Czy można podrobić podpis elektroniczny? Zależy, o którym podpisie mowa

Krótka odpowiedź: to zależy, co nazywamy podpisem elektronicznym. Obrazek podpisu odręcznego wklejony do PDF skopiuje w kilkanaście sekund każdy, kto raz dostał od Ciebie podpisany dokument, i nie zostawi po tym żadnego śladu. Zwykły podpis elektroniczny złożony na platformie podrobisz tylko wtedy, gdy przejmiesz cudzą skrzynkę pocztową albo telefon. Podpisu kwalifikowanego nie podrobisz bez fizycznego dostępu do klucza, bo art. 26 lit. d rozporządzenia eIDAS wymaga, żeby każda późniejsza zmiana podpisanych danych była rozpoznawalna.

Paradoks polega na tym, że najłatwiejszy do podrobienia wariant jest w polskich firmach najpopularniejszy. Skan podpisu na papierze, wycięty w grafice i wklejany do kolejnych umów, to nadal codzienność w wielu działach handlowych. Wygląda jak podpis, więc ludzie traktują go jak podpis, chociaż nie niesie żadnej informacji o tym, kto i kiedy naprawdę zatwierdził dokument.

Co właściwie znaczy „podrobić podpis elektroniczny"?

W podpisie odręcznym podrobienie oznacza odwzorowanie cudzego znaku graficznego. W podpisie elektronicznym takie odwzorowanie zwykle nic nie daje albo, przeciwnie, daje wszystko, i to jest cała różnica. Trzeba rozdzielić trzy zupełnie różne czynności, które w rozmowie zlewają się w jedno słowo.

Pierwsza to skopiowanie wyglądu podpisu, czyli grafiki. Druga to podszycie się pod kanał identyfikacji, na przykład wysłanie zaproszenia do podpisu z przejętej skrzynki albo odebranie kodu SMS z cudzego telefonu. Trzecia to zmiana treści już podpisanego pliku. Tylko trzecią da się w porządnym podpisie wykryć automatycznie, bo zmiana choćby jednego bajta zmienia skrót SHA-256 dokumentu i podpis przestaje się zgadzać.

Obrazek podpisu w PDF: najłatwiejszy do podrobienia

Wklejona grafika nie jest powiązana z treścią dokumentu. Można ją wyciąć z jednej umowy i wstawić do zupełnie innej, można ją przesunąć, powiększyć, podmienić datę obok niej. Plik nie zaprotestuje, bo z technicznego punktu widzenia nic się nie stało: ktoś dodał obrazek do PDF.

Co gorsza, taki podpis rozdaje się samemu. Każdy kontrahent, któremu wyślesz podpisaną umowę, dostaje w prezencie czystą próbkę Twojego podpisu w wysokiej rozdzielczości. Przy podpisie na papierze odtworzenie cudzego znaku wymaga wprawy i i tak zostawia ślady, które wychwyci biegły z zakresu badań pismoznawczych. Przy obrazku nie ma czego badać, bo obie kopie są identyczne co do piksela.

To nie znaczy, że skan podpisanej umowy jest bezwartościowy. Znaczy tylko, że jego wartość bierze się z kontekstu, a nie z samego wyglądu podpisu. Rozpisaliśmy to osobno w artykule o tym, czy skan podpisanej umowy jest ważny.

Czy można podrobić zwykły podpis elektroniczny?

Zwykły podpis elektroniczny (SES) składany na platformie nie polega na wyglądzie, więc skopiowanie grafiki niczego nie załatwia. Żeby podszyć się pod inną osobę, trzeba przejąć jej kanał identyfikacji: dostęp do skrzynki e-mail, na którą przychodzi zaproszenie, albo do telefonu, na który idzie kod jednorazowy. To wymaga realnego włamania, a nie zabawy w grafice.

Ślad audytowy działa tu jak rejestrator w samochodzie. Zapisuje adres e-mail, datę i godzinę z dokładnością do sekundy, adres IP, użytą metodę potwierdzenia oraz skrót SHA-256 pliku w chwili podpisania. Nawet udane podszycie się zostawia więc dane, od których zaczyna się dochodzenie: z jakiego adresu IP i o której godzinie ktoś kliknął „Podpisuję". Szerzej opisaliśmy to w tekście o tym, co to jest ślad audytowy podpisu elektronicznego.

Uczciwie trzeba dodać, gdzie leży granica. Zwykły podpis elektroniczny nie potwierdza tożsamości w rozumieniu dowodu osobistego. Potwierdza kontrolę nad konkretną skrzynką i konkretnym telefonem w konkretnym momencie. Przy umowach handlowych to zwykle w zupełności wystarcza, przy transakcji na kilka milionów złotych warto sięgnąć po podpis kwalifikowany.

Czy można podrobić podpis kwalifikowany?

Praktycznie nie, i to nie z powodu haseł marketingowych, tylko z powodu konstrukcji przepisu. Art. 26 eIDAS wymaga od podpisu zaawansowanego między innymi, żeby był składany przy użyciu danych, których podpisujący może „z dużą dozą pewności" użyć pod wyłączną swoją kontrolą (lit. c), oraz żeby był powiązany z podpisanymi danymi w taki sposób, że każda późniejsza zmiana danych jest rozpoznawalna (lit. d). Podpis kwalifikowany dokłada do tego kwalifikowany certyfikat i kwalifikowane urządzenie.

W praktyce oznacza to, że atakujący musiałby zdobyć fizyczny nośnik z kluczem albo dostęp do konta w chmurze dostawcy, a do tego PIN. Samo skopiowanie pliku PDF nic nie daje: podpis odnosi się do skrótu konkretnej wersji dokumentu, więc dopisanie jednego zdania natychmiast go unieważnia. Dlatego tylko podpis kwalifikowany jest zgodnie z art. 25 ust. 2 eIDAS równoważny podpisowi własnoręcznemu.

Warto przy okazji rozdzielić dwa pojęcia, które w tym miejscu najczęściej się mylą. Kryptografia, czyli to, co potocznie nazywa się podpisem cyfrowym, chroni integralność pliku. O tym, czy podpis wiąże konkretnego człowieka, decyduje certyfikat i to, kto za niego ręczy. Można mieć bardzo mocną kryptografię i zerową wartość dowodową, jeśli certyfikat wystawiono samemu sobie.

Co jest dowodem, jeśli nie wygląd podpisu?

Przy dokumencie papierowym spór o autentyczność rozstrzyga biegły, który bada nacisk, tempo kreślenia i cechy motoryczne. Przy dokumencie elektronicznym nie ma czego badać, bo nie istnieje żaden ślad ręki. Dowodem staje się zestaw: podpisany plik, zapis podpisów wraz z adresami e-mail i znacznikami czasu oraz skrót SHA-256 pozwalający wykazać, że plik nie zmienił się od chwili podpisania.

Jest tu jedna pułapka procesowa, o której mało kto mówi. Art. 245 Kodeksu postępowania cywilnego stanowi, że „dokument prywatny sporządzony w formie pisemnej albo elektronicznej stanowi dowód tego, że osoba, która go podpisała, złożyła oświadczenie zawarte w dokumencie". Przepis wymienia formę pisemną i elektroniczną, a więc podpis własnoręczny i kwalifikowany. Dokument podpisany zwykłym podpisem elektronicznym zachowuje formę dokumentową i nadal jest dowodem w sprawie, ale nie korzysta z tego konkretnego domniemania. Praktyczny wniosek: przy zwykłym podpisie ślad audytowy nie jest dodatkiem, tylko właściwym dowodem.

Co grozi za podrobienie podpisu na umowie?

Odpowiedzialność karną wyznacza art. 270 § 1 Kodeksu karnego: „Kto, w celu użycia za autentyczny, podrabia lub przerabia dokument lub takiego dokumentu jako autentycznego używa, podlega karze pozbawienia wolności od 3 miesięcy do lat 5". W wypadku mniejszej wagi sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 270 § 2a KK). Karalne jest także samo używanie podrobionego dokumentu, więc nie trzeba go było własnoręcznie sfałszować.

Nie ma znaczenia, że dokument istnieje wyłącznie jako plik. Art. 115 § 14 KK definiuje dokument szeroko: „Dokumentem jest każdy przedmiot lub inny zapisany nośnik informacji, z którym jest związane określone prawo, albo który ze względu na zawartą w nim treść stanowi dowód prawa, stosunku prawnego lub okoliczności mającej znaczenie prawne". Nośnik informacji to także PDF na dysku. Podrobienie podpisu w pliku jest więc tym samym przestępstwem co podrobienie podpisu na papierze.

Po stronie cywilnej skutek jest jeszcze prostszy. Osoba, której podpis podrobiono, po prostu nie złożyła oświadczenia woli, więc umowa jej nie wiąże. Problem w tym, że to ona zwykle musi tę okoliczność wykazać, a przy obrazku wklejonym do PDF nie ma czym.

Jak sprawdzić, czy podpis na przysłanym dokumencie nie został podrobiony?

Zacznij od ustalenia, z jakim rodzajem podpisu masz do czynienia, bo od tego zależy cała reszta. Jeżeli w pliku widać tylko obrazek i nic poza tym, nie ma czego weryfikować technicznie i trzeba oprzeć się na kontekście. Jeżeli plik ma podpis w formacie PAdES, panel podpisu w Adobe Reader pokaże, czyj to certyfikat i czy dokument zmieniono po podpisaniu.

Nie traktuj przy tym żółtego ostrzeżenia Readera jako dowodu fałszerstwa. Reader sprawdza domyślnie listę AATL, którą prowadzi firma Adobe, a unijne listy zaufane (EUTL) prowadzą państwa członkowskie. To dwa niezależne zbiory, więc w pełni kwalifikowany polski podpis potrafi dostać ostrzeżenie zupełnie niesłusznie. Pewny wynik daje dopiero walidator sprawdzający listy unijne, a trzy sposoby weryfikacji zebraliśmy w artykule jak zweryfikować podpis elektroniczny w PDF.

Osobna czujność należy się dokumentom, które przyszły znikąd. Jeżeli umowę przysyła firma, z którą nie miałeś wcześniej kontaktu, sprawdź jej numer KRS albo wpis w CEIDG i porównaj adres nadawcy z domeną firmy. Przy ofercie zatrudnienia dochodzi jeszcze jedno: art. 30 § 3 Kodeksu pracy wymaga formy pisemnej dla wypowiedzenia, a umowę o pracę elektronicznie zamyka wyłącznie podpis kwalifikowany, więc propozycja „podpisz zwykłym podpisem" powinna zapalić lampkę. Zanim odeślesz cokolwiek podpisanego, warto też przeczytać, co o firmie piszą osoby, które w niej pracowały.

Jak zabezpieczyć własne umowy przed podrobieniem podpisu

Cztery nawyki załatwiają zdecydowaną większość ryzyka. Po pierwsze, przestań rozsyłać pliki z wklejonym obrazkiem własnego podpisu, bo każdy taki plik to gotowa próbka do skopiowania. Po drugie, scalaj załączniki do jednego PDF przed wysłaniem do podpisu, bo podpis obejmuje wyłącznie ten plik, na którym go złożono, a podmiana osobnego załącznika nie zostawia śladu.

Po trzecie, archiwizuj razem trzy rzeczy: podpisany plik, zapis podpisów i skrót SHA-256. Sam plik bez metryki jest w sporze o połowę słabszy. Po czwarte, przy czynnościach, dla których przepis zastrzega formę pisemną pod rygorem nieważności, nie kombinuj i użyj podpisu kwalifikowanego. Które to czynności, zebraliśmy na stronie o mocy prawnej podpisu elektronicznego.

I rzecz, która brzmi banalnie, a rozstrzyga najwięcej sporów: podpisuj tam, gdzie powstaje log. Ta sama umowa podpisana w dwóch kanałach ma zupełnie inną wartość dowodową, mimo że wygląda identycznie. Wygląd podpisu przestał być dowodem w chwili, w której dokumenty przeniosły się do plików, a wielu handlowców jeszcze tego nie zauważyło.

Ostatnia aktualizacja: sierpień 2026.