NoName057(16) proměňuje DDoS útoky v placenou propagandistickou hru

Výzkum Aalto University popisuje NoName057(16) jako víc než běžné hackerské hnutí. Proruská skupina kombinuje crowdsourcované útoky typu DDoS s propagandou, ideologickým náborem a finančními pobídkami. Podle studie se tak pohybuje na pomezí haktivismu, geopolitických kybernetických operací a kyberkriminality. 12

Hlavní poselství je přitom širší než samotný výpadek webu: krátkodobá nedostupnost může sloužit dlouhodobému politickému cíli. Instituce mají působit zranitelně, veřejnost se má obávat o dostupnost důležitých služeb a klesat má důvěra v organizace, které za ně odpovídají.

Cíl skupiny není jen vyřadit web

NoName057(16) podnikla tisíce DDoS útoků proti veřejným i soukromým organizacím, především v členských státech NATO a dalších evropských zemích včetně Finska. 2 Při útoku DDoS zaplaví útočníci službu velkým množstvím požadavků nebo datového provozu, takže se k ní legitimní uživatelé nemohou dostat.

Bezprostředním důsledkem může být dočasná nedostupnost webu. Analýza Aalto University však uvádí, že výpadek zároveň funguje jako jeviště pro propagandu, jejímž cílem je zpochybnit legitimitu protivníků. 2

Jde proto o hybridní hrozbu. Technická operace vytvoří viditelný incident a doprovodná komunikace z něj udělá politický příběh. Nejde nutně o trvalé poškození systémů, ale o vyvolání úzkosti, poškození reputace a oslabení důvěry ve vlády, instituce i kritické služby. 12

Jak DDoSia nabírá a koordinuje dobrovolníky

Provozní model skupiny stojí na rozdělení značné části práce mezi síť dobrovolníků. Účastníci jsou získáváni přes Telegram a dostávají přístup k nástroji DDoSia, který slouží ke koordinaci útoků proti cílům vybraným nebo propagovaným sítí. 23443

Tím se snižuje technická náročnost zapojení. Účastníci nemusí vyvíjet sofistikované exploity; mohou prostřednictvím nástroje poskytnout výpočetní kapacitu a řídit se strukturou kampaně. Model je crowdsourcovaný, ale jeho směr určují výběr cílů, komunikace a pobídky k výkonu. 234

Výsledkem je komunita, kterou lze mobilizovat kolem politických událostí a podpory odpůrců Ruska. Zároveň si zachovává některé rysy kyberkriminality poskytované „na zakázku“. Aalto University proto popisuje model jako stírání hranic mezi ideologickým haktivismem, geopolitickým konfliktem v kyberprostoru a finančně motivovanou kriminalitou. 23

Proč záleží na označení „patriotická online hra“

DDoSia není prezentována pouze jako software pro útoky. Projekt účast popisuje jako „patriotickou online hru“ a vybízí přispěvatele, aby rušivou činnost vnímali jako nacionalistický nebo občanský čin, nikoli jako trestnou aktivitu. 338

Herní prvky mohou usnadnit nábor i udržení účastníků. Nabízejí společnou identitu, viditelné cíle a pocit soutěže. Zprávy o projektu zmiňují také žebříčky nebo odměny založené na výkonu, přesné mechanismy a podmínky vyplácení se však v různých zdrojích a v čase liší. 3944

Tato kombinace je strategicky účinná: ideologie dodává motivaci, herní formát činí účast dostupnou a společenskou a finanční odměny představují další důvod, proč pokračovat.

Kryptoměny přidávají komerční motivaci

Projekt nabízel účastníkům kryptoměnové odměny za úspěšné útoky. Starší zprávy uváděly platby až 80 000 rublů, což tehdy odpovídalo přibližně 1 200 dolarům. 46

Systém odměn komplikuje obvyklé dělení na politicky motivovaného dobrovolníka a placeného kyberzločince. Účastníky může přitahovat proruská ideologie, sociální prostředí skupiny, soutěžní formát i vidina výdělku. Zjištění Aalto University naznačují, že tyto motivace mohou působit současně, nikoli odděleně. 2

Dostupné důkazy neprokazují, že je placen každý účastník nebo že každý útok motivují peníze. Silnější závěr zní, že kryptoměny poskytují skupině další způsob náboru a motivace vedle ideologického apelu.

Finsko ukazuje rozsah kampaně

Podle Aalto University podnikla skupina od 7. ledna 2025 proti finským cílům 23 kol útoků, které zasáhly 129 veřejných i soukromých organizací. Mezi cíle patřil parlament a další státní instituce, obce, banky a finanční instituce i poskytovatelé služeb kritické infrastruktury. Aalto zároveň uvedla, že po vstupu Finska do NATO v roce 2023 útoků citelně přibylo. 1

V celé Evropě může být bezprostředním dopadem dočasná nedostupnost online služeb. Širší dopad však spočívá v dojmu, že veřejné úřady, finanční organizace nebo poskytovatelé klíčových služeb nedokážou spolehlivě chránit své digitální vstupy. Takový dojem má pro útočníka hodnotu i tehdy, když se systémy rychle obnoví.

Co změnila operace Eastwood — a co nedokázala prokázat

Europol a Eurojust koordinovaly mezi 14. a 17. červencem 2025 mezinárodní operaci Eastwood namířenou proti lidem a infrastruktuře skupiny NoName057(16). Současně zasahovaly úřady z Česka, Francie, Finska, Německa, Itálie, Litvy, Polska, Španělska, Švédska, Švýcarska, Nizozemska a Spojených států. 17

Operace narušila útočnou infrastrukturu tvořenou více než 100 počítačovými systémy po celém světě a odstavila významnou část centrální serverové infrastruktury skupiny. 17 Další zprávy o zásahu hovořily také o zatčeních, domovních prohlídkách a zatykačích. 1723

Šlo o významný operativní zásah, ale „narušení“ neznamená trvalé odstranění. Dostupné důkazy neukazují, že by tím skončil nábor, politická komunikace nebo propagandistické působení skupiny. Crowdsourcovaná struktura se může po odstranění konkrétních serverů či administrátorů přizpůsobit.

Co by měly organizace dělat jinak

Analýza Aalto University ukazuje, že reakce musí přesahovat běžnou ochranu před DDoS. Organizace by měly politické cíle, provozní model a motivace útočníka zahrnout do modelování hrozeb, hodnocení rizik i řízení incidentů. Neměly by každý útok vnímat pouze jako problém dostupnosti. 2

Technickou připravenost je třeba spojit s komunikačním plánem:

• Připravte se na výpadek i na příběh, který ho doprovodí. Určete, které služby, instituce a skupiny veřejnosti mohou být zasaženy, a předem připravte způsob přesného vysvětlení incidentu.
• Propojte bezpečnostní a komunikační týmy. Kyberbezpečnostní odborníci mohou objasnit, co se stalo a které služby zůstávají dostupné; komunikace může reagovat na fámy, zastrašování a zavádějící tvrzení.
• Komunikujte otevřeně a důvěryhodně. Zlehčování nebo zatajování útoku může uvolnit prostor nepřátelské propagandě. Jasné aktualizace pomohou zabránit tomu, aby byl dočasný výpadek vykreslen jako kolaps instituce. 2
• Měřte obnovu i mimo dostupnost webu. Návrat stránky do provozu je nezbytný, organizace by však měly sledovat také důvěru veřejnosti, reputační škody a šíření nepravdivých tvrzení o incidentu.

Nejdůležitější závěr studie je strategický. DDoSia mění běžné uživatele internetu v účastníky koordinované vlivové operace a kybernetické narušení prezentuje jako hru. Obrana proto vyžaduje nejen odolnou infrastrukturu, ale také schopnost reagovat na příběh, který útočníci kolem útoku vytvářejí.