NoName057(16) gør DDoS-angreb til et betalt propagandaspil

Et studie fra Aalto Universitet tegner et billede af NoName057(16) som mere end en traditionel hacktivistgruppe. Den prorussiske gruppe kombinerer crowdsourcede distribuerede tjenestenægtelsesangreb (DDoS) med propaganda, ideologisk rekruttering og økonomiske belønninger – en model, der befinder sig i krydsfeltet mellem hacktivisme, geopolitisk cyberaktivitet og cyberkriminalitet. 12

Den centrale pointe er, at en kortvarig nedetid på en hjemmeside kan tjene et langt mere vidtrækkende politisk formål: at få institutioner til at fremstå sårbare, sprede frygt og få borgere til at tvivle på de organisationer, der driver vigtige samfundstjenester.

Gruppens mål rækker længere end driftsforstyrrelser

NoName057(16) har gennemført tusindvis af DDoS-angreb mod offentlige og private organisationer, især i NATO-lande og andre europæiske lande, herunder Finland. 2 Ved et DDoS-angreb oversvømmes en tjeneste med så mange forespørgsler eller så meget trafik, at almindelige brugere ikke kan få adgang. Den umiddelbare konsekvens kan være midlertidig utilgængelighed, men Aaltos analyse viser, at forstyrrelsen også bruges som afsæt for propaganda, der skal delegitimere modstandere. 2

Det gør kampagnen til en hybridtrussel. Den tekniske operation skaber en synlig hændelse, mens budskaberne omkring den omsætter hændelsen til en politisk fortælling. Målet er ikke nødvendigvis varig teknisk skade, men snarere uro, omdømmeskade og svækket tillid til regeringer, institutioner og kritiske tjenester. 12

Sådan rekrutterer og koordinerer DDoSia frivillige

Gruppens arbejdsmodel bygger på, at en stor del af arbejdet fordeles i et netværk af frivillige. Deltagere rekrutteres via Telegram og får adgang til DDoSia, værktøjet der koordinerer angreb mod mål, som netværket udvælger eller promoverer. 23443

Det sænker den tekniske adgangsbarriere. Deltagerne behøver ikke selv udvikle avancerede sårbarhedsudnyttelser for at bidrage; de kan stille computerkraft til rådighed gennem et værktøj og følge gruppens kampagnestruktur. Modellen er crowdsourcet, men styres i praksis gennem valg af mål, kommunikation og incitamenter baseret på deltagernes resultater. 234

Resultatet er et fællesskab, der kan mobiliseres omkring politiske begivenheder og opfattet støtte til Ruslands modstandere, samtidig med at det har træk til fælles med cyberkriminalitet som en serviceydelse. Aalto beskriver derfor modellen som en udviskning af grænserne mellem ideologisk hacktivisme, geopolitisk krigsførelse og økonomisk motiveret cyberkriminalitet. 23

Hvorfor fortællingen om et patriotisk onlinespil er vigtig

DDoSia præsenteres ikke blot som angrebssoftware. Projektet fremstiller deltagelsen som et ”patriotisk onlinespil”, så bidragyderne kan opfatte den forstyrrende aktivitet som nationalistisk eller samfundsmæssig handling frem for kriminalitet. 338

Den spilorienterede struktur kan gøre det lettere at rekruttere og fastholde deltagere ved at give dem en fælles identitet, synlige mål og en oplevelse af konkurrence. Omtale af projektet har også beskrevet ranglister eller belønninger baseret på resultater, selv om de præcise mekanismer og betalingsordninger har ændret sig mellem forskellige beskrivelser og over tid. 3944

Kombinationen er strategisk effektiv: Ideologien leverer motivationen, spilformatet får deltagelsen til at føles tilgængelig og social, mens økonomiske belønninger giver endnu en grund til at fortsætte.

Kryptovaluta tilfører et kommercielt incitament

Projektet har tilbudt kryptovalutabelønninger til deltagere, der bidrager til vellykkede angreb. Tidligere rapportering har omtalt betalinger på op til 80.000 russiske rubler – cirka 1.200 dollar på daværende tidspunkt – for vellykket DDoS-aktivitet. 46

Belønningssystemet gør det vanskeligere at skelne skarpt mellem den politisk motiverede frivillige og den betalte cyberkriminelle. Deltagere kan tiltrækkes af prorussiske budskaber, af fællesskabet, af konkurrenceformatet eller af udsigten til betaling. Aaltos resultater peger på, at motiverne kan eksistere side om side frem for at udelukke hinanden. 2

Den tilgængelige dokumentation viser ikke, at alle deltagere bliver betalt, eller at alle angreb er motiveret af penge. Den mere sikre konklusion er, at kryptovaluta giver gruppen endnu en metode til at rekruttere og belønne bidragydere ud over den ideologiske appel.

Finland viser modellens omfang

Ifølge Aalto Universitet gennemførte NoName057(16) 23 angrebsrunder mod finske mål fra 7. januar 2025. Angrebene ramte 129 offentlige og private organisationer. Målene omfattede parlamentet og andre statslige institutioner, kommuner, banker og finansielle institutioner samt leverandører af kritisk infrastruktur. Aalto rapporterede også en stigning i angrebene, efter at Finland blev medlem af NATO i 2023. 1

På tværs af Europa kan den umiddelbare effekt være, at onlinetjenester midlertidigt bliver utilgængelige. Den bredere effekt er oplevelsen af, at offentlige myndigheder, finansielle organisationer eller leverandører af vigtige tjenester ikke kan beskytte deres digitale indgange. Den oplevelse har værdi for en angriber, også når systemerne hurtigt kommer online igen.

Hvad Operation Eastwood ændrede – og ikke beviste

Fra 14. til 17. juli 2025 koordinerede Europol og Eurojust Operation Eastwood, en international indsats mod NoName057(16)'s personer og infrastruktur. Myndigheder fra Tjekkiet, Frankrig, Finland, Tyskland, Italien, Litauen, Polen, Spanien, Sverige, Schweiz, Nederlandene og USA gennemførte samtidige aktioner. 17

Operationen forstyrrede en angrebsinfrastruktur bestående af mere end 100 computersystemer verden over og satte en stor del af gruppens centrale serverinfrastruktur ud af drift. 17 Andre beskrivelser af operationen omtalte også anholdelser, ransagninger og efterlysningskendelser i forbindelse med indgrebet mod infrastrukturen. 1723

Det var et betydeligt operationelt tilbageslag, men ”forstyrret” er ikke det samme som permanent fjernet. Den tilgængelige dokumentation viser ikke, at den underliggende rekrutteringsmodel, de politiske budskaber eller propagandaeffekten ophørte. En modstandsdygtig, crowdsourcet struktur kan potentielt tilpasse sig, når bestemte servere eller administratorer fjernes.

Hvad organisationer bør gøre anderledes

Aaltos analyse peger på et behov for en bredere indsats end almindelig DDoS-beskyttelse. Organisationer bør indarbejde angribernes politiske mål, arbejdsmodel og motiver i trusselsmodellering, risikovurdering og hændelseshåndtering – i stedet for udelukkende at behandle hvert angreb som et problem med tilgængelighed. 2

Det betyder, at tekniske forberedelser bør gå hånd i hånd med kommunikationsplanlægning:

• Forbered jer på fortællingen såvel som på nedetiden. Identificér, hvilke tjenester, institutioner og befolkningsgrupper der kan blive berørt, og planlæg, hvordan en hændelse skal forklares præcist.
• Samarbejd tæt mellem sikkerheds- og kommunikationsteams. Cybersikkerhedsfolk kan fastslå, hvad der er sket, og hvilke tjenester der fortsat er tilgængelige. Kommunikationsteamet kan håndtere rygter, intimidering og vildledende påstande.
• Kommunikér åbent og troværdigt. Hvis et angreb bagatelliseres eller skjules, kan det efterlade et tomrum, som fjendtlig propaganda kan udfylde. Klare opdateringer kan forhindre, at en midlertidig forstyrrelse fremstilles som et sammenbrud i institutionerne. 2
• Mål genopretning ud over oppetid. Det er nødvendigt at få en hjemmeside online igen, men organisationer bør også vurdere borgernes tillid, omdømmeskade og spredningen af falske påstande om hændelsen.

Studiens vigtigste konsekvens er dermed strategisk. DDoSia gør almindelige internetbrugere til deltagere i en koordineret påvirkningsoperation, samtidig med at cyberforstyrrelse får karakter af et spil. Et effektivt forsvar kræver derfor både robust digital infrastruktur og evnen til at imødegå den fortælling, der bygges op omkring et angreb.