie jak Gravatar. Usługa stworzona dla wygody stała się potężnym narzędziem do masowej deanonimizacji.

Polish context

Choć analiza dotyczy międzynarodowej organizacji, wnioski są istotne dla polskiego ekosystemu. Wiele polskich organizacji pozarządowych, redakcji i grup aktywistycznych korzysta z WordPressa ze względu na niski koszt i łatwość obsługi. Ile z nich pozostawiło domyślną, publiczną mapę autorów, nie zdając sobie sprawy z ryzyka? Podobnie jest z Discordem, który stał się popularnym narzędziem do budowania społeczności. Administratorzy serwerów często instalują boty moderacyjne, nie weryfikując, jakich uprawnień żądają. Wymóg dostępu do listy serwerów użytkownika to poważne zagrożenie, zwłaszcza dla dziennikarzy śledczych czy aktywistów działających na styku z państwowymi służbami lub grupami przestępczymi. Dla polskich badaczy i dziennikarzy, których praca może naruszać interesy potężnych podmiotów, deanonimizacja nie jest tylko kwestią utraty prywatności. Może prowadzić do nękania, a w skrajnych przypadkach stanowić realne zagrożenie fizyczne. Ta analiza to dzwonek alarmowy i wezwanie do przeprowadzenia audytu własnego cyfrowego śladu.

Co zostawiamy nierozstrzygnięte

Analiza, choć szczegółowa, pozostawia kilka otwartych pytań:

  • Czy Bellingcat zareagował na publikację raportu i usunął opisaną lukę w konfiguracji WordPressa?
  • Jaka była prawdziwa motywacja stojąca za nieproporcjonalnym banem na Discordzie, który stał się iskrą zapalną dla całego dochodzenia?
  • Ile innych organizacji, w tym w Polsce, jest podatnych na identyczny, prosty wektor ataku przez mapę strony WordPress i API Gravatara?
  • Czy zautomatyzowane systemy „cross-ban” są zgodne z duchem RODO (Rozporządzenie o Ochronie Danych Osobowych), skoro przetwarzają dane o „naruszeniach” bez kontekstu i skutecznej ścieżki odwoławczej?

Źródła

Zobacz też

Przypisy

  1. Bellingcat ma reputację “złotego standardu” w dziedzinie otwartego wywiadu (OSINT). — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩ ↩2

  2. Ponad połowa personelu i współpracowników Bellingcat została zdeanonimizowana z pojedynczej mapy strony. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩ ↩2

  3. Bellingcat prowadzi społeczność na Discordzie i oferuje płatne warsztaty. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  4. Autor artykułu został wyrzucony z Discorda Bellingcat za opublikowanie GIF-a w nieaktywnym kanale. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩ ↩2

  5. Badanie Bellingcat.com zostało przeprowadzone w dniach 9-18 lutego 2026 roku. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  6. Metodologia badania obejmowała enumerację mapy strony WordPress, profilowanie API Gravatar i skrobanie artykułów (wszystko pasywne, bez uwierzytelniania). — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  7. Źródłem danych była publiczna mapa strony WordPress Bellingcat (author-sitemap.xml) i 1318 opublikowanych artykułów. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  8. Narzędzia użyte do badania to niestandardowe narzędzia do ekstrakcji hashy Gravatar, automatyczny łamacz wzorców e-maili i skrobak profili Gravatar. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  9. Powodem bana na Discordzie Bellingcat było “Discord ToS/Threats” (naruszenie warunków usługi Discord/groźby). — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  10. Użytkownicy bez ról moderatora na Discordzie Bellingcat pouczali autora o zasadach, zanim został zbanowany. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  11. Bellingcat używa systemu “crossban”, który rozprzestrzenia bany na powiązane społeczności OSINT. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  12. Autor został automatycznie zbanowany z serwera Project Owl: The OSINT Community z powodu “BC Crossban: Discord ToS/Threats”, mimo że nigdy nie wchodził w interakcje z tym serwerem. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  13. Bot ModMail na Discordzie wymaga uprawnień do przeglądania wszystkich innych serwerów Discord, do których użytkownik dołączył (zakres OAuth2 guilds). — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  14. Udostępnianie listy serwerów Discord jest ryzykiem operacyjnym dla członków społeczności OSINT, którzy mogą być dziennikarzami, badaczami, aktywistami lub osobami badającymi wrogie rządy. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  15. Lista serwerów Discord może ujawnić tematy badawcze, przynależność do społeczności, badane rządy/organizacje oraz powiązania z grupami politycznymi/aktywistycznymi. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  16. API REST WordPress i mapa strony zostały pozostawione w domyślnej konfiguracji bez zastosowania żadnych zabezpieczeń. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  17. WordPress generuje mapy stron XML, które zawierają listę wszystkich opublikowanych autorów, a każdy wpis autora zawiera URL Gravatar z hashem MD5 ich adresu e-mail. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩ ↩2

  18. Z mapy strony WordPress Bellingcat i stron autorów wyodrębniono 173 unikalne hashe MD5 Gravatar. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  19. Hashe te należą do wszystkich autorów, którzy kiedykolwiek publikowali treści na stronie Bellingcat, w tym śledczych, analityków, współpracowników, redaktorów i personelu. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  20. Hashe Gravatar mogą być łamane z powrotem do adresów e-mail, odpytywane w publicznym API profili Gravatar w celu odzyskania prawdziwych imion, lokalizacji, biografii i powiązanych kont społecznościowych, oraz porównywane z bazami danych naruszeń. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  21. 89 ze 173 hashy (51,4%) zostało złamanych z powrotem do oryginalnych adresów e-mail. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  22. Autor złamał 89 z tych hashy, odzyskując oryginalne adresy e-mail. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  23. Odzyskane e-maile obejmują korporacyjne adresy @bellingcat.com, osobiste konta Gmail/Protonmail/Hotmail, e-maile uniwersyteckie (.edu, .ac.uk) i międzynarodowych dostawców. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  24. Kilku śledczych używało osobistych adresów e-mail, które łączą się bezpośrednio z ich prawdziwymi tożsamościami na wielu platformach. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  25. Z 32 pełnych profili Gravatar pobrano prawdziwe imiona, lokalizacje, konta w mediach społecznościowych i biografie. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  26. 32 profile Gravatar zwróciły dane, takie jak prawdziwe imiona, lokalizacje geograficzne (Groningen NL, Londyn UK, Alexandria VA, Stambuł), powiązane konta społecznościowe (Twitter/X, Facebook, Flickr, YouTube) oraz biografie. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩ ↩2 ↩3

  27. Zeskrobano wszystkie 1318 opublikowanych artykułów Bellingcat, wyodrębniając 232 unikalne nazwiska autorów. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩

  28. Nazwiska autorów zostały użyte do złamania dodatkowych hashy, w tym adresów e-mail uniwersytetów King’s College London, Stanford i UC Berkeley. — ringmast4r.substack.com › the osint gatekeepers who cant secure ↩