Brandsit

Tag: DDoS

  • DDoS jako zasłona dymna. Jak hakerzy wykorzystują chaos, by po cichu atakować API i logikę biznesową

    DDoS jako zasłona dymna. Jak hakerzy wykorzystują chaos, by po cichu atakować API i logikę biznesową

    W 2025 roku branża technologiczna żyje rekordami ataków DDoS. Słyszymy o gigantycznych uderzeniach przekraczających 2 terabity na sekundę (Tbps) – to liczby, które robią wrażenie i trafiają na nagłówki. Ale to tylko głośny teatr, spektakl siły obliczony na wywołanie paniki. Prawdziwe zagrożenie to nie hałas na froncie, ale cichy sabotaż odbywający się na zapleczu.

    Ataki Distributed Denial of Service ewoluowały. Już dawno przestały być prostą blokadą usług, prymitywną formą cyfrowego wandalizmu. Dziś to wyrafinowana zasłona dymna. Najnowsze raporty, jak choćby Gcore Radar, potwierdzają niepokojący trend: gwałtownie rośnie liczba złożonych, wielowarstwowych ataków. Podczas gdy zespoły IT i automatyczne systemy obronne walczą z gigantyczną powodzią bezwartościowego ruchu, atakujący przeprowadzają precyzyjny, chirurgiczny atak na aplikacje i interfejsy API. Ich celem nie jest już paraliż. Ich celem jest kradzież danych, manipulacja procesami biznesowymi i przejęcie kontroli.

    Anatomia nowoczesnego ataku: Gra na dwóch frontach

    Aby zrozumieć skalę zagrożenia, musimy przeanalizować, jak wygląda typowa, wielowarstwowa operacja. Atak odbywa się jednocześnie na dwóch frontach.

    Front pierwszy to głośny atak wolumetryczny (Warstwa 3/4). To klasyka gatunku: zalewanie sieci masowym, prostym ruchem, na przykład przez UDP flood. Celem jest „zatkanie rur”, wyczerpanie przepustowości łącza i zasobów sprzętu sieciowego. To generuje chaos, uruchamia wszystkie alarmy i angażuje pełną uwagę zespołu IT. To cyfrowa „mgła wojenna”, która ma skutecznie odwrócić uwagę obrońców.

    Front drugi to cichy atak precyzyjny (Warstwa 7). To tu, pod osłoną chaosu, odbywa się właściwy atak. Napastnicy wysyłają serię precyzyjnych, pozornie legalnych zapytań wymierzonych bezpośrednio w warstwę aplikacji. Te ataki nie zużywają pasma – one celują w zasoby serwera, takie jak CPU i pamięć, albo bezpośrednio w logikę biznesową aplikacji. To mogą być próby wstrzyknięcia kodu (injection), manipulacji koszykiem w sklepie internetowym, albo ataki na konkretne endpointy API, które odpowiadają za autoryzację lub pobieranie danych.

    API: Nowy, ulubiony cel hakera

    Dlaczego właśnie API (Interfejsy Programowania Aplikacji) stały się tak łakomym kąskiem? Odpowiedź jest prosta: **API to krwiobieg nowoczesnego biznesu.**

    To one łączą aplikacje mobilne z backendem, pozwalają na komunikację systemów wewnętrznych, integrują usługi partnerów i udostępniają dane klientom. Jednocześnie, historycznie są często słabiej chronione niż publiczna, frontowa część serwisu. Wiele firm wciąż żyje w błędnym przekonaniu, że ruch przychodzący z „własnej” aplikacji mobilnej jest automatycznie ruchem zaufanym.

    Najnowsze dane pokazują, że atakujący doskonale o tym wiedzą i celują w „wewnętrzne interfejsy API” oraz „mobilne backendy”. Skutki takiego ataku mają zupełnie inny wymiar biznesowy. To już nie jest tymczasowy wandalizm, który kosztuje nas utratę wizerunku przez kilka godzin niedostępności strony. To zorganizowany rabunek lub sabotaż.

    Przykłady? Kradzież całej bazy danych klientów przez niezabezpieczony endpoint. Manipulacja transakcjami finansowymi przez wysłanie spreparowanego żądania do API. Przejęcie kontroli nad całym procesem biznesowym, bo atakujący znalazł lukę w logice aplikacji.

    Zmiana taktyki: Od „uderz i ucieknij” do „uderz i obserwuj”

    Minęły czasy, gdy ataki DDoS były dziełem „tępej siły”. Dziś mamy do czynienia z inteligentnymi, adaptującymi się przeciwnikami. Raporty wskazują na fundamentalną zmianę strategii: od prostego „uderz i ucieknij” (hit and run) do podejścia „uderz i obserwuj” (hit and observe).

    Atakujący monitorują efekt swojego ataku w czasie rzeczywistym i dostosowują go, aby zmaksymalizować szkody. Co więcej, zmienia się też czas trwania ataków. Choć wiele z nich to wciąż krótkie, gwałtowne uderzenia, rośnie liczba tych trwających np. do 30 minut.

    To bardzo przemyślana taktyka. Wiele automatycznych systemów obronnych jest skonfigurowanych tak, by reagować na nagłe, bardzo krótkie piki. Atak o umiarkowanej sile, ale wydłużony w czasie, potrafi zmylić taką automatykę i dłużej pozostać pod progiem detekcji. To kolejny dowód na to, że mamy do czynienia z ukierunkowanym, starannie zaplanowanym działaniem.

    Dlaczego klasyczna obrona już nie działa?

    Traktowanie DDoS wyłącznie jako problemu z dostępnością to dziś strategiczny błąd. Wiele firm wciąż skupia się na inwestowaniu w „grubsze rury” – większą przepustowość i prostą mitygację wolumetryczną. To tak, jakby wzmacniać drzwi frontowe, podczas gdy wróg już dawno wszedł drzwiami kuchennymi.

    Problem polega na tym, że tradycyjne systemy obrony przed DDoS skupiają się na warstwie sieciowej (L3/L4) i są ślepe na subtelne, złośliwe zagrożenia ukryte w ruchu aplikacyjnym (L7).

    Dlatego konieczne jest fundamentalne przemyślenie strategii obronnej. Firmy muszą wdrożyć rozwiązania, które widzą obie warstwy ataku jednocześnie. Ochrona musi być zintegrowana. Na rynku rośnie znaczenie platform WAAP (Web Application and API Protection), które łączą w sobie funkcje zapory aplikacyjnej (WAF), ochrony API, zarządzania botami i mitygacji DDoS. Tylko taki holistyczny system jest w stanie zobaczyć cały obrazek – zarówno głośną zasłonę dymną, jak i cichy atak na logikę biznesową.

  • Zagrożenie hybrydowe: Jak drony nad Polską przekładają się na ryzyko w cyberprzestrzeni

    Zagrożenie hybrydowe: Jak drony nad Polską przekładają się na ryzyko w cyberprzestrzeni

    Noc z 9 na 10 września 2025 roku przejdzie do historii jako moment, w którym wojna za naszą wschodnią granicą przestała być jedynie medialnym doniesieniem, a stała się namacalnym zagrożeniem. Rosyjskie drony nad Polską i ich zestrzelenie przez siły zbrojne RP to wydarzenie bezprecedensowe.

    Jednak każdy, kto postrzega ten incydent wyłącznie w kategoriach militarnych, popełnia strategiczny błąd. Naruszenie przestrzeni powietrznej było bowiem głośnym prologiem do cichej ofensywy, która właśnie rozpoczyna się w polskiej cyberprzestrzeni.

    Drony nad Polską i anatomia rosyjskiej cyberagresji: jak działa machina Kremla?

    Aby zrozumieć, co nas czeka, musimy najpierw pojąć filozofię działania przeciwnika. Rosja od lat doskonali doktrynę wojny hybrydowej, w której pociski, bity i dezinformacja tworzą jeden, zintegrowany arsenał.

    Celem nie jest już tylko podbój terytorium, ale paraliż państwa od wewnątrz – złamanie jego gospodarki, zniszczenie zaufania do instytucji i skłócenie społeczeństwa.

    W tej strategii cyberataki odgrywają rolę kluczową, a za ich realizację odpowiadają wyspecjalizowane jednostki służb specjalnych, działające z finezją i brutalnością.

    Na czele tych operacji stoją dwaj główni aktorzy, których nazwy kodowe powinny być znane każdemu specjaliście ds. bezpieczeństwa:

    • GRU (APT28/Fancy Bear): To cyfrowy odpowiednik oddziałów Specnazu. Jednostki podporządkowane wywiadowi wojskowemu specjalizują się w operacjach głośnych, destrukcyjnych i sabotażowych. Ich celem jest chaos. To oni stoją za atakami na sieć energetyczną Ukrainy, włamaniami do systemów wyborczych czy niszczycielskimi atakami z użyciem malware’u typu Wiper, który bezpowrotnie kasuje dane. Jeśli coś ma zostać zniszczone, wyłączone lub sparaliżowane – wkracza GRU.
    • SVR (APT29/Cozy Bear): To arystokracja rosyjskiego cyfrowego wywiadu. Działają ciszej, bardziej subtelnie, a ich operacje cechuje niezwykła cierpliwość. Służba Wywiadu Zagranicznego koncentruje się na długofalowym szpiegostwie. To oni odpowiadają za słynny atak na łańcuch dostaw oprogramowania SolarWinds, dzięki któremu przez miesiące mieli dostęp do sieci tysięcy firm i agencji rządowych na całym świecie. Ich celem jest informacja, strategiczna przewaga i ciche umieszczanie „cyfrowych uśpionych agentów” w kluczowych systemach wroga.

    Co istotne, rosyjskie służby zacierają granicę między operacjami państwowymi a pospolitą cyberprzestępczością.

    Grupy ransomware, takie jak Conti czy LockBit, często otrzymują od Kremla ciche przyzwolenie na działanie w zamian za realizację „zleceń” uderzających w zachodnie cele – szpitale, korporacje czy samorządy. To pozwala siać chaos rękami pozornie niezależnych kryminalistów i dodatkowo komplikuje atrybucję ataków.

    Scenariusze dla Polski: przewidywane wektory ataków

    W kontekście ostatnich wydarzeń, Polska staje się celem o najwyższym priorytecie. Możemy spodziewać się uderzenia z kilku kierunków jednocześnie.

    Scenariusz 1: Uderzenie w infrastrukturę krytyczną (ICS/SCADA)

    To najbardziej niebezpieczny scenariusz. Celem staną się systemy sterowania przemysłowego, od których zależy funkcjonowanie państwa. Ataki mogą być wymierzone w:

    • Sektor energetyczny: Próby przejęcia kontroli nad stacjami transformatorowymi w celu wywołania regionalnych lub nawet krajowych blackoutów.
    • Transport i logistykę: Paraliż systemów zarządzania ruchem kolejowym, co miałoby bezpośredni wpływ na transporty wsparcia dla Ukrainy, ale także na krajową gospodarkę.
    • Wodociągi i oczyszczalnie: Manipulacja systemami kontroli może doprowadzić do przerw w dostawach wody lub, w skrajnym przypadku, do jej skażenia.

    Scenariusz 2: Paraliż administracji i kradzież danych

    Głównym celem operacji szpiegowskich (prowadzonych przez SVR) staną się kluczowe instytucje państwa. Należy spodziewać się zmasowanych kampanii spear-phishingowych, precyzyjnie wymierzonych w urzędników i wojskowych z MON, MSZ czy Ministerstwa Cyfryzacji.

    Celem będzie nie tylko kradzież danych dotyczących bezpieczeństwa i planów obronnych, ale także przejęcie kontroli nad kontami, które mogą posłużyć do dalszej eskalacji lub operacji dezinformacyjnych.

    Scenariusz 3: Wojna informacyjna i chaos społeczny

    Ten atak już trwa, ale teraz wejdzie w nową, intensywną fazę. Jego celem jest zniszczenie tkanki społecznej. Możemy oczekiwać:

    • Ataków DDoS na największe portale informacyjne i serwisy bankowe, by wywołać wrażenie, że państwo traci kontrolę.
    • Defacementu (podmiany treści) stron rządowych w celu publikacji fałszywych komunikatów i siania paniki.
    • Zmasowanych kampanii dezinformacyjnych w mediach społecznościowych, prowadzonych przez farmy trolli i boty. Narracje będą skupiać się na podważaniu skuteczności polskiej armii („nie zestrzelili wszystkiego”), oskarżaniu rządu o „prowokowanie Rosji” i podsycaniu nastrojów antyukraińskich.

    Dlaczego wzmożona aktywność jest nieunikniona?

    Prognozy te nie są jedynie spekulacjami. Wynikają one wprost z analizy rosyjskiej doktryny wojennej i logiki obecnej sytuacji.

    1. Po pierwsze: Asymetryczny Odwet. Rosja nie może sobie pozwolić na otwarty konflikt zbrojny z państwem NATO. Zestrzelenie jej dronów było policzkiem, który nie może pozostać bez odpowiedzi. Cyberprzestrzeń jest idealnym teatrem działań odwetowych – pozwala zadać bolesne ciosy w gospodarkę i infrastrukturę, unikając jednocześnie przekroczenia progu otwartej wojny.
    2. Po drugie: Druga Faza Operacji. Atak dronów miał na celu nie tylko uderzenie w Ukrainę, ale także zbadanie czasu reakcji i procedur polskiej obrony. Teraz rozpoczyna się faza druga: wywołanie chaosu wewnętrznego w kraju, który jest kluczowym hubem logistycznym dla Ukrainy i filarem wschodniej flanki NATO. Osłabiona i zajęta własnymi problemami Polska to strategiczny cel Kremla.
    3. Po trzecie: Testowanie Sojuszu. Rosja chce sprawdzić w praktyce, jak działają mechanizmy solidarności w ramach Artykułu 5. nie tylko w wymiarze militarnym, ale także cybernetycznym. Zmasowany atak na Polskę będzie testem dla procedur reagowania i współpracy wewnątrz NATO.

    Front przebiega dziś przez każdą serwerownię

    Musimy porzucić złudzenie, że cyberbezpieczeństwo to techniczny problem zamknięty w działach IT. Dziś jest to fundament bezpieczeństwa narodowego, a każdy administrator, programista i menedżer staje się obrońcą na cyfrowej linii frontu.

    Czas reaktywnego gaszenia pożarów bezpowrotnie minął. Wymagana jest zmiana paradygmatu w kierunku proaktywnej obrony i budowania odporności.

    Warto w tym miejscu podkreślić: celem tej analizy nie jest sianie paniki, lecz budowanie strategicznej świadomości i odporności. To właśnie rzetelna wiedza i chłodna ocena ryzyka, a nie strach, stanowią podstawę skutecznego przygotowania się na scenariusze, które mogą zmaterializować się w każdej chwili.

    Dla branży IT oznacza to konieczność natychmiastowego działania:

    • Wdrożenie architektury „Zero Trust”: Zasada „nigdy nie ufaj, zawsze weryfikuj” musi stać się standardem w każdej sieci korporacyjnej i rządowej.
    • Proaktywne Threat Hunting: Zespoły bezpieczeństwa muszą aktywnie polować na ślady intruzów w swoich sieciach, zamiast pasywnie czekać na alarmy z systemów SIEM.
    • Audyt i Testowanie Planów Reagowania na Incydenty (IRP): Posiadanie planu na papierze to za mało. Należy go regularnie testować poprzez symulacje, by w momencie kryzysu każdy wiedział, co ma robić.
    • Budowanie Odporności Społecznej: Sektor IT ma ogromną rolę do odegrania w edukowaniu pracowników i całego społeczeństwa w zakresie rozpoznawania dezinformacji i phishingu.

    Czerwone niebo nad wschodnią Polską było testem naszych procedur wojskowych. Nadchodząca cyfrowa ofensywa będzie testem odporności całego naszego państwa i społeczeństwa. To nie jest czas na strach, ale na konsolidację sił – na współpracę sektora prywatnego z administracją publiczną, na dzielenie się wiedzą o zagrożeniach i na budowanie cyfrowej tarczy, której nie złamią ani zmasowane ataki DDoS, ani precyzyjne operacje szpiegowskie. Historia uczy, że największą siłą Polski w obliczu zagrożeń zawsze była zdolność do mobilizacji i adaptacji. Dziś ta mobilizacja musi odbyć się w naszych sieciach, serwerowniach i umysłach.

  • Akamai Technologies ostrzega: 4-etapowy szantaż definiuje nowe oblicze ransomware

    Akamai Technologies ostrzega: 4-etapowy szantaż definiuje nowe oblicze ransomware

    Cyberprzestępcy udoskonalają swoje metody, przechodząc na bardziej złożone, czterofazowe taktyki wymuszeń, aby zmaksymalizować presję na swoje ofiary.

    Jak wynika z najnowszego raportu „Ransomware 2025” opublikowanego przez Akamai Technologies, choć podwójny szantaż — polegający na szyfrowaniu danych i groźbie ich upublicznienia — wciąż jest dominującą metodą, na horyzoncie pojawia się nowy, bardziej agresywny trend.

    Nowa taktyka, określana jako poczwórne wymuszenie, rozszerza arsenał atakujących o dodatkowe działania. Oprócz kradzieży i szyfrowania danych, cyberprzestępcy sięgają po ataki typu DDoS (rozproszona odmowa usługi), aby sparaliżować działalność operacyjną firmy.

    Co więcej, w celu zwiększenia presji psychologicznej, nękane są również podmioty trzecie, takie jak klienci, partnerzy biznesowi czy media. Te działania przekształcają cyberatak w rozległy kryzys biznesowy, który wymusza na organizacjach fundamentalne przemyślenie dotychczasowych strategii bezpieczeństwa i reagowania na incydenty.

    Istotnym czynnikiem napędzającym ewolucję i skalę zagrożeń jest rosnąca rola generatywnej sztucznej inteligencji oraz dużych modeli językowych (LLM).

    Narzędzia te znacząco obniżają próg wejścia dla mniej doświadczonych przestępców, umożliwiając im tworzenie zaawansowanego kodu ransomware oraz doskonalenie technik socjotechnicznych, co przekłada się na większą skuteczność kampanii.

    Raport zwraca również uwagę na rosnącą aktywność hybrydowych grup, łączących motywacje finansowe z haktywizmem. Wykorzystują one platformy typu „ransomware jako usługa” (RaaS), aby wzmacniać swój wpływ. Podobne strategie, choć inne cele, przyświecają grupom zajmującym się cryptominingiem.

    Analiza Akamai wykazała, że prawie połowa tego typu ataków była wymierzona w sektor edukacyjny i organizacje pozarządowe, co prawdopodobnie wynika z ich ograniczonych zasobów na cyberbezpieczeństwo. Zmieniający się krajobraz zagrożeń stawia przed firmami nowe wyzwania, które obejmują nie tylko technologię, ale również aspekty prawne i regulacyjne.

  • Nowy rekord DDoS. Botnety Mirai w natarciu, celem infrastruktura Cloudflare

    Nowy rekord DDoS. Botnety Mirai w natarciu, celem infrastruktura Cloudflare

    W ciągu zaledwie 45 sekund z sieci popłynęło 7,3 terabita na sekundę złośliwego ruchu – tyle co 9300 filmów HD jednocześnie. To nowy rekord ataku DDoS (distributed denial-of-service), który Cloudflare, jeden z największych dostawców usług ochrony przed cyberzagrożeniami, odnotował w zeszłym tygodniu. Choć trwał chwilę, jego rozmiar pokazuje, jak bardzo ewoluują techniki zakłócania dostępności usług online.

    Atak był wymierzony w klienta Cloudflare i polegał na przeciążeniu systemów poprzez skoordynowany napływ pakietów danych. Tym razem zaatakowano aż 22 tysiące bram jednocześnie – to wyjątkowo rozproszona i złożona akcja. Głównym wektorem ataku był protokół UDP, wykorzystywany m.in. do streamingu wideo i DNS – szybki, ale bez mechanizmów potwierdzania, co czyni go wygodnym narzędziem dla przestępców.

    Część ataku miała charakter refleksyjny – polegał on na podszywaniu się pod adres ofiary i wysyłaniu zapytań do otwartych serwerów, które następnie przesyłały odpowiedzi na nieprawdziwy adres. Użyto przy tym m.in. starych, ale wciąż działających usług systemowych, takich jak Quote of the Day czy Echo, które mogą zwielokrotniać siłę ataku.

    Za całym atakiem stały botnety oparte na rodzinie Mirai – zbudowane z tysięcy zainfekowanych urządzeń IoT, takich jak kamery IP, rejestratory czy domowe routery. W ostatnich miesiącach cyberprzestępcy intensywnie wykorzystywali m.in. luki w urządzeniach sieciowych Asusa, które wciąż często działają z domyślnymi hasłami i bez aktualizacji.

    Rosnące zagrożenie DDoS to z jednej strony efekt powszechności słabo zabezpieczonych urządzeń, z drugiej – coraz większej dostępności narzędzi do przeprowadzania ataków. Dla firm oznacza to konieczność inwestycji nie tylko w systemy ochrony sieci, ale i w podstawową higienę urządzeń końcowych – własnych oraz tych używanych przez klientów.Cloudflare deklaruje, że skutecznie odeprzeć tak ogromny atak to dowód skuteczności ich infrastruktury. Ale równie wyraźnie widać, że w cyberwojnie między przestępcami a firmami technologicznymi trwa właśnie wyścig na skalę, zasięg i automatyzację. I nic nie wskazuje na to, by miał się szybko skończyć.

  • Nowa fala ataków DDoS uderza w sektor finansowy – raport FS-ISAC i Akamai

    Nowa fala ataków DDoS uderza w sektor finansowy – raport FS-ISAC i Akamai

    Sektor finansowy zmaga się z nowym obliczem znanego wroga: atakami DDoS. Najnowszy raport FS-ISAC i Akamai Technologies pokazuje, że to, co kiedyś było uciążliwością dla administratorów IT, dziś ewoluuje w poważne zagrożenie operacyjne i reputacyjne dla instytucji finansowych.

    Od hałasu do precyzji

    Ataki typu Distributed Denial of Service od lat są wpisane w krajobraz zagrożeń cyfrowych. Jednak jak pokazuje raport „Od uciążliwości do zagrożenia strategicznego”, ich charakter wyraźnie się zmienia. Dzisiejsze ataki są nie tylko silniejsze, ale przede wszystkim bardziej złożone i ukierunkowane. Przestępcy coraz częściej celują nie w infrastrukturę jako taką, ale w konkretne punkty styku z klientem – strony internetowe, aplikacje mobilne czy API.

    Ten ostatni wektor staje się szczególnie wrażliwy w dobie otwartej bankowości i rosnącej cyfryzacji usług finansowych. Jak wskazuje raport, liczba ataków DDoS na poziomie aplikacyjnym – głównie API – wzrosła rok do roku o 23%. A ponieważ takie ataki coraz częściej przypominają zwykłą aktywność użytkownika, tradycyjne systemy detekcji często zawodzą.

    Globalny krajobraz: punkt zapalny Azja i Pacyfik

    Z danych FS-ISAC wynika, że szczególnie dynamiczne zmiany zachodzą w regionie Azji i Pacyfiku. Jeszcze rok temu odpowiadał on za zaledwie 11% globalnych ataków wolumetrycznych, dziś ten udział sięga 38%. Eksperci tłumaczą to zarówno rosnącym znaczeniem cyfrowych usług finansowych w regionie, jak i eskalacją napięć geopolitycznych. Kampanie haktywistyczne, napędzane konfliktami na Bliskim Wschodzie i w Europie Wschodniej, coraz częściej wykorzystują DDoS jako narzędzie demonstracji i sabotażu.

    Równolegle rozwija się rynek usług „DDoS-for-Hire” – gotowych zestawów umożliwiających odpłatne zlecenie ataku nawet przez osoby bez zaplecza technicznego. To zjawisko dramatycznie utrudnia identyfikację sprawców i sprawia, że bariera wejścia do świata cyberataków jeszcze nigdy nie była tak niska.

    Nie tylko technologia – także procesy i ludzie

    Zmiana charakteru ataków DDoS wymusza przemyślenie strategii obronnych. Organizacje nie mogą dłużej polegać wyłącznie na zaporach i filtrach ruchu sieciowego. Kluczowe staje się podejście holistyczne – łączące aspekty techniczne, organizacyjne i procesowe.

    Aby ułatwić ocenę dojrzałości zabezpieczeń, FS-ISAC i Akamai proponują pięciostopniowy model, który pozwala instytucjom finansowym zidentyfikować luki w ochronie, oszacować ryzyko i zaplanować inwestycje w odporność. Co istotne, model uwzględnia nie tylko rozwiązania technologiczne, ale również kulturę organizacyjną – od szkolenia zespołów po planowanie ciągłości działania.

    Zaufanie jako waluta przyszłości

    Największym zagrożeniem ze strony DDoS nie jest dziś utrata danych czy pojedyncze godziny przestoju. To ryzyko utraty zaufania – zarówno klientów, jak i partnerów. W sektorze finansowym, gdzie lojalność klientów buduje się latami, nawet chwilowa niedostępność usług może mieć długofalowe konsekwencje.

    Gdy banki coraz częściej konkurują technologią, a cyfrowe doświadczenia klientów stają się równie ważne co oferta produktowa, każda luka w dostępności jest jednocześnie luką w reputacji.

    Strategiczna odporność jako przewaga konkurencyjna

    Nowe dane pokazują jasno: DDoS nie jest już problemem administratora sieci – to problem całej organizacji. Zarządzanie ryzykiem musi objąć nie tylko infrastrukturę, ale też cały łańcuch dostaw, partnerów technologicznych i kanały interakcji z klientem.

    Na rynku, który coraz częściej ocenia instytucje finansowe przez pryzmat ich cyfrowej odporności, inwestycja w bezpieczeństwo przestaje być kosztem. Staje się przewagą konkurencyjną.

  • Cyberatak przed wyborami. DDoS sparaliżował strony PO, Lewicy i PSL

    Cyberatak przed wyborami. DDoS sparaliżował strony PO, Lewicy i PSL

    W piątek rano strony internetowe Platformy Obywatelskiej, Lewicy i PSL stały się celem cyberataku DDoS przeprowadzonego przez prorosyjską grupę noname057. Według informacji przekazanych przez premiera Donalda Tuska oraz NASK, kampania zakłócania działania serwisów rozpoczęła się na dwa dni przed wyborami do Parlamentu Europejskiego. Strony PO, w tym ta obsługująca darowizny kampanijne, zostały tymczasowo wyłączone. W akcję zaangażowano CERT NASK.

    Tego typu ataki nie są technicznie skomplikowane. Ich skuteczność nie wynika z wyrafinowania, ale z precyzyjnego doboru momentu – tuż przed głosowaniem, gdy uwaga mediów i społeczeństwa jest największa. Celem jest nie tyle zniszczenie infrastruktury, co zasianie niepokoju, podważenie zaufania i wywołanie chaosu komunikacyjnego. Jak wskazuje NASK, grupy takie jak noname057 od miesięcy stosują podobną taktykę w krajach NATO, działając otwarcie na Telegramie.

    Dla branży IT i sektora usług cyfrowych to kolejny sygnał ostrzegawczy. Choć świadomość zagrożeń rośnie, poziom przygotowania wielu organizacji – w tym politycznych – nadal opiera się na reakcjach ad hoc. Warto zauważyć, że atak sparaliżował nie tylko serwis informacyjny, ale też kanał pozyskiwania środków, co pokazuje, jak wrażliwa jest infrastruktura kampanijna.

    Z perspektywy rynku to również pytanie o gotowość dostawców usług cyberbezpieczeństwa. Jak wynika z raportów IDC i Gartnera, Polska dynamicznie rozwija segment cyberochrony, ale wciąż brakuje wdrożeń rozwiązań odpornych na prostą, lecz masową presję ruchu sieciowego.

    Incydent pokazuje, że bezpieczeństwo cyfrowe nie jest dziś problemem technologicznym, lecz strategicznym. A każda luka – nawet chwilowa – może zostać wykorzystana.

     

     

  • Belgia: Cyberatak DDoS na strony rządowe. Rosyjscy hakerzy odpowiadają na wsparcie dla Ukrainy

    Belgia: Cyberatak DDoS na strony rządowe. Rosyjscy hakerzy odpowiadają na wsparcie dla Ukrainy

    Belgia stała się celem zaawansowanych cyberataków przypisywanych prorosyjskiemu kolektywowi hakerskiemu NoName057(16). Grupa ta przeprowadziła ataki typu DDoS (Distributed Denial of Service), które tymczasowo sparaliżowały funkcjonowanie kluczowych stron rządowych, w tym platformy MyGov.be, strony Parlamentu Walońskiego oraz witryny Federacji Walonii-Brukseli.

    Motywacje atakujących

    Według dostępnych informacji, ataki te były odpowiedzią na wsparcie udzielane przez Belgię Ukrainie w jej konflikcie z Rosją. Belgia, od początku konfliktu, aktywnie wspiera Ukrainę, przeznaczając na pomoc wojskową znaczne środki finansowe. Od lutego 2022 roku wartość belgijskiej pomocy wojskowej dla Ukrainy wzrosła do 1 miliarda euro. W styczniu 2024 roku Belgia zobowiązała się do przekazania Ukrainie kolejnych 611 milionów euro wsparcia wojskowego. 

    Charakterystyka ataków DDoS

    Ataki typu DDoS polegają na przeciążeniu serwera lub infrastruktury sieciowej ogromną liczbą zapytań, co prowadzi do spowolnienia lub całkowitego zablokowania dostępu do zaatakowanych usług. W tym przypadku, działania NoName057(16) miały na celu zakłócenie funkcjonowania belgijskich instytucji rządowych, co mogło wpłynąć na ich zdolność do komunikacji z obywatelami oraz realizacji codziennych zadań administracyjnych.​

    Reakcja belgijskich władz

    Centrum Cyberbezpieczeństwa Belgii (CCB) było świadome zaistniałej sytuacji i podjęło działania mające na celu monitorowanie oraz neutralizację zagrożenia. Organizacje dotknięte atakami zostały odpowiednio poinformowane i wdrożyły środki zaradcze, aby przywrócić normalne funkcjonowanie swoich usług. To nie pierwszy raz, gdy Belgia stała się celem rosyjskich cyberataków; w przeszłości atakowane były m.in. strony internetowe portów oraz lokalnych samorządów.

    Szerszy kontekst europejski

    Ataki na belgijskie instytucje wpisują się w szerszy kontekst cyberzagrożeń w Europie. Unia Europejska, dostrzegając rosnące potrzeby Ukrainy w zakresie amunicji, podjęła decyzję o dostarczeniu miliona nowych pocisków artyleryjskich w ciągu najbliższych 12 miesięcy. Takie działania mogą być postrzegane przez prorosyjskie grupy hakerskie jako pretekst do przeprowadzania kolejnych cyberataków na państwa członkowskie UE wspierające Ukrainę.​

    Incydenty takie jak te podkreślają konieczność stałego wzmacniania infrastruktury cyberbezpieczeństwa w krajach Unii Europejskiej. W obliczu dynamicznie zmieniających się zagrożeń, kluczowe jest inwestowanie w nowoczesne rozwiązania ochronne, regularne szkolenia personelu oraz współpracę międzynarodową w zakresie wymiany informacji o potencjalnych zagrożeniach. Tylko poprzez skoordynowane działania można skutecznie przeciwdziałać tego rodzaju atakom i zapewnić bezpieczeństwo cyfrowe instytucji publicznych oraz obywateli.​

  • Awaria X. com. Elon Musk mówi o „potężnym cyberataku”, eksperci mają wątpliwości

    Awaria X. com. Elon Musk mówi o „potężnym cyberataku”, eksperci mają wątpliwości

    Platforma mediów społecznościowych X doświadczyła globalnej awarii, która uniemożliwiła użytkownikom dostęp do serwisu zarówno za pośrednictwem aplikacji mobilnej, jak i przeglądarki internetowej. Według serwisu Downdetector, pierwsze zgłoszenia o problemach pojawiły się kilka minut po godzinie 10:00, a awaria dotknęła użytkowników na całym świecie, w tym w Polsce, Stanach Zjednoczonych, Wielkiej Brytanii, Australii, Japonii i innych krajach. 

    Elon Musk, właściciel platformy X, poinformował, że przyczyną problemów był „potężny cyberatak” przeprowadzony z użyciem dużych zasobów, sugerując zaangażowanie dużej, skoordynowanej grupy lub nawet państwa . W późniejszym wywiadzie dla Fox Business Network Musk stwierdził, że atak pochodził z adresów IP z obszaru Ukrainy.

    Jednakże eksperci ds. cyberbezpieczeństwa podchodzą z rezerwą do tych twierdzeń. Ataki typu DDoS (Distributed Denial of Service), polegające na przeciążeniu serwera lub sieci poprzez wysyłanie ogromnej ilości żądań, są często przeprowadzane przez małe grupy lub nawet pojedyncze osoby. Lokalizacja adresów IP nie zawsze odzwierciedla rzeczywiste położenie atakujących, ponieważ mogą oni korzystać z sieci zainfekowanych urządzeń (tzw. botnetów) rozmieszczonych na całym świecie.

    W Polsce awaria platformy X była odczuwalna trzykrotnie: o godzinie 11:00, 15:00 oraz 17:00, a łącznie problem zgłosiło ponad 12,6 tys. polskich użytkowników . W Stanach Zjednoczonych liczba zgłoszeń sięgnęła blisko 70 tys., a w Wielkiej Brytanii ponad 10,8 tys. Problemy dotyczyły zarówno wersji mobilnej (56% zgłoszeń), jak i strony internetowej (33% zgłoszeń).

    Ataki DDoS stanowią poważne zagrożenie dla funkcjonowania usług online, prowadząc do ich spowolnienia lub całkowitej niedostępności. Aby chronić się przed tego typu zagrożeniami, firmy powinny inwestować w zaawansowane systemy zabezpieczeń, takie jak firewalle, systemy filtrowania ruchu czy usługi ochrony DDoS . W obliczu rosnącej liczby i skali ataków DDoS, kluczowe jest również podnoszenie świadomości na temat cyberzagrożeń oraz regularne aktualizowanie procedur bezpieczeństwa.

  • Rekordowe ataki DDoS – Cloudflare notuje historyczny szczyt

    Rekordowe ataki DDoS – Cloudflare notuje historyczny szczyt

    Cloudflare odnotował rekordowy wzrost liczby i skali ataków w 2024 roku. Firma zgłasza, że tylko w czwartym kwartale zneutralizowano 6,9 miliona ataków, co oznacza wzrost o 83% w porównaniu z analogicznym okresem poprzedniego roku. Szczególną uwagę zwraca wzrost liczby ataków o hiperwolumetrycznej charakterystyce – 420 z nich przekroczyło prędkość 1 Tbps.

    Największy odnotowany atak osiągnął szczytowy wolumen 5,6 Tbps i był wymierzony w dostawcę usług internetowych w Azji Wschodniej. Atak trwał zaledwie 80 sekund i został przeprowadzony przez wariant botnetu Mirai z 13 000 urządzeń IoT. Dzięki autonomicznym systemom obronnym Cloudflare atak został skutecznie zneutralizowany.

    Globalne i lokalne zagrożenia

    W ujęciu globalnym, najbardziej narażonym krajem pozostają Chiny, jednak Europa również zmaga się z rosnącą falą ataków. Holandia odnotowała wzrost ruchu DDoS na warstwie sieciowej o 117% w ostatnim kwartale. Szacuje się, że 4 na 10 000 bajtów i 6 na 10 000 pakietów IP przychodzących do tego kraju było częścią ataków DDoS.

    Sektorowo, na celowniku cyberprzestępców znalazły się głównie firmy telekomunikacyjne, usługodawcy internetowi oraz operatorzy, ale także sektor marketingowy i inne firmy związane z technologiami cyfrowymi.

    Ewolucja zagrożeń i technik ataku

    Raport wskazuje, że prawie połowa ataków (49%) miała charakter warstwy 3/4, natomiast 51% dotyczyło protokołu HTTP. Co więcej, ponad 70% ataków HTTP pochodziło z dobrze znanych botnetów, a część z nich udawała ruch generowany przez legalne przeglądarki.

    Dynamiczny wzrost skali ataków oraz ewolucja botnetów podkreślają znaczenie zaawansowanych systemów obronnych i technologii wykrywania. Cloudflare, dzięki swoim rozwiązaniom, wyraźnie podkreśla konieczność inwestowania w autonomiczne systemy ochrony, które są w stanie reagować na ataki w czasie rzeczywistym.

    2024 rok przyniósł nowe wyzwania w dziedzinie cyberbezpieczeństwa. Eksplozja liczby ataków DDoS i ich rosnąca skala zmuszają firmy do inwestowania w nowoczesne technologie ochrony. Jak pokazuje przykład Cloudflare, tylko zaawansowane i autonomiczne systemy mogą skutecznie przeciwdziałać coraz bardziej wyrafinowanym zagrożeniom. W obliczu dynamicznie zmieniającego się krajobrazu cyberzagrożeń, zapobieganie i łagodzenie skutków ataków staje się priorytetem dla sektora technologicznego na całym świecie.

  • Cloudflare blokuje największy atak DDoS w historii o sile 3,8 terabitów na sekundę

    Cloudflare blokuje największy atak DDoS w historii o sile 3,8 terabitów na sekundę

    Cloudflare ogłosił, że zdołał zablokować największy w historii atak DDoS (Distributed Denial of Service), który osiągnął szczyt na poziomie 3,8 terabitów na sekundę (Tbps). Ten rekordowy atak, trwający ponad miesiąc, był skierowany głównie na sektor finansowy, telekomunikacyjny oraz branżę internetową.

    Skala i cel ataku

    Atak, który zaczął się w sierpniu i trwał do września, był wyjątkowo intensywny i długotrwały. Cyberprzestępcy, wykorzystując globalny botnet składający się z milionów złamanych urządzeń IoT (Internet of Things), wysyłali nieuczciwe pakiety danych, starając się przeciążyć serwery i usługi różnych firm. Szczytowy ruch osiągnął 3,8 Tbps, co ustanowiło nowy rekord w historii cyberataków DDoS.

    Głównymi ofiarami ataku były firmy zlokalizowane w Rosji i Stanach Zjednoczonych, jednak ruch o dużej intensywności notowano także z Hiszpanii. Według danych zebranych przez Cloudflare, przestępcy skoncentrowali swoje działania na kluczowych sektorach gospodarki, próbując zakłócić funkcjonowanie usług finansowych, telekomunikacyjnych oraz internetowych.

    Botnet i zagrożenia ze strony urządzeń IoT

    Podstawą ataku był botnet, czyli sieć złamanych urządzeń IoT. W tym przypadku wykorzystano głównie niezabezpieczone routery (między innymi modele Asus i Mikrotik), rejestratory DVR oraz serwery internetowe. Te urządzenia, choć często uważane za nieistotne w kontekście cyberbezpieczeństwa, stanowią poważne zagrożenie, jeśli nie są odpowiednio zabezpieczone.

    Brak dostatecznej uwagi producentów i użytkowników końcowych wobec kwestii bezpieczeństwa urządzeń IoT umożliwia cyberprzestępcom wykorzystanie tych sprzętów do przeprowadzania masowych ataków. Złamane urządzenia mogą być wykorzystywane bez wiedzy ich właścicieli, a skala problemu rośnie wraz ze wzrostem popularności i liczby podłączonych do sieci urządzeń.

    Autonomiczne działania Cloudflare

    W odpowiedzi na ten bezprecedensowy atak, Cloudflare aktywowało swoje zaawansowane systemy obrony DDoS, które autonomicznie zablokowały napływ nieuczciwego ruchu. Kluczowym momentem była reakcja firmy na szczytowe natężenie ataku, które trwało około 65 sekund. Mimo tak krótkiego czasu intensywności, jego skala była na tyle znacząca, że zakwalifikowano go jako największy odnotowany atak DDoS na świecie.

    Cloudflare, jako dostawca rozwiązań chmurowych i infrastruktury chroniącej strony internetowe przed atakami, był w stanie zatrzymać działanie botnetu, zanim doszło do poważnych zakłóceń u jego klientów. Obronione przed atakiem systemy działały bez zauważalnych zakłóceń, co podkreśla skuteczność rozwiązań zabezpieczających firmy.

    Historyczny kontekst i poprzednie rekordy

    Do tej pory najpotężniejszy atak DDoS odnotowany na świecie osiągnął 3,47 Tbps i został zablokowany przez Microsoft w ramach ochrony sieci Azure. Atak ten miał miejsce w 2021 roku i, podobnie jak w przypadku najnowszego rekordu, także wykorzystano botnet oparty na urządzeniach IoT.

    Aktualny incydent pokazuje, że cyberprzestępcy stale poszukują nowych sposobów eskalacji swoich działań, a ich możliwości techniczne rosną w szybkim tempie. W odpowiedzi na te zagrożenia, firmy takie jak Cloudflare i Microsoft muszą nieustannie rozwijać swoje technologie ochronne, aby skutecznie przeciwdziałać coraz bardziej wyrafinowanym atakom.

    Wnioski dla branży

    Rekordowy atak, który zdołała odeprzeć firma Cloudflare, jest kolejnym przypomnieniem o konieczności wzmożonej ochrony urządzeń IoT oraz systemów sieciowych. W świecie, gdzie liczba podłączonych do internetu urządzeń rośnie w ogromnym tempie, kluczowe staje się zapewnienie ich odpowiedniego zabezpieczenia.

    Dla firm i użytkowników końcowych oznacza to konieczność większej świadomości w zakresie bezpieczeństwa sieci, stosowania aktualnych protokołów zabezpieczeń oraz współpracy z dostawcami zaawansowanych rozwiązań chmurowych, takich jak Cloudflare, które potrafią skutecznie chronić przed coraz bardziej złożonymi i niebezpiecznymi zagrożeniami w internecie.

    Atak o sile 3,8 Tbps nie tylko ustanowił nowy rekord, ale także przypomniał, jak ważne jest przygotowanie się na przyszłość, w której skala cyberzagrożeń może być jeszcze większa.

  • OVHcloud odparło rekordowy atak DDoS

    OVHcloud odparło rekordowy atak DDoS

    W ciągu ostatnich miesięcy francuski gigant chmurowy, OVHCloud, stał się celem jednego z największych ataków DDoS w historii, osiągając poziom bezprecedensowy w swojej skali. W szczytowym momencie ataku, który miał miejsce 25 maja, OVHCloud zanotowało przerażające 840 milionów żądań na sekundę oraz transmisję danych przekraczającą 2,5 Tbps. Te liczby przewyższają wcześniejszy rekordowy atak zarejestrowany przez Akamai, który wyniósł 809 Mpps.

    Firma z siedzibą w Paryżu podkreśla, że ataki DDoS na taką skalę stają się coraz bardziej powszechne od początku 2023 roku. Tego rodzaju incydenty nie są już wyjątkiem, a wręcz stały się normą, z częstotliwością „prawie codzienną”. Eksperci z OVHCloud zauważają również zmieniający się charakter ataków, które teraz częściej skupiają się na szybkości pakietów oraz wykorzystują silniki przetwarzania pakietów urządzeń sieciowych.

    Jednym z kluczowych elementów tych ostatnich ataków był udział routerów sieciowych od firmy MikroTik. Według OVHCloud, aż dwie trzecie wszystkich pakietów wysyłanych w godzinach szczytu pochodziło z tych urządzeń. MikroTik, łotewska firma znana z produkcji routerów, stała się przypadkowym sprzymierzeńcem hakerów, częściowo z powodu słabej administracji i zastosowania przestarzałych wersji systemu operacyjnego na swoich urządzeniach. OVHCloud szacuje, że na całym świecie może znajdować się nawet sto tysięcy takich urządzeń, co stwarza potencjał do zbudowania potężnego botnetu.

    Choć OVHCloud podkreśla, że próbowało poinformować MikroTik o potencjalnych zagrożeniach wynikających z ich produktów, firma nadal oczekuje na odpowiedź i działania ze strony producenta. Problem dotyczy nie tylko samego MikroTik, ale ogólnie bezpieczeństwa sieciowego, które wymaga stałego nadzoru i aktualizacji.

    Atak na OVHCloud jest kolejnym ostrzeżeniem dla całej branży IT i dostawców usług chmurowych, że zabezpieczenia i monitorowanie sieci muszą być na najwyższym poziomie. Bez odpowiednich środków zaradczych, ryzyko tego typu incydentów może jedynie wzrastać, co może prowadzić do jeszcze większych zakłóceń i strat dla firm i użytkowników końcowych na całym świecie.

  • Wzrost ataków DDoS o 50% – czy Twoja firma jest gotowa na cybernetyczne tsunami?

    Wzrost ataków DDoS o 50% – czy Twoja firma jest gotowa na cybernetyczne tsunami?

    W ostatnich miesiącach sektor cyberbezpieczeństwa zaobserwował znaczący wzrost liczby ataków DDoS, które stanowią poważne zagrożenie dla infrastruktury internetowej na całym świecie. Firma Cloudflare opublikowała 17. edycję swojego kwartalnego raportu o zagrożeniach DDoS, przedstawiając kluczowe ustalenia dotyczące najnowszych trendów i wyzwań w tej dziedzinie.

    Według najnowszego raportu Cloudflare, w pierwszym kwartale 2024 roku firma zanotowała imponujący wzrost liczby ataków DDoS o 50% w porównaniu do poprzedniego roku, co świadczy o rosnącej skali i złożoności cyberzagrożeń. Firma odparła około 4,5 miliona takich ataków, co stanowi 32% wszystkich ataków DDoS ograniczonych przez Cloudflare w 2023 roku.

    Raport zwraca uwagę na znaczący wzrost ataków opartych na DNS, które wzrosły o 80% rok do roku. Te ataki stanowią teraz 54% wszystkich ataków DDoS, co podkreśla ich rosnącą popularność wśród cyberprzestępców. W odpowiedzi na te wyzwania, Cloudflare wprowadził nowy system ochrony DNS, mający na celu lepsze radzenie sobie z zaawansowanymi atakami opartymi na tej technologii.

    Struktura ataków

    Pomimo wzrostu ataków DNS, proporcje różnych typów ataków DDoS utrzymują się na podobnym poziomie jak w poprzednim kwartale 2023 roku. Ataki HTTP DDoS stanowią 37% ogółu, ataki DNS 33%, a pozostałe 30% to ataki warstwy L3/4, takie jak SYN Flood i UDP Floods.

    Największy atak – Mirai-botnet

    Najbardziej znaczącym wydarzeniem kwartalnym była obrona przed atakiem botnetu Mirai, który osiągnął szczytową przepustowość 2 Tbps. Atak ten był skierowany przeciwko azjatyckiemu dostawcy hostingu i został skutecznie ograniczony przez systemy Cloudflare, co podkreśla skuteczność ich rozwiązań w zakresie Magic Transit.

    Aspekt biznesowy

    Zwiększenie liczby i skali ataków DDoS ma bezpośredni wpływ na decyzje biznesowe firm technologicznych i dostawców usług internetowych. Inwestycje w zaawansowane rozwiązania ochrony cybernetycznej stają się nie tylko opcją, ale koniecznością, aby zapewnić ciągłość działania usług i ochronę danych klientów. Firmy, które skutecznie zarządzają swoją infrastrukturą bezpieczeństwa, zyskują konkurencyjną przewagę, zwiększając zaufanie klientów i stabilność operacyjną.

  • Instytucje państwowe celem ataków DDoS

    Instytucje państwowe celem ataków DDoS

    Polskie instytucje państwowe coraz częściej stają się celem ataków grup cyberprzestepczych. Do najbardziej popularnych należą ataki DDoS, ale – jak zauważają eksperci Check Point – to tylko część krajobrazu zagrożeń. Narasta zjawisko ataków haktywistycznych – wspieranych przez państwo, szczególnie ze strony Rosji. Tendencja ta jest widoczna w miarę wzrostu aktywności cybernetycznej związanej z konfliktami geopolitycznymi.

    Polska oraz państwa ościenne (Czechy, Słowacja, Niemcy) coraz częściej padają ofiarami ataków ze strony prorosyjskich grup NoName057(16) i Anonymous Sudan, które – posiadając dziesiątki tysięcy obserwatorów na platformie Telegram – szukają rozgłosu i poparcia dla swojej działalności.

    W opinii ekspertów, intencją ich działań jest wywołanie niepokoju, destabilizacji działalności kluczowych instytucji państwowych i wywołanie zamieszania politycznego wewnątrz państw, wspierających Ukrainę lub Izrael.

    Tak było podczas ostatniego ataku grupy NoName057, tłumaczonego jako rzekomy odwet za inicjatywę militarnego i logistycznego wsparcia jakie nasz kraj niesie Ukrainie. Celem marcowych ataków DDoS był polski sektor transportu, w tym: Autostrada Wielkopolska, Gdańskie centrum transportu, e-TOLL. Fala ataków objęła również Czechy, Belgię i Francję.

    – Grupy haktywistów próbują wykorzystać cyberprzestrzeń jako kolejne pole bitwy, dlatego instytucje państwowe muszą zachować szczególną ostrożność i korzystać z najlepszych rozwiązań bezpieczeństwa i zabezpieczeń prewencyjnych. W przeciwnym razie podobnych ataków będzie coraz więcej a skala niepokoju społeczeństwa i obaw o bezpieczeństwo będzie rosła – uważa Wojciech Głażewski, dyrektor Check Point Software Technologies w Polsce.

    Dlaczego napastnicy chcą blokować strony policji lub Ministerstwa Spraw Wewnętrznych?

    Grupy haktywistów chcą wywołać chaos, zastraszyć i pokazać swoją siłę. Ale również wyrządzić szkody. Wstrzymanie działania państwowego, ogólnonarodowego portalu zdrowia lub systemu opłat za drogi wywołuje natychmiastową reakcję i zdobywa szeroki zasięg informacyjny, podważając jednocześnie zaufanie społeczeństwa do państwa. I choć ataki DDoS często kończą się sukcesem, trwają krótko – minuty lub godziny.

    Sam atak DDoS nie służy kradzieży danych ani innym działaniom szpiegowskim, a jedynie obciążeniu działalności danej strony internetowej i blokowaniu usługi publicznej. Czasami – na co wskazują uwagę eksperci – stanowi zasłonę dymną, odwracającą uwagę od innych, znacznie poważniejszych ataków.

    Musimy pamiętać, że grupy haktywistów mają botnety składające się z milionów komputerów i innych urządzeń, które atakują jednocześnie jeden cel – witrynę w sieci. Grupy takie jak NoName057(16) publikowały na swoich kontach Telegram posty o nadchodzących atakach i zachęcały fanów do przyłączenia się do ataków i operacji. NoName057(16) prowadzi nawet projekt DDoSia, który skupia osoby zainteresowane atakami i nagradza najbardziej aktywnych autorów ciekawymi premiami finansowymi.

    Największe grupy haktywistów wynajmują swoje botnety. Na przykład Anonymous Sudan informowała, że botnet InfraShutdown jest w stanie paraliżować usługi dużych międzynarodowych firm. Niedawno grupa ta zaoferowała specjalną promocję za 500 dolarów za możliwość wykorzystania botnetu InfraShutdown do atakowania dostawców usług internetowych.

  • Konferencja COP 28 celem ataków DDoS

    Konferencja COP 28 celem ataków DDoS

    Na ostatnim szczycie klimatycznym COP 28, doszło do bezprecedensowej sytuacji: organizacje ekologiczne stały się celem zmasowanych ataków DDoS (Distributed Denial of Service) – według raportu kwartalnego firmy Cloudflare.

    Według Cloudflare, czwarty kwartał 2023 roku przyniósł aż 61,839-procentowy wzrost ataków DDoS skierowanych przeciwko organizacjom ekologicznym, szczególnie podczas COP 28. To niepokojące zjawisko nie jest nowością – podobne przypadki miały miejsce podczas poprzednich konferencji. Tym razem jednak skala zjawiska była zaskakująca. Warto podkreślić, że DDoS nie jest klasycznym hackingiem, ale metodą zatłoczenia witryny internetowej niepożądanym ruchem, często generowanym przez złośliwe botnety.

    Cloudflare zauważa, że ataki DDoS często podążają za bieżącymi tematami globalnymi. Podobnie jak sektor logistyczny był narażony na ataki w okresie wakacyjnym, a Tajwan w okresie wyborczym, organizacje ekologiczne stały się teraz celem takich działań. To wskazuje na ewolucję cyberprzestępczości, która zaczyna być narzędziem destabilizującym.

    Warto zwrócić uwagę na największy zarejestrowany atak DDoS, który osiągnął poziom 201 milionów żądań na sekundę. Jest to nie tylko rekordowy wynik, ale także sygnał o rosnącej skali i zaawansowaniu takich działań.

    Te ataki pokazują, jak zmienia się krajobraz cyberprzestępczości. Nie są one już tylko próbą zakłócenia działalności biznesowej czy rządowej, ale stają się narzędziem w politycznych i ideologicznych konfliktach. Walka o ochronę środowiska, będąca dotąd domeną naukowców, aktywistów i polityków, teraz wchodzi w nową erę – erę cyberwojny. Konieczne jest zatem nie tylko globalne podejście do problemu zmian klimatycznych, ale także do zagrożeń cybernetycznych, które coraz częściej towarzyszą tym działaniom. Współczesny świat wymaga nowoczesnych rozwiązań, zarówno w kwestii ochrony środowiska, jak i bezpieczeństwa cyfrowego.

  • Usługi Microsoft w ogniu – ataki DDoS i niejasne tropy prowadzące do Rosji

    Usługi Microsoft w ogniu – ataki DDoS i niejasne tropy prowadzące do Rosji

    Na początku czerwca użytkownicy pakietu biurowego Microsoft, w tym e-maila Outlook i usługi udostępniania plików OneDrive, doświadczyli poważnych przerw w funkcjonowaniu. Potwierdzono, że były one wynikiem skoordynowanych ataków DDoS, przeprowadzonych przez tajemniczą grupę haktywistów – Anonymous Sudan.

    Microsoft początkowo był niechętny do udzielania informacji na temat przyczyny przerw, ale później potwierdził, że zakłócenia wynikały z ataków DDoS. Nie podał jednak szczegółów dotyczących skali problemu ani nie komentował, ilu klientów zostało dotkniętych i czy zakłócenia miały charakter globalny.

    Ataki DDoS (Distributed Denial of Service), polegają na przeciążeniu serwerów niepotrzebnym ruchem sieciowym, uniemożliwiając prawidłowe funkcjonowanie usług. W tym przypadku, ataki „tymczasowo wpłynęły na dostępność” niektórych usług Microsoftu, jak wynika z komunikatu firmy. Przestępcy najprawdopodobniej wykorzystali wynajętą infrastrukturę chmurową i wirtualne sieci prywatne do prowadzenia ataku z tak zwanych botnetów – sieci  komputerów rozproszonych na całym świecie.

    Kto stoi za atakami?

    Rzeczniczka Microsoftu potwierdziła, że ataki zostały przeprowadzone przez grupę o nazwie Anonymous Sudan, która przyznała się do nich na swoim kanale społecznościowym na platformie Telegram. Niektórzy badacze bezpieczeństwa podejrzewają, że grupa może mieć rosyjskie korzenie, pomimo sugerowanego w nazwie pochodzenia sudańskiego.

    Prorosyjskie grupy hakerskie, takie jak Killnet, której firma zajmująca się cyberbezpieczeństwem Mandiant przypisuje powiązania z Kremlem, są znane z przeprowadzania podobnych ataków DDoS na strony rządowe i inne witryny związane z sojusznikami Ukrainy. Analityk Alexander Leslie z firmy zajmującej się bezpieczeństwem cybernetycznym Recorded Future sugeruje, że jest mało prawdopodobne, aby Anonymous Sudan znajdowało się w Sudanie. Według niego grupa ta blisko współpracuje z Killnetem oraz innymi grupami prokremlowskimi, szerząc prorosyjską propagandę i dezinformację.

    Jakie są konsekwencje?

    Ataki DDoS mogą być niezwykle uciążliwe, gdyż czynią strony internetowe niedostępne, choć nie zawsze oznaczają przeniknięcie do systemów. W przypadku Microsoftu, firma zapewnia, że nie ma dowodów na to, że atakujący uzyskali dostęp do jakichkolwiek danych klientów.

    Największy wpływ ataków był odczuwalny 5 czerwca, kiedy Downdetector zanotował szczytowy poziom 18 000 zgłoszeń awarii i problemów. Problemy dotyczyły programów Outlook, Microsoft Teams, SharePoint Online i OneDrive dla Firm. Zakłócenia trwały przez cały tydzień, a 9 czerwca firma Microsoft potwierdziła, że dotyczą również platformy przetwarzania w chmurze Azure.

    Wszystko wskazuje na to, że skala ataku była znaczna, choć bez szczegółowych danych ze strony Microsoftu nie jest możliwe dokładne określenie jej rozmiarów.

    Jak radzić sobie z atakami DDoS?

    Trudności Microsoftu w odparciu tego konkretnego ataku sugerują istnienie „pojedynczego punktu awarii”.  Bez względu na konkretną strategię, incydent ten stanowi przypomnienie o ciągłym ryzyku związanym z atakami DDoS. Pomimo, że są to techniki stosowane przez hakerów od lat, nadal stanowią znaczące wyzwanie dla bezpieczeństwa firm i instytucji na całym świecie.

    Ostatecznie, ataki te podkreślają znaczenie inwestowania w cyberbezpieczeństwo i przygotowywania się na potencjalne zagrożenia. Przyszłość może przynieść nowe formy ataków, a firmy muszą być przygotowane na to, aby chronić swoje usługi i dane swoich klientów.

  • Pułapki na młodych cyberprzestępców: NCA tworzy fałszywe witryny DDoS-for-hire

    Pułapki na młodych cyberprzestępców: NCA tworzy fałszywe witryny DDoS-for-hire

    Brytyjska Narodowa Agencja ds. Przestępczości (NCA) ujawniła, że stworzyła szereg witryn udających usługi „DDoS-for-hire” lub „booter”. Dzięki temu użytkowników Internetu chcących zaszkodzić stronom internetowym może spotkać niemiła niespodzianka: zamiast zatrudnić cyberprzestępców do bombardowania witryny niepożądanym ruchem lub wyrzucania rywali z gry wideo, mogą przekazać swoje dane bezpośrednio policji.

    Wiadomości o honeypotach „DDoS-for-hire” wyszły na jaw po tym, jak NCA zdecydowała się zmienić stronę docelową jednej z witryn typu „DDoS-for-hire”, aby ogłosić, że została ona zawieszona, a użytkownicy mogą spodziewać się kontaktu ze strony organów ścigania.

    Operacja PowerOFF – Brytyjska policja prowadzi fałszywe witryny DDoS

    Narodowa Agencja ds. Przestępczości współpracowała w ramach operacji PowerOFF, aby atakować użytkowników przestępczych usług DDoS.

    „NCA zebrała istotne dane od osób, które uzyskały dostęp do naszej domeny” – powiedział Alan Merrett z National Cyber Crime Unit NCA. – „Udostępnimy te dane międzynarodowym organom ścigania w celu podjęcia działań śledczych. Organy ścigania skontaktują się z osobami w Wielkiej Brytanii, które korzystały z tej witryny”.

    Operacja PowerOFF doprowadziła już do aresztowania wielu osób, a NCA zapewnia, że pociągnie winnych użytkowników do odpowiedzialności za ich działalność przestępczą.

    „Tradycyjne usuwanie witryn i aresztowania to kluczowe elementy reakcji organów ścigania na zagrożenie atakami DDoS. Jednak dzięki operacji PowerOFF rozszerzyliśmy nasze możliwości, jednocześnie podważając zaufanie do rynku przestępczego” – wyjaśnił Alan Merrett z National Cyber Crime Unit NCA. – „Nie ujawnimy, ile mamy witryn ani w jaki sposób będziemy zbierać dane o internautach szukających usług cyberprzestępców. Ludzie, którzy chcą korzystać z tych stron, nie mogą być pewni, kto tak naprawdę za nimi stoi.”

    Organy ścigania na całym świecie często przyglądają się stronom, które umożliwiają przeprowadzenie ataku DDoS. Na przykład pięć lat temu policja aresztowała administratora platformy webstresser.org i przejęła kontrolę nad jej serwerami oraz bazą danych ponad 136 000 użytkowników. W rezultacie tej policyjnej akcji wielu podejrzanych klientów Webstresser stanęło w obliczu aresztowania i postawienia zarzutów karnych .

    Młodociani cyberprzestępcy

    Jak wcześniej zauważył rzecznik prasowy NCA, osoby korzystające z witryn DDoS do wynajęcia to często bardzo młodzi internauci. Zwrócił także uwagę, że liczba ataków przeprowadzonych na systemy szkolne wzrosła ponad dwukrotnie w latach 2019-2020.

    Według NCA średni wiek osób korzystających z usługi rozruchowej DDoS wynosi zaledwie piętnaście lat, a najmłodszy „kryminalista” zarejestrowany w aktach policyjnych  ma zaledwie dziewięć lat.

    „Skala ataków DDoS w ostatnich latach znacząco wzrosła. Szczególnie niepokojące jest to, że osoby odpowiedzialne za incydenty tego typu są coraz młodsze, a cele ataków bardziej bezmyślne. Do niedawna większość ataków DDoS była skierowana przeciwko stronom rządowym, stronom podmiotów infrastruktury krytycznej, placówek medycznych i portali informacyjnych. Celem takich działań było zastraszenie opinii publicznej i wprowadzenie zamętu medialnego w obliczu wojen i innych ważnych wydarzeń. Niestety coraz częściej ataki DDoS są przeprowadzane przez uczniów strojących sobie żarty w formie wyłączania stron internetowych swoich szkół. Musimy pamiętać, że takie działania są nielegalne w większości krajów, a ich skutki mogą być nie tylko bardzo kosztowne dla rodziców młodocianych hakerów, lecz także mogą zakończyć się odsiadką w zakładzie karnym” – mówi Mariusz Politowicz z firmy Marken Systemy Antywirusowe, polskiego dystrybutora oprogramowania Bitdefender. 

    Ten niebezpieczny trend sprawił, że NCA zorganizował kampanię Cyber Choices, która za pomocą specjalnych komunikatów umieszczanych w wyszukiwarkach uświadamia młodym ludziom konsekwencje popełnienia cyberprzestępstwa.

    Miejmy nadzieję, że do internautów dotrze wiadomość, że policja inwestuje środki w dochodzenie w sprawie klientów usług „DDoS-for-hire” i jest gotowa postawić ich przed wymiarem sprawiedliwości.

  • Ataki DDoS zyskują na sile. Padł europejski rekord

    Ataki DDoS zyskują na sile. Padł europejski rekord

    Atak DDoS mający miejsce we wrześniu w jednym z państw Europy Wschodniej pobił poprzedni rekord ustanowiony w lipcu. Co istotne, oba ataki zostały powstrzymane i nie wyrządziły ofiarom zbyt wielkich szkód.

    Akamai w lipcu poinformowało o ataku DDoS, który osiągnął szczytową wartość 659,6 Mpps. Natomiast we wrześniu ta sama firma wykryła i złagodziła podobny incydent, ale zanotowano aż 704,8 Mpps.  Jest to nowy europejski rekord. Napastnicy przeprowadzili 201 ataków wymierzonych w 1813 adresów IP, rozmieszczonych w ośmiu różnych podsieciach w sześciu lokalizacjach. Tak mocno rozproszony cyberatak znacznie utrudnia właściwą ocenę incydentu, nie wspominając już o jego powstrzymaniu.

    DDoS to skrót od angielskiego “Distributed Denial of Service”, co w tłumaczeniu na język polski oznacza  “rozproszoną odmowę usługi”. Celem napastników jest uniemożliwienie działania systemu komputerowego lub usługi sieciowej. Hakerzy wykorzystują do ataku DDoS zainfekowane obce komputery lub serwery.

    – DDoS może narazić firmę na poważne straty finansowe. W niektórych przypadkach cyberprzestępcy wykorzystują tę metodę, aby wymusić na przedsiębiorstwach opłatę za powstrzymanie ataku. Co gorsza, DDoS może służyć również jako przykrywka do ukrycia prawdziwych intencji napastników, takich jak infiltracja infrastruktury firmy – tłumaczy Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender w Polsce.

    Zwykli użytkownicy nie mają szans na zabezpieczenie się przed atakami DDoS. Jedynie administrator posiada informacje o niespodziewanych skokach w ruchu na stronie internetowej i może podjąć odpowiednie kroki. Natomiast przeciętny internauta instalując antywirusa może zapobiec temu, aby jego komputer był wykorzystywany przez cyberprzestępców do przeprowadzania ataków. Program antywirusowy wykrywa i usuwa ewentualne złośliwe oprogramowanie udostępniające komputer w sieci botnet.

    Organizacje, aby ochronić się przed atakami DDoS powinny opracować plan awaryjny zawierający dokładne informacje dotyczące postępowania poszczególnych pracowników w przypadku wystąpienia takiego incydentu. Siła niektórych ataków DDoS jest tak duża, że może całkowicie sparaliżować funkcjonowanie firmy lub instytucji publicznej. Według specjalistów z Bitdefendera po rosyjskiej inwazji na Ukrainę, wiele przedsiębiorstw, a także organów administracji publicznej w Europie stało się celem masowych ataków DDoS i prawdopodobnie będą one kontynuowane w przyszłości.

  • Stara metoda nadal działa – nawet o 75% więcej ataków DDoS

    Stara metoda nadal działa – nawet o 75% więcej ataków DDoS

    Liczba wszystkich rodzajów ataków typu DDoS w ostatnim kwartale ubiegłego roku wzrosła o 75%.

    Największy dotychczas atak DDoS pod względem wydajności osiągnął poziom 3,47 Tb/s. Wcześniej nie przekraczały one 1 Tb/s.

    Skutecznym narzędziem obrony przed tego typu atakami jest Web Application Firewall (WAF).

    Ataki DDoS (ang. Distributed Denial of Service) nadal uchodzą za najbardziej niebezpieczne narzędzie w rękach cyberprzestępców. Hakerzy mogą w ten sposób zatrzymać pracę nawet największych sieci komputerowych, przeładowując serwery. Wciąż odnotowuje się wzrost tego typu zdarzeń, szczególnie w ciągu ostatnich 4 lat. Z raportu Cloudflare wynika, że w ostatnim kwartale 2021 roku liczba ataków DDoS wzrosła o 75% w stosunku rok do roku. Kto ucierpiał najbardziej? Przestępcy za swój cel najczęściej obierali sektor produkcyjny, gdzie liczba ataków DDoS wzrosła o 641% kwartał do kwartału!

    –  Dane wyraźnie wskazują, że liczba ataków DDoS stale rośnie. Dodam, że to choć jedno z najdłużej wykorzystywanych narzędzi, to niestety nadal skuteczne. Pierwszy tego typu atak odnotowano w 1996 roku, czyli ponad ćwierć wieku temu. Obecnie DDoS to i tak ogólne pojęcie, ponieważ da się to narzędzie podzielić na podkategorie, w zależności od stosowanych technik. Wiemy o nich dużo, potrafimy się chronić, ale przestępcy nadal doskonalą swoje metody – mówi Patrycja Tatara ekspert ds. cyberbezpieczeństwa w Sprint S.A.

    Warto dodać, że hakerzy nie przebierają w ofiarach – chętnie atakują instytucje państwowe i duże koncerny, w tym gigantów branży e-commerce. Poniżej przedstawiamy kilka takich sytuacji.

    Wzrost ataków DDoS na instytucje i podmioty publiczne

    O większej częstotliwości ataków DDoS wymierzonych w instytucje państwowe, w pierwszych dniach maja informował Pełnomocnik Rządu ds. cyberbezpieczeństwa. W treści komunikatu czytamy, że eksperci od początku działań wojennych w Ukrainie obserwują nieskomplikowane, siłowe ataki DDoS na strony instytucji publicznych. Do obecnej fali ataków otwarcie przyznają się rosyjskojęzyczne grupy aktywistów, które obrały sobie za cel istotne z ich perspektywy strony internetowe. Polska to nie jedyne państwo na liście hakerów – znajdują się na niej również inne kraje i organizacje międzynarodowe, potępiające rosyjską agresję. Hakerzy jawnie informują o kierunkach swoich działań za pośrednictwem komunikatorów – w przypadku polskich instytucji, potencjalne ofiary ataków to m.in. strony internetowe polskich lotnisk o randze międzynarodowej, PKP i Straży Granicznej. Warto podkreślić, że od 18 stycznia istnieje ryzyko zagrożenia bezpieczeństwa systemów teleinformatycznych. Premier ogłaszał stopnie alarmowe, dotyczące cyberbezpieczeństwa. To m.in. ALFA-CRP, a także CHARLIE-CRP oraz BRAVO.

    Największy w historii – atak na Microsoft Azure

    Jak podaje Comparitech, ataki na wielką skalę nasilają się od 2018 roku. W październiku 2021 roku Microsoft obronił europejskich użytkowników usługi Azure, na których hakerzy skierowali atak o wydajności 2,4 Tb/s. Do drugiego takiego incydentu doszło niewiele później – w listopadzie cyberprzestępcy przeprowadzili atak na szerszą skalę (czyli jeszcze większy, oznaczający przesyłanie ogromnej liczby danych w ciągu sekundy) – 3,47 Tb/s. Na szczęście również nieskuteczny. Uważa się, że zdarzenie z listopada ubiegłego roku to największy atak DDoS w historii pod względem częstotliwości przesyłania danych. Aby zrozumieć skalę działania hakerów, warto dodać, że zazwyczaj ataki DDoS nie przekraczały 1 Tb/s przesyłanych danych ze sterowanych przez cyberprzestępców urządzeń. Dla porównania, domowy internet pobiera i przesyła dane z prędkością utrzymującą się na poziomie kilkudziesięciu Mb/s. Można więc zauważyć, ile zainfekowanych stacji końcowych musiało brać udział w tym ataku.

    Zagrożony e-commerce

    Wolna od ataków DDoS nie jest także branża e-commerce, szczególnie giganci tego sektora. W  pierwszym kwartale 2020 roku Amazon odnotował atak o częstotliwości przekraczającej 2Tb/s. Szczęśliwie koncern wyszedł z tej sytuacji obronną ręką, ale – jak podkreśla Comparitech – mniejsza firma praktycznie nie poradziłaby sobie z atakiem na taką skalę. W tym kontekście warto zwrócić uwagę na moment, w którym przeprowadzono atak – początek pandemii, kiedy handel cyfrowy miał pełne ręce roboty i przy tym – gigantyczne obroty. Jednak e-commerce pada ofiarą hakerów zazwyczaj w ostatnich miesiącach roku, kiedy panuje wzmożony ruch i wzrosty sprzedaży, spowodowane zbliżającymi się świętami Bożego Narodzenia.

    – Jak widać rośnie także skala ataków i to niezależnie od celu czy ofiary. Warto dodać, że stopień zaawansowania i zróżnicowania DDoS jest naprawdę wysoki. Mam tu na myśli zwłaszcza techniki umożliwiające maskowanie „złego” ruchu, podszywanie się pod znane adresy IP lub korzystanie z innych możliwości utrudniających wykrycie szkodliwego działania w sieci. Dlatego warto zachować czujność i stale monitorować infrastrukturę firmową. Spójrzmy na przypadki Microsoftu czy Amazona. Poza tym istotną rolę w ochronie firmowych systemów IT pełnią odpowiednie zabezpieczenia przed atakami DDoS i malware. Jednym z takich narzędzi jest m.in. WAF – dodaje Patrycja Tatara z Sprint S.A.

    Czym jest WAF?

    WAF (Web Application Firewall) to dodatkowa zapora przed niepożądanym ruchem do aplikacji webowych. Co odróżnia ją od klasycznych firewalli? Przede wszystkim WAF chroni serwery, na których znajduje się nasza aplikacja webowa, a klasyczne firewalle skupiają się na szerokim spektrum ochrony sieci firmowej. Nie są więc one specjalizowanym narzędziem do ochrony serwerów WWW. Dzięki Web Application Firewallom można w zaawansowany sposób wykonywać inspekcję całego protokołu http, za pomocą którego przesyłane są zapytania i dane do naszej aplikacji.

  • Trendy w atakach DdoS – większe i bardziej złożone

    Trendy w atakach DdoS – większe i bardziej złożone

    Liczba ataków Distributed Denial-of-Service nieznacznie spadła w 2021 r. (3%), jednak stały się one większe i bardziej złożone. Do IV kwartału 2021 r. Średni, zarejestrowany rozmiar ataku wynosił powyżej 21 Gb/s, czyli ponad czterokrotnie więcej niż poziom z początku 2020 r. W ubiegłym roku pobity został rekord największego dotąd zarejestrowanego ataku (1,4Tb/s).

    Liczba ataków DDoS nieznacznie się waha w kwartałach, niemniej pewne jest, że stają się coraz większe – powiedział Ireneusz Wiśniewski, dyrektor zarządzający F5 Poland. Zaobserwowaliśmy ten trend w zeszłym roku, wykorzystując dane z Silverline DDoS Protection. 

    Ataki stają się coraz większe

    Większość ataków zarejestrowanych w 2021 r. obejmowała mniej niż 100 Mb/s. Największy w 2020 r. atak osiągnął 253 Gb/s, ale już w lutym 2021 r. było to 500 Gb/s, by pobić rekord wagi 1,4Tb/s w listopadzie ur. Wymierzony w klienta ISP/hostingu atak osiągnął maksymalną przepustowość  w ciągu zaledwie 1,5 minuty i trwał tylko cztery minuty, a wykorzystywał kombinację metod wolumetrycznych (odbicie DNS) i warstwy aplikacji (powodzie HTTPS GET).

    Złożoność rośnie

    Ataki wolumetryczne, które wykorzystują publicznie dostępne narzędzia i usługi do zalewania sieci, nadal były najczęstszą formą ataków DDoS w 2021 r. (59% wszystkich zarejestrowanych ataków). Odnotowały  niewielki spadek r/r z 66%. Przy czym rozpowszechnienie ataków DDoS typu protokołowego i aplikacyjnego (+5% r/r) nieznacznie wzrosło.

    Jeśli chodzi o konkretne metody ataków, nastąpiły znaczące zmiany w dystrybucji: ataki na zapytania DNS stały się bardziej powszechne (wzrost o 3,5% r/r), a wykorzystanie fragmentacji UDP spadło o 6,5%. Odbicie LDAP również zmniejszyło się o 4,6%, a odbicie DNS o 3,3%.

    Obok zmian w typie ataku nadal występują silne ataki wielowektorowe, do jakich należał incydent 1,4 Tb/s wykorzystujący kombinację odbicia DNS i HTTPS GETS – powiedział Ireneusz Wiśniewski. Szczególnie widoczne było to na początku roku, kiedy ataki wielowektorowe znacznie przewyższały liczbę ataków jednowektorowych. Wymaga to od ochrony stosowania równolegle coraz więcej technik łagodzących i zapobiegających wyrafinowanym atakom odmowy usługi.

    Usługi finansowe na celowniku

    Bankowość, usługi finansowe i ubezpieczenia (BFSI) były w 2021 r. branżą najbardziej dotkniętą przez ataki DDoS – stanowiąc 25% ich całego wolumenu. Ataki na ten sektor stale rosną od początku 2020 r.

    Natomiast sektor technologiczny w 2020 r na 4 miejscu za telekomunikacją i edukacją – razem 75% wolumenu. Takie sektory jak energia, handel detaliczny, opieka zdrowotna, transport i prawo, odnotowały w tym obszarze znikome oznaki ataków.

    Mimo że liczba ataków nieznacznie spadła w 2021 r., problem DDoS nie maleje – powiedział Ireneusz Wiśniewski. Zarówno rozmiar, jak i złożoność tych ataków rosną, wymagając bardziej zwinnej i wieloaspektowej reakcji ze strony obrońców.

    Nawet ataki, które trwają tylko kilka minut powodują przerwy w działaniu usług, co może mieć poważne konsekwencje i negatywnie wpłynąć na markę i organizację, o czym wiedzą cyberprzestępcy.

    Wraz ze wzrostem wyrafinowania i różnorodności ataków DDoS organizacje będą stosować szeroką gamę środków ochrony przed nimi, w tym kontrole wyższego szczebla. Celem będzie inspekcja i ograniczenie ruchu docierającego do punktów końcowych. Obejmie to także dostawców usług zarządzanych, którzy mogą współpracować z wewnętrznymi zespołami bezpieczeństwa, dla zapobiegania atakom, jak i szybkiego działania łagodzącego atak będący w toku.

  • Cyberbezpieczeństwo w niepewnych czasach – o atakach DDoS

    Cyberbezpieczeństwo w niepewnych czasach – o atakach DDoS

    Za sprawą konfliktu Rosji z Ukrainą ponownie na nagłówki mediów trafiła informacja o przeprowadzonych atakach DDoS na serwisy webowe wielu firm oraz instytucji rządowych w Ukrainie. Ich skutkiem był paraliż zarówno stron www jak i e-usług.

    DDoS to skrót od Distributed Denial of Service, co można rozumieć jako rozproszoną odmowę dostępu do usług. Czym właściwie jest atak DDoS? To atakowanie danego serwisu z wielu miejsc jednocześnie w tym samym czasie. Atak polega na wysłaniu ogromnej ilości żądań do usług i oznacza duży ruch sieciowy, co skutkuje brakiem możliwości obsłużenia zapytań/żądań do usług pochodzących od „prawdziwych” użytkowników. Konsekwencją ataku jest utylizacja zasobów serwerów, zablokowanie dostępności do łączy, aplikacji, usług czy serwisów internetowych.

    DDoS można porównać do sytuacji, kiedy np. próbowaliśmy kupić bilet na koncert sławnego wykonawcy albo skorzystać z serwisu rządowego przy składaniu zeznań rocznych do KRS tuż przed ostatecznym terminem. Zdarzało się nie raz, że serwery „nie wytrzymywały” obciążenia. Przy czym opisana sytuacja dotyczy niecelowego działania wielu użytkowników, w przeciwieństwie do ataku hackerskiego, gdzie zazwyczaj ma to większą skalę i celem przestępców jest paraliż działania serwerów.

    Skutki ataku DDoS mogą być tragiczne dla firmy – można wyobrazić sobie atak na serwer systemu ERP, witrynę e-commerce czy inny system w firmie, który ją całkowicie paraliżuje, uniemożliwiając funkcjonowanie. Przerwa w działalności oznacza wymierne straty z jednej strony skutkują przestojem działalności, bezpośrednio utratą przychodów, niewywiązywaniem się z terminów, nierzadko karami, z drugiej utratą wiarygodności firmy i odchodzeniem klientów. Atak na serwery administracji rządowej uniemożliwia działanie serwisów dla obywateli czy nawet zaprzestaniem działania usług kluczowych.

    Przykładów takich ataków jest wiele. Przykładem ataku DDoS były ataki wirusa Mydoom w 2004 na serwery firmy SCO i Microsoftu. Dwukrotnie celem ataku były najważniejsze serwery DNS (w 2002 roku powodując blokadę 9 z 12 i w 2007, kiedy zablokowano 2 z 6 atakowanych serwerów). W związku z planowanym podpisaniem przez polski rząd porozumienia ACTA w 2012 roku miał miejsce atak na strony polskich instytucji rządowych i Sejmu, do których przyznała się grupa Anonymous. Nierzadko celem ataku (jak np. w latach 2015 i 2016) były serwery gier online – np. serwis Stardoll, z której korzystało prawie 400 mln użytkowników. Prawda jest jednak taka, że o większości ataków DDoS (podobnie jak ataków innego rodzaju) nie dowiadujemy się – bo są skrzętnie ukrywane przez ofiary ( w szczególności biznesowe) – w końcu zawsze jest to pokazanie braku przygotowania do incydentów cyberbezpieczeństwa.

    Zapobiegać czy leczyć?

    Osoby odpowiedzialne za IT powinna zastanowić się jak zminimalizować ryzyko ataku i zabezpieczyć infrastrukturę. Przede wszystkim wiedzieć, które z serwerów mogą paść ofiarą ataku, jakie skutki dla funkcjonowania może mieć atak, co powoduje, przestój jakich serwisów, po to, żeby móc odpowiednio priorytetyzować działania i przeznaczyć odpowiednie zasoby (czy to ludzkie czy finansowe) na te usługi, które są niezbędne do funkcjonowania organizacji.

    Rozwiązania Anty-DDoS funkcjonują w oparciu o elementy sprzętowe i aplikacje. W systemie ochrony definiuje się zestaw adresów IP, które są pod obserwacją systemu bezpieczeństwa. Po przekroczeniu określonego progu ruchu generowany jest alarm i uruchomione filtrowanie, przez co ruch na atakowany serwer zostaje przekierowany na inne urządzenia. Urządzenia owe mogą znajdować się w infrastrukturze lokalnej, jak i będącej własnością dostawcy usługi anty-DDoS.

    Co warto zrobić?

    Jedną z czynności jest wykonanie testów obciążenia serwerów, tak abyśmy mogli przygotować naszą infrastrukturę do określonego ruchu sieciowego. Stress testy nie służą tylko i wyłącznie przygotowaniu się przed atakiem DDoS, ale przygotowaniem serwisów do pracy z określoną liczbą użytkowników w określonym przedziale czasu – co pozwala na zapewnienie ciągłości działania usług np. systemu e-commerce w czasie przedświątecznym. Test obciążeniowy wykaże jakich zasobów brakuje (pamięć RAM, dyski, procesory, łącze itp.) przy większym obciążeniu.

    Hardening to zwiększenie odporności danego systemu na włamania poprzez jego prawidłową i odpowiednią rekonfigurację. Utwardzać (usztywniać?) należy urządzenia sieciowe, serwery z usługami, bazy danych.  Na czym powinien się skupić dział IT? Zacząć od „wzmocnienia” sieci i ograniczeniu oferowanych usług do poziomu, który wynika za potrzeb, zamknięciu niepotrzebnych portów w interfejsach sieciowych, zapewnić odpowiedni poziom uwierzytelniania, kontrolować dostęp oraz zoptymalizować sposób używania pamięci i mocy obliczeniowej serwerów oraz wszystkiego, co generuje dodatkowy ruch.

    Kolejnym elementem zwiększającym bezpieczeństwo organizacji jest load balancing, czyli „równoważenie obciążenia”, polegająca na dzieleniu obciążenia pomiędzy wiele serwerów, pamięci masowych i połączeń sieciowych. System „zbalansowany” zapewnia optymalną pracę serwisu znajdujących się na bliźniaczych serwerach, dzięki czemu jesteśmy w stanie zapewnić ciągłość działania przy wystąpieniu awarii czy ataku hackerskiego.

    Warto też rozłożyć ruch z jednego serwera DNS na kilka, tak aby jeden serwer nie odpowiadał za ruch w naszej całej sieci. Można stosować też zewnętrzne serwery DNS, dzięki czemu unikniemy obciążenia własnych serwerów DNS.

    Kolejną, wartą rozważenia sprawą, jest optymalizacja serwisu polegającego na ograniczenia do niezbędnego minimum generowanych zapytań do bazy danych, pobieranych plików, skryptów, podzielenia działań aplikacji na etapy. Warto rozłożyć wykonywane przez serwis czynności na kilka niezależnych serwerów świadczących pojedyncze usługi.

    Stosowanie (dokładniej umiejętna analiza informacji z nich pochodzących) firewalli (czyli zapór sieciowych), pozwala na wykrycie dodatkowego, podejrzanego ruchu sieciowego z określonych adresów. Na podstawie analizy dzienników zdarzeń można określić numery IP, z których atakowana jest nasza infrastruktura i ich blokowanie. Czynności te dotyczą to zarówno firewalli sprzętowych jak i aplikacyjnych. Warto też stosować inne narzędzia pozwalające na wykrywanie innych anomalii w funkcjonowaniu sieci: wszelkie istotne zmiany w krótkich okresach często oznaczają atak – czy to zwiększenie liczby użytkowników czy generowane zapytania do strony www pochodzące z jakiegoś jednego regionu.

    W przypadku prewencji przed atakami DDoS warto rozważyć przeniesienie swoich serwisów do zewnętrznego Data Center czy korzystać w swoich rozwiązaniach z chmury publicznej, ponieważ usługi oferowane przez zewnętrznych dostawców zazwyczaj będą dla nas tańsze (jeśli spojrzymy na TCO), bardziej zaawansowane z odpowiednim poziomem usług. Wszystko ma swoje zalety, jak i wady – ale trzeba je umieć zdefiniować i wybrać odpowiednią opcję.

    Musimy mieć świadomość, że nie ma zestawu czynności i narzędzi chroniących w 100% przed atakiem. Osoby odpowiedzialne za bezpieczeństwo IT i zapewnienie ciągłości działania powinno podjąć zestaw czynności i zaprząc do tego szereg systemów monitorujących i filtrujących ruch sieciowy czy niwelujących ataki. Nadchodzące miesiące przypuszczalnie przyniosą nam wzrost różnego rodzaju incydentów, dlatego powinniśmy zabezpieczyć się przed wszelkimi zagrożeniami.

  • Presja w sektorze IT wzrasta. Informatyk może odpowiadać za straty firmy

    Presja w sektorze IT wzrasta. Informatyk może odpowiadać za straty firmy

    Koszty ataków cybernetycznych osiągają dzisiaj gigantyczne rozmiary. Jedno z najbardziej spektakularnych w ostatnim czasie zdarzeń, to atak hakerów na półtora miliarda kont społecznościowych Facebook’a w grudniu 2021 r. Wg ekspertów kosztował 75 mld dolarów i 6% spadek wartości akcji. Cyberprzestępczość dotyka jednak przede wszystkim małe i średnie firmy, które są dla hakerów zazwyczaj łatwiejszym celem. Systematycznie rośnie także aktywność hakerów skierowana przeciwko polskim firmom i instytucjom. Wg organizacji CheckPoint ich średnia liczba przekracza już 500 tygodniowo. Najbardziej narażone są podmioty z sektora finansowego, sprzedaży on line, a także edukacji oraz administracji publicznej. Internetowi przestępcy interesują się jednak praktycznie każdą dziedziną gospodarki. Świadczy o tym m.in. przeprowadzony pod koniec ubiegłego roku atak DdoS (przeprowadzany z wielu komputerów jednocześnie atak na system komputerowy uniemożliwiający działalność na skutek zajęcia wszystkich wolnych zasobów), którego ofiarą stał się działający w Polsce czołowy operator sieci komórkowej.

    Negatywne przykłady można mnożyć. Po ataku hakerskim na firmę CD Projekt cena wywoławcza pakietu nielegalnie ściągniętych zasobów wynosiła 1 mln dol., a opcja „kup teraz” – 7 mln dol. Do kosztownych zdarzeń dochodzi też coraz częściej w przypadku jednostek samorządowych. Warto tu przytoczyć ponad 600 tys. zł strat, które na skutek szkodliwego działania przestępców internetowych musiał ponieść powiat oświęcimski. Taka kwota była potrzebna do doprowadzenia do porządku serwerów i odzyskania zainfekowanych danych.

    Informatyk potrzebny od zaraz

    Szkodliwe i kosztowne ataki cyberprzestępców zwiększają zapotrzebowanie na specjalistów IT. Do najbardziej poszukiwanych należą: data scientist, data i big data engineer, czy data analyst, a także specjalista ds. cyberbezpieczeństwa. Tych jednak dramatycznie brakuje. Jak wynika z opublikowanych przez Komisję Europejską danych Digital Economy and Society Indeks blisko 50 proc. polskich firm ma dzisiaj problemy z rekrutacją pracowników z sektora ICT. Job Market Insights wskazuje z kolei, że w 2021 roku pojawiło się w Polsce ponad 231 tys. unikalnych ofert pracy, mających na celu przyciągnięcie kandydatów z obszaru IT i telekomunikacji. To niemal dwa razy więcej ofert (dokładnie 83%) niż rok wcześniej, kiedy odnotowano ich 126 tys. Prognozy na 2022 rok wskazują, że braki będą jeszcze bardziej dotkliwe. Przyczyną takiego stanu rzeczy jest fakt, że również na skutek zdalnego modelu pracy, po dobrze wykształcone kadry chętnie sięgają firmy zagraniczne, oferując przy tym zarobki na średnim poziomie 19- 23 tys. zł netto miesięcznie. Wysokie wymagania finansowe specjalistów od ochrony danych w połączeniu z brakiem odpowiednich specjalistów coraz częściej powoduje, że takimi zabezpieczeniami zajmują się ludzie bez odpowiednich kwalifikacji, często czasowo lub w zastępstwie.

    Specjalista IT jak lekarz i kierowca

    Z uwagi na charakter swojej pracy i rosnące ryzyko ataków hakerskich specjaliści IT zajmujący się bezpieczeństwem danych coraz częściej interesują się ubezpieczeniami zawodowej odpowiedzialności cywilnej. Dodatkowym czynnikiem są wymagania kontraktowe, narzucane głównie przez firmy zagraniczne i duże korporacje.

    – Od dłuższego czasu obserwujemy systematyczny wzrost zainteresowania ochroną odpowiedzialności cywilnej przez osoby, które prowadzą działalność w branży IT. Informatycy i programiści chcą w ten sposób zabezpieczyć się na wypadek ewentualnych szkód wyrządzonych swoim kontrahentom. Pytającymi są najczęściej: projektanci, testerzy i dostawcy oprogramowania, analitycy baz danych, projektanci infrastruktury komputerowej, osoby zarządzające projektami IT czy projektanci stron internetowych. Duże znaczenie w tym przypadku mają również wymagania kontraktowe korporacji. Każdy błąd informatyka albo nieprawidłowe działanie jego oprogramowania mogą bowiem powodować horrendalne koszty i straty finansowe. Zlecający prace specjaliście od zabezpieczeń chcą zatem mieć pewność, że w przypadku błędu informatyka będą mogli skutecznie dochodzić odszkodowania od jego ubezpieczyciela – podkreśla Aurelia Szymańska z CUK Ubezpieczenia.

    Bardzo wysokie sumy ubezpieczenia oczekiwane przez kontrahentów z USA oraz potencjalnie wysokie roszczenia, powodują, że nie wszystkie TU oferują takie warunki. Jednak dostęp do wielu ofert pozwala znaleźć odpowiednią ochronę. „Od Ręki” dostępne są zabezpieczenia na Sumę Gwarancyjną 500 000 zł. Koszt w takim przypadku jest niższy niż 3 tys. zł.

    Firmy także pytają o cyberpolisy

    Rosnąca liczba ataków ze strony cyberprzestępców, świadomość ubezpieczeniowa, trudności ze znalezieniem specjalistów, a także ich wysokie wymagania finansowe powodują, że również firmy i organizacje coraz chętniej wykupują polisy od ryzyka cybernetycznego. Wybierając takie ubezpieczenie należy jednak dokładnie przeanalizować OWU. Niektórzy ubezpieczyciele dość niechętnie lub jedynie za znacznie wyższą składkę ubezpieczają podmioty, których działalność obarczona jest największym prawdopodobieństwem ataków. Należą do nich np. płatności on line, czy handel w czasie rzeczywistym.

    – Ochroną, o którą coraz częściej pytają nas firmy to ubezpieczenia cyberrisk i OC zawodowej informatyków. Dostawcami takich zabezpieczeń w naszej sieci są największe w Polsce TU. Osoby szukające niestandardowych rozwiązań z wysokimi sumami ubezpieczenia wybierają często ochronę Lloyd’sa, który od wielu lat specjalizuje się w polisach związanych z cyberbezpieczeństwem – stwierdza Aurelia Szymańska z CUK Ubezpieczenia.

    Co wchodzi w skład cyberpolisy?

    W skład polisy cyber, jak potocznie się je określa, wchodzi najczęściej możliwość przywrócenia i odtworzenia danych, pokrycie kar administracyjnych z tytułu RODO, naruszenia norm bezpieczeństwa kart płatniczych, czy porady prawne. Zakres polisy cybernetycznej może obejmować też odpowiedzialność cywilną przed roszczeniami osób trzecich np. za wyciek danych osobowych, naruszenie bezpieczeństwa informacji kontrahentów czy praw autorskich. Odpowiednio skonstruowana polisa pokryje koszty administracyjne i sądowe, a nawet utracony zysk przedsiębiorstwa i zwiększone koszty działalności będące wynikiem ataku hakerskiego.