Raport cyberbezpieczeństwa Link11 ujawnia rekordy DDoS: ataki rzędu 2,3 Tbps paraliżują europejski biznes

Najnowsze dane z raportu European Cyber Report firmy Link11 wykazują, że choć ogólna liczba ataków DDoS w Europie spadła o 42%, ich intensywność osiągnęła bezprecedensowe rekordy, osiągając przepustowość rzędu 2,3 Tbit/s. Wykorzystanie chmurowych superbotnetów, takich jak Aisuru i Kimwolf, drastycznie zwiększa siłę rażenia, zagrażając stabilności systemów i generując koszty przestoju sięgające nawet 300 000 dolarów za godzinę. Dla dyrektorów technicznych i architektów IT oznacza to konieczność natychmiastowego zweryfikowania odporności infrastruktury, zwłaszcza w obliczu nadchodzących wymogów regulacyjnych NIS2.

Nowa anatomia zagrożenia: od botnetów IoT do chmurowego carpet bombingu

Spadek liczby incydentów nie oznacza mniejszego zagrożenia, ponieważ cyberprzestępcy przenieśli ciężar operacyjny na infrastrukturę chmurową o wysokiej przepustowości. Tradycyjne botnety IoT złożone z kamer domowych ustępują miejsca superbotnetom chmurowym, w których pojedynczy zhakowany serwer w centrum danych generuje ruch rzędu gigabitów na sekundę, drastycznie potęgując szczytową siłę uderzenia.

Zmniejszenie liczby ataków to bezpośrednia zasługa skoordynowanych akcji międzynarodowych organów ścigania. Przykładem skutecznej interwencji była likwidacja infrastruktury prorosyjskiej grupy NoName057(16) w lipcu 2025 roku w ramach operacji Operation Eastwood oraz uderzenie z marca 2026 roku, gdy w USA, Kanadzie i Niemczech wyłączono serwery dowodzenia (C2) czterech dużych botnetów IoT kontrolujących łącznie ponad 3 miliony urządzeń. Równolegle jednak przestępcy skonsolidowali siły w ramach superbotnetów nowej generacji, takich jak Aisuru oraz jego następca Kimwolf.

Podczas gdy domowa kamera IoT dysponuje zaledwie kilkoma megabitami przepustowości wysyłania (Mbit/s), przejęty serwer w centrum danych korzysta z łącz gigabitowych (Gbit/s). W efekcie zaledwie kilka tysięcy zainfekowanych instancji chmurowych generuje potencjał uderzeniowy przewyższający botnety IoT składające się z milionów urządzeń końcowych. Przykładowo, botnet Aisuru przejął kontrolę nad 1 do 4 milionów urządzeń Android TV na całym świecie, osiągając pod koniec 2025 roku rekordową moc uderzeniową na poziomie 31,4 Tbps. Na rynku regionalnym czeski urząd NÚKIB odnotował infekcję ponad 3 200 urządzeń przez botnet REDHEBERG, który rozprzestrzeniał się poprzez niezabezpieczone, wystawione bezpośrednio do sieci interfejsy VNC w sterownikach PLC.

Skala zjawiska i wektory ataków w 2026 roku

Analiza statystyk wykazuje bezprecedensowy wzrost wolumenu i złożoności ataków DDoS, gdzie tradycyjne, jednowektorowe zalewy pakietów są zastępowane dynamicznymi kampaniami wielowektorowymi. Ataki te charakteryzują się Real-Time Switching, czyli elastyczną zmianą protokołów w trakcie trwania incydentu, co paraliżuje pasywne mechanizmy obronne oparte wyłącznie na sztywnych sygnaturach.

Według danych Link11 za pierwsze półrocze 2026 roku, pomimo ogólnego spadku wolumenu incydentów, wskaźniki siły ataków osiągnęły nowe maksima: Maksymalna przepustowość (bandwidth): 2,3 Tbit/s, co oznacza wzrost o 85% w porównaniu do 1,2 Tbit/s w pierwszej połowie 2025 roku. Maksymalna prędkość pakietów (packet rate): 322 miliony pakietów na sekundę (pps) – wzrost o 56% YoY. * Skumulowany wolumen danych (cumulative traffic): 705 terabajtów (TB) łagodzonego ruchu, co stanowi wzrost o 61% z 438 TB w H1 2025.

Dodatkowo, globalne raporty StormWall wskazują na wzrost liczby ataków o 168% rok do roku w Q1 2026, napędzany eskalacją konfliktów geopolitycznych na Bliskim Wschodzie. Wolumen ataków wielowektorowych zwiększył się o 128% YoY.

Współczesne techniki uderzeniowe opierają się na dynamicznym zarządzaniu zasobami. Napastnicy inicjują atak przy użyciu taniego i niewymagającego uściślenia połączenia protokołu UDP, a po zablokowaniu go przez systemy obronne natychmiast przełączają się na bardziej złożony protokół TCP, wymagający pełnego zarządzania sesją (3-way handshake). Przykładem takiej taktyki był atak łączący 500 Gbps ruchu TCP i 700 Gbps ruchu UDP o nietypowej strukturze pakietów o wielkości od 450 do 600 bajtów, zoptymalizowanych pod kątem wydajności przejętych urządzeń IoT i omijania filtrów tradycyjnych zapór.

Do kluczowych wektorów sieciowych należą również: Ataki oparte na protokole DNS: wzrost udziału z 25,7% do 40% wszystkich ataków w warstwie sieciowej QoQ. Zalewy CLDAP (CLDAP Floods): nadużywające punktów końcowych Active Directory LDAP przez UDP – wzrost o 881,9% QoQ. * Zalewy w warstwie aplikacji (Application-Layer Floods): osiągające pułap 201 milionów żądań na sekundę (Rps), przy czym złośliwe transakcje API wzrosły o 128%.

Szczególne zagrożenie stanowi tzw. „atak jako zasłona dymna” (noise as cover), gdzie głośny i wolumetryczny pik ruchu DDoS na domeny służy wyłącznie odwróceniu uwagi zespołu bezpieczeństwa, podczas gdy w tle realizowane są ukryte próby wstrzykiwania kodu SQL (SQL injection) lub skryptów XSS.

Koszty przestojów i podatność poszczególnych sektorów rynku

Skutki udanego ataku DDoS wykraczają daleko poza chwilową niedostępność witryny internetowej, uderzając bezpośrednio w stabilność finansową oraz reputację przedsiębiorstwa. Każda godzina przestoju generuje krytyczne straty finansowe, a długofalowy spadek zaufania ze strony klientów i ewentualne kary umowne mogą trwale wykluczyć firmę z rynku.

Koszty przestoju (downtime) różnią się w zależności od wielkości organizacji. Według danych SentinelOne, 91% przedsiębiorstw ponosi straty przekraczające średnio 30 000 dolarów za każdą godzinę przestoju spowodowanego atakiem DDoS, a w przypadku braku ochrony koszty mogą wynosić nawet 6 000 dolarów za minutę. Duże korporacje szacują straty na poziomie średnio 300 000 dolarów za godzinę (lub €50 000 do €250 000). Średniej wielkości przedsiębiorstwo traci przeciętnie 50 000 dolarów na godzinę, podczas gdy dla małych firm (MŚP) koszty odzyskania sprawności operacyjnej sięgają średnio 120 000 dolarów za incydent. Aż 12% małych firm dotkniętych poważnym incydentem DDoS kończy swoją działalność trwałą upadłością.

Rozkład prawdopodobieństwa i udziału ataków w poszczególnych sektorach kształtuje się następująco: Sektor Technologiczny (Technology): udział sieciowy na poziomie 45% w 2026 roku, co czyni go głównym celem. Telekomunikacja (Telecommunications): najwyższe względne ryzyko (aż 1 na 3 szanse na atak), udział w rynku uderzeń wzrósł z 26% do 34% w Q1 2026. Co skoordynowana, 72-godzinna kampania sparaliżowała m.in. dostawców w Izraelu. Finanse (Finance): ryzyko szacowane na 1 na 5,5. Chociaż udział spadł z 22% do 18%, całkowity wolumen uderzeń wzrósł. Ataki w tym sektorze są wyjątkowo wyrafinowane – aż 71% z nich to incydenty wielowektorowe, a 44% angażuje 3 lub więcej wektorów jednocześnie. Administracja Rządowa (Government): wzrost udziału z 10% do 14% (ryzyko 1 na 7). Motywacje geopolityczne dominują (np. po atakach z lutego 2026 r. sektor rządowy awansował o 20 pozycji w statystykach Cloudflare, z #29 na #9 najbardziej atakowanych branż). Przykładami są ataki paraliżujące portale wojskowe i rządowe w Kuwejcie i Katarze. E-commerce i Handel (Retail): najwyższy poziom uderzeń w warstwie aplikacji webowej (Web DDoS) z udziałem sieciowym wynoszącym 22%. Media, Produkcja i Wydawnictwa (Media, Production & Publishing): branża ta skupiła aż 14,2% całego ruchu HTTP DDoS.

Zmienił się też profil czasowy ataków. Większość uderzeń (aż 78%) to bardzo krótkie, agresywne kampanie trwające mniej niż 5 minut (a 37% poniżej 2 minut). Z kolei 71% ataków HTTPs DDoS trwa krócej niż minutę. Jednak raz zaatakowana organizacja rzadko ma spokój – prawdopodobieństwo powtórnego ataku w ciągu 30 dni wynosi aż 56% (wzrost z 46% rok wcześniej). W perspektywie 90 dni szansa na kolejny atak wzrasta do porażających 88%, a na każdy incydent przypada średnio 2,8 ataku następczych. Najdłuższe maratony DDoS potrafią trwać bez przerwy przez ponad 8 dni (12 388 minut) lub 6 dni (8 673 minuty).

Kryzys kompetencyjny i opóźnienia w utrzymaniu higieny IT

Zapewnienie ciągłości działania infrastruktury IT napotyka w całej Unii Europejskiej na barierę w postaci krytycznego niedoboru wykwalifikowanych specjalistów. Brak personelu bezpośrednio przekłada się na drastyczne opóźnienia w podstawowych procedurach bezpieczeństwa, takich jak audyty podatności oraz instalacja poprawek na systemach produkcyjnych.

Raport ENISA NIS Investments 2025 ujawnia niepokojący trend strukturalny: pomimo stabilnych wydatków na cyberbezpieczeństwo (średnio 9% całego budżetu IT, mediana 1,5 miliona euro), udział etatów (FTE) specjalistów ds. bezpieczeństwa w stosunku do ogólnego personelu IT spadł do najniższego poziomu w historii i wynosi zaledwie 10,6%. Przedsiębiorstwa coraz częściej przesuwają środki na technologię i outsourcing, ponieważ nie są w stanie obsadzić wakatów. Niedobór specjalistów w samej UE wzrósł o 9%, osiągając poziom 299 000 nieobsadzonych stanowisk (wobec luki wynoszącej 4,8 miliona na świecie). Trudności z rekrutacją zgłasza aż 94% firm z sektora MŚP i 83% dużych przedsiębiorstw.

Skutkiem tego kryzysu jest paraliż podstawowej higieny IT: Brak weryfikacji i testów: Aż 30% wszystkich europejskich podmiotów (i aż 63% MŚP) nie przeprowadziło żadnych testów ani audytów bezpieczeństwa w ciągu ostatnich 12 miesięcy. Opóźnienia w instalacji poprawek: Ponad dwie trzecie organizacji (63%) potrzebuje miesiąca lub więcej na wdrożenie krytycznych łat (patches) na kluczowych zasobach, a 28% zwleka z tym ponad 3 miesiące. W sektorze MŚP aż 51% firm łata systemy z opóźnieniem przekraczającym 3 miesiące.

Sytuacja ta otwiera olbrzymie okno możliwości dla napastników, zwłaszcza że n-day vulnerabilities (podatności, na które istnieją już łatki) stanowią dwie trzecie wszystkich aktywnie wykorzystywanych luk.

Kluczowym wektorem ryzyka są dostawcy usług ICT, w tym operatorzy usług zarządzanych (MSP) oraz bezpieczeństwa (MSSP). Aż 43% z tych wyspecjalizowanych firm IT nie przeszło żadnych testów bezpieczeństwa w zeszłym roku, a 45% z nich potrzebuje ponad 3 miesięcy na załatanie własnych systemów. Ponieważ podmioty te posiadają uprzywilejowany, zaufany dostęp do setek infrastruktur klienckich, ich niska dojrzałość stanowi bezpośrednie zagrożenie dla całego łańcucha dostaw. Wykrycie i opanowanie incydentu w łańcuchu dostaw zajmuje średnio aż 267 dni.

Wdrażanie dyrektywy NIS2 w cieniu ograniczeń technologicznych

Unijne ramy regulacyjne nakładają na przedsiębiorstwa rygorystyczne wymagania dotyczące odporności cyfrowej, jednak proces ich implementacji ujawnia głębokie zapóźnienia infrastrukturalne. Architekci IT zmagają się z ograniczeniami systemów legacy oraz specyfiką środowisk operacyjnych (OT), które uniemożliwiają szybkie wdrożenie nowoczesnych mechanizmów kontrolnych.

Zgodność regulacyjna (Compliance) z takimi ramami jak NIS2, DORA czy CRA jest kluczowym motorem napędowym inwestycji dla 70% europejskich przedsiębiorstw. Pomimo to, wdrożenie konkretnych wymogów NIS2 jest uznawane za niezwykle trudne. Do najbardziej wymagających obszarów należą: 1. Zarządzanie podatnościami i poprawkami (Vulnerability and patch management) – wskazywane jako wyzwanie przez 50% organizacji. 2. Ciągłość działania i odzyskiwanie po awarii (Business continuity & DR) – wyzwanie dla 49% badanych. 3. Zarządzanie ryzykiem w łańcuchu dostaw (Supply chain risk) – problematyczne dla 37% podmiotów.

Główną przeszkodą we wdrożeniu skutecznej kontroli są ograniczenia operacyjne – w tym systemy legacy oraz restrykcje środowisk OT (27% wskazań), złożoność przepisów w różnych jurysdykcjach (23%) oraz brak wewnętrznej ekspertyzy (20%).

Podczas gdy organizacje skupiają się na audytach, krajobraz zagrożeń stale ewoluuje. Grupa ShinyHunters wykazała słabość łańcucha dostaw, przejmując dostęp do kont AWS Komisji Europejskiej za pomocą wykradzionego klucza dostępowego z oprogramowania Trivy, co doprowadziło do wycieku ponad 350 GB danych z baz. Z kolei wspierana przez rosyjski wywiad wojskowy GRU grupa APT28 (w ramach kampanii Operation Neusploit) wykorzystywała lukę CVE-2026-21509 w pakiecie Microsoft Office do infekowania instytucji dyplomatycznych i państwowych w Polsce, Słowenii czy Grecji za pomocą szkodliwego oprogramowania Covenant i MiniDoor.

Wnioski praktyczne i rekomendacje

• Zweryfikuj ekspozycję usług zdalnego dostępu i interfejsów VNC bezpośrednio do sieci publicznej. Zgodnie z wytycznymi NÚKIB, interfejsy te muszą być ukryte za szyfrowanym połączeniem VPN z silnym uwierzytelnianiem wieloskładnikowym (MFA).
• Wdróż zintegrowane platformy ochrony aplikacji webowych i interfejsów programistycznych WAAP (Web Application and API Protection) wspierane przez analitykę behawioralną. Jest to niezbędne do wykrywania wielowektorowych uderzeń, ataków botów na API (gdzie notuje się 12-krotny wzrost aktywności u MŚP) oraz do eliminowania zagrożeń typu „zasłona dymna” maskujących wstrzykiwanie kodu SQL lub XSS.
• Skonfiguruj systemy automatycznego łagodzenia ataków DDoS oparte na zachowaniu (behavioral analysis) w miejsce tradycyjnych, statycznych reguł zapór sieciowych. Narzędzia te muszą zapewniać czas reakcji liczony w milisekundach bez udziału człowieka, co jest kluczowe przy uderzeniach typu microburst trwających poniżej 60 sekund.
• Zmierz czas wdrożenia krytycznych poprawek (Time to Patch) na kluczowych zasobach i zredukuj go do maksymalnie 30 dni w przypadku systemów krytycznych, eliminując powszechne opóźnienia, które u 28% podmiotów przekraczają obecnie 3 miesiące.
• Zweryfikuj dojrzałość cyberbezpieczeństwa u kluczowych dostawców technologii i usług IT (MSP/MSSP), wymagając od nich pisemnego potwierdzenia regularnego wykonywania audytów podatności i przestrzegania rygorystycznych okien łatana oprogramowania (z uwagi na fakt, że aż 43% z nich nie przechodziło testów w minionym roku).

Źródła

• ’Attackers are steering their botnets with greater precision and control’: DDoS attack numbers might be dwindling, but they’re intensifying – ITPro
• A lesson in carpet bombing and sophisticated resource management – Link11
• Cloudflare Ddos Threat Report H1 2026: 1 Tbps Attacks Soar As DNS Floods And Geopolitical Tensions Drive A New Wave – Mena FN
• Cyber Threat Landscape Q1/2026 – NUKIB
• DDoS Attack Statistics 2026: 41 Key Facts and Trends – SentinelOne
• DDoS Attacks in Q1 2026: Trends & Analysis – StormWall
• European Cyber Report – Link11
• Fewer attacks, more force: Link11’s European Cyber Report finds new DDoS records for the first half of 2026 – GlobeNewswire