Ukraińskie drony uderzyły w Yandex. Czy ucichły rosyjskie boty?

W dniach 8–11 października 2026 roku ukraińskie drony zaatakowały trzy centra danych rosyjskiego Yandexu. Dwa obiekty zostały całkowicie wyłączone, a trzeci częściowo uszkodzony. Wkrótce potem w internecie zaczęły pojawiać się doniesienia o gwałtownym spadku aktywności rosyjskich botów. Polscy i zagraniczni komentatorzy zauważyli także mniej agresywnych wpisów pod swoimi publikacjami.

Zbieżność tych wydarzeń wywołała pytanie, czy uderzenia w rosyjską infrastrukturę cyfrową mogły jednocześnie zakłócić operacje dezinformacyjne prowadzone w mediach społecznościowych. Dane techniczne potwierdzają poważne zakłócenia, ale nie pozwalają jeszcze jednoznacznie odpowiedzieć na to pytanie.

Trzy ataki na centra danych Yandexu

W nocy z 7 na 8 października zaatakowano centrum danych w Sasowie w obwodzie riazańskim. W obiekcie wybuchł pożar, a jego działalność została całkowicie wstrzymana. Według agencji Reuters znajdowały się tam dziesiątki tysięcy serwerów oraz dwa z trzech superkomputerów Yandexu, wykorzystywanych między innymi do rozwoju sztucznej inteligencji. Nie ustalono jednak, czy same superkomputery zostały uszkodzone.

9 października kolejny atak uszkodził centrum danych w Kałudze. Część infrastruktury przestała działać, co spowodowało dalsze problemy z dostępnością usług. Trzeci atak nastąpił w nocy na 11 października. Tym razem ucierpiał obiekt we Włodzimierzu, którego pracę również całkowicie wstrzymano. Wszystkie trzy zdarzenia potwierdził Yandex w oficjalnym komunikacie.

Skutki odczuły nie tylko własne serwisy firmy, ale również przedsiębiorstwa korzystające z jej infrastruktury. Platforma Yandex Cloud zaczęła pracować w trybie awaryjnym. Część zasobów obliczeniowych i usług bazodanowych pozostawała niedostępna, a klientom zalecono korzystanie z alternatywnych rozwiązań.

Ruch botów gwałtownie spadł. Co zmierzył Cloudflare?

Po atakach uwagę internautów przyciągnęły wykresy firmy Cloudflare, która monitoruje ruch internetowy w swojej globalnej sieci. Dane dotyczące rosyjskiego operatora AS13238, należącego do Yandex LLC, pokazały gwałtowne załamanie liczby automatycznych zapytań HTTP. Po ataku z 11 października ruch ten spadł do poziomu bliskiego zera w porównaniu z wcześniejszą aktywnością. Później zaczęło się częściowe odbicie.

Na jednym z rozpowszechnianych zrzutów ekranu pojawiła się wartość 99,6% oznaczona jako „Bot”. Nie oznacza ona jednak, że zniknęło 99,6% rosyjskich botów. W tym przypadku chodzi o udział automatycznych zapytań w analizowanym ruchu. Spadek ich liczby przedstawia osobny wykres. Dane można sprawdzić w Cloudflare Radar dla sieci AS13238.

To istotne rozróżnienie. W terminologii Cloudflare botem jest program automatycznie komunikujący się z witrynami internetowymi. Tak działają między innymi roboty wyszukiwarek, które regularnie odwiedzają strony, aby indeksować ich zawartość. Yandex posiada własne roboty indeksujące, podobnie jak Google. Ich aktywność nie jest tym samym, co działalność fałszywych kont prowadzących kampanie propagandowe w mediach społecznościowych.

Projekt badawczy Antibot4Navalny, zajmujący się identyfikowaniem rosyjskich sieci botów, zwrócił uwagę na jeszcze jeden szczegół: podobnego załamania nie wykazywał łączny ruch automatyczny pochodzący z Rosji. Oznacza to, że szczególnie silnie ucierpiała aktywność związana z siecią Yandexu, a nie cały rosyjski ruch generowany automatycznie.

Polscy i zagraniczni komentatorzy zauważają zmianę

Równolegle w mediach społecznościowych zaczęły pojawiać się relacje osób, które twierdzą, że pod ich publikacjami wyraźnie zmniejszyła się liczba agresywnych komentarzy. Polski publicysta Jakub Wiech żartobliwie określił spokój w swoich komentarzach jako miernik upadku rosyjskiego botnetu.

Cezary Kaźmierczak poinformował natomiast, że pod jego wpisem popierającym Ukrainę pojawiły się zaledwie dwa obraźliwe komentarze, podczas gdy zwykle było ich od 20 do 50. Podobne obserwacje zgłaszali niektórzy użytkownicy mediów społecznościowych w Stanach Zjednoczonych, Wielkiej Brytanii i innych krajach. Są to jednak indywidualne relacje, a nie wyniki reprezentatywnego badania.

Szczególnie głośno zrobiło się po rozpowszechnieniu wykresu sugerującego spadek aktywności związanej z niemiecką partią AfD o 56%. Problem polega na tym, że nie wskazano źródła danych, metodologii ani sposobu przypisania analizowanych kont do konkretnej działalności politycznej. Niemiecki serwis Rohtext zakwestionował wiarygodność tej interpretacji. W jego orientacyjnym porównaniu spadek aktywności dotyczył również innych niemieckich partii, nie tylko AfD. Nie jest to jednak wystarczający dowód na zmiany aktywności sieci botów.

Nie oznacza to, że obserwacje polskich czy zagranicznych blogerów są bezwartościowe. Mogą być sygnałem wymagającym zbadania. Aby jednak ustalić rzeczywistą skalę zjawiska, należałoby porównać aktywność tych samych kont przed atakami, podczas awarii i po przywróceniu usług, uwzględniając także liczbę wyświetleń, charakter publikacji, dni tygodnia oraz zmiany w moderacji.

Rosyjskie operacje wpływu nie muszą zależeć od jednego centrum

Nie ma obecnie publicznie zweryfikowanych dowodów, że uszkodzone centra Yandexu obsługiwały konkretne rosyjskie sieci propagandowe. Takie operacje mogą wykorzystywać serwery różnych dostawców, zagraniczne usługi chmurowe, automatyczne narzędzia oraz ludzi zarządzających wieloma kontami. Jednocześnie zdecentralizowany charakter tych działań nie wyklucza zależności niektórych operacji od wspólnej infrastruktury, na przykład systemów zarządzania, analityki lub automatyzacji.

Jak rozbudowane mogą być współczesne operacje wpływu, pokazuje raport OpenAI opublikowany 8 października. Firma opisała rosyjską operację Dark Clark, skierowaną głównie do odbiorców w Ameryce Łacińskiej. Jej organizatorzy wykorzystywali sztuczną inteligencję, fałszywe materiały i organizację podszywającą się pod niezależny ośrodek badawczy. Według raportu jedna z historii, którą operatorzy deklarowali rozpowszechniać w Peru, wywołała reakcję również w Polsce.

Jak długo potrwa przywracanie infrastruktury?

Yandex nie podał terminu pełnego odtworzenia uszkodzonych centrów danych. Firma rozpoczęła jednak działania pozwalające przenieść część usług klientów do innych operatorów. Według rosyjskiego dziennika „Kommiersant” uzgodniono przyspieszoną migrację do Selectel, VK Cloud i K2Cloud. To oznacza, że poszczególne usługi mogą wrócić do działania znacznie wcześniej niż fizycznie uszkodzone obiekty.

Odbudowa centrum danych to znacznie więcej niż zakup nowych serwerów. Może wymagać wymiany urządzeń sieciowych, systemów zasilania, chłodzenia i przechowywania danych. Przy dużych uszkodzeniach proces może trwać miesiące, a nawet dłużej. Nie ma jednak wystarczających danych o stanie poszczególnych obiektów, aby wiarygodnie oszacować terminy ich naprawy.

ABW informuje o spadku aktywności rosyjskich botów

12 października minister koordynator służb specjalnych Tomasz Siemoniak poinformował, że Agencja Bezpieczeństwa Wewnętrznego (ABW) obserwuje radykalny spadek aktywności rosyjskich botów w internecie. Według ministra zjawisko ma charakter światowy i pojawiło się po atakach na trzy centra danych Yandexu. Nie przedstawiono jednak publicznie szczegółowych danych ani metodologii pozwalającej niezależnie zweryfikować skalę tego zjawiska.

Inne obserwacje przedstawił Res Futura Data House. Według analityków organizacji w monitorowanej przez nich prorosyjskiej aktywności informacyjnej w Polsce nie było widać podobnego spadku. Oba źródła mogą analizować różne grupy kont i rodzaje aktywności, dlatego ich wyników nie można bezpośrednio porównywać.

Polski serwis specjalizujący się w cyberbezpieczeństwie, Niebezpiecznik, zwraca jednocześnie uwagę, że wykresy Cloudflare dotyczą automatycznych zapytań internetowych, a nie liczby fałszywych kont publikujących propagandę. Do rozstrzygnięcia pozostaje więc pytanie, czy obserwowany przez ABW spadek rzeczywiście wynika z uszkodzenia infrastruktury Yandexu i jak duża część rosyjskich operacji wpływu została nim dotknięta.

Kto może ustalić, czy ucierpiały rosyjskie farmy botów?

Kluczowe informacje znajdują się przede wszystkim w posiadaniu operatorów platform społecznościowych. Meta, X, Reddit i inne firmy mogłyby sprawdzić, czy między 8 a 12 października doszło do nietypowego spadku aktywności wcześniej zidentyfikowanych sieci fałszywych kont. Istotne byłyby również analizy instytucji zajmujących się zagrożeniami informacyjnymi, w tym polskiego NASK oraz odpowiednich służb państwowych.

Takie badanie powinno odpowiedzieć nie tylko na pytanie, czy liczba podejrzanych komentarzy spadła, ale również czy zjawisko dotyczyło określonych sieci, czy wystąpiło jednocześnie w różnych krajach oraz czy aktywność powróciła wraz z częściowym odtwarzaniem infrastruktury. Szczególnego sprawdzenia wymagają operacje wymierzone w Polskę, Ukrainę i relacje między społeczeństwami obu krajów.

Na 12 października nie przedstawiono publicznie wystarczających danych, które pozwalałyby uznać awarie Yandexu za przyczynę masowego zniknięcia rosyjskich kont propagandowych. Potwierdzone pozostają natomiast poważne uszkodzenia rosyjskich centrów danych i gwałtowne ograniczenie automatycznego ruchu internetowego z sieci Yandexu. Dopiero porównanie tych danych z rzeczywistą aktywnością kont w mediach społecznościowych pozwoli ocenić, czy między wydarzeniami istnieje związek.