Kreml rozszerza wojnę hybrydową przeciwko Europie. Cyberataki na polskie instytucje państwowe to element szerszej strategii nacisku

Fala ataków DDoS wymierzonych w polskie ministerstwa i systemy administracji publicznej, przypisywana prorosyjskiej grupie Server Killers, nie jest incydentem odosobnionym. To kolejny dowód na to, że Moskwa traktuje cyberprzestrzeń jako pole bitwy w wojnie hybrydowej prowadzonej przeciwko państwom wspierającym Ukrainę.

Seria ataków typu DDoS, jakiej w ostatnich tygodniach doświadczyły polskie instytucje państwowe, powinna być odczytywana nie jako techniczna usterka, lecz jako element świadomej strategii politycznej Kremla. Analitycy firmy Check Point Software Technologies ustalili, że celem prorosyjskiego ugrupowania Server Killers stały się między innymi Ministerstwo Sprawiedliwości, systemy e-usług administracji publicznej, Europejski Fundusz Społeczny, unijny system handlu uprawnieniami do emisji ETS, intranet dla pracowników administracji oraz Program Operacyjny Infrastruktura i Środowisko. We wszystkich przypadkach zebrano dowody potwierdzające czasowe wyłączenie atakowanych systemów z użytku.

Skala zjawiska jest wymowna. Jak wynika z danych Check Point, liczba cyberataków wymierzonych w organizacje działające w Polsce wzrosła w ujęciu rocznym o piętnaście procent, a polskie instytucje rządowe muszą obecnie odpierać średnio około trzech i pół tysiąca prób ataku tygodniowo. To wynik znacznie wyższy niż średnia światowa oraz wyniki odnotowywane w krajach sąsiednich. Sektor publiczny pozostaje przy tym najczęściej atakowaną branżą w kraju, wyprzedzając energetykę, sektor finansowy oraz usługi biznesowe.

Cyberprzestrzeń jako narzędzie presji politycznej

Warto podkreślić, że ataki DDoS z definicji różnią się od klasycznych operacji szpiegowskich czy prób kradzieży danych. Ich celem nie jest wejście w posiadanie poufnych informacji, lecz sparaliżowanie funkcjonowania serwisów internetowych poprzez zalanie ich sztucznie wygenerowanym ruchem sieciowym. W efekcie strony przestają odpowiadać, a obywatele tracą czasowy dostęp do usług cyfrowych administracji. Eksperci NASK zwracają uwagę, że tego typu incydenty nie zagrażają bezpośrednio bezpieczeństwu finansowemu czy osobistemu obywateli, jednak ich prawdziwym celem jest wywołanie wrażenia chaosu i niekompetencji państwa.

Cyberprzestrzeń stała się jednym z kluczowych narzędzi presji na europejskie państwa wspierające Ukrainę, a Polska ze względu na swoje położenie geograficzne i zaangażowanie w pomoc dla Kijowa wielokrotnie znajdowała się w zasięgu takich operacji.

Ta ocena, formułowana przez przedstawicieli branży cyberbezpieczeństwa, wpisuje się w szerszy schemat działania rosyjskich grup hakerskich powiązanych z Kremlem. Wcześniej ta sama grupa Server Killers przeprowadziła zmasowany atak na norweskie usługi cyfrowe, uderzając w systemy zarządzane przez tamtejszą agencję do spraw cyfryzacji. Atak nastąpił bezpośrednio po podpisaniu przez Norwegię i Ukrainę porozumienia o współpracy w dziedzinie bezpieczeństwa oraz zapowiedzi dalszego znaczącego wsparcia dla Kijowa. Grupa ogłosiła następnie na platformie Telegram otwartą „cyberwojnę” przeciwko Oslo. Ten sam mechanizm — atak jako odpowiedź na decyzje polityczne wspierające Ukrainę — można zaobserwować również w przypadku Polski i innych państw regionu.

Nie pierwszy raz i z pewnością nie ostatni

Polska od początku wojny w Ukrainie znajduje się w gronie krajów najczęściej atakowanych przez prorosyjskich hakerów. W poprzednich latach ofiarą ataków powiązanego z Kremlem ugrupowania NoName057(16) padały między innymi Polskie Radio, port w Gdyni, system ePUAP, sektor transportowy, w tym spółka Autostrada Wielkopolska, a także platformy Profil Zaufany oraz obywatel.gov.pl, jak również strona Senatu RP. W lipcu ubiegłego roku służby dwunastu krajów, w tym Polski, przeprowadziły skoordynowaną operację o kryptonimie „Eastwood”, wymierzoną w infrastrukturę sieciową grupy NoName057(16). W jej ramach polska cyberpolicja zatrzymała na Dolnym Śląsku osiemnastolatka podejrzewanego o udział w cyberatakach koordynowanych przez tę rosyjską grupę.

Co istotne, Server Killers wykorzystuje technologię o nazwie DDoSia, opracowaną wcześniej właśnie przez NoName057(16) i udostępnianą innym podmiotom do prowadzenia podobnych operacji. Świadczy to o istnieniu swoistej „infrastruktury usługowej” rosyjskiego hacktywizmu, w ramach której narzędzia, know-how i zasoby są dzielone pomiędzy różnymi grupami działającymi pod wspólnym parasolem interesów Kremla. To model, który pozwala Moskwie prowadzić działania destabilizujące przy stosunkowo niskich kosztach i ograniczonym ryzyku bezpośredniej odpowiedzialności.

W skrócie

• Ugrupowanie Server Killers zaatakowało polskie ministerstwa i systemy e-administracji metodą DDoS.
• Liczba cyberataków na instytucje w Polsce wzrosła rok do roku o 15 procent.
• Polskie instytucje rządowe odpierają średnio ok. 3400 ataków tygodniowo — więcej niż wynosi średnia światowa.
• Podobne uderzenia grupa wcześniej przeprowadziła na Norwegię, po ogłoszeniu przez Oslo wsparcia dla Ukrainy.
• Server Killers korzysta z technologii DDoSia, opracowanej wcześniej przez grupę NoName057(16).

Cyberbezpieczeństwo jako filar obronności narodowej i europejskiej

Skala i systematyczność zagrożeń, z jakimi mierzy się Polska, pokazują wyraźnie, że bezpieczeństwo cyfrowe przestało być wyłącznie domeną techniczną i stało się integralnym elementem bezpieczeństwa narodowego oraz europejskiego. Wysoka intensywność ataków oznacza dla państwa stały, kosztowny wysiłek utrzymywania i wzmacniania systemów obronnych, angażujący zarówno instytucje rządowe, jak i podmioty prywatne odpowiedzialne za infrastrukturę krytyczną. Każdy kolejny atak, nawet jeśli nie prowadzi do trwałych szkód, generuje realne koszty finansowe i organizacyjne związane z monitoringiem, reagowaniem oraz odbudową zaufania obywateli do cyfrowych usług publicznych.

Z perspektywy Unii Europejskiej doświadczenia Polski powinny stanowić impuls do pogłębienia współpracy w zakresie wymiany informacji o zagrożeniach oraz koordynacji reagowania na incydenty transgraniczne. Ataki na Polskę, Danię czy Norwegię nie są zjawiskami izolowanymi, lecz elementami jednej, spójnej kampanii wymierzonej w kraje wspierające Kijów. Bez sprawnego mechanizmu wspólnego reagowania — obejmującego szybkie ostrzeganie, dzielenie się wskaźnikami kompromitacji oraz wspólne standardy odporności infrastruktury — każde państwo członkowskie pozostaje osamotnione w starciu z przeciwnikiem dysponującym rozproszoną siecią wykonawców.

Eksperci podkreślają również wymiar psychologiczny tych operacji. Celem Kremla nie jest wyłącznie sparaliżowanie konkretnego serwisu internetowego, lecz zbudowanie w społeczeństwie przekonania o bezradności państwa wobec zagrożeń cyfrowych. Nagłaśnianie ataków DDoS jako rzekomo „druzgocących ciosów hakerskich” w rzeczywistości realizuje cel samych napastników, dlatego kluczowe znaczenie ma rzetelna komunikacja instytucji publicznych, która pozwala odróżnić realne zagrożenie od propagandowego szumu wokół niego.

Co dalej dla Warszawy i Brukseli

Doświadczenia ostatnich miesięcy pokazują, że Polska pozostanie jednym z priorytetowych celów rosyjskich operacji w cyberprzestrzeni tak długo, jak długo będzie odgrywać kluczową rolę w logistycznym i politycznym wsparciu Ukrainy. To nie jest zagrożenie przejściowe, lecz stały element krajobrazu bezpieczeństwa, z którym państwo musi nauczyć się funkcjonować na co dzień. Wymaga to nie tylko inwestycji w technologię i procedury, lecz także budowania odporności społecznej — świadomości obywateli, że przejściowe problemy z dostępem do serwisu internetowego nie oznaczają utraty kontroli państwa nad własną infrastrukturą.

Dla instytucji unijnych sygnał płynący z Polski, Danii i Norwegii powinien być jednoznaczny: rosyjska wojna hybrydowa nie ogranicza się do działań na terytorium Ukrainy, lecz systematycznie przenosi się na terytorium państw członkowskich i sojuszniczych NATO. Odpowiedzią nie może być wyłącznie reaktywne łatanie kolejnych incydentów, lecz budowa trwałej, wspólnej architektury odporności cyfrowej — takiej, która uczyni kolejne fale ataków politycznie nieopłacalnymi dla ich zleceniodawców.

Autor: Franciszek Kozłowski