Ukraińskie ataki na centra danych rosyjskiego Yandexu spowodowały zakłócenia w działaniu usług cyfrowych i spadek części automatycznego ruchu internetowego. W sieci szybko pojawiły się doniesienia, że uderzenia sparaliżowały rosyjskie farmy botów odpowiedzialne za rozpowszechnianie propagandy. Czy rzeczywiście doszło do ograniczenia rosyjskiej dezinformacji? Jak odróżnić dane techniczne od ich medialnej interpretacji i jakie wnioski z tych wydarzeń powinny wyciągnąć firmy korzystające z usług chmurowych? Odpowiadamy wspólnie z Markiem Nadstawnym, prezesem Kompanii Informatycznej.
Ataki na infrastrukturę Yandexu wywołały zakłócenia w działaniu rosyjskich usług cyfrowych. Co takie wydarzenia pokazują z perspektywy bezpieczeństwa IT?
Marek Nadstawny, prezes Kompanii Informatycznej: Przede wszystkim pokazują, jak silnie współczesne usługi internetowe zależą od fizycznej infrastruktury. Użytkownik widzi aplikację, portal czy system płatności i często traktuje je jako odrębne produkty. W rzeczywistości mogą one korzystać z tych samych zasobów obliczeniowych, systemów przechowywania danych i usług sieciowych.
Jeżeli zabraknie odpowiedniej redundancji, awaria jednego dostawcy może uruchomić efekt domina. Uszkodzenie kilku strategicznych obiektów może doprowadzić do zakłóceń w wielu pozornie niezależnych usługach.
Centra danych często postrzegamy jako niewidoczny element cyfrowego świata, ale są to fizyczne obiekty, które mogą ulec awarii lub uszkodzeniu. Dlatego odporność usług zależy nie tylko od zabezpieczeń informatycznych, lecz także od rozmieszczenia infrastruktury, dostępności alternatywnych zasobów i przygotowania na sytuacje kryzysowe.
Czy zakłócenia w działaniu jednego dużego dostawcy mogą wpłynąć na firmy, które nie mają z nim bezpośredniego związku?
Tak, ponieważ zależności technologiczne bywają bardziej rozbudowane, niż wynikałoby to z codziennego korzystania z usług. Firma może nie mieć bezpośredniej umowy z danym dostawcą, a mimo to korzystać z aplikacji lub systemu, który opiera się na jego infrastrukturze.
Właśnie dlatego analiza ryzyka powinna obejmować nie tylko bezpośrednich dostawców, ale również zależności pośrednie. W przeciwnym razie przedsiębiorstwo może być przekonane, że jego systemy są niezależne, choć w praktyce wiele z nich korzysta z tych samych zasobów.
Po atakach w mediach społecznościowych zaczęły krążyć wykresy przedstawiające gwałtowny spadek automatycznego ruchu internetowego związanego z Yandexem. Niektórzy uznali je za dowód osłabienia rosyjskiej propagandy. Czy taki wniosek jest uzasadniony?
Nie należy wyciągać tak daleko idących wniosków wyłącznie na podstawie tych danych. Spadek automatycznego ruchu sieciowego nie oznacza automatycznie, że zmniejszyła się aktywność kont rozpowszechniających dezinformację.
Podstawowym błędem jest utożsamianie całego ruchu generowanego automatycznie z działalnością propagandową. W rzeczywistości infrastruktura internetowa wykorzystuje oprogramowanie automatyzujące wiele procesów. Sam fakt, że ruch pochodzi od bota, nie mówi jeszcze nic o jego przeznaczeniu.
Aby ocenić skutki awarii, trzeba wiedzieć, jaki rodzaj aktywności został ograniczony, z jakich systemów pochodziły zapytania i jakie usługi były z nimi powiązane. Bez dodatkowych danych nie można wiarygodnie stwierdzić, że spadek ruchu oznacza ograniczenie konkretnej operacji dezinformacyjnej.
Dlaczego określenie „bot” bywa w takich sytuacjach mylące?
W debacie publicznej słowo „bot” często oznacza fałszywe konto rozpowszechniające propagandę. W informatyce jest to jednak znacznie szersza kategoria oprogramowania.
Botami są między innymi roboty wyszukiwarek, które automatycznie przeglądają strony internetowe w celu ich indeksowania. Podobne mechanizmy służą do monitorowania dostępności usług, analizowania danych i wykonywania powtarzalnych operacji.
Inaczej działają boty wykorzystywane w operacjach dezinformacyjnych. Mogą automatyzować publikowanie komentarzy, udostępnianie treści lub zarządzanie wieloma kontami w mediach społecznościowych. Oba rodzaje oprogramowania generują ruch internetowy, ale realizują zupełnie inne zadania.
Dlatego wykres pokazujący spadek aktywności robotów wyszukiwarki nie jest równoznaczny z informacją o zmniejszeniu liczby fałszywych kont na Facebooku, X czy innych platformach.
Jak zatem prawidłowo interpretować dane dotyczące ruchu internetowego?
Kluczowe jest oddzielenie obserwacji technicznej od jej interpretacji. Możemy stwierdzić, że określony segment ruchu sieciowego uległ ograniczeniu, ale nie musi to oznaczać, że znamy wszystkie procesy, które za nim stały.
Trzeba sprawdzić źródła ruchu, rodzaj zapytań, zakres pomiaru i możliwe przyczyny zmian. Ważne jest również ustalenie, czy analizowane dane dotyczą konkretnej sieci, jednej platformy czy szerszego fragmentu internetu.
Bez dodatkowych informacji trudno wiarygodnie oszacować wpływ takiego zdarzenia na określone operacje prowadzone w sieci. W analizie incydentów technicznych ostrożność w formułowaniu wniosków jest równie ważna jak sam pomiar.
Czy brak dowodów na masowe zniknięcie rosyjskich botów oznacza, że ataki nie miały żadnego wpływu na sieci propagandowe?
Nie. Trzeba rozróżnić brak potwierdzenia szerokiej tezy od dowodu, że żaden efekt nie wystąpił.
Według przytoczonych w artykule wstępnych analiz ukraińskiego Centrum Przeciwdziałania Dezinformacji czasowe zakłócenia odnotowano w wybranych sieciach rozpowszechniających prorosyjskie narracje, między innymi Pravda, InfoDefense i Nod of Time. W niektórych monitorowanych grupach liczba lub częstotliwość publikacji miała zmniejszyć się na pewien czas, a następnie powrócić do wcześniejszego poziomu.
Jednocześnie nie przedstawiono wystarczających dowodów, by stwierdzić, że aktywność rosyjskich botów znacząco spadła w skali całego internetu. Takie wyniki należy traktować jako sygnał wymagający dalszej analizy, a nie ostateczne potwierdzenie szerokiej tezy.
Dlaczego tak trudno jednoznacznie ustalić wpływ ataku na działalność propagandową?
Ponieważ między infrastrukturą techniczną a konkretną operacją informacyjną nie zawsze istnieje prosta zależność. Jeden system może obsługiwać wiele różnych usług, a ta sama operacja może wykorzystywać wiele systemów i dostawców.
Żeby określić wpływ incydentu, trzeba ustalić, które elementy infrastruktury przestały działać, jakie procesy od nich zależały i czy aktywność została przeniesiona do innych środowisk. Sam spadek ruchu w jednym miejscu nie pokazuje, co dzieje się w pozostałych częściach sieci.
Dlatego w takich sytuacjach istotne są zarówno dane techniczne, jak i niezależne obserwacje aktywności publikacyjnej na platformach społecznościowych.
Czy rozproszona infrastruktura może sprawić, że sieci propagandowe będą działać mimo utraty części zasobów?
Tak. Współczesne systemy internetowe coraz częściej wykorzystują architekturę rozproszoną. Oprogramowanie, dane i mechanizmy automatyzacji mogą działać równolegle na wielu serwerach, w różnych lokalizacjach i u różnych dostawców.
Z punktu widzenia niezawodności oznacza to, że uszkodzenie jednego elementu infrastruktury nie musi powodować całkowitego zatrzymania usługi. Jeżeli system ma niezależne zasoby i mechanizmy przełączania usług, może kontynuować działanie pomimo utraty części serwerów.
Ta sama zasada może dotyczyć sieci wykorzystywanych w operacjach dezinformacyjnych. Automatyczne konta nie muszą być obsługiwane przez jedno centrum danych. Mogą korzystać z różnych dostawców infrastruktury, rozproszonych urządzeń i połączeń internetowych.
Czyli infrastruktura odporna na awarie może być wykorzystywana zarówno do legalnych, jak i szkodliwych działań?
Dokładnie tak. Architektura rozproszona została opracowana między innymi po to, aby ograniczać skutki awarii pojedynczych elementów infrastruktury. Jest korzystna dla legalnych usług biznesowych, ale może być również wykorzystywana przez podmioty prowadzące szkodliwą działalność.
Ocena skutków ataku wymaga zatem analizy całej infrastruktury, a nie tylko liczby uszkodzonych obiektów. Trzeba sprawdzić, czy usługi miały alternatywne zasoby, czy mogły zostać przeniesione do innych środowisk i czy po pewnym czasie wznowiły działalność.
Nie można utożsamiać wyłączenia fragmentu infrastruktury z całkowitym wyeliminowaniem zagrożenia.
Niezależnie od wpływu na propagandę, jakie wnioski z wydarzeń związanych z Yandexem powinny wyciągnąć przedsiębiorstwa korzystające z chmury?
Przede wszystkim powinny przeanalizować, jak bardzo są uzależnione od pojedynczego dostawcy. W przypadku awarii może okazać się, że niedostępna jest nie tylko jedna aplikacja, lecz także systemy, od których zależą inne procesy biznesowe.
Istotne jest przygotowanie planu ciągłości działania, obejmującego scenariusze niedostępności kluczowych usług. Należy określić, które systemy są najważniejsze dla firmy, jak długo mogą pozostawać niedostępne i w jaki sposób można je odtworzyć w alternatywnym środowisku.
Warto również regularnie testować procedury awaryjne. Sam dokument opisujący sposób postępowania nie gwarantuje, że rozwiązanie zadziała w rzeczywistym kryzysie.
Czy posiadanie kopii zapasowej wystarczy, by zabezpieczyć firmę przed skutkami takiej awarii?
Nie zawsze. Samo wykonanie kopii zapasowej nie gwarantuje ciągłości działania, jeśli nie można uzyskać do niej dostępu w momencie awarii. Znaczenie ma nie tylko to, czy kopia istnieje, ale również gdzie jest przechowywana, czy można ją odtworzyć niezależnie od podstawowego dostawcy i ile czasu zajmie przywrócenie systemów.
Firmy powinny testować odtwarzanie danych i sprawdzać, czy kopie zapasowe nie są uzależnione od tej samej infrastruktury, której awaria może spowodować utratę dostępu do głównych systemów.
Strategia ciągłości działania powinna obejmować także analizę zależności od usług zewnętrznych oraz przygotowanie alternatywnych scenariuszy. Prawdziwa odporność systemu ujawnia się dopiero wtedy, gdy jeden z jego kluczowych elementów przestaje być dostępny.
Czy każda firma powinna korzystać z kilku dostawców infrastruktury?
Nie ma jednego rozwiązania odpowiedniego dla wszystkich przedsiębiorstw. Korzystanie z kilku dostawców może ograniczyć niektóre rodzaje ryzyka, ale jednocześnie zwiększa złożoność zarządzania środowiskiem IT i może podnosić koszty.
Najpierw należy określić, jakie przestoje byłyby dla firmy najbardziej dotkliwe i jakie zależności mogłyby je spowodować. Dopiero na tej podstawie można zdecydować, czy wystarczy odpowiednio przygotowana kopia zapasowa i plan odtworzeniowy, czy potrzebne jest środowisko awaryjne u innego dostawcy.
Najważniejsze jest świadome zarządzanie ryzykiem, a nie mnożenie technologii bez jasno określonego celu.
W przypadku ataków na Yandex autentyczne dane o ruchu internetowym stały się podstawą do formułowania szerokich tez o ograniczeniu rosyjskiej propagandy. Jak nie popełniać takich błędów?
Trzeba oddzielać dane od interpretacji. Wykres czy statystyka nie stanowią jeszcze dowodu na istnienie konkretnego związku przyczynowego. Zanim sformułujemy wnioski, należy sprawdzić metodologię pomiaru, zakres obserwacji i możliwość wystąpienia innych czynników wpływających na wyniki.
Warto również zweryfikować pochodzenie materiału i sprawdzić, czy przedstawione na nim daty odpowiadają rzeczywistemu okresowi pomiaru. Jeśli wykres ma dowodzić skutków określonego wydarzenia, trzeba upewnić się, że dane rzeczywiście dotyczą tego wydarzenia, a nie innego procesu.
Nawet wiarygodne dane mogą stać się podstawą dezinformacji, jeśli zostaną przedstawione bez kontekstu lub wykorzystane do uzasadnienia wniosku, którego nie potwierdzają.
Jaką rolę odgrywa tu odpowiedzialność mediów i użytkowników mediów społecznościowych?
Bardzo dużą. Warto sprawdzać, kto opublikował dane, na jakiej metodologii opiera się analiza i czy wnioski zostały potwierdzone przez niezależne źródła.
Nie należy udostępniać wykresów tylko dlatego, że pasują do oczekiwanej narracji. Jeżeli materiał pokazuje spadek określonego rodzaju ruchu internetowego, nie powinniśmy automatycznie opisywać go jako dowodu na zniknięcie farm botów.
Rzetelna analiza wymaga przyznania, że niektóre kwestie pozostają niewyjaśnione. To nie słabość, lecz podstawowy element odpowiedzialnego podejścia do informacji.
Jaki jest najważniejszy wniosek z wydarzeń związanych z Yandexem?
Ataki pokazały, że infrastruktura cyfrowa jest jednocześnie kluczowym zasobem gospodarczym i obszarem podatnym na poważne zakłócenia. Uwidoczniły również, jak ważne jest oddzielenie potwierdzonych faktów technicznych od ich medialnych interpretacji.
Uszkodzenie serwerów może ograniczyć dostępność konkretnych usług, ale nie musi oznaczać zakończenia procesów, które były za ich pomocą realizowane. Podobnie spadek automatycznego ruchu internetowego nie jest sam w sobie dowodem na ograniczenie propagandy.
Skuteczna ocena incydentu wymaga spojrzenia zarówno na infrastrukturę, jak i na zdolność danego systemu do odtworzenia działalności. W cyberbezpieczeństwie warto unikać prostych wniosków tam, gdzie rzeczywistość jest złożona.
Czyli najważniejsze są zarówno odporność technologiczna, jak i umiejętność interpretowania informacji?
Tak. Z jednej strony potrzebujemy infrastruktury, która potrafi funkcjonować mimo awarii, oraz procedur pozwalających szybko odtwarzać usługi. Z drugiej musimy umieć właściwie analizować dane i nie wyciągać wniosków wykraczających poza to, co rzeczywiście pokazują.
To ważne zarówno dla firm zarządzających własnymi systemami IT, jak i dla osób śledzących wydarzenia w internecie. Wiarygodne dane są podstawą dobrej analizy, ale dopiero właściwa interpretacja pozwala zrozumieć, co naprawdę się wydarzyło.
O Kompanii Informatycznej
Kompania Informatyczna to polska firma technologiczna, która od 2016 roku wspiera przedsiębiorstwa w sprawniejszym, bezpieczniejszym i bardziej efektywnym wykorzystywaniu technologii. Zapewnia kompleksową obsługę informatyczną, wsparcie w obszarze cyberbezpieczeństwa oraz zarządzanie infrastrukturą IT. Pomaga ograniczać ryzyko przestojów i cyberzagrożeń, optymalizować koszty technologiczne oraz dobierać rozwiązania odpowiadające rzeczywistym potrzebom biznesowym.
