芬兰阿尔托大学的研究显示，亲俄黑客组织NoName057(16)并非传统意义上的“黑客行动主义”团体。它把众包式分布式拒绝服务攻击（DDoS）与宣传、意识形态招募及经济奖励结合起来，处在黑客行动主义、地缘政治网络行动和网络犯罪的交叉地带。12

这项研究带来的核心警示是：一次持续时间不长的网站瘫痪，可能服务于更长期的政治目标——让机构显得脆弱，放大公众恐惧，并诱导人们不再信任那些负责提供基本服务的组织。

目标不只是让网站“下线”

NoName057(16)已经针对数千家公共和私营机构发动DDoS攻击，目标主要位于北约成员国及其他欧洲国家，其中包括芬兰。2DDoS攻击会向服务系统灌入大量请求或流量，使正常用户无法访问。直接后果可能只是暂时无法打开网站，但阿尔托大学的分析认为，这种技术中断同时也是宣传平台，用来贬损和削弱对手的合法性。2

因此，这类行动构成一种混合威胁：技术攻击制造一个看得见的事件，围绕事件展开的信息传播则把它包装成政治叙事。攻击者未必追求永久性的技术破坏，更看重的是制造焦虑、损害声誉，以及削弱公众对政府、机构和关键服务的信心。12

DDoSia如何招募和组织志愿者

该组织的运作模式，是把相当一部分工作分散给志愿者网络。参与者通过Telegram招募，并获得DDoSia工具的使用权限，用来对网络所选定或重点宣传的目标发起攻击。23443

这种方式显著降低了参与门槛。参与者不需要自行开发复杂漏洞利用程序，只要通过工具贡献设备的计算资源，再按照组织安排参与行动即可。它看似是众包模式，但目标选择、信息沟通和绩效激励仍由网络进行集中塑造。234

最终形成的是一个可以围绕政治事件迅速动员的社群：参与者被鼓励支持俄罗斯的立场、攻击俄罗斯的对手，同时又呈现出一些“网络犯罪即服务”模式的特征。正因如此，阿尔托大学认为，这种模式模糊了意识形态驱动的黑客行动主义、地缘政治网络战和以经济利益为目的的网络犯罪之间的界线。23

为什么要把攻击包装成“爱国网络游戏”

DDoSia并不只是一个攻击工具。该项目把参与行动描述为一场“爱国网络游戏”，引导参与者把干扰他人网络服务的行为理解成民族主义或公民行动，而不是犯罪活动。338

游戏化设计可以通过共同身份、明确目标和竞争感帮助组织招募并留住参与者。有关报道还提到排名和按表现发放奖励等机制，但具体规则和支付安排在不同报道及不同时间段可能有所变化。3944

这种组合具有明显的动员价值：意识形态提供行动理由，游戏形式让参与显得容易、社交化，金钱奖励则为持续贡献增加了另一重动力。

加密货币带来商业化激励

该项目曾向成功参与攻击的成员提供加密货币奖励。早期报道援引的金额最高可达8万俄罗斯卢布，按当时汇率约合1200美元。46

奖励机制使“出于政治动机的志愿者”和“有偿网络犯罪分子”之间的界线更加复杂。参与者可能受到亲俄宣传、群体社交体验、竞争机制或报酬前景中的一种或多种因素吸引。阿尔托大学的研究显示，这些动机可以同时存在，而不是彼此排斥。2

现有证据并不能证明每名参与者都获得报酬，也不能证明每次攻击都是为了赚钱。更稳妥的结论是：加密货币为该组织提供了意识形态吸引力之外的另一套招募和激励机制。

芬兰案例显示了行动规模

阿尔托大学表示，从2025年1月7日开始，NoName057(16)对芬兰目标发起了23轮攻击，影响129家公共和私营机构。目标包括芬兰议会及其他政府机构、地方政府、银行和金融机构，以及关键基础设施服务提供商。研究还指出，芬兰在2023年加入北约后，遭遇的攻击有所增加。1

在欧洲各地，这类攻击的直接影响可能是在线服务暂时无法访问；更深层的影响则是让公众产生一种印象：政府部门、金融机构或基本服务提供商无法可靠守住自己的数字入口。即使系统很快恢复，这种印象本身也对攻击者有价值。

“东木行动”改变了什么，又没有证明什么

2025年7月14日至17日，欧洲刑警组织（Europol）和欧洲司法合作机构（Eurojust）协调开展“东木行动”，对NoName057(16)的人员和基础设施采取了多国联合行动。捷克、法国、芬兰、德国、意大利、立陶宛、波兰、西班牙、瑞典、瑞士、荷兰和美国的执法及司法部门参与了同步行动。17

这次行动切断了一个由全球100多台计算机组成的攻击基础设施，并使该组织主要中央服务器基础设施的大部分下线。17其他关于行动的报道还提到逮捕、搜查以及发布逮捕令等措施。1723

这无疑是一次重大的行动挫折，但“遭到破坏”并不等于“永久消失”。现有证据并未显示其招募模式、政治宣传或宣传造成的心理影响已经停止。一个依靠众多参与者的分布式网络，在部分服务器或管理人员被清除后，仍可能调整方式继续活动。

机构需要如何调整防御思路

阿尔托大学的分析表明，防御重点不能局限于常规DDoS缓解。机构在威胁建模、风险评估和事件管理中，应同时考虑攻击者的政治目标、运作方式和动机，而不能把每次事件仅仅视为“服务可用性”问题。2

这意味着技术准备必须与沟通准备同步推进：

• 既要准备应对中断，也要准备应对叙事。 明确哪些服务、机构和公众群体可能受到影响，并提前制定准确解释事件的方案。
• 让安全团队和传播团队协同工作。 网络安全人员负责确认发生了什么、哪些服务仍然可用；传播团队则应及时回应谣言、恐吓和误导性说法。
• 保持透明且可信的沟通。 弱化或隐瞒攻击，可能为敌对宣传留下信息真空。清晰更新进展，有助于防止一次暂时性中断被描述成整个机构已经失灵。2
• 不要只用网站恢复时间衡量修复效果。 恢复网站运行只是第一步，机构还应评估公众信心、声誉损害，以及有关事件的虚假说法是否正在扩散。

这项研究最重要的启示在于战略层面：DDoSia把普通互联网用户变成协调式影响行动的参与者，同时又把网络破坏包装成一场游戏。应对这种威胁，既需要更具韧性的基础设施，也需要有能力应对并纠正围绕攻击形成的政治叙事。

芬兰阿尔托大学的研究显示，亲俄黑客组织NoName057(16)并非传统意义上的“黑客行动主义”团体。它把众包式分布式拒绝服务攻击（DDoS）与宣传、意识形态招募及经济奖励结合起来，处在黑客行动主义、地缘政治网络行动和网络犯罪的交叉地带。12

这项研究带来的核心警示是：一次持续时间不长的网站瘫痪，可能服务于更长期的政治目标——让机构显得脆弱，放大公众恐惧，并诱导人们不再信任那些负责提供基本服务的组织。

目标不只是让网站“下线”

NoName057(16)已经针对数千家公共和私营机构发动DDoS攻击，目标主要位于北约成员国及其他欧洲国家，其中包括芬兰。2DDoS攻击会向服务系统灌入大量请求或流量，使正常用户无法访问。直接后果可能只是暂时无法打开网站，但阿尔托大学的分析认为，这种技术中断同时也是宣传平台，用来贬损和削弱对手的合法性。2

因此，这类行动构成一种混合威胁：技术攻击制造一个看得见的事件，围绕事件展开的信息传播则把它包装成政治叙事。攻击者未必追求永久性的技术破坏，更看重的是制造焦虑、损害声誉，以及削弱公众对政府、机构和关键服务的信心。12

DDoSia如何招募和组织志愿者

该组织的运作模式，是把相当一部分工作分散给志愿者网络。参与者通过Telegram招募，并获得DDoSia工具的使用权限，用来对网络所选定或重点宣传的目标发起攻击。23443

这种方式显著降低了参与门槛。参与者不需要自行开发复杂漏洞利用程序，只要通过工具贡献设备的计算资源，再按照组织安排参与行动即可。它看似是众包模式，但目标选择、信息沟通和绩效激励仍由网络进行集中塑造。234

最终形成的是一个可以围绕政治事件迅速动员的社群：参与者被鼓励支持俄罗斯的立场、攻击俄罗斯的对手，同时又呈现出一些“网络犯罪即服务”模式的特征。正因如此，阿尔托大学认为，这种模式模糊了意识形态驱动的黑客行动主义、地缘政治网络战和以经济利益为目的的网络犯罪之间的界线。23

为什么要把攻击包装成“爱国网络游戏”

DDoSia并不只是一个攻击工具。该项目把参与行动描述为一场“爱国网络游戏”，引导参与者把干扰他人网络服务的行为理解成民族主义或公民行动，而不是犯罪活动。338

游戏化设计可以通过共同身份、明确目标和竞争感帮助组织招募并留住参与者。有关报道还提到排名和按表现发放奖励等机制，但具体规则和支付安排在不同报道及不同时间段可能有所变化。3944

这种组合具有明显的动员价值：意识形态提供行动理由，游戏形式让参与显得容易、社交化，金钱奖励则为持续贡献增加了另一重动力。

加密货币带来商业化激励

该项目曾向成功参与攻击的成员提供加密货币奖励。早期报道援引的金额最高可达8万俄罗斯卢布，按当时汇率约合1200美元。46

奖励机制使“出于政治动机的志愿者”和“有偿网络犯罪分子”之间的界线更加复杂。参与者可能受到亲俄宣传、群体社交体验、竞争机制或报酬前景中的一种或多种因素吸引。阿尔托大学的研究显示，这些动机可以同时存在，而不是彼此排斥。2

现有证据并不能证明每名参与者都获得报酬，也不能证明每次攻击都是为了赚钱。更稳妥的结论是：加密货币为该组织提供了意识形态吸引力之外的另一套招募和激励机制。

芬兰案例显示了行动规模

阿尔托大学表示，从2025年1月7日开始，NoName057(16)对芬兰目标发起了23轮攻击，影响129家公共和私营机构。目标包括芬兰议会及其他政府机构、地方政府、银行和金融机构，以及关键基础设施服务提供商。研究还指出，芬兰在2023年加入北约后，遭遇的攻击有所增加。1

在欧洲各地，这类攻击的直接影响可能是在线服务暂时无法访问；更深层的影响则是让公众产生一种印象：政府部门、金融机构或基本服务提供商无法可靠守住自己的数字入口。即使系统很快恢复，这种印象本身也对攻击者有价值。

“东木行动”改变了什么，又没有证明什么

2025年7月14日至17日，欧洲刑警组织（Europol）和欧洲司法合作机构（Eurojust）协调开展“东木行动”，对NoName057(16)的人员和基础设施采取了多国联合行动。捷克、法国、芬兰、德国、意大利、立陶宛、波兰、西班牙、瑞典、瑞士、荷兰和美国的执法及司法部门参与了同步行动。17

这次行动切断了一个由全球100多台计算机组成的攻击基础设施，并使该组织主要中央服务器基础设施的大部分下线。17其他关于行动的报道还提到逮捕、搜查以及发布逮捕令等措施。1723

这无疑是一次重大的行动挫折，但“遭到破坏”并不等于“永久消失”。现有证据并未显示其招募模式、政治宣传或宣传造成的心理影响已经停止。一个依靠众多参与者的分布式网络，在部分服务器或管理人员被清除后，仍可能调整方式继续活动。

机构需要如何调整防御思路

阿尔托大学的分析表明，防御重点不能局限于常规DDoS缓解。机构在威胁建模、风险评估和事件管理中，应同时考虑攻击者的政治目标、运作方式和动机，而不能把每次事件仅仅视为“服务可用性”问题。2

这意味着技术准备必须与沟通准备同步推进：

• 既要准备应对中断，也要准备应对叙事。 明确哪些服务、机构和公众群体可能受到影响，并提前制定准确解释事件的方案。
• 让安全团队和传播团队协同工作。 网络安全人员负责确认发生了什么、哪些服务仍然可用；传播团队则应及时回应谣言、恐吓和误导性说法。
• 保持透明且可信的沟通。 弱化或隐瞒攻击，可能为敌对宣传留下信息真空。清晰更新进展，有助于防止一次暂时性中断被描述成整个机构已经失灵。2
• 不要只用网站恢复时间衡量修复效果。 恢复网站运行只是第一步，机构还应评估公众信心、声誉损害，以及有关事件的虚假说法是否正在扩散。

这项研究最重要的启示在于战略层面：DDoSia把普通互联网用户变成协调式影响行动的参与者，同时又把网络破坏包装成一场游戏。应对这种威胁，既需要更具韧性的基础设施，也需要有能力应对并纠正围绕攻击形成的政治叙事。