Atak DDoS co 36 minut. Rekordowa kampania przeciw klientowi Netii trwała 78 dni

Jeszcze kilka lat temu atak DDoS mógł kojarzyć się przede wszystkim z głośną akcją wymierzoną w bank, urząd albo dużą platformę internetową. Dane zebrane przez Netię pokazują jednak, że tego rodzaju incydenty stały się codziennością. W latach 2021–2025 operator zidentyfikował i zneutralizował łącznie 45 072 ataki wymierzone w chronionych klientów.

W porównaniu z początkiem analizowanego okresu skala zjawiska wyraźnie wzrosła. W 2021 roku Netia odnotowała 5411 ataków, natomiast w 2025 roku już 14 562. Oznacza to wzrost o około 169 proc. i średnio blisko 40 incydentów na dobę — jeden co mniej więcej 36 minut. Szczególnie intensywnie atakowany był jeden z klientów operatora, przeciwko któremu tylko w 2025 roku przeprowadzono 3529 ataków.

Warto przy tym zaznaczyć, że statystyki Netii dotyczą zdarzeń wykrytych i odpartych w ramach infrastruktury oraz usług ochronnych operatora. Nie przedstawiają więc pełnej liczby wszystkich ataków DDoS w Polsce.

DDoS, czyli rozproszony atak odmowy usługi, polega na skierowaniu do serwera, aplikacji albo całej sieci tak dużej liczby zapytań, aby legalni użytkownicy nie mogli skorzystać z usługi. Źródłem ruchu mogą być tysiące przejętych urządzeń — między innymi komputerów, routerów, kamer internetowych czy innych elementów internetu rzeczy — tworzących tzw. botnet.

Dla użytkownika efekt bywa bardzo prosty: strona nie chce się otworzyć, płatność nie dochodzi do skutku, aplikacja przestaje odpowiadać albo usługa działa wyjątkowo wolno. Dla zaatakowanej organizacji oznacza to ryzyko utraty przychodów, przerwania obsługi klientów i szkody wizerunkowej. Nawet krótki incydent może być dotkliwy, jeżeli nastąpi w godzinach największego ruchu.

Obserwacje Netii wpisują się w szerszy obraz zagrożeń. Według platformy NETSCOUT ATLAS w drugiej połowie 2025 roku zarejestrowano 265 856 ataków DDoS dotyczących Polski. Dla porównania w tym samym okresie system wykazał 175 485 takich zdarzeń w Niemczech, 174 126 we Francji oraz 109 269 w Wielkiej Brytanii.

Największa część zdarzeń przypisanych Polsce dotyczyła telekomunikacji bezprzewodowej i przewodowej. Jednocześnie danych NETSCOUT nie należy porównywać bezpośrednio z liczbami Netii. Obie firmy korzystają z własnych punktów obserwacji, zakresów infrastruktury i metodologii, dlatego zestawienia opisują różne wycinki tego samego zjawiska.

Z analizy Netii wynika, że 68 proc. ataków kończyło się przed upływem pięciu minut, a 87 proc. trwało nie dłużej niż kwadrans. Krótki czas nie oznacza jednak, że można je ignorować. Takie uderzenia mogą służyć sprawdzaniu zabezpieczeń, odwracaniu uwagi zespołów technicznych albo wywołaniu zakłócenia dokładnie w wybranym momencie.

Na drugim końcu skali znalazł się najdłuższy incydent odnotowany w badanym okresie. Atak wymierzony w wydawcę medialnego trwał nieprzerwanie przez 78 dni. Według Netii zastosowane zabezpieczenia powstrzymały kampanię i nie doszło do publicznie odnotowanej niedostępności usług klienta.

Równie duże różnice występowały w sile ataków. Rekordowe uderzenie zaobserwowane w sieci Netii osiągnęło 481 Gb/s. Ataki liczone w setkach gigabitów na sekundę nie były kierowane wyłącznie przeciw operatorom telekomunikacyjnym czy firmom hostingowym. Producent oświetlenia musiał zmierzyć się z ruchem o wartości 210 Gb/s, a operator usług płatniczych — 206 Gb/s.

Współczesny DDoS nie zawsze przypomina prostą próbę zalania pojedynczego serwera ogromnym strumieniem danych. Napastnicy łączą różne wektory, zmieniają sposób działania w trakcie kampanii i próbują jednocześnie obciążać kilka elementów infrastruktury.

Coraz większym wyzwaniem są także ataki typu carpet bombing. Zamiast uderzać w jeden adres IP, przestępcy rozpraszają ruch na cały zakres adresów należących do organizacji. Pojedynczy cel może wówczas nie przekraczać ustawionego progu alarmowego, mimo że łączne obciążenie sieci staje się niebezpieczne. NETSCOUT również odnotował wzrost liczby tego rodzaju ataków w drugiej połowie 2025 roku.

Bariera wejścia dla napastników pozostaje niska. W raporcie Netii zwrócono uwagę na łatwą dostępność usług DDoS-for-hire, dzięki którym próbę zakłócenia cudzej infrastruktury można zlecić bez zaawansowanej wiedzy technicznej i za niewielką kwotę. Rozwój takich usług sprawia, że celem może stać się praktycznie każda organizacja prowadząca działalność w internecie.

Gdy większość incydentów trwa zaledwie kilka minut, ręczna reakcja może nadejść zbyt późno. Dlatego system ochrony powinien możliwie szybko rozpoznać anomalię, odfiltrować szkodliwy ruch i przepuścić prawidłowe połączenia użytkowników.

Netia podaje, że w usłudze DDoS Protection automatyczna mitygacja, czyli ograniczanie skutków ataku, może rozpocząć się nawet w ciągu minuty od wykrycia zagrożenia. W latach 2021–2025 operator wysłał 84 proc. powiadomień do klientów w czasie nieprzekraczającym pięciu minut, a 93 proc. — w ciągu kwadransa. Ochrona ma być realizowana w centrach danych Netii w Polsce przy wsparciu zespołów SOC i NOC, które monitorują bezpieczeństwo oraz działanie sieci.

Statystyki z pięciu lat pokazują, że DDoS nie jest już problemem wyłącznie działu IT. Dostępność serwisów, systemów sprzedażowych, płatności i narzędzi do obsługi klientów bezpośrednio wpływa na działalność całej firmy. Pytanie coraz częściej nie brzmi więc, czy organizacja znajdzie się na celowniku, ale czy jej infrastruktura zareaguje wystarczająco szybko, gdy atak się rozpocznie.

Pełne wyniki analizy opublikowano w raporcie "Polska wśród najczęstszych celów ataków DDoS", przygotowanym przez Smart Tech RE na zlecenie Netii. Dokument obejmuje 45 072 incydenty zidentyfikowane w latach 2021–2025.

• Netia, "Nowy incydent co 36 minut — Netia ujawnia skalę ataków DDoS"
• Netia, raport "Polska wśród najczęstszych celów ataków DDoS"
• NETSCOUT, analizy krajowe za II połowę 2025 roku: Polska, Niemcy, Francja i Wielka Brytania
• NETSCOUT, "DDoS Threat Intelligence Report, Issue 16: Findings from 2H 2025"