Wszystkie wersje aplikacji mObywatel na iOS poniżej 4.71.0 [^1] zawierają podatność pozwalającą na nieautoryzowany wgląd w dane osobowe. Problem, opublikowany 3 lutego 2026 roku [^2] i zidentyfikowany jako CVE (Common Vulnerabilities and Exposures, identyfikator publicznie znanej luki) CVE-2025-11598, dotyczy sposobu, w jaki system iOS zarządza podglądem aplikacji. Może to prowadzić do ujawnienia informacji osobie z fizycznym dostępem do odblokowanego telefonu [^3], nawet po zakończeniu sesji w aplikacji [^4].

Podatność została zgłoszona do CERT Polska [^5], który koordynował proces jej odpowiedzialnego ujawnienia [^6] we współpracy z producentem, Centralnym Ośrodkiem Informatyki [^7] [^8]. Chociaż ryzyko jest oceniane jako niskie, dotyczy ono kluczowej aplikacji dla tożsamości cyfrowej milionów Polaków, co nadaje sprawie wysoką wagę. Problem został już naprawiony [^9], jednak wymaga to działania ze strony użytkowników.

TL;DR

  • Produkt: Aplikacja mObywatel na system iOS [^10].
  • Wektor ataku: Nieprawidłowe buforowanie widoku aplikacji w systemowym przełączniku aplikacji (App Switcher), co pozwala na podgląd ostatnio wyświetlanych danych po wylogowaniu [^4] [^11].
  • Identyfikator: CVE-2025-11598 [^2], CWE-359 (Exposure of Private Personal Information to an Unauthorized Actor) [^12] [^13].
  • Wpływ: Osoba z fizycznym dostępem do odblokowanego urządzenia może podejrzeć dane osobowe właściciela konta (np. imię, nazwisko, PESEL z mDowodu) bez uwierzytelniania [^14]. Zakres danych zależy od ostatniego widoku w aplikacji [^15].
  • Kogo dotyczy: Użytkownicy wszystkich wersji aplikacji mObywatel na iOS poniżej 4.71.0 [^1]. Podatność nie dotyczy innych platform (np. Android) [^16].
  • Pierwszy ruch: Natychmiastowa aktualizacja aplikacji mObywatel do wersji 4.71.0 [^9] lub nowszej poprzez App Store.

Wektor ataku

Podatność ma swoje źródło w mechanizmie działania przełącznika aplikacji (App Switcher) w systemie iOS. Gdy aplikacja jest minimalizowana, system operacyjny tworzy jej zrzut ekranu (snapshot), aby wyświetlić podgląd w karuzeli otwartych aplikacji [^17]. Standardową praktyką dla aplikacji przetwarzających dane wrażliwe jest zastąpienie tego zrzutu ekranu rozmytym obrazem lub generycznym logo, aby uniemożliwić podgląd zawartości.

W podatnych wersjach aplikacji mObywatel ten mechanizm ochronny nie został zaimplementowany poprawnie. W rezultacie, jeśli użytkownik miał na ekranie widok z danymi osobowymi – na przykład mDowód, Prawo Jazdy czy Legitymację Studencką – i zminimalizował aplikację, zrzut ekranu z tymi danymi pozostawał widoczny w App Switcherze [^18]. Co istotne, podgląd ten był dostępny nawet po wylogowaniu się z aplikacji [^4] [^11].

Scenariusz ataku wymaga, aby osoba nieuprawniona uzyskała fizyczny dostęp do odblokowanego iPhone’a ofiary [^3] [^14]. Nie są potrzebne żadne zaawansowane techniki ani specjalistyczne oprogramowanie [^19] – wystarczy otworzyć App Switcher (przesuwając palcem od dołu ekranu w górę) i przejrzeć miniatury aplikacji. Mimo że atakujący nie może wejść w interakcję z samą aplikacją bez ponownego zalogowania, może odczytać dane z miniatury.

Zakres ujawnionych informacji jest ściśle powiązany z ostatnim ekranem, który był aktywny przed minimalizacją aplikacji [^15] [^20] [^21]. Jeśli był to ekran główny, ryzyko jest minimalne. Jeśli jednak był to widok mDowodu, osoba trzecia mogła odczytać pełne dane z dokumentu. Należy podkreślić, że podatność dotyczy wyłącznie poufności danych na urządzeniu klienckim i nie ma wpływu na integralność danych ani bezpieczeństwo systemów backendowych Centralnego Ośrodka Informatyki [^22].

Oficjalna ocena powagi luki w skali CVSS (Common Vulnerability Scoring System) 4.0 wynosi zaledwie 1.0 [^23], co klasyfikuje ją jako niską. Wynika to z faktu, że eksploatacja wymaga fizycznego dostępu do odblokowanego urządzenia. Mimo to, w kontekście aplikacji będącej cyfrowym portfelem dokumentów tożsamości używanym w Polsce na masową skalę [^24], każdy, nawet teoretyczny, wektor wycieku danych osobowych powinien być traktowany poważnie.

Wskaźniki kompromitacji

Ta podatność ma charakter lokalny i nie generuje typowych wskaźników kompromitacji (IoC — Indicators of Compromise), takich jak hashe plików, adresy IP czy domeny serwerów C2 (Command and Control). Atak nie pozostawia śladów w logach systemowych czy sieciowych. Jedynym sposobem na weryfikację, czy urządzenie jest podatne, jest sprawdzenie wersji zainstalowanej aplikacji mObywatel.

Co zrobić w 24-48h

Zalecane kroki są proste i powinny zostać podjęte przez wszystkich użytkowników aplikacji mObywatel na urządzeniach Apple.

  1. Natychmiastowa aktualizacja (krytyczne): Najważniejszym i jedynym w pełni skutecznym krokiem jest aktualizacja aplikacji mObywatel do wersji 4.71.0 [^9] [^25] [^26] lub nowszej. W tym celu należy otworzyć aplikację App Store, przejść do sekcji aktualizacji i zainstalować nową wersję. Jeśli aktualizacja nie jest widoczna, można wyszukać mObywatel ręcznie i wybrać opcję „Uaktualnij”.

  2. Weryfikacja wersji: Aby upewnić się, że na urządzeniu zainstalowana jest bezpieczna wersja, można to sprawdzić w ustawieniach telefonu. Przejdź do Ustawienia > Ogólne > iPhone (pamięć masowa), a następnie znajdź na liście aplikację mObywatel. System wyświetli numer zainstalowanej wersji.

  3. Wdrożenie dobrych praktyk: Niezależnie od tej konkretnej luki, rekomendowanym podejściem jest wyrobienie sobie nawyku zamykania aplikacji operujących na danych wrażliwych (bankowość, tożsamość, zdrowie) natychmiast po zakończeniu ich używania. W tym celu należy otworzyć App Switcher i przesunąć miniaturę aplikacji w górę, aby zamknąć ją całkowicie. Minimalizuje to ryzyko przypadkowego ujawnienia danych osobom postronnym, które mogą zerkać na ekran, lub w podobnych scenariuszach jak opisany w tym alercie.

  4. Przegląd uprawnień i ustawień bezpieczeństwa: Warto przy tej okazji zweryfikować ustawienia bezpieczeństwa samego urządzenia. Upewnij się, że masz ustawioną silną blokadę ekranu (kod, Face ID lub Touch ID) oraz krótki czas automatycznej blokady. To podstawowa linia obrony przed nieautoryzowanym dostępem fizycznym.

Atrybucja

Podatność została odpowiedzialnie zgłoszona do zespołu CERT Polska [^5], który jest częścią państwowego instytutu badawczego NASK. Zespół ten pełni kluczową rolę w polskim ekosystemie cyberbezpieczeństwa, koordynując obsługę incydentów i podatności. W tym przypadku CERT Polska podjął współpracę z producentem oprogramowania, Centralnym Ośrodkiem Informatyki (COI) [^7] [^8], w celu przygotowania i wydania poprawki. Proces ten jest standardową procedurą tzw. „odpowiedzialnego ujawniania” (responsible disclosure), gdzie informacja o luce jest wstrzymywana publicznie do czasu udostępnienia łatki, aby nie narażać użytkowników na ataki. Według dostępnych informacji, nie odnotowano aktywnego wykorzystywania tej luki w atakach [^27].

Zobacz też