Unia Europejska wspólnie z Wielką Brytanią nałożyła sankcje na osoby i podmioty wspierające rosyjskie grupy APT. Unijne sankcje uderzają w łańcuch dostaw rosyjskich cyberoperacji – komentuje Mirosław Maj, prezes fundacji Bezpieczna Cyberprzestrzeń.
W swoim komunikacie UE ujawniła, że różne ugrupowania zaangażowane we wrogie działania w cyberprzestrzeni, w tym grupa TURLA, są kontrolowane przez 16. Centrum Rosyjskiej Federalnej Służby Bezpieczeństwa (FSB). Działania obejmują infiltrację sieci rządowych i sabotaż infrastruktury krytycznej. W tym kontekście wymienia się także ważny wątek polski związany z zaatakowaniem infrastruktury krytycznej (m.in. elektrociepłowni i farm OZE). Chodzi o nieudany atak z grudnia 2025 r. na polską sieć energetyczną. Mógł on w zimie pozbawić prądu 500 tys. osób. Incydenty te opisane są w raporcie CERT Polska .
Działania, do których odnosi się obecnie UE wymierzone były także m.in. we Francję, Niemcy, Cypr, Holandię, Austrię, Słowację, Rumunię i Finlandię. We Francji 16. Centrum od 2010 r. prowadzi cyberszpiegostwo strategicznych podmiotów rządowych. W 2025 r. zwróciło się przeciwko przemysłowi obronnemu, w związku z czym do francuskiego MSZ wzywany był ostatnio rosyjski ambasador. W Niemczech celem były podmioty rządowe.
Jak podano w komunikacie, w odpowiedzi Unia nakłada sankcje na dziewięć osób i cztery podmioty. Unijne sankcje obejmują funkcjonariuszy wywiadu GRU, cyberprzestępców, haktywistów i prywatne przedsiębiorstwa. Wielka Brytania objęła sankcjami łącznie dwadzieścia cztery osoby, co stanowi pierwszy wspólny pakiet sankcji cybernetycznych UE i Wielkiej Brytanii.
STR: Dlaczego sankcje ogłaszane są dopiero teraz? Czy tyle trwała atrybucja oraz ustalenie osób i podmiotów, które miały zostać ukarane?
Mirosław Maj (MM): Nie sprowadzałbym tego okresu wyłącznie do czasu potrzebnego na techniczną analizę grudniowego ataku. Raport CERT Polska, zawierający szczegółową analizę incydentu oraz jego techniczną atrybucję, został opublikowany już pod koniec stycznia. Publiczne przypisanie operacji konkretnemu ośrodkowi państwowemu oraz zastosowanie sankcji to jednak znacznie szerszy proces. Wymaga połączenia danych technicznych z informacjami wywiadowczymi, osiągnięcia odpowiedniego poziomu pewności, uzgodnienia stanowiska przez państwa członkowskie oraz przygotowania podstaw prawnych do objęcia sankcjami konkretnych osób i podmiotów.
Trzeba również pamiętać, że decyzja UE nie dotyczyła wyłącznie ataku na Polskę. Była odpowiedzią na wiele operacji prowadzonych przeciw państwom europejskim i partnerom UE oraz na funkcjonowanie całego rosyjskiego ekosystemu cyberoperacji. Dodatkowego czasu wymagała zapewne koordynacja międzynarodowa, w tym z Wielką Brytanią, która równolegle ogłosiła własne działania. Dlatego grudniowy atak na polską energetykę był bardzo ważnym elementem tej decyzji, ale nie jej jedyną podstawą.
Komu przypisano grudniowy atak i czy trafnie uderzono w ośrodki wspierające rosyjskie cyberoperacje?
MM: Na poziomie instytucjonalnym operację przypisano 16. Centrum Federalnej Służby Bezpieczeństwa Federacji Rosyjskiej. Jest to wyspecjalizowany ośrodek FSB prowadzący wieloletnie działania cyberwywiadowcze i operacje przeciw infrastrukturze krytycznej. Warto jednak zachować precyzję: w komunikacie UE wskazano, że 16. Centrum kontroluje różne grupy cyberzagrożeń, w tym TURLA. Nie napisano jednak wprost, że to właśnie grupa TURLA przeprowadziła grudniowy atak w Polsce. Raport CERT Polska powiązał aktywność napastnika z klastrem opisywanym przez różne firmy jako Static Tundra, Berserk Bear, Ghost Blizzard lub Dragonfly. W najnowszych komunikatach państw sojuszniczych nazwy te są bezpośrednio wiązane z działalnością 16. Centrum FSB. Możemy więc mówić o wyraźnej atrybucji do rosyjskiego ośrodka państwowego, natomiast ostrożniej należy posługiwać się nazwą konkretnej grupy APT.
Same sankcje nie zostały natomiast skierowane bezpośrednio przeciwko 16. Centrum FSB. Objęto nimi szerszy ekosystem rosyjskich cyberoperacji: firmy hostingowe, dostawców zaplecza technicznego, grupy haktywistyczne, twórców i dystrybutorów złośliwego oprogramowania oraz osoby związane z GRU.
Uważam, że jest to trafne podejście. Uderza bowiem w wewnętrzny „łańcuch dostaw” cyberoperacji i pokazuje, że odpowiedzialność nie kończy się na funkcjonariuszu służby wydającym polecenie. Ryzyko ponoszą również prywatne firmy i specjaliści, którzy świadomie dostarczają infrastrukturę, narzędzia lub usługi umożliwiające prowadzenie takich operacji. Nie zastępuje to jednak konieczności wywierania presji również na bezpośrednich organizatorów działań.
Na ile skutecznym narzędziem są takie sankcje i z jakimi działaniami powinny być łączone?
MM: Same sankcje prawdopodobnie nie spowodują istotnego zmniejszenia liczby rosyjskich cyberataków. Podmioty państwowe oraz grupy ściśle związane ze służbami będą zapewne kontynuowały swoją działalność. Sankcje są jednak realną karą. Oznaczają zamrożenie aktywów, zakaz udostępniania środków finansowych i zasobów gospodarczych, a w przypadku osób fizycznych również zakaz wjazdu i tranzytu przez terytorium UE. Istotny jest także skutek reputacyjny i operacyjny, wynikający z publicznego wskazania osób, firm i grup uczestniczących w rosyjskich cyberoperacjach.
Paradoksalnie część objętych sankcjami osób może zostać jeszcze silniej związana z rosyjskim aparatem państwowym, ponieważ ograniczone zostaną ich możliwości legalnej działalności międzynarodowej. Sankcje mogą jednak skutecznie odstraszać kolejne firmy, administratorów infrastruktury, programistów czy pośredników finansowych przed dołączaniem do tego ekosystemu.
Największą wartość uzyskują w połączeniu ze wspólną atrybucją, działaniami organów ścigania, przejmowaniem infrastruktury przestępczej, śledzeniem przepływów finansowych, wymianą informacji o zagrożeniach oraz konsekwentnym wzmacnianiem zabezpieczeń.
Grudniowy incydent bardzo dobrze pokazuje znaczenie środków technicznych. W jednej z elektrociepłowni system EDR zablokował uruchomienie destrukcyjnego oprogramowania, natomiast w innych elementach infrastruktury atakującym pomogły m.in. domyślne hasła, brak uwierzytelniania wieloskładnikowego i niewystarczająco zabezpieczone urządzenia brzegowe. Sankcje powinny więc uzupełniać, a nie zastępować segmentację sieci IT i OT, MFA, zarządzanie podatnościami, monitoring, ćwiczenia oraz dobrze przygotowane procedury reagowania.
Czy od grudnia istnieją dowody udanej obrony przed podobnymi atakami na obiekty energetyczne i przemysłowe w Polsce?
MM: Nie ma wystarczających publicznie dostępnych informacji, aby odpowiedzialnie stwierdzić, że od grudnia miały miejsce kolejne porównywalne próby ataków i że zostały one skutecznie odparte. Rzetelnej odpowiedzi mogą udzielić przede wszystkim operatorzy infrastruktury oraz krajowe zespoły CSIRT działające w NASK, ABW i MON. Część informacji dotyczących trwających operacji obronnych z oczywistych powodów nie jest publikowana.
