Zniszczona serwerownia nie wyłączy botów, które pukają do Twojej firmy

Między 8 a 11 października 2026 roku ukraińskie drony uderzyły w co najmniej trzy centra danych Yandex: w Sasowie, Kałudze i Włodzimierzu. Yandex całkowicie wstrzymał pracę serwerowni we Włodzimierzu, a część jego usług przestała działać.

W sieci szybko pojawiła się teza, że „rosyjskie boty ucichły”. Niebezpiecznik i Antyweb sprawdzili ją i nie znaleźli na to dowodów. Popularny wykres pokazywał ruch z sieci samego Yandexa, głównie jego wyszukiwarkowych crawlerów. Ruch botów z całej Rosji spadł w tym czasie ledwie zauważalnie.

Dla firm ważny jest szczegół z tej analizy. Cloudflare, z którego danych pochodził wykres, jako „boty” liczy cały ruch nie od ludzi: crawlery, spam i próby łamania haseł metodą brute force. Ten ostatni rodzaj ruchu nie zniknął i nie zniknie po jednym nalocie.

Co to znaczy dla małej i średniej firmy

Jeśli Twoja firma widziała w logach tysiące nieudanych logowań, to po wydarzeniach z października nic się nie zmieniło. Ataki na hasła są zautomatyzowane i prowadzone z serwerów w wielu krajach. Nie zależą od jednej serwerowni.

Kilka przykładów z ostatnich miesięcy:

Atakujący nie wybierają ofiar według wielkości. Skanują cały internet i próbują wszędzie, gdzie znajdą otwarty panel logowania. Mała firma bez działu IT jest dla nich łatwiejszym celem niż korporacja.

Które usługi są najczęściej atakowane

Celem jest każda usługa, do której da się zalogować z internetu. W małych i średnich firmach najczęściej są to:

UsługaJak ją rozpoznaćCo zyskuje włamywacz
Pulpit zdalny Windows (RDP)Port 3389 otwarty na routerze, „pracę zdalną” zrobiono przekierowaniem portuPełny dostęp do komputera lub serwera, częsty początek ataku ransomware
VPN i zapory (FortiGate, SonicWall, Palo Alto, Cisco)Portal logowania VPN pod adresem firmyWejście do całej sieci firmowej
Poczta i Microsoft 365Logowanie przez przeglądarkę, Outlook, starsze protokoły IMAP i SMTPSkrzynka do wyłudzeń, faktur z podmienionym numerem konta, dostęp do plików w OneDrive i SharePoint
SSH na serwerach i routerachPort 22 otwarty dla całego świataPrzejęcie serwera lub urządzenia sieciowego
Panele WWW: WordPress, NAS, kamery, routeryStrona /wp-admin, panel Synology lub QNAP, panel kamery dostępny z zewnątrzKradzież lub zaszyfrowanie danych z NAS, przejęcie strony, włączenie urządzenia do botnetu

Wiele firm nie wie, że ma taką usługę wystawioną. Często zostaje po dawnym administratorze, po jednorazowej pracy zdalnej albo po montażu kamer.

5 najpopularniejszych form ataku

1. Brute force, czyli zgadywanie hasła. Bot próbuje tysięcy haseł do jednego konta, np. „administrator” na RDP albo „admin” na routerze. Wygrywa przy krótkich i prostych hasłach, gdy usługa nie blokuje kolejnych prób.

2. Password spraying. Bot bierze kilka popularnych haseł, np. „Firma2026!”, i próbuje ich na wszystkich kontach w firmie, powoli, by nie zablokować żadnego. To dziś główna metoda ataku na Microsoft 365. Huntress opisał kampanię z ponad 81 mln prób logowania w dwa tygodnie. Z 23 poszkodowanych firm 15 miało MFA, ale nie obejmowało ono wszystkich kont i aplikacji.

3. Credential stuffing, czyli hasła z wycieków. Pracownik używa tego samego hasła w sklepie internetowym i w firmie. Sklep ma wyciek, a bot sprawdza te same pary login i hasło na poczcie i VPN-ie firmy. Hasło może być długie i skomplikowane, a i tak trafia do włamywacza.

4. Wykorzystanie luki w niezałatanym urządzeniu. Na zaporach i VPN-ach co kilka tygodni wychodzą poprawki krytycznych błędów. Atakujący skanują internet w poszukiwaniu urządzeń bez poprawki i wchodzą do nich bez żadnego hasła. Masowe skanowanie często zaczyna się kilka dni po publikacji luki.

5. Phishing z przechwyceniem sesji. Pracownik dostaje mail z fałszywą stroną logowania do Microsoft 365. Wpisuje hasło i kod SMS, a strona pośrednicząca przejmuje jego zalogowaną sesję. Według Microsoftu phishing i socjotechnika rozpoczęły 28% włamań. To dlatego samo MFA z kodem SMS nie wystarczy.

Jak zabezpieczyć usługi wystawione na zewnątrz

Najskuteczniejsza ochrona to nie wystawiać usługi do internetu, jeśli nie musi tam być. Reszta kroków sprawia, że włamanie jest zbyt drogie dla automatycznego bota.

  1. Zrób listę tego, co widać z internetu. Sprawdź przekierowania portów na routerze i zaporze. Każda pozycja potrzebuje właściciela i powodu, a ta bez powodu do zamknięcia.
  2. Schowaj RDP i SSH za VPN-em. Pulpit zdalny nie powinien być dostępny bezpośrednio z internetu. Pracownik łączy się najpierw z VPN-em, dopiero potem z komputerem w biurze.
  3. Włącz MFA wszędzie i bez wyjątków. VPN, poczta, Microsoft 365, panel NAS i WordPressa. W Microsoft 365 wyłącz starsze protokoły logowania, które omijają MFA. Microsoft szacuje, że nowoczesne MFA blokuje ponad 99% nieuprawnionych prób. Dla administratorów wybierz klucze sprzętowe albo aplikację z potwierdzeniem, nie SMS.
  4. Aktualizuj zapory, VPN-y i NAS-y w ciągu dni, nie miesięcy. Zapisz się na powiadomienia producenta o krytycznych poprawkach i planuj okno serwisowe od razu po ich wydaniu.
  5. Ogranicz liczbę prób i źródła logowania. Blokada konta lub adresu po kilku błędach, filtrowanie krajów, z których nikt w firmie nie pracuje, i lista dozwolonych adresów dla paneli administracyjnych.
  6. Wymuś długie, unikalne hasła. Minimum 14 znaków, menedżer haseł dla pracowników i sprawdzanie haseł z wycieków. Zmień domyślne nazwy kont, np. „admin” i „administrator”.
  7. Patrz w logi i reaguj. Setki nieudanych logowań na jedno konto albo logowanie z nowego kraju to sygnał do sprawdzenia. Bez monitoringu włamanie wychodzi na jaw dopiero przy zaszyfrowanych plikach.
  8. Miej kopię zapasową poza siecią. Gdy coś się jednak uda, kopia odcięta od sieci i sprawdzona testem odtworzenia decyduje, czy firma wraca do pracy po godzinach, czy po tygodniach.

Podsumowanie

Nalot na serwerownię Yandex nie zmniejszył liczby botów, które próbują się zalogować do firmowych usług. One działają z serwerów na całym świecie i będą działać dalej. O bezpieczeństwie firmy decyduje to, co sama wystawiła do internetu i jak to zabezpieczyła.

Nie wiesz, co z Twojej sieci widać z zewnątrz? W ramach audytu informatycznego sprawdzimy otwarte usługi, logowania i kopie zapasowe, a potem przekażemy listę zaleceń. Jeśli wolisz oddać to w ręce specjalistów na stałe, zobacz administrowanie sieciami. Zadzwoń: 22 188 13 62.

Źródła

Może Cię zainteresować: