Czy o atakach DDoS na lokalnych operatorów należy rozmawiać? Oczywiście. Czy należy publicznie opowiadać, kto został zaatakowany, jak długo się bronił, ile kosztował go incydent i czy ostatecznie zapłacił przestępcom? To już zupełnie inne pytanie.
W opublikowanym w TELKO.in w zeszłym tygodniu komentarzu „Udawanie, że nikt nie płaci okupu Panu Żabce nie zda się na wiele” pojawia się zarzut, że organizacje reprezentujące małych i średnich operatorów niewiele robią w sprawie trwających ataków DDoS, a nawet próbują ograniczać publiczną dyskusję na ich temat. Brak publicznych komunikatów nie oznacza braku działań.
Grupa MiŚOT zajmowała się problemem odporności operatorów na cyberataki na długo przed obecną falą DDoS. Promowała rozwiązania scrubbingowe, a za pośrednictwem Sklepu MiŚOT oferowała także specjalistyczne narzędzia do ochrony sieci i przeciwdziałania atakom DDoS. Dziś temat jest rozwijany wspólnie z operatorami, ekspertami technicznymi oraz instytucjami odpowiedzialnymi za bezpieczeństwo polskiej cyberprzestrzeni.
EPIX przygotował dla operatorów kilka rozwiązań, które mają pomóc w sytuacji ataku. Jednym z nich jest EPINET. To gotowa usługa dostępu do internetu, na którą operator może tymczasowo przełączyć ruch, gdy jego własna adresacja staje się celem DDoS. Nie rozwiązuje to wszystkich problemów – usługi działające na własnych adresach IP mogą pozostać niedostępne – ale pozwala utrzymać podstawowy dostęp do internetu dla abonentów i zyskać czas na dalsze działania. EPIX udostępnia też testowe mechanizmy scrubbingowe, umożliwia szybkie zwiększanie przepustowości portów oraz przygotował specjalną ścieżkę obsługi zgłoszeń związanych z atakami, tak aby trafiały one możliwie szybko z BOU do NOC.
Równie ważna jest bieżąca współpraca. EPIX NOC monitoruje sieć i wysyła operatorom powiadomienia o incydentach związanych m.in. ze spoofingiem oraz innymi zagrożeniami, a zespół pozostaje dostępny także poza standardowymi godzinami pracy, także wieczorami i w weekendy. Powstały również dodatkowe mechanizmy komunikacji z abonentami, m.in. możliwość wykorzystania tanich wysyłek SMS z niezależnego panelu, a dla użytkowników AMS uruchomiono możliwość zestawienia połączenia po L2.
Do tego dochodzą zamknięte kanały wymiany informacji, gdzie operatorzy mogą otwarcie omawiać przebieg incydentów i skuteczność poszczególnych metod obrony. Skala tych działań została pozytywnie oceniona także podczas spotkań oraz webinarów z przedstawicielami UKE, gdzie EPIX był wskazywany jako przykład profesjonalnego i kompleksowego wsparcia operatorów.
Właśnie tutaj warto postawić pytanie: czy każdy detal o incydencie bezpieczeństwa powinien od razu trafiać do przestrzeni publicznej? Można przecież nabijać zasięgi na zaatakowanych operatorach, ale czy zakończy falę DDoS? Skoro padło powiedzenie, że „co nas nie zabije, to nas wzmocni”, to proponuję inny związek frazeologiczny: „milczenie jest złotem”.
Cenzura? Nic bardziej mylnego. Powściągliwość to wyraz odpowiedzialności za podmioty z branży.
W komentarzu TELKO.in pada sugestia, że skoro w programach wydarzeń branżowych nie widać odpowiednio dużej liczby punktów poświęconych DDoS, organizacje „odpłynęły” od problemów swoich członków. W przypadku Grupy MiŚOT trudno zgodzić się z taką tezą.
Prowadzone są działania we współpracy m.in. z UKE i CERT Polska w ramach grup roboczych. Grupa MiŚOT rozpoczęła także organizowanie spotkań branżowych dla lokalnych operatorów „Pizza z Administratorem”, podczas których administratorzy mogą wymieniać się doświadczeniami w zaufanym gronie. Spotkania te są prowadzone w sposób warsztatowy, a poruszane tematy dotyczą nie tylko analizowania ataków, ale przede wszystkim wypracowania sposobów zabezpieczania się przed kolejnymi możliwymi incydentami. Trzecie już z tego cyklu spotkanie odbędzie się drugiego dnia Zjazdu MiŚOT w Nałęczowie.
Równolegle prowadzone są działania na płaszczyźnie organizacyjnej i prawnej. Marcin Marciniak z Grupy MiŚOT bierze udział w Warszawie w spotkaniach z Urzędem Komunikacji Elektronicznej i Ministerstwem Cyfryzacji. Ich celem jest analiza możliwych ścieżek działania oraz ocena potencjalnych konsekwencji obecnej fali ataków dla operatorów. Powstała grupa ds. rozwoju telekomunikacji, która okresowo spotyka się w Ministerstwie i omawia problemy operatorów. Urząd Komunikacji Elektronicznej przygotowuje niezbędne informacje oraz sposoby kontaktu, zostanie powołana także wąska grupa specjalistów technicznych, która zaproponuje rozwiązania techniczno-organizacyjne mające na celu pomoc przy zapobieganiu oraz usuwaniu skutków podobnych ataków. Trwają także prace nad zmianą do rekomendacji czerwcowej dotyczącej DDoS. Omawiany jest także przykład operatorów, którzy nie zapłacili okupu i poradzili sobie z nawałem ataku w inny sposób.
Problem obecnych ataków był już przedmiotem rozmów za zamkniętymi drzwiami podczas poprzedniego Zjazdu MiŚOT. Nie przez przypadek. Uczestnicy mogli mówić o konkretnych zdarzeniach, konfiguracjach, skutecznych i nieskutecznych metodach obrony bez ryzyka, że kilka godzin później sami padną ofiarą ataku.
Podczas najbliższego Zjazdu MiŚOT w Nałęczowie temat pojawi się ponownie. Drugiego dnia konferencji odbędzie się ekspercka debata poświęcona cyberbezpieczeństwu i atakom na operatorów, w której wezmą udział przedstawiciele firm NERA, SkyPass Solutions, LiveSolutions oraz MiŚOT S.A., reprezentowany przez Tomasza Brola, wiceprezesa zarządu ds. technicznych. Dyskusję poprowadzi Artur Tomaszczyk związany z Grupą MiŚOT. Równolegle zaplanowano kolejne spotkanie z cyklu „Pizza z Administratorem”.
Sprowadzanie wsparcia instytucji do „PDF-a z ogólnymi wskazówkami” upraszcza problem. W przypadku DDoS kluczowe pytanie brzmi nie tylko, co może zrobić CERT czy Centralne Biuro Zwalczania Cyberprzestępczości, ale też jak wygląda współpraca operatora z węzłem, dostawcą tranzytu i podmiotami świadczącymi ochronę przed atakami. To właśnie na styku tych kilku elementów można najszybciej reagować, wymieniać informacje o charakterze ruchu i uruchamiać odpowiednie mechanizmy filtracji.
Osobnego komentarza wymaga przedstawianie zapłacenia okupu jako rozwiązania, które można rekomendować innym operatorom, szczególnie „jeżeli kwota nie jest wygórowana”.
Z perspektywy pojedynczego przedsiębiorcy stojącego przed wielodniowym paraliżem taka decyzja może być zrozumiała. Presja klientów rośnie, pracownicy są wyczerpani, a każda kolejna godzina oznacza realne straty. Ale zrozumienie motywacji nie oznacza, że należy z tego robić dobrą praktykę.
Zapłata nie daje gwarancji zakończenia ataku. Nie gwarantuje również, że ten sam podmiot nie wróci po kilku tygodniach. Co więcej, potwierdza napastnikom, że wybrany model biznesowy działa.
Jeżeli wiedza o tym zaczyna krążyć publicznie wraz z informacją, które firmy płacą, powstaje dodatkowy problem. Operator przestaje być dla przestępców przypadkowym celem, a może zacząć być postrzegany jako płatnik.
Dlatego odpowiedź branży nie może brzmieć: „trzeba wiedzieć, kiedy zapłacić”. Powinna brzmieć: trzeba zbudować infrastrukturę i procedury tak, aby szantaż miał jak najmniejsze szanse powodzenia.
Warto również zastanowić się nad językiem, którym opisujemy obecne wydarzenia. Określenie „Pan Żabka” niewątpliwie dobrze zapada w pamięć. Problem w tym, że może za bardzo trywializować sytuację.
Nie mówimy przecież o trefnisiu wysyłającym operatorom wiadomości dla samego żartu. Mówimy o działaniach wymagających infrastruktury, wiedzy technicznej, przygotowania, rozpoznania celów i zdolności do prowadzenia kolejnych ataków. Jeżeli za kampanią rzeczywiście stoi wyspecjalizowana grupa cyberprzestępcza, należy właśnie w taki sposób ją traktować.
Tym bardziej że obecne środowisko zagrożeń jest zdecydowanie szersze niż sama fala DDoS wymierzona w ISP. W 2025 r. CERT Polska otrzymał 658 320 zgłoszeń i zarejestrował 260 783 unikalne incydenty bezpieczeństwa, czyli o 152 proc. więcej niż rok wcześniej.
We wrześniu tego roku CERT Polska poinformował z kolei o sześciu podatnościach w MikroTik RouterOS. Połączenie dwóch z nich pozwalało na przejęcie pełnej kontroli nad urządzeniem bez uwierzytelnienia, jeśli usługa SSH była dostępna z internetu. Co ważniejsze, CERT potwierdził, że takie ataki rzeczywiście są już prowadzone.
Nie ma sporu co do jednego: ataki DDoS na lokalnych operatorów są poważnym problemem i prawdopodobnie pozostaną nim przez długi czas. Biorąc pod uwagę obecną sytuację geopolityczną mało prawdopodobne jest też, że zatrzymanie jednej osoby czy nawet jednej grupy zakończy temat.
Cyberzagrożenia stają się elementem normalnego funkcjonowania infrastruktury. Najwyższa Izba Kontroli w sierpniu oceniła zabezpieczenia ośmiu skontrolowanych operatorów usług kluczowych jako niewystarczające i nieadekwatne do obecnego charakteru zagrożeń.
Mali i średni operatorzy również muszą wyciągnąć z tego wnioski. Nie ma już odwrotu od inwestowania w odporność, redundancję, monitoring, procedury reagowania i rozwiązania pozwalające filtrować ataki poza własną infrastrukturą. Trzeba też wymieniać się wiedzą, analizować incydenty i przekazywać materiał CERT-om oraz organom ścigania.
Chodzi zatem o to, żeby nie wywieszać na drzwiach informacji, że mieszkańców nie ma w domu, które okno się nie domyka i gdzie leży zapasowy klucz.
