haktywista

Haktywista to napastnik działający z pobudek ideologicznych lub politycznych, który atakuje po to, by nagłośnić sprawę, a nie by zarobić. Sekurak, omawiając raport CSIRT GOV za 2024 rok, opisuje haktywistów jako stały element krajobrazu cyberzagrożeń i łączy ich działania z cyberatakami prowadzonymi z pobudek politycznych i ideologicznych ^[4]. Według ENISA w okresie od lipca 2024 do czerwca 2025 roku aktywność haktywistyczna stanowiła 79% incydentów zarejestrowanych w państwach Unii ^[1]. Jednocześnie była to aktywność o bardzo niskim skutku, oparta na prostych i tanich narzędziach ^[1].

Jak działa

Haktywiści mierzą sukces rozgłosem. Atak ma być widoczny, łatwy do udokumentowania i opisany w komunikacie grupy. Dlatego dominują techniki, które dają szybki efekt medialny: przeciążenie strony, podmiana jej treści, publikacja wykradzionych danych albo nagranie z panelu sterowania.

ENISA wylicza, że wśród incydentów haktywistycznych wymierzonych w państwa członkowskie ataki DDoS stanowiły 91,5%, deklarowane włamania 5,1%, a wycieki danych 3,4% ^[1]. Najaktywniejsza grupa, prorosyjska NoName057(16), odpowiadała za 63,1% deklarowanych ataków i działała w modelu crowdsourcingu przez platformę DDoSia ^[1]. Siła takiej grupy wynika więc z liczby uczestników, a nie z zaawansowania narzędzi.

Typowy przebieg kampanii pokazuje schemat poniżej.

RYS. 1Kampania haktywistyczna

ENISA zauważa, że działania NoName057(16) były silnie powiązane z wydarzeniami geopolitycznymi, na przykład z deklaracjami wsparcia dla Ukrainy ^[1]. Przykładem są ataki na strony Europolu i Parlamentu Europejskiego we wrześniu 2024 roku oraz siedmiodniowe ataki na belgijską infrastrukturę wyborczą ^[1].

Odmiany

Haktywizm nie jest jednorodny. ENISA opisuje kilka zjawisk na jego granicach ^[1].

Faketywizm zaciera granicę między haktywistą a grupą sponsorowaną przez państwo. ENISA ocenia, że granice między haktywizmem, cyberprzestępczością i działaniami państwowymi coraz bardziej się zacierają ^[1]. Dlatego samo hasło w komunikacie nie przesądza, kto naprawdę stoi za atakiem.

W WordPressie

Strona na WordPressie jest dla haktywisty celem symbolicznym: wizytówką urzędu, gminy, partii albo firmy. ENISA odnotowuje, że podmiany treści stron (defacement) niemal wyłącznie wiązały się z haktywistami i służyły widoczności oraz protestowi, a nie trwałej obecności w systemie ^[1]. MITRE ATT&CK opisuje tę technikę jako zmianę wyglądu zewnętrznych systemów w celu przekazania komunikatu, zastraszenia albo wprowadzenia w błąd, często z treścią polityczną lub propagandową ^[2]. MITRE dodaje, że podmiana może też poprzedzać inne ataki, na przykład zainfekowanie odwiedzających ^[2].

Do podmiany treści wystarczy przejęte konto administratora albo znana podatność we wtyczce. Dokumentacja WordPressa przypomina, że po wydaniu poprawki informacje potrzebne do wykorzystania podatności są niemal na pewno publicznie dostępne ^[5]. Nieaktualna witryna jest więc w zasięgu nawet mało zaawansowanych grup, podobnie jak w przypadku script kiddies.

Druga typowa technika, DDoS, uderza w każdą stronę bez względu na jej kod. Strona na hostingu współdzielonym bez ochrony sieciowej może przestać odpowiadać nawet przy ataku, który dla większej infrastruktury byłby niezauważalny.

Zagrożenia i skutki

ENISA ocenia ogólny skutek ataków DDoS haktywistów jako marginalny ^[1]. W przypadku NoName057(16) niemal nie odnotowano potwierdzonych przerw w działaniu stron, co według ENISA wspiera hipotezę, że działania tej grupy mają także charakter operacji informacyjnej ^[1]. Efektem ma być wrażenie chaosu, a nie realna szkoda, co zbliża haktywizm do dezinformacji.

Nie wszystkie działania kończą się jednak na propagandzie. CERT Polska w raporcie za 2025 rok opisuje grupę haktywistyczną, która opublikowała na Telegramie nagranie ze zmianą nastaw parametrów pracy stacji regazyfikacji LNG ^[3]. Według CERT Polska grupy haktywistyczne wykorzystują słabości protokołu VNC, a ataki na panele sterowania są widowiskowe, bo łatwo udokumentować udane logowanie ^[3]. To zagrożenie dla systemów przemysłowych (OT/ICS) i infrastruktury krytycznej. Ułatwia je domyślne hasło: CERT Polska wymienia wśród spotykanych haseł ciągi typu 111111 i 12345678 ^[3].

Jak się bronić

Obrona przed haktywistą nie różni się zasadniczo od obrony przed innymi napastnikami, ale warto uwzględnić jego cele: dostępność i wizerunek.

• Dostępność. Przed DDoS chroni filtracja ruchu po stronie dostawcy, CDN i WAF z ograniczaniem liczby żądań.
• Aktualizacje. Dokumentacja WordPressa zaleca stałe aktualizowanie rdzenia, bo starsze wersje nie dostają poprawek bezpieczeństwa ^[5].
• Wykrywanie podmiany. Dokumentacja wskazuje, że próby podmiany strony lub dodania malware można wykryć zewnętrznym monitorem integralności ^[5]; zob. monitorowanie integralności plików.
• Kopie. MITRE jako środek zaradczy dla podmiany treści podaje regularne kopie zapasowe przechowywane poza systemem i chronione przed zniszczeniem ^[2]; dokumentacja WordPressa zaleca regularne kopie, w tym bazy MySQL ^[5].
• Panele sterowania. Urządzenia OT nie powinny być dostępne z internetu z prostym hasłem, co CERT Polska sprawdza w ramach inicjatywy #BezpiecznyPrzemysł ^[3].

Historia i przykłady

ENISA odnotowuje, że Telegram w pierwszym kwartale 2025 roku zablokował ponad 60 kont powiązanych z haktywistami, co skłoniło grupy do przenosin na prywatne kanały, X i fora w dark webie ^[1]. W październiku 2024 roku w operacji PowerOFF organy ścigania z 15 państw wyłączyły 27 platform DDoS na zlecenie i zatrzymały trzech administratorów ^[1].

Polska należy do najczęściej atakowanych państw. ENISA wymienia ją obok Francji, Włoch, Niemiec i Litwy wśród głównych celów haktywistów; ponad połowa deklarowanych ataków na Polskę dotyczyła administracji publicznej ^[1]. Sekurak, streszczając raport CSIRT GOV, pisze, że Polska najczęściej styka się z atakami DDoS i próbami uzyskania zdalnego dostępu ^[4].