DDoS (Distributed Denial of Service)

Co to jest atak DDoS?

Atak DDoS (Distributed Denial of Service – rozproszona odmowa usługi) to rodzaj cyberataku, którego celem jest zablokowanie dostępu do serwera, aplikacji webowej lub całej infrastruktury sieciowej organizacji. Atakujący wykorzystują tysiące lub setki tysięcy przejętych urządzeń (tworzących tzw. botnet), aby jednocześnie przeciążyć zasoby ofiary – przepustowość łącza, pamięć operacyjną, procesory lub pule połączeń serwera.

Według raportu ENISA Threat Landscape 2025 ataki DDoS stanowią dominujący typ incydentu w Europie – odpowiadają za 77% wszystkich odnotowanych zdarzeń cyberbezpieczeństwa. W Wigilię 2025 roku systemy Orange Polska zmitygowały rekordowy atak o sile 1,5 Tbps i 134,5 milionów pakietów na sekundę. Ryzyko ataku DDoS dotyczy dziś praktycznie każdej organizacji działającej w internecie.

Jak działają ataki DDoS?

Atak DDoS opiera się na jednoczesnym wygenerowaniu masowego ruchu sieciowego z wielu rozproszonych źródeł. Wykorzystywany do tego botnet może składać się z zainfekowanych komputerów, routerów, kamer IP oraz urządzeń IoT (Internet of Things). Na polecenie serwera C&C (Command and Control) urządzenia te wysyłają masowy ruch do infrastruktury ofiary.

W rezultacie serwer lub aplikacja nie są w stanie obsłużyć wszystkich połączeń, co prowadzi do spowolnienia działania usług, ich niedostępności lub całkowitego przestoju (downtime). W efekcie ataku, zwykli użytkownicy tracą dostęp do zasobów organizacji.

Czym różni się atak DoS od ataku DDoS?

Atak DoS (Denial of Service) jest realizowany z pojedynczego źródła – jednego komputera lub jednego łącza. Jego skuteczność jest ograniczona zasobami urządzenia atakującego.

Atak DDoS wykorzystuje natomiast wiele tysięcy urządzeń działających równocześnie w ramach botnetu. Ruch pochodzi z różnych lokalizacji geograficznych, co znacząco utrudnia identyfikację i blokowanie źródeł ataku. Z tego powodu proste mechanizmy ochronne, takie jak filtrowanie pojedynczych adresów IP, są zazwyczaj niewystarczające do skutecznej obrony przed atakami rozproszonymi.

Cecha	Atak DoS	Atak DDoS
Źródło ataku	1 maszyna / 1 łącze	Tysiące–setki tysięcy urządzeń (botnet)
Siła wolumetryczna	Ograniczona	Do 1,5+ Tbps (rekordowy atak w Polsce z 2025)
Blokowanie źródła	Łatwe (1 adres IP)	Nieskuteczne (rozproszone IP)

Jakie są najczęstsze typy ataków DDoS?

Ataki DDoS klasyfikuje się w 3 kategoriach według warstwy modelu OSI (Open Systems Interconnection), którą atakują:

• Ataki wolumetryczne (L3/L4) – zalewają łącze ofiary masowym ruchem sieciowym. Przykłady: UDP Flood, ICMP Flood, DNS Amplification, Memcached Reflection. Technika amplifikacji DNS zwiększa siłę uderzenia od kilkudziesięciu do kilkuset razy, a Memcached – do 51 000 razy.
• Ataki protokołowe (L3/L4) –koncentrują się na wyczerpywaniu zasobów urządzeń sieciowych oraz stosu TCP/IP. Ich celem są najczęściej zapory sieciowe, load balancery oraz serwery aplikacyjne. Przykłady: TCP SYN Flood (79,7% wszystkich ataków DDoS w badaniu ENISA z 2019 r.), fragmentacja IP, Ping of Death. SYN Flood jest jednym z najbardziej rozpowszechnionych wektorów DDoS. Atak polega na wysyłaniu dużej liczby niekompletnych żądań nawiązania połączenia TCP, co prowadzi do zapełnienia kolejki oczekujących połączeń i uniemożliwia obsługę legalnych użytkowników.
• Ataki aplikacyjne (L7) – Ataki aplikacyjne są ukierunkowane bezpośrednio na usługi internetowe i aplikacje webowe.Imitują zachowanie prawdziwych użytkowników, wyczerpując zasoby serwera WWW lub bazy danych. Przykłady: HTTP GET/POST Flood, Slowloris, R.U.D.Y.
  
  Współcześnie, większość ataktów (aż 86% zmitygowanych ataków) DDoS ma charakter wielowiektorowy.
  
  Szczególnie groźne są ataki Slowloris i R.U.D.Y., które potrafią doprowadzić do niedostępności usługi przy relatywnie niewielkim ruchu sieciowym (kilka Mbps). Mechanizmy te utrzymują dużą liczbę otwartych połączeń poprzez wysyłanie niepełnych nagłówków HTTP lub bardzo wolne przesyłanie danych formularzy.

Ponieważ ruch często odbywa się przez szyfrowane połączenia HTTPS (port 443), wykrycie i filtrowanie tego typu ataków jest znacznie trudniejsze niż w przypadku klasycznych floodów sieciowych.

W jaki sposób cyberprzestępcy wykorzystują botnety?

Botnet to sieć przejętych urządzeń kontrolowanych zdalnie przez operatora ataku. Cyberprzestępcy wykorzystują je do generowania masowego ruchu DDoS, rozsyłania spamu, prowadzenia kampanii phishingowych oraz innych działań przestępczych.

Cyberprzestępcy pozyskują maszyny do botnetu 3 głównymi metodami: złośliwym oprogramowaniem modułowym (np. Tofsee z dedykowanym modułem ddosR.dll do ataków HTTP Flood), atakami słownikowymi na protokół SSH serwerów Linux oraz exploitowaniem domyślnych haseł urządzeń IoT.

Botnet Mirai w 2016 roku został wykorzystany do przeprowadzenia ataku o sile 620 Gbps, wykorzystując 600 000 zhakowanych routerów i kamer z domyślnymi hasłami. W 2025 roku nowy botnet Aisuru został wykorzystany do rekordowego ataku o sile 1,5 Tbps na infrastrukturę Orange Polska.

Dlaczego cyberprzestępcy uruchamiają ataki DDoS?

Motywacje stojące za atakami DDoS są zróżnicowane i wykraczają daleko poza zwykłą chęć zakłócenia działania usług. Najczęściej można je podzielić na trzy główne kategorie: wymuszenia finansowe (Ransom DDoS), hacktywizm polityczny i wojnę hybrydową oraz dywersję maskującą równoległe włamania.

Model DDoS-as-a-Service (np. platformy Booter lub Web Stresser) umożliwia wynajęcie botnetu za kilkadziesiąt dolarów, umożliwiając przeprowadzenie ataku osobom bez wiedzy i zaplecza technicznego. Przeprowadzenie ataku DDoS wymaga dziś jedynie kilkudziesięciu dolarów i portfela kryptowalutowego.

Dobrym przykładem wkorzystania ataków DDoS do wojny hybrydowej jest prokremlowska grupa NoName057(16), która w okresie 12–18 stycznia 2026 roku przeprowadziła 4 087 ataków DDoS narzędziem DDoSia. 67,1% siły uderzeniowej, czyli 2 744 ataki, skierowanych było wyłącznie na polską infrastrukturę – urzędy samorządowe, instytucje finansowe i firmy prywatne.

Jakie są konsekwencje ataków DDoS dla biznesu?

Ataki DDoS generują 4 kategorie strat biznesowych:

• Utracone przychody – fizyczny brak możliwości sprzedaży usług w czasie ataku. W sektorach e-commerce, bankowości i platform VOD (Video on Demand) straty mogą sięgać 300 000–500 000 USD na godzinę przestoju.
• Koszty operacyjne i naprawcze – wynagrodzenie zespołów Incident Response, nadgodziny specjalistów IT, wsparcie zewnętrznych dostawców usług bezpieczeństwa, zwiększenie zasobów chmurowych i przepustowości sieci. 
• Straty reputacyjne – powtarzające się incydenty mogą prowadzić do utraty zaufania, negatywnych publikacji medialnych oraz odpływu klientów do konkurencji. Szczególnie istotne znaczenie ma to w sektorach opartych na wysokim poziomie wiarygodności, takich jak bankowość.
• Dywersja (smokescreening) – w niektórych przypadkach atak DDoS wykorzystywany jest od odwrócenia uwagi zespołu SOC (Security Operations Center), umożliwiające przeprowadzenie innych działań, takich jak kradzież danych, eskalacja uprawnień czy wdrożenie ransomware. Z tego powodu współczesne organizacje powinny traktować każdy incydent DDoS jako potencjalny sygnał szerszej kampanii cyberprzestępczej.

Choć większość ataków trwa stosunkowo krótko, nawet kilkuminutowa niedostępność usług może generować znaczące koszty. Średni koszt pojedynczego incydentu prowadzącego do dłuższego przestoju wynosi w Polsce ok. 1,3 mln zł. 84% ataków trwa do 10 minut, ale najdłuższy zarejestrowany atak trwał nieprzerwanie 509 godzin (21 dni).

Czy atak DDoS jest przestępstwem?

Tak. Atak DDoS stanowi przestępstwo na mocy art. 268a Kodeksu karnego (Dz.U. z 2025 r. poz. 383). Przepis penalizuje nieuprawnione utrudnianie dostępu do danych informatycznych oraz zakłócanie ich automatycznego przetwarzania. Odpowiedzialność karna jest niezależna od motywacji sprawcy – dotyczy zarówno wymuszenia finansowego, jak i protestu ideologicznego.

Kara za wariant podstawowy (§ 1) wynosi do 3 lat pozbawienia wolności. Kara wzrasta do przedziału od 3 miesięcy do 5 lat, gdy prokuratura udowodni znaczną szkodę majątkową (§ 2). Postępowanie jest ścigane na wniosek pokrzywdzonego, co wymaga od firm proaktywnego zabezpieczania logów sieciowych i zgłaszania incydentów do CBZC (Centralne Biuro Zwalczania Cyberprzestępczości).

Jak chronić infrastrukturę firmy przed atakami DDoS?

Skuteczna ochrona przed współczesnymi atakami DDoS wymaga zastosowania wielowarstwowego podejścia do bezpieczeństwa. Poleganie wyłącznie na lokalnych urządzeniach sieciowych lub firewallach jest niewystarczające w przypadku dużych kampanii generujących ogromny wolumen ruchu.

Najskuteczniejsze strategie ochrony obejmują:

• wykorzystanie wyspecjalizowanych usług ochrony DDoS,
• rozproszenie infrastruktury pomiędzy wiele lokalizacji lub regionów,
• stosowanie sieci CDN (Content Delivery Network),
• wdrożenie mechanizmów filtrowania i ograniczania ruchu (rate limiting),
• segmentację infrastruktury i usług,
• przygotowanie procedur reagowania na incydenty oraz planów ciągłości działania.

Istotną rolę odgrywa również stałe monitorowanie ruchu sieciowego oraz regularne testowanie gotowości organizacji do reagowania na incydenty.

Jak szybko wykryć pierwsze oznaki ataku DDoS?

Wczesne wykrycie ataku znacząco zwiększa szanse na ograniczenie jego skutków. Do najczęstszych sygnałów ostrzegawczych świadczących o możliwości ataku DDoS należą:

• Nagły wzrost ruchu sieciowego – szczególnie z jednego regionu geograficznego lub na jeden endpoint oraz w godzinach niskiego ruchu standardowego.
• Anomalie w czasach odpowiedzi – wydłużenie czasu ładowania stron, rosnąca liczba błędów HTTP 503/504 i niewyjaśnione wzrosty obciążenia procesora.
• Alerty systemów SIEM (Security Information and Event Management) i XDR (Extended Detection and Response) – korelacja logów z wielu źródeł pozwala wykryć atak wielowektorowy, przed wyczerpaniem zasobów infrastruktury.

Jak zapobiec włączeniu firmowych urządzeń do botnetu?

Ochrona przed botnetami zaczyna się od właściwego zabezpieczenia wszystkich urządzeń podłączonych do sieci organizacji. Cyberprzestępcy najczęściej przejmują kontrolę nad słabo zabezpieczonymi routerami, kamerami IP, drukarkami sieciowymi oraz urządzeniami IoT.

Do podstawowych działań ograniczających ryzyko należą:

• zmiana domyślnych haseł na silne i unikalne dane uwierzytelniające,
• regularne aktualizowanie firmware oraz oprogramowania urządzeń,
• wyłączanie nieużywanych usług i portów sieciowych,
• stosowanie uwierzytelniania wieloskładnikowego tam, gdzie jest dostępne,
• monitorowanie aktywności urządzeń i ruchu sieciowego.

Ważnym elementem ochrony jest również segmentacja sieci. Urządzenia IoT powinny być odseparowane od krytycznych systemów biznesowych za pomocą VLAN-ów, odpowiednich reguł na firewallach oraz polityk kontroli dostępu. Dzięki temu ewentualne przejęcie pojedynczego urządzenia nie prowadzi do kompromitacji całej infrastruktury.

Jakie są najlepsze metody zapobiegania i mitygowania ataków?

Skuteczna ochrona przed atakami DDoS opiera się na wielowarstwowym podejściu łączącym rozwiązania sieciowe, aplikacyjne oraz organizacyjne: 

• CDN (Content Delivery Network) z protokołem Anycast – rozprasza ruch atakujący na węzły w wielu lokalizacjach światowych, chroniąc oryginalny serwer. Zapory WAF (Web Application Firewall) analizują logikę żądań HTTP i blokują wektory Slowloris, R.U.D.Y. oraz HTTP Flood.
• BGP (Border Gateway Protocol) Blackholing u operatora ISP (Internet Service Provider) – odcina złośliwy ruch na wejściu do sieci dostawcy. Precyzyjne skonfigurowanie geograficzne pozwala zachować dostępność usługi dla klientów krajowych.
• Filtry eBPF (extended Berkeley Packet Filter) w jądrze systemu Linux – odrzucają szkodliwe pakiety z prędkością działania karty sieciowej, eliminując obciążenie procesora związane z tradycyjnymi firewallami.
• Testy przeciążeniowe i plan Incident Response – regularne symulacje ataków weryfikują zachowanie infrastruktury pod obciążeniem. Udokumentowany i przetestowany plan reakcji na incydent bezpieczeństwa skraca czas mitygacji i minimalizuje straty.

Pojęcia powiązane z atakami DDoS