grupa sponsorowana przez państwo (APT)

Grupa sponsorowana przez państwo (state-sponsored actor) to grupa napastników finansowana albo kierowana przez służby państwowe, prowadząca długotrwałe operacje szpiegowskie, dywersyjne lub sabotażowe wobec innych państw, firm i infrastruktury. W polskich tekstach częściej pojawiają się opisy „grupy na usługach rządów” albo „hakerzy działający na zlecenie rządu”. Niebezpiecznik pisze o dobrze zorganizowanych zespołach cyberprzestępców sponsorowanych przez rządy ^[2]. Jako nazwa zjawiska funkcjonuje też skrót APT, od advanced persistent threat ^[1].

Czym różni się od innych sprawców

Grupę sponsorowaną przez państwo wyróżnia zaplecze i cel, a nie sama technika. NIST opisuje zaawansowane trwałe zagrożenie jako przeciwnika o wysokich kompetencjach i znacznych zasobach, który realizuje cele wieloma drogami, wielokrotnie i przez długi czas, dostosowując się do działań obrońców ^[1]. Zwykły cyberprzestępca szuka szybkiego zysku i porzuca cel, który się broni. Haktywista działa z pobudek ideowych i zależy mu na rozgłosie. Grupa państwowa ma zadanie od zleceniodawcy i czas, żeby je wykonać.

Związek z państwem przybiera różne formy. Część grup to jednostki wojskowe lub wywiadowcze. MITRE ATT&CK przypisuje APT28 do 85. Głównego Centrum Służby Specjalnej GRU, jednostki wojskowej 26165 ^[5], a Turlę do rosyjskiej Federalnej Służby Bezpieczeństwa ^[6]. Inne działają jako wykonawcy zleceń. Każda taka grupa jest odmianą szerszej kategorii, jaką jest threat actor.

Cele i motywy

Zadania grup państwowych można uporządkować według motywu. Polskie prawo opisuje większość z nich w art. 130 Kodeksu karnego, który dotyczy udziału w działalności obcego wywiadu.

Artykuł 130 § 3 karze od 6 miesięcy do 8 lat pozbawienia wolności tego, kto w celu udzielenia obcemu wywiadowi wiadomości szkodliwych dla Polski wchodzi do systemu informatycznego w celu ich uzyskania ^[7]. Dywersja lub sabotaż na rzecz obcego wywiadu z § 7 są zagrożone karą nie krótszą niż 10 lat albo dożywociem ^[7]. Paragraf 9 dotyczy dezinformacji prowadzonej na rzecz obcego wywiadu, jeśli ma wywołać poważne zakłócenia w ustroju lub gospodarce ^[7].

Cele nie ograniczają się do instytucji państwowych. Niebezpiecznik, omawiając raport ESET, wymienia wśród atakowanych sektorów między innymi transport, telekomunikację, handel, ubezpieczenia, edukację, farmację oraz usługi prawne i finansowe ^[2]. Firma bywa celem ze względu na posiadane dane, wiedzę dziedzinową albo powiązania z większą organizacją ^[2].

Jak działa

Grupy państwowe łączą klasyczne techniki z cierpliwością. Według raportu CSIRT GOV za 2024 rok APT28 rozsyłała złośliwe oprogramowanie HEADLACE w wiadomościach phishingowych, które udawały ogłoszenie sprzedaży samochodu marki Audi ^[3]. To przykład spear phishingu, czyli wiadomości dopasowanej do odbiorcy. Raport zwraca też uwagę na ataki na dostawców usług dla administracji ^[3], czyli na atak na łańcuch dostaw.

Zachowania konkretnych grup opisuje baza MITRE ATT&CK w postaci taktyk, technik i procedur. Te opisy pozwalają obrońcom rozpoznać grupę po sposobie działania, a nie tylko po narzędziach.

Przypisanie ataku konkretnemu państwu, czyli atrybucja, opiera się na poszlakach. Dobrze to pokazuje sprawa opisana przez Sekurak 27 sierpnia 2025 roku ^[4]. Dwaj haktywiści przez około cztery miesiące obserwowali komputer hakera nazwanego „Kim”, a zebrane materiały opublikowali w 72. wydaniu magazynu Phrack ^[4]. Za powiązaniem z północnokoreańską grupą APT43 (Kimsuky) przemawiały między innymi północnokoreańskie ustawienia systemu, znane narzędzia i aktywność w godzinach pracy w Korei Północnej ^[4]. Celem były firmy technologiczne z Korei Południowej i Tajwanu, a część operacji służyła kradzieży kryptowalut na finansowanie programu nuklearnego ^[4].

W WordPressie

Zwykła strona firmowa rzadko jest celem sama w sobie. Dla grupy państwowej bywa za to wygodnym narzędziem, bo ruch do znanej domeny budzi mniej podejrzeń niż do świeżo zarejestrowanego serwera. Schemat poniżej pokazuje, jak przejęta strona trafia do cudzej operacji.

RYS. 1Przejęta strona w operacji grupy

MITRE ATT&CK odnotowuje, że Turla często używała przejętych stron WordPress jako infrastruktury dowodzenia i kontroli ^[6]. Ta sama grupa zarażała ofiary przez technikę wodopoju, czyli przez legalne strony odwiedzane przez interesujące ją osoby ^[6]. Właściciel strony staje się w takim scenariuszu nieświadomym pośrednikiem. Przejęcie nie musi mieć widocznych objawów, bo grupie zależy na długim ukryciu, więc liczą się monitorowanie integralności plików i przegląd wskaźników kompromitacji publikowanych przez zespoły CERT.

Jak się bronić

Przed zdeterminowaną grupą państwową nie ma jednego zabezpieczenia. Dla właściciela strony najważniejsze jest, by nie stać się łatwym narzędziem. Raport CSIRT GOV za 2024 rok wskazuje jako typowe słabości przestarzałe wersje oprogramowania, systemy bez wsparcia, w tym PHP 7.4, domyślne dane logowania i błędy aplikacji internetowych, takie jak XSS i SQL injection ^[3].

• Regularna aktualizacja oprogramowania i wersji PHP ^[3].
• Uwierzytelnianie wieloskładnikowe dla kont administracyjnych, bo phishing jest częstym pierwszym krokiem ^[3].
• Śledzenie komunikatów CERT Polska i CSIRT GOV o aktywnych kampaniach.