Branża telekomunikacyjna notorycznie zmaga się z atakami, ale od kilku miesięcy operatorzy lokalnych sieci w Polsce doświadczają niespotykanej dotąd skali DDoS. Celem przestępców jest wyłudzenie okupu. Pokrzywdzonych firm jest co najmniej kilkadziesiąt ‒ tak szacują sami przedstawiciele branży, tylko część atakowanych mówi o tym publicznie. Radykalnego rozwiązania na razie nie widać.
Według przedstawicieli branży, pierwsze ataki zaczęły się pod koniec 2025 r. Fala wezbrała późną wiosną tego roku. Pod koniec maja Der.Net, lokalny operator z Łasku, musiał tłumaczyć się swoim klientom z kłopotów z dostępem do sieci. Powodem był niespodziewany atak DDoS. Dzięki wsparciu sąsiedniej sieci Księżyc i wymianie urządzeń brzegowych sytuację udało się opanować. Niestety, nie na długo. Już dwa dni później operator informował o kolejnym cyberataku, który przełamał świeżo przeorganizowane zabezpieczenia Der.netu. Operator nie był ani pierwszą, ani ostatnią ofiarą takiego ataku.
Na początku kierowane były przeciw najmniejszym ISP korzystającym z portów 1 Gb/s w węzłach wymiany ruchu. Takim sieciom atak DDoS o sile 1 Gb/s w pełni wysycał standardowy, fizyczny port sieciowy, co prowadziło do natychmiastowego zablokowania ruchu, awarii serwerów lub odcięcia dostępu do usług. Po pierwszej fali kierowanej na najmniejsze podmioty z rynku ISP, ataki rozszerzyły się także na większych dostawców. Szczyt osiągnęły w połowie wakacji, kiedy notowano kilka ataków dziennie na różne sieci. Potem liczba ataków zdawała się maleć, ale nadal one trwają. Chociażby w ostatni weekend informował o tym na swoim facebookowym profilu bielski Kolnet. Przedmiotem wielu długotrwałych ataków padał także mielecki WDM, który w ubiegłym tygodniu zorganizował nawet webinar na temat temat, by zaprezentować własne rozwiązanie mitygacji ataku DDoS.
Dzisiaj wiadomo, że atakowane były m.in. sieci:
- Lisek.pl (Skwierzyna);
- EDEN Internet (Kożuchów);
- HOR.NET Polska (Kraków);
- SCARNET (Skarżysko-Kamienna);
- TYGRYS.NET (Rumia);
- MegaNET (Świątniki Górne);
- NETUS (Andrychów);
- Celcom (Świecie);
- ABAKS (Pruszcz Gdański);
- Strzyżowski.Net (Strzyżów);
- Nysa.net (Nysa);
- GBN.pl (Tychy);
- Maxnet Gdynia (Gdynia);
- C3 (Zawidów);
- WDM (Mielec);
- xbest.net.pl (Rybnik).
- Ostrog.Net (Racibórz).
Prawie na pewno lista powinna być sporo dłuższa.
Atak wygląda zazwyczaj tak samo. Przestępcy wysyłają mail (z serwisu pocztowego Proton) z informacją o ataku na daną sieć rzekomo planowanym przez podmiot trzeci. Maile są zestandaryzowane i pisane poprawną polszczyzną, chociaż widać stosowanie szablonów i automatycznego tłumaczenie. Maile są podpisywane nazwiskami ukraińskich polityków.
Autorzy tych maili oferują usługę „blacklist, która zablokuje ataki na państwa podsieci ze strony większości globalnych dostawców, trwale zwiększając stabilność i bezpieczeństwo państwa sieci”. Presje mają zwiększyć dwa, trzy schodki cenowe: „promocyjna" oferta do końca dnia, niekiedy druga, nieco wyższa stawka na następne 24 godz. i po tym terminie już znacznie wyższa cena „regularna”.
