APT

APT (advanced persistent threat) to przeciwnik o wysokich kompetencjach i dużych zasobach, który realizuje swoje cele wieloma drogami ataku naraz, przez długi czas i z uporem. NIST definiuje go jako przeciwnika zdolnego tworzyć okazje do osiągnięcia celów przy użyciu wielu wektorów, w tym cybernetycznych, fizycznych i opartych na podstępie ^[1]. W praktyce „APT” oznacza też samą grupę prowadzącą takie działania, stąd nazwy APT28 czy APT29. CERT Polska określa grupy APT jako podmioty, których działalność może być powiązana z działaniem obcych państw ^[2].

Cechy

Definicja NIST wymienia kilka cech, które razem odróżniają APT od zwykłego cyberprzestępcy ^[1].

Niebezpiecznik opisuje grupy APT jako dobrze zorganizowane zespoły cyberprzestępców sponsorowane przez rządy ^[3]; takie grupy ma na myśli hasło grupa sponsorowana przez państwo. Nie każdy threat actor jest więc APT. Przestępca nastawiony na szybki zysk atakuje masowo i porzuca cel, który się broni; APT wraca.

Jak działa

NIST jako typowe cele APT wymienia zdobycie przyczółka w infrastrukturze informatycznej ofiary, wyprowadzanie informacji, osłabianie kluczowych funkcji organizacji oraz przygotowanie pozycji do przyszłych działań ^[1]. Kampania rzadko kończy się jednym włamaniem. Przebieg ma charakter cyklu, bo zdobyty dostęp i informacje służą do kolejnych etapów.

RYS. 1Cykl kampanii APT

Typowe wejście to spear phishing, technika wodopoju albo wykorzystanie podatności, czasem zero-day. Po wejściu grupa porusza się po sieci ofiary, czyli stosuje lateral movement, i ogranicza hałas, na przykład korzystając z narzędzi systemowych w stylu living off the land (LotL). Zachowania konkretnych grup opisuje baza MITRE ATT&CK, czyli ogólnodostępny katalog taktyk i technik przeciwników oparty na obserwacjach z rzeczywistych ataków ^[6]. Opisy te nazywa się taktykami, technikami i procedurami.

W WordPressie

Właściciel zwykłej strony WordPress rzadko jest celem grupy APT. Jego strona może jednak stać się narzędziem w cudzej kampanii, i to na kilka sposobów.

• Infrastruktura dowodzenia. ATT&CK odnotowuje, że Turla często używała przejętych stron WordPress jako infrastruktury dowodzenia i kontroli ^[5]. Ruch do znanej, legalnej domeny budzi mniej podejrzeń niż do świeżo zarejestrowanego serwera.
• Wodopój. Turla prowadziła też kampanie wodopoju ^[5]. Strona branżowa, urzędowa albo organizacji pozarządowej, odwiedzana przez interesującą grupę ludzi, bywa w takim scenariuszu przejmowana tylko po to, by zarażać jej gości.
• Błędy w aplikacjach. APT28 według ATT&CK wykorzystywała odbity XSS na stronach rządowych do przekierowywania użytkowników na strony phishingowe ^[4].
• Hasła. ATT&CK opisuje narzędzie APT28 do password spraying, które w tym trybie wykonywało około czterech prób logowania na godzinę na atakowane konto przez kilka dni lub tygodni ^[4]. Tak niska częstotliwość może nie przekroczyć progów, na których zwykle opiera się limit prób logowania.

Strona przejęta przez grupę APT nie musi mieć widocznych objawów: nie ma podmiany treści ani spamu, bo zależy jej na długim ukryciu. Znaczenie ma więc czas przebywania atakującego w sieci, a wykrycie opiera się na wskaźnikach kompromitacji i monitorowaniu zmian.

Zagrożenia i skutki

Najczęstszym skutkiem jest szpiegostwo, czyli ciche wyprowadzanie dokumentów i korespondencji. NIST wymienia też osłabianie funkcji organizacji i przygotowanie do kolejnych ataków ^[1]. Niebezpiecznik podkreśla, że celem są nie tylko instytucje państwowe; wśród atakowanych sektorów wymienia między innymi transport, telekomunikację, handel, ubezpieczenia, edukację, farmację, usługi prawne i finansowe ^[3]. Firma bywa celem ze względu na swoje dane albo powiązania z większą organizacją, na przykład jako dostawca w ataku na łańcuch dostaw.

Jak się bronić

Przed zdeterminowanym przeciwnikiem nie da się zabezpieczyć jednym narzędziem. Podstawą są te same warstwy co przy innych atakach, stosowane konsekwentnie:

• uwierzytelnianie wieloskładnikowe odporne na phishing, bo przejęcie poczty i kont to częsty pierwszy krok;
• szybkie łatanie oprogramowania i ograniczanie powierzchni ataku;
• monitorowanie logów i zmian, by skrócić czas, w którym intruz działa niezauważony;
• korzystanie z informacji o zagrożeniach i komunikatów CERT.

CERT Polska prosi o zgłaszanie phishingu przez formularz incydentów oraz usługę „Bezpiecznie w sieci” w aplikacji mObywatel ^[2].

Historia i przykłady

APT28 ma wiele nazw, między innymi Fancy Bear, Sofacy, Sednit i Forest Blizzard ^[4]. Według ATT&CK rejestrowała domeny imitujące strony NATO, OBWE i innych organizacji ^[4], co jest odmianą typosquattingu.

UNC1151 (Ghostwriter). CERT Polska w komunikacie z 12 czerwca 2026 roku opisał grupę jako znaną z operacji dezinformacyjnych i phishingu na użytkowników polskich dostawców poczty, takich jak Onet, Wirtualna Polska i Interia, a od kilku miesięcy także Gmaila ^[2]. Celem są osoby zaangażowane politycznie i społecznie, naukowcy, dziennikarze, pracownicy administracji i służb mundurowych oraz ich bliscy ^[2].