奧爾托大學的研究顯示，NoName057(16) 並不只是傳統意義上的「駭客行動主義」團體。這個親俄組織把群眾協作式分散式阻斷服務攻擊（DDoS）、宣傳、意識形態招募與金錢誘因結合起來，形成一種介乎駭客行動主義、地緣政治網絡活動與網絡犯罪之間的混合模式。12

這套模式最值得注意之處在於：網站短暫無法使用，可能只是技術層面的表象；在政治層面，它可以被用來營造「機構不堪一擊」的印象，放大恐慌，並誘導民眾不再信任提供重要服務的政府與組織。

目標不只是讓網站下線

NoName057(16) 已對數以千計的公私營機構發動 DDoS 攻擊，目標主要位於北約成員國及其他歐洲國家，包括芬蘭。2

DDoS 攻擊通常透過大量請求或流量淹沒網絡服務，使正常使用者無法存取網站。直接後果可能只是服務暫時中斷，但奧爾托大學的分析指出，這種技術干擾同時也是宣傳的舞台，目的是把對手描繪成無力保護自身的機構，進而削弱其正當性。2

因此，這類活動可被視為混合威脅：技術行動製造一宗看得見的網絡事故，周邊訊息則把事故包裝成政治敘事。攻擊者未必需要造成永久性破壞；只要能引發焦慮、損害聲譽，或動搖民眾對政府、機構及關鍵服務的信心，便可能達到更廣泛的戰略目的。12

DDoSia 如何招募及協調參與者

這個組織把相當一部分工作分散到志願者網絡。參與者主要透過 Telegram 被招募，之後取得 DDoSia——一個用來協調攻擊的工具，攻擊目標則由網絡選定或推廣。23443

這種做法降低了技術門檻。參與者不需要自行開發複雜漏洞利用工具，只要透過指定軟件提供電腦資源，並依照組織安排參與行動即可。雖然執行層面採用群眾協作，但目標選擇、訊息傳播及績效獎勵仍由核心網絡塑造。234

結果是一個能夠圍繞政治事件迅速動員的社群：參與者可以因為支持俄羅斯，或反對被視為俄羅斯對手的國家與機構而加入；與此同時，整套運作又帶有「網絡犯罪即服務」的部分特徵。奧爾托大學因此認為，這種模式模糊了意識形態式駭客行動主義、地緣政治網絡戰與以金錢為動機的網絡犯罪之間的界線。23

為何要把攻擊包裝成「愛國網上遊戲」

DDoSia 並未只被呈現為一套攻擊軟件。這個項目把參與行動包裝成「愛國網上遊戲」，鼓勵使用者將干擾服務的行為理解為民族主義或公民行動，而非刑事犯罪。338

遊戲化設計能提供共同身份、清晰目標與競爭感，有助於招募及留住參與者。相關報道亦提到排名或按表現發放獎勵，但具體規則及付款安排在不同報道和不同時期並不完全一致。3944

這種組合對招募尤其有效：意識形態提供動機，遊戲形式讓參與看起來容易、社交化，金錢獎勵則提供額外理由，促使參與者繼續投入。

加密貨幣帶來另一重誘因

這個項目曾向成功參與攻擊的人提供加密貨幣獎勵。較早期的報道稱，成功進行 DDoS 活動者最高可獲得 80,000 俄羅斯盧布，按當時匯率約值 1,200 美元。46

獎勵制度使「出於政治動機的志願者」與「受薪網絡犯罪者」之間的區分變得更加複雜。有人可能受到親俄訊息吸引，有人看重社群互動或競賽形式，也有人是為了報酬而參與。奧爾托大學的研究顯示，這些動機可以同時存在，而不是彼此排斥。2

不過，現有證據並不能證明每一名參與者都會獲得報酬，也不能證明每一宗攻擊都以金錢為主要動機。較穩妥的結論是：加密貨幣為組織提供了意識形態以外的另一套招募及激勵機制。

芬蘭案例顯示攻擊規模

奧爾托大學表示，NoName057(16) 自 2025 年 1 月 7 日起，對芬蘭目標發動了 23 輪攻擊，影響 129 個公私營機構。目標包括芬蘭國會及其他政府機構、地方政府、銀行與金融機構，以及關鍵基礎設施服務供應商。研究亦指出，芬蘭在 2023 年加入北約後，遭遇的攻擊有所增加。1

在歐洲各地，這類攻擊最直接的影響可能是網上服務暫時無法使用；更深層的影響，則是令民眾覺得政府部門、金融機構或必要服務供應商無法守住自己的「數碼大門」。即使系統很快恢復，攻擊者仍可能從這種觀感中獲益。

Operation Eastwood 改變了什麼，又沒有證明什麼

2025 年 7 月 14 至 17 日，歐洲刑警組織（Europol）與歐洲司法組織（Eurojust）協調代號 Operation Eastwood 的跨國行動，針對 NoName057(16) 的人員及基礎設施展開同步行動。捷克、法國、芬蘭、德國、意大利、立陶宛、波蘭、西班牙、瑞典、瑞士、荷蘭及美國的執法與司法部門參與其中。17

行動癱瘓了一套由全球逾 100 部電腦組成的攻擊基礎設施，並使該組織中央伺服器基礎設施的主要部分下線。17其他報道亦提到，行動包括拘捕、搜查及發出拘捕令。1723

這是一次重大的行動挫折，但「被干擾」不等於「永久消失」。現有證據並未顯示其招募模式、政治訊息或宣傳效果已經停止。當特定伺服器或管理人員被移除後，具備群眾協作特徵的網絡仍可能尋找方法適應。

機構應如何調整防禦思維

奧爾托大學的分析指出，應對這類威脅不能只靠一般 DDoS 緩解措施。機構在威脅建模、風險評估及事故管理時，也應考慮攻擊者的政治目標、運作方式與動機，而不能把每次事件只當成「網站可用性」問題。2

這代表技術準備必須與公共溝通計劃並行：

• 同時準備應對斷線與敘事攻勢。 事先辨識哪些服務、機構及公眾群體可能受影響，並計劃如何準確說明事故。
• 讓保安與傳訊團隊協作。 網絡安全人員可確認事件經過及仍然可用的服務；傳訊團隊則可處理謠言、恐嚇及誤導性說法。
• 透明且可信地發布資訊。 淡化或隱瞞攻擊，可能為敵對宣傳留下空間。清晰更新有助於避免短暫中斷被描述成整個機構已經失能。2
• 不要只用正常運作時間衡量復原。 恢復網站固然重要，但機構亦應評估公眾信心、聲譽損害，以及有關事件的虛假說法是否正在擴散。

這項研究最重要的啟示，是 DDoSia 把普通網絡使用者轉化為協調式影響力行動的參與者，同時把網絡干擾塑造成一場遊戲。要防禦這種模式，除了建立具韌性的基礎設施，也必須有能力應對攻擊發生後被建構出來的政治故事。

奧爾托大學的研究顯示，NoName057(16) 並不只是傳統意義上的「駭客行動主義」團體。這個親俄組織把群眾協作式分散式阻斷服務攻擊（DDoS）、宣傳、意識形態招募與金錢誘因結合起來，形成一種介乎駭客行動主義、地緣政治網絡活動與網絡犯罪之間的混合模式。12

這套模式最值得注意之處在於：網站短暫無法使用，可能只是技術層面的表象；在政治層面，它可以被用來營造「機構不堪一擊」的印象，放大恐慌，並誘導民眾不再信任提供重要服務的政府與組織。

目標不只是讓網站下線

NoName057(16) 已對數以千計的公私營機構發動 DDoS 攻擊，目標主要位於北約成員國及其他歐洲國家，包括芬蘭。2

DDoS 攻擊通常透過大量請求或流量淹沒網絡服務，使正常使用者無法存取網站。直接後果可能只是服務暫時中斷，但奧爾托大學的分析指出，這種技術干擾同時也是宣傳的舞台，目的是把對手描繪成無力保護自身的機構，進而削弱其正當性。2

因此，這類活動可被視為混合威脅：技術行動製造一宗看得見的網絡事故，周邊訊息則把事故包裝成政治敘事。攻擊者未必需要造成永久性破壞；只要能引發焦慮、損害聲譽，或動搖民眾對政府、機構及關鍵服務的信心，便可能達到更廣泛的戰略目的。12

DDoSia 如何招募及協調參與者

這個組織把相當一部分工作分散到志願者網絡。參與者主要透過 Telegram 被招募，之後取得 DDoSia——一個用來協調攻擊的工具，攻擊目標則由網絡選定或推廣。23443

這種做法降低了技術門檻。參與者不需要自行開發複雜漏洞利用工具，只要透過指定軟件提供電腦資源，並依照組織安排參與行動即可。雖然執行層面採用群眾協作，但目標選擇、訊息傳播及績效獎勵仍由核心網絡塑造。234

結果是一個能夠圍繞政治事件迅速動員的社群：參與者可以因為支持俄羅斯，或反對被視為俄羅斯對手的國家與機構而加入；與此同時，整套運作又帶有「網絡犯罪即服務」的部分特徵。奧爾托大學因此認為，這種模式模糊了意識形態式駭客行動主義、地緣政治網絡戰與以金錢為動機的網絡犯罪之間的界線。23

為何要把攻擊包裝成「愛國網上遊戲」

DDoSia 並未只被呈現為一套攻擊軟件。這個項目把參與行動包裝成「愛國網上遊戲」，鼓勵使用者將干擾服務的行為理解為民族主義或公民行動，而非刑事犯罪。338

遊戲化設計能提供共同身份、清晰目標與競爭感，有助於招募及留住參與者。相關報道亦提到排名或按表現發放獎勵，但具體規則及付款安排在不同報道和不同時期並不完全一致。3944

這種組合對招募尤其有效：意識形態提供動機，遊戲形式讓參與看起來容易、社交化，金錢獎勵則提供額外理由，促使參與者繼續投入。

加密貨幣帶來另一重誘因

這個項目曾向成功參與攻擊的人提供加密貨幣獎勵。較早期的報道稱，成功進行 DDoS 活動者最高可獲得 80,000 俄羅斯盧布，按當時匯率約值 1,200 美元。46

獎勵制度使「出於政治動機的志願者」與「受薪網絡犯罪者」之間的區分變得更加複雜。有人可能受到親俄訊息吸引，有人看重社群互動或競賽形式，也有人是為了報酬而參與。奧爾托大學的研究顯示，這些動機可以同時存在，而不是彼此排斥。2

不過，現有證據並不能證明每一名參與者都會獲得報酬，也不能證明每一宗攻擊都以金錢為主要動機。較穩妥的結論是：加密貨幣為組織提供了意識形態以外的另一套招募及激勵機制。

芬蘭案例顯示攻擊規模

奧爾托大學表示，NoName057(16) 自 2025 年 1 月 7 日起，對芬蘭目標發動了 23 輪攻擊，影響 129 個公私營機構。目標包括芬蘭國會及其他政府機構、地方政府、銀行與金融機構，以及關鍵基礎設施服務供應商。研究亦指出，芬蘭在 2023 年加入北約後，遭遇的攻擊有所增加。1

在歐洲各地，這類攻擊最直接的影響可能是網上服務暫時無法使用；更深層的影響，則是令民眾覺得政府部門、金融機構或必要服務供應商無法守住自己的「數碼大門」。即使系統很快恢復，攻擊者仍可能從這種觀感中獲益。

Operation Eastwood 改變了什麼，又沒有證明什麼

2025 年 7 月 14 至 17 日，歐洲刑警組織（Europol）與歐洲司法組織（Eurojust）協調代號 Operation Eastwood 的跨國行動，針對 NoName057(16) 的人員及基礎設施展開同步行動。捷克、法國、芬蘭、德國、意大利、立陶宛、波蘭、西班牙、瑞典、瑞士、荷蘭及美國的執法與司法部門參與其中。17

行動癱瘓了一套由全球逾 100 部電腦組成的攻擊基礎設施，並使該組織中央伺服器基礎設施的主要部分下線。17其他報道亦提到，行動包括拘捕、搜查及發出拘捕令。1723

這是一次重大的行動挫折，但「被干擾」不等於「永久消失」。現有證據並未顯示其招募模式、政治訊息或宣傳效果已經停止。當特定伺服器或管理人員被移除後，具備群眾協作特徵的網絡仍可能尋找方法適應。

機構應如何調整防禦思維

奧爾托大學的分析指出，應對這類威脅不能只靠一般 DDoS 緩解措施。機構在威脅建模、風險評估及事故管理時，也應考慮攻擊者的政治目標、運作方式與動機，而不能把每次事件只當成「網站可用性」問題。2

這代表技術準備必須與公共溝通計劃並行：

• 同時準備應對斷線與敘事攻勢。 事先辨識哪些服務、機構及公眾群體可能受影響，並計劃如何準確說明事故。
• 讓保安與傳訊團隊協作。 網絡安全人員可確認事件經過及仍然可用的服務；傳訊團隊則可處理謠言、恐嚇及誤導性說法。
• 透明且可信地發布資訊。 淡化或隱瞞攻擊，可能為敵對宣傳留下空間。清晰更新有助於避免短暫中斷被描述成整個機構已經失能。2
• 不要只用正常運作時間衡量復原。 恢復網站固然重要，但機構亦應評估公眾信心、聲譽損害，以及有關事件的虛假說法是否正在擴散。

這項研究最重要的啟示，是 DDoSia 把普通網絡使用者轉化為協調式影響力行動的參與者，同時把網絡干擾塑造成一場遊戲。要防禦這種模式，除了建立具韌性的基礎設施，也必須有能力應對攻擊發生後被建構出來的政治故事。