Wprowadzenie do problemu / definicja
Cyberprzestępczość ma dziś charakter transgraniczny i działa jak rozproszony ekosystem obejmujący phishing, oszustwa inwestycyjne, przejęcia kont, nadużycia kryptowalutowe oraz pranie pieniędzy. Operacja Serengeti III pokazuje, że skuteczna odpowiedź na tego typu zagrożenia wymaga jednoczesnego uderzenia w sprawców, ich finanse oraz infrastrukturę techniczną.
Działania prowadzone pod egidą INTERPOL-u były ukierunkowane nie na pojedynczą kampanię, lecz na szeroką sieć powiązań operacyjnych wspierających cyberprzestępczość. To ważny sygnał dla organizacji i zespołów bezpieczeństwa, że walka z nowoczesnymi oszustwami cyfrowymi musi obejmować zarówno analizę techniczną, jak i wymiar finansowy oraz operacyjny.
W skrócie
W ramach operacji Serengeti III zakłócono działanie 10 909 złośliwych sieci, zatrzymano 1 462 podejrzanych i odzyskano ponad 105 mln USD nielegalnych środków. Śledczy zidentyfikowali także 65 929 ofiar, a analizy powiązały działalność przestępczą ze stratami przekraczającymi 385 mln USD.
- 21 państw uczestniczyło w operacji prowadzonej od 29 czerwca do 31 sierpnia 2026 r.
- Działania objęły phishing, fraud inwestycyjny, oszustwa emerytalne i nadużycia kryptowalutowe.
- Uderzono zarówno w operatorów schematów przestępczych, jak i w infrastrukturę wspierającą ich aktywność.
Kontekst / historia
Serengeti III jest kolejną odsłoną międzynarodowej inicjatywy wymierzonej w cyberprzestępczość. Wcześniejsze fazy operacji prowadzono w 2024 i 2025 roku, co potwierdza, że INTERPOL oraz partnerzy publiczni i prywatni rozwijają model długofalowej współpracy zamiast ograniczać się do pojedynczych akcji o krótkim horyzoncie.
Znaczenie tej operacji wykracza poza same statystyki. Pokazuje ona, że region afrykański pozostaje ważnym obszarem zarówno z punktu widzenia aktywności grup cyberprzestępczych, jak i z perspektywy działań obronnych ukierunkowanych na infrastrukturę wykorzystywaną do ataków, oszustw finansowych i transferu środków.
Na szczególną uwagę zasługuje również współpraca z sektorem prywatnym. Dostawcy danych wywiadowczych o zagrożeniach i podmioty analizujące przepływy finansowe dostarczyli informacji, które umożliwiły szybsze mapowanie zależności między domenami, adresami IP, serwerami, portfelami kryptowalutowymi oraz kontami używanymi do monetyzacji przestępczej działalności.
Analiza techniczna
Z technicznego punktu widzenia Serengeti III nie była wymierzona w jedną rodzinę malware czy jedną lukę bezpieczeństwa. Operacja objęła cały ekosystem wspierający cyberprzestępczość, w tym botnety, zasoby hostingowe, zestawy phishingowe, infrastrukturę wykorzystywaną do oszustw finansowych oraz środowiska służące do ukrywania źródeł aktywności.
Kluczowym elementem było skorelowanie danych pochodzących z wielu źródeł. Dzięki temu możliwe było nie tylko wskazanie operatorów konkretnych kampanii, ale też identyfikacja wspólnej infrastruktury używanej przez różne grupy do prowadzenia phishingu, fraudów inwestycyjnych i schematów business email compromise.
Wśród najważniejszych efektów operacyjnych znalazły się rozbicie dwóch transnarodowych grup oszustw w Ugandzie i zatrzymanie 365 cudzoziemców, likwidacja dwóch nielegalnych centrów wydobycia kryptowalut w Angoli, zajęcie 2 000 urządzeń do kopania kryptowalut oraz sześciu nielegalnych stacji transformatorowych, a także zatrzymania w Nigerii powiązane z phishingiem, BEC i międzynarodowym fraudem inwestycyjnym.
Z perspektywy cyberobrony szczególnie istotne jest to, że działania nie ograniczały się do aresztowań. Neutralizacja infrastruktury przestępczej utrudnia szybkie odtworzenie kampanii, ogranicza dostępność zaplecza technicznego i zwiększa koszty operacyjne po stronie grup przestępczych.
Konsekwencje / ryzyko
Skala operacji pokazuje, że cyberprzestępczość funkcjonuje dziś jak dobrze zorganizowany przemysł. Dziesiątki tysięcy ofiar i setki milionów dolarów strat wskazują, że grupy przestępcze potrafią skutecznie łączyć socjotechnikę, infrastrukturę techniczną oraz kanały finansowe w jednolity model działania.
Dla firm oznacza to wzrost ryzyka kradzieży poświadczeń, przejęć kont, oszustw wymierzonych w działy finansowe oraz wykorzystania danych pracowników i klientów do kolejnych kampanii phishingowych. Szczególnie niebezpieczne pozostają ataki typu BEC, w których przestępcy łączą podszywanie się pod kadrę zarządzającą z manipulacją procesami płatniczymi.
Użytkownicy indywidualni są z kolei narażeni przede wszystkim na fałszywe inwestycje, oszustwa emerytalne, podszywanie się pod legalne platformy i manipulację prowadzoną przez komunikatory oraz media społecznościowe. W praktyce jedna kampania może wykorzystywać jednocześnie wyciekłe dane, phishing, fałszywe profile i nieprzejrzyste mechanizmy płatnicze.
Rekomendacje
Organizacje powinny potraktować wyniki operacji Serengeti III jako sygnał do wzmocnienia odporności operacyjnej. Sam sukces służb nie eliminuje ryzyka, ponieważ cyberprzestępcy szybko adaptują narzędzia i odbudowują część infrastruktury.
- Wymuszanie MFA dla poczty, VPN-ów, systemów finansowych i paneli administracyjnych.
- Monitorowanie anomalii logowania, zmian reguł pocztowych i nietypowych schematów płatności.
- Wdrożenie ochrony przed phishingiem z analizą reputacyjną, sandboxingiem i kontrolą domen podobnych.
- Stosowanie DMARC, SPF i DKIM w celu ograniczenia podszywania się pod domenę organizacji.
- Segmentacja uprawnień i zasada najmniejszych uprawnień dla użytkowników oraz administratorów.
- Regularne szkolenia z rozpoznawania fraudów inwestycyjnych, BEC i socjotechniki prowadzonej przez komunikatory.
- Weryfikacja zmian danych płatniczych poza kanałem elektronicznym.
- Stałe monitorowanie wycieków danych i wskaźników kompromitacji powiązanych z phishingiem oraz botnetami.
W sektorze publicznym i infrastrukturze krytycznej kluczowa pozostaje szybka wymiana informacji między CERT-ami, policją, instytucjami finansowymi i operatorami telekomunikacyjnymi. Im krótszy czas między wykryciem infrastruktury a jej neutralizacją, tym mniejsze ryzyko eskalacji strat.
Podsumowanie
Operacja Serengeti III potwierdza, że skuteczna walka z cyberprzestępczością wymaga działań wielowarstwowych obejmujących ludzi, finanse i zaplecze techniczne. Zatrzymanie 1 462 podejrzanych, zakłócenie działania 10 909 złośliwych sieci oraz odzyskanie ponad 105 mln USD pokazują zarówno skalę zagrożenia, jak i skuteczność skoordynowanej współpracy międzynarodowej.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest praktyczny: nowoczesne kampanie przestępcze nie są pojedynczym incydentem, lecz trwałym modelem operacyjnym. Obrona przed nimi wymaga połączenia telemetrii technicznej, analizy finansowej, kontroli procesów biznesowych i współpracy ponad granicami.
Źródła
- INTERPOL Arrests 1,462 Suspects, Disrupts 10,909 Cybercrime Networks in Global Crackdown — https://thehackernews.com/2026/10/interpol-arrests-1462-suspects-disrupts.html
- INTERPOL statement on Operation Serengeti III — https://www.interpol.int/
- Group-IB statement on intelligence support for Operation Serengeti III — https://www.group-ib.com/