NoName057(16): jak ataki DDoS zamieniają w płatną grę propagandową

Badanie Uniwersytetu Aalto przedstawia NoName057(16) jako coś więcej niż konwencjonalną grupę haktywistyczną. Ta prorosyjska siatka łączy crowdsourcing ataków typu distributed denial-of-service (DDoS), propagandę, rekrutację ideologiczną i zachęty finansowe. Według autorów badania model ten znajduje się na styku haktywizmu, geopolitycznych działań w cyberprzestrzeni i cyberprzestępczości. 12

Najważniejszy wniosek jest prosty: krótkotrwała niedostępność strony internetowej może służyć znacznie dłuższemu celowi politycznemu. Ma sprawić, że instytucje będą wyglądać na bezbronne, zwiększyć poczucie zagrożenia i skłonić odbiorców do podważania wiarygodności organizacji odpowiedzialnych za podstawowe usługi.

Cel grupy wykracza poza samo zakłócenie działania stron

NoName057(16) przeprowadziła tysiące ataków DDoS przeciwko organizacjom publicznym i prywatnym, przede wszystkim w państwach NATO oraz innych krajach europejskich, w tym w Finlandii. 2 Atak DDoS polega na zalaniu usługi ogromną liczbą żądań lub ruchem sieciowym, przez co prawidłowi użytkownicy nie mogą z niej korzystać.

Bezpośrednim skutkiem może być czasowa niedostępność serwisu. Analiza Aalto wskazuje jednak, że zakłócenie jest również wykorzystywane jako scena dla propagandy, której celem jest delegitymizowanie przeciwników. 2

To właśnie czyni z kampanii zagrożenie hybrydowe. Operacja techniczna tworzy widoczny incydent, a komunikaty towarzyszące przekształcają go w polityczną narrację. Nie chodzi więc koniecznie o trwałe uszkodzenie systemów, lecz o wywołanie niepokoju, szkód wizerunkowych i spadku zaufania do rządów, instytucji oraz usług o kluczowym znaczeniu. 12

Jak DDoSia rekrutuje i koordynuje ochotników

Model działania grupy opiera się na rozproszeniu znacznej części pracy w sieci ochotników. Uczestnicy są rekrutowani za pośrednictwem Telegrama i otrzymują dostęp do DDoSia — narzędzia służącego do koordynowania ataków na cele wybierane lub promowane przez sieć. 23443

Obniża to technologiczną barierę wejścia. Uczestnicy nie muszą tworzyć zaawansowanych exploitów, aby się zaangażować. Za pomocą narzędzia mogą udostępniać zasoby swoich urządzeń i wykonywać zadania zgodnie ze strukturą kampanii. Model jest crowdsourcingowy, ale jego najważniejsze elementy — wybór celów, komunikacja i system motywacyjny — pozostają centralnie kształtowane. 234

W efekcie powstaje społeczność, którą można mobilizować wokół wydarzeń politycznych i deklarowanego poparcia dla Rosji przeciwko jej przeciwnikom. Jednocześnie zachowuje ona cechy kojarzone z cyberprzestępczością oferującą wykonanie ataku za wynagrodzeniem. Dlatego Aalto opisuje ten model jako zacierający granice między ideologicznym haktywizmem, geopolityczną wojną w cyberprzestrzeni a cyberprzestępczością motywowaną finansowo. 23

Dlaczego określenie „patriotyczna gra online” ma znaczenie

DDoSia nie jest przedstawiana wyłącznie jako oprogramowanie do przeprowadzania ataków. Projekt określa udział w działaniach mianem „patriotycznej gry online”, zachęcając uczestników, by postrzegali zakłócanie usług jako aktywność narodową lub obywatelską, a nie przestępstwo. 338

Grywalizacja może ułatwiać rekrutację i utrzymywanie zaangażowania. Uczestnikom zapewnia wspólną tożsamość, wyraźne cele oraz element rywalizacji. Doniesienia na temat projektu opisywały także rankingi i zachęty zależne od wyników, choć dokładne zasady oraz sposób wypłacania nagród różniły się w poszczególnych relacjach i zmieniały się z czasem. 3944

To połączenie jest strategicznie użyteczne: ideologia dostarcza motywacji, forma gry sprawia, że udział wydaje się łatwy i społeczny, a nagrody finansowe dają dodatkowy powód, by kontynuować działania.

Kryptowaluty dodają motywację komercyjną

Projekt oferował uczestnikom nagrody w kryptowalutach za udział w skutecznych atakach. We wcześniejszych doniesieniach wskazywano na wypłaty sięgające 80 tys. rosyjskich rubli — około 1200 dolarów według ówczesnego kursu — za skuteczne działania DDoS. 46

System nagród komplikuje typowy podział na ideologicznego ochotnika i opłacanego cyberprzestępcę. Uczestników mogą przyciągać prorosyjskie komunikaty, społeczny charakter grupy, rywalizacyjna forma albo perspektywa zapłaty. Ustalenia Aalto sugerują, że te motywacje mogą występować jednocześnie, a nie wykluczać się wzajemnie. 2

Dostępne dowody nie pokazują, że każdy uczestnik otrzymuje wynagrodzenie ani że każdy atak jest motywowany pieniędzmi. Mocniejszy i lepiej uzasadniony wniosek brzmi: kryptowaluty dają grupie dodatkowy mechanizm rekrutowania i nagradzania współpracowników, obok apelu ideologicznego.

Finlandia pokazuje skalę zjawiska

Według Uniwersytetu Aalto od 7 stycznia 2025 r. NoName057(16) przeprowadziła 23 rundy ataków na cele w Finlandii, obejmujące 129 organizacji publicznych i prywatnych. Wśród celów znalazły się parlament i inne instytucje rządowe, samorządy, banki i instytucje finansowe oraz dostawcy usług infrastruktury krytycznej. Aalto odnotował również wzrost liczby ataków po przystąpieniu Finlandii do NATO w 2023 r. 1

W całej Europie bezpośrednim skutkiem takich działań może być czasowa utrata dostępu do usług internetowych. Skutek strategiczny jest jednak szerszy: użytkownicy mogą odnieść wrażenie, że urzędy, instytucje finansowe czy dostawcy podstawowych usług nie są w stanie niezawodnie chronić swoich cyfrowych „drzwi wejściowych”. Dla atakującego taka percepcja ma wartość nawet wtedy, gdy systemy szybko wracają do działania.

Co zmieniła operacja Eastwood — i czego nie dowiodła

W dniach 14–17 lipca 2025 r. Europol i Eurojust koordynowały operację Eastwood, międzynarodową akcję wymierzoną w ludzi oraz infrastrukturę NoName057(16). Jednoczesne działania przeprowadziły organy z Czech, Francji, Finlandii, Niemiec, Włoch, Litwy, Polski, Hiszpanii, Szwecji, Szwajcarii, Holandii i Stanów Zjednoczonych. 17

Operacja zakłóciła działanie infrastruktury ataków obejmującej ponad 100 systemów komputerowych na całym świecie oraz wyłączyła znaczną część centralnej infrastruktury serwerowej grupy. 17 Inne relacje mówiły także o zatrzymaniach, przeszukaniach i nakazach aresztowania związanych z akcją. 1723

Był to poważny cios operacyjny, ale „zakłócenie” nie oznacza trwałego wyeliminowania grupy. Dostępne dowody nie wskazują, że zniknęły jej model rekrutacji, przekaz polityczny czy skutki propagandowe. Rozproszona struktura oparta na ochotnikach może potencjalnie dostosować się do usunięcia konkretnych serwerów lub administratorów.

Co organizacje powinny robić inaczej

Analiza Aalto wskazuje, że odpowiedź powinna wykraczać poza standardowe zabezpieczenia przed atakami DDoS. Organizacje powinny uwzględniać polityczne cele atakującego, jego model działania i motywacje w modelowaniu zagrożeń, ocenie ryzyka oraz zarządzaniu incydentami. Nie należy traktować każdego zdarzenia wyłącznie jako problemu z dostępnością usługi. 2

Oznacza to konieczność połączenia przygotowania technicznego z planowaniem komunikacji:

• Przygotuj się zarówno na awarię, jak i na narrację wokół niej. Ustal, które usługi, instytucje i grupy odbiorców mogą zostać dotknięte atakiem, oraz zaplanuj rzeczowe wyjaśnianie incydentu.
• Połącz zespoły bezpieczeństwa i komunikacji. Specjaliści ds. cyberbezpieczeństwa mogą ustalić, co się wydarzyło i które usługi nadal działają, a zespoły komunikacyjne powinny reagować na plotki, zastraszanie i wprowadzające w błąd twierdzenia.
• Komunikuj się przejrzyście i wiarygodnie. Bagatelizowanie lub ukrywanie ataku może pozostawić przestrzeń dla wrogiej propagandy. Jasne aktualizacje pomagają nie dopuścić do przedstawienia tymczasowej awarii jako dowodu całkowitego załamania instytucji. 2
• Mierz odbudowę szerzej niż tylko czasem dostępności. Przywrócenie strony jest konieczne, ale organizacje powinny również ocenić poziom zaufania społecznego, szkody wizerunkowe oraz rozprzestrzenianie się fałszywych informacji o incydencie.

Najważniejsza konsekwencja badania ma charakter strategiczny. DDoSia zamienia zwykłych użytkowników internetu w uczestników skoordynowanej operacji wpływu, jednocześnie przedstawiając cyberzakłócenia jako grę. Obrona przed takim zagrożeniem wymaga więc nie tylko odpornej infrastruktury, lecz także umiejętności reagowania na historię, którą atakujący budują wokół każdego incydentu.