Miód okazał się lepki - ponad 9 mln cyber incydentów w rok

Czy cyberatak na szpital może zakończyć się bez negatywnych konsekwencji dla pacjentów, personelu i placówki? Tak, gdy atakujący zostają wciągnięci w pułapkę honeypot. To cyfrowy wabik udający prawdziwy system, który pozwala obserwować działania cyberprzestępców.

Eksperci europejskiego producenta bezpieczeństwa IT podsumowali funkcjonowanie honeypot stworzonego w ramach Stormshield Customer Security Lab. Analiza wyników sprawia, że jednym z zaleceń dla administratorów jest, aby zarządzane przez nich usługi, powszechnie wykorzystujące protokół SSH ukryli w sieci lokalnej lub za VPN. „Wystawianie ich do Internetu sprawia, że w pierwszej kolejności są sprawdzane przez cyberprzestępców, których w wyszukiwaniu podatności wspomaga AI. A dane jedynie za jeden miesiąc pokazują, że takich usług jest niemal 35 mln”.

Wykorzystanie honeypotów jest fundamentalnym elementem cyberbezpieczeństwa

Sztucznie tworzone środowiska, imitujące rzeczywiste systemy, dostarczają cennych informacji na temat trwających ataków i nowych cyberzagrożeń. Rok funkcjonowania honeypota Stormshield przyniósł ponad 9 mln zarejestrowanych incydentów, z których aż 75 proc. dotyczyło protokołów SSH. Obok protokołów SSH, największe zainteresowanie wzbudzały usługi w sieci i strony Internetowe (Web HTTP/S, 10 proc. zdarzeń) oraz poczta elektroniczna (SMTP, 10 proc. zdarzeń). Co ciekawe, zdecydowanie mniej byli oni zainteresowani protokołami medycznymi (jedynie 0,01 proc. zdarzeń). Ataki wykonywane były z 54 tys. źródłowych adresów IP, pochodzących ze 163 państw.

Aktywność przestępców w obszarze usług wykorzystujących protokołu SSH jest niezwykle intensywna, dlatego rekomendacja, aby nigdy nie wystawiać ich bezpośrednio do Internetu jest absolutnie konieczna. Wciąż niestety taka zła praktyka się powtarza, o czym świadczą publicznie dostępne dane. Otwartość w tym obszarze to zwykłe proszenie się o kłopoty

Aleksander Kostuch

inżynier Stormshield

Wśród innych obserwacji wskazano, że w przypadku SMTP bezpośrednie ataki na samą usługę i próby dostarczania złośliwych załączników pozostawały stosunkowo ograniczone, a dominowały starania wykorzystania poczty jako Open Relay. Pod nieustanną presją atakujących pozostają także routery oraz urządzenia IoT.

Dodatkowo funkcjonowanie honeypota pokazało, że ataki na aplikacje webowe mają charakter stały, a podatności o dużym potencjale eksploatacyjnym - ProxyShell, Shellshock czy Log4Shell - nadal są wykorzystywane, wiele lat po ich ujawnieniu. Raport Stormshield Customer Security Lab pokazuje, że każda z obserwowanych podatności miała własną dynamikę. W niektórych przypadkach aktywność narastała stopniowo, w innych pojawiały się gwałtowne skoki liczby prób ataku.

Szczególnym przypadkiem był React2Shell, oznaczony jako CVE-2025-55182. W grudniu 2025 roku usługi oparte na Next.js, a więc jedną z najpopularniejszych technologii do budowy nowoczesnych aplikacji webowych, stały się celem masowych prób wykorzystania tej podatności. Funkcjonowanie laboratorium pokazało, jak szybko podatność w popularnym frameworku może przełożyć się na intensywne próby jej wykorzystania w Internecie

Aleksander Kostuch

inżynier Stormshield

Honeypot to kontrolowane, celowo przygotowane środowisko, które ma imitować rzeczywisty system, usługę lub fragment infrastruktury. Celem jest przyciągnięcie potencjalnych atakujących i umożliwienie obserwacji ich działań w bezpiecznych warunkach. Honeypot pozwala lepiej zrozumieć realne wektory ataku, od automatycznego skanowania Internetu, przez próby logowania, aż po wykorzystanie konkretnych luk bezpieczeństwa czy badanie trendów w zakresie ataków na usługi wystawione do Internetu.

Taka obserwacja pozwala zrozumieć realne zagrożenia, a także wykryć wyrafinowane sposoby wejścia do systemu. To rzecz jasna pozwala wzmocnić ochronę serwerów i sieci. Kluczową kwestią jest, żeby cyberprzestępca nie rozpoznał, że trafił na honeypot i by mu się wydawało, że jest w rzeczywistym środowisku

Aleksander Kostuch

inżynier Stormshield

Badacze wkładają naprawdę wiele wysiłku, aby spreparować środowisko, które ma stać się przedmiotem zainteresowania hakerów. Większość usług wystawionych w ramach honeypota zazwyczaj jest unikalna pod względem architektury sieci i pomysłu na przyciągnięcie atakujących. Stormshield Customer Security Lab stworzył wirtualne przedsiębiorstwo, szpital i elektrownię.

By się uwiarygodnić wybrano miejscowość, w której udostępniono prawdziwy serwis www z obsługą klienta on-line i bazami danych. Spreparowano też komunikację za pomocą poczty elektronicznej, symulowali użytkowników, wystawili zdalne dostępy do środowisk z realnymi sterownikami, systemami SCADA. A później obserwowali, jak zachowują się przestępcy próbujący do tego środowiska przeniknąć.

Nie mamy możliwości podać zbyt wielu informacji, gdyż te środowiska cały czas działają i zbierają dane. Pomagają w przygotowaniu zabezpieczeń w formie sygnatur kontekstowych, które na bieżąco są aktualizowane na naszych firewallach wykorzystywanych w przemyśle czy infrastrukturze krytycznej, na przykład do ochrony wodociągów. Niejednokrotnie miałem możliwość oglądać prezentacje złożonych sztucznych środowisk, które były celem ataków. Zawsze było to pasjonujące doświadczenie, które specjaliście daje naprawdę dużą wiedzę

Aleksander Kostuch

inżynier Stormshield

Honeypoty najlepiej dowodzą, że cyberbezpieczeństwo jest procesem ciągłym. Zmieniają się zagrożenia, metody i techniki przestępców, co oznacza konieczność modyfikacji zabezpieczeń. Szczególnie cenny zasób wiedzy dają obserwacje bardziej zaawansowanych prób ataków związane z bezpośrednim wykorzystywaniem podatności rozwiązań sieciowych (czyli luk zero-day).

Znaczenie honeypotów wobec rozwoju sztucznej inteligencji

Niedawno brytyjski dziennik The Independent informował o pierwszym ataku autonomicznie przeprowadzonym przez agentów AI. W opisanym przypadku JADEPUFFER istotna była zdolność modelu do prowadzenia kolejnych etapów ataku, obserwowania rezultatów i korygowania własnych działań, a nie zastosowanie całkowicie nowych technik włamania. Agent AI jest zdolny generować różne polecenia, modyfikować podejścia do sieci, zmieniać kolejność działań i dostosowywać się do zastanego środowiska, zgodnie z najnowszymi trendami w pętli.

Dlatego zdaniem ekspertów wraz z rozwojem sztucznej inteligencji znaczenie honeypotów rośnie.

Mogą one stać się jeszcze ważniejszym źródłem wiedzy o sposobach działania cyberprzestępców wykorzystujących LLM-y. Dla analityków bezpieczeństwa obserwacja postępowania sztucznej inteligencji daje wiedzę o tym, jak autonomiczne narzędzia reagują na błędy, zabezpieczenia, nietypowe konfiguracje i pozornie atrakcyjne zasoby danych. Pewnym kuriozum będzie, że modele LLM mogą być wykorzystywane również do analizy ataków pochodzących z honeypotów. A więc obronna sztuczna inteligencja będzie działać jako przeciwnik tej wykorzystywanej przez hakerów

Aleksander Kostuch

inżynier Stormshield