Wprowadzenie do problemu / definicja
Dark web od lat pozostaje jednym z kluczowych elementów ekosystemu cyberprzestępczego. To środowisko, w którym anonimowość użytkowników, szyfrowana komunikacja oraz rozliczenia w kryptowalutach sprzyjają handlowi nielegalnymi towarami i usługami, w tym narkotykami, bronią, skradzionymi danymi, dostępami do sieci firmowych oraz narzędziami wykorzystywanymi w oszustwach internetowych.
Operacja TorNado pokazuje jednak, że nawet rozproszona i odporna infrastruktura dark webu nie gwarantuje pełnej bezkarności. Dzięki skoordynowanej współpracy międzynarodowej organy ścigania są w stanie łączyć dane z wcześniejszych przejęć, analiz blockchain oraz materiałów dowodowych z wielu jurysdykcji, aby identyfikować zarówno sprzedawców, jak i kupujących.
W skrócie
- W ramach Operation TorNado zatrzymano 354 osoby powiązane z handlem w dark webie.
- Działania trwały od maja 2025 do października 2026 i objęły współpracę służb z 14 państw.
- Śledztwo dotyczyło aktywności na marketplace’ach, forach, sklepach pojedynczych sprzedawców oraz w szyfrowanych komunikatorach.
- W wyniku operacji przejęto narkotyki, broń palną, gotówkę oraz aktywa kryptowalutowe.
- Akcja potwierdziła rosnącą skuteczność łączenia danych wywiadowczych, kryminalistyki cyfrowej i informacji z wcześniejszych przejęć infrastruktury przestępczej.
Kontekst / historia
Operation TorNado wpisuje się w szerszy trend wieloletnich, międzynarodowych działań wymierzonych w przestępczość funkcjonującą w dark webie. W poprzednich latach organy ścigania prowadziły podobne operacje, takie jak DisrupTor, Dark HunTor, SpecTor czy RapTor. Ich wspólnym celem było nie tylko zamykanie pojedynczych platform, ale przede wszystkim identyfikacja uczestników podziemnego ekosystemu oraz rozbijanie sieci logistycznych, finansowych i komunikacyjnych.
W praktyce najważniejsza wartość takich działań nie wynika wyłącznie z przejęcia serwerów czy zamknięcia jednego rynku. Znacznie większe znaczenie ma materiał dowodowy pozyskany z kont użytkowników, logów, historii transakcji, portfeli kryptowalutowych i kanałów komunikacyjnych. To właśnie te informacje umożliwiają budowanie wielomiesięcznych dochodzeń oraz korelację aliasów z rzeczywistymi tożsamościami.
Analiza techniczna
Z technicznego punktu widzenia skuteczność Operation TorNado wynikała z połączenia kilku metod analitycznych. Pierwszą warstwą była analiza danych pochodzących z marketplace’ów i innych przejętych zasobów, obejmująca aliasy użytkowników, historię ofert, reputację sprzedawców oraz wzorce transakcyjne. Drugą warstwę stanowiła analiza blockchain, pozwalająca śledzić przepływy środków pomiędzy portfelami, giełdami, usługami mieszającymi i punktami wypłaty.
Trzeci istotny element stanowiła korelacja danych operacyjnych, takich jak metadane przesyłek, informacje z urządzeń końcowych, logi systemowe, dane z komunikatorów oraz ustalenia z krajowych postępowań. Tego typu wielowarstwowa analiza umożliwia mapowanie relacji pomiędzy sprzedawcami, pośrednikami i klientami, nawet jeśli działają oni pod wieloma aliasami i korzystają z rozproszonych kanałów komunikacji.
Według informacji związanych z operacją, śledczy analizowali aktywność na platformach takich jak Archetyp, Nemesis, Tor2Door, Bohemia i Kingdom. Znaczenie ma także fakt, że współczesny model działalności przestępczej coraz częściej odchodzi od jednego scentralizowanego marketplace’u. Przestępcy stosują model hybrydowy: ogłoszenie pojawia się na rynku, dalszy kontakt przenosi się do komunikatora, płatność trafia do kryptowaluty, a realizacja odbywa się przez tradycyjne kanały logistyczne.
To pokazuje, że odporność dark webu nie sprowadza się jedynie do ukrywania serwerów. Obejmuje również szybkie odbudowywanie reputacji pod nowymi nazwami, migrację pomiędzy platformami, korzystanie z monet nastawionych na prywatność oraz równoległe wykorzystywanie wielu warstw infrastruktury. W efekcie samo zamknięcie jednego serwisu rzadko kończy problem, ale często dostarcza danych niezbędnych do kolejnych zatrzymań.
Konsekwencje / ryzyko
Z perspektywy cyberbezpieczeństwa znaczenie Operation TorNado wykracza poza walkę z nielegalnym handlem towarami fizycznymi. Dark web pozostaje wspólną przestrzenią dla różnych segmentów przestępczości, w tym sprzedaży skradzionych danych, phishing kits, malware, usług initial access, fałszywych dokumentów oraz kanałów prania pieniędzy. Każde skuteczne uderzenie w zaufanie do takich platform zwiększa koszty operacyjne przestępców i czasowo zakłóca ich działalność.
Jednocześnie zagrożenie nie znika. Historia podobnych akcji pokazuje, że po dużych operacjach następuje migracja użytkowników do nowych serwisów, wzrost aktywności na forach i w komunikatorach oraz dalsza fragmentacja rynku. Dla zespołów obronnych oznacza to konieczność obserwowania nie tylko głównych marketplace’ów, ale także infrastruktury towarzyszącej, takiej jak portfele, kanały kontaktu, usługi hostingowe i wzorce logistyczne.
Dla organizacji publicznych i prywatnych szczególnie niebezpieczny jest fakt, że te same środowiska często pośredniczą również w sprzedaży poświadczeń, dostępów do sieci przedsiębiorstw oraz gotowych zestawów narzędzi do ataków. Oznacza to, że nawet częściowe rozbicie ekosystemu nie usuwa ryzyka wtórnego, lecz jedynie czasowo je ogranicza.
Rekomendacje
Organizacje odpowiedzialne za bezpieczeństwo powinny traktować tego rodzaju operacje jako impuls do aktualizacji modeli zagrożeń, procedur detekcyjnych i planów reagowania. W praktyce warto skupić się na kilku kluczowych działaniach:
- monitorowaniu źródeł threat intelligence pod kątem migracji aktywności przestępczej po dużych operacjach organów ścigania;
- analizie ekspozycji organizacji na wycieki poświadczeń, dane oferowane w dark webie oraz oferty sprzedaży dostępu do infrastruktury;
- wdrażaniu analityki anomalii w obszarze płatności, logowań i dostępu uprzywilejowanego;
- rozwijaniu zdolności OSINT i DFIR w celu szybszego łączenia incydentów wewnętrznych z zewnętrznym krajobrazem zagrożeń;
- wzmacnianiu segmentacji sieci, mechanizmów MFA, ochrony tożsamości oraz monitoringu kont uprzywilejowanych;
- utrzymywaniu współpracy operacyjnej z CERT-ami, organami ścigania i partnerami branżowymi.
Po każdej dużej akcji policyjnej pojawia się zwykle okres przejściowy, w którym przestępcy testują nowe aliasy, kanały sprzedaży i modele budowy zaufania. To moment szczególnie ważny dla zespołów bezpieczeństwa, ponieważ korelacja sygnałów z różnych źródeł może wtedy przynieść ponadprzeciętne efekty operacyjne.
Podsumowanie
Operation TorNado to kolejny dowód na to, że skuteczna walka z cyberprzestępczością wspieraną przez dark web wymaga długofalowej współpracy międzynarodowej, zaawansowanej analizy danych oraz łączenia klasycznych działań policyjnych z kryminalistyką cyfrową. Zatrzymanie 354 osób i przejęcie znaczących aktywów pokazują realną skuteczność takiego podejścia, ale jednocześnie potwierdzają wysoką adaptacyjność podziemnych rynków.
Dla branży cyberbezpieczeństwa oznacza to konieczność dalszego inwestowania w wywiad zagrożeń, monitoring ekosystemów przestępczych oraz zdolność szybkiego reagowania na zmieniające się taktyki przeciwnika. Rozbicie pojedynczych struktur nie kończy problemu, ale może znacząco osłabić zaufanie do przestępczej infrastruktury i stworzyć przewagę po stronie obrońców.
Źródła
- BleepingComputer – Police arrest 354 suspects in dark web cybercrime crackdown
https://www.bleepingcomputer.com/news/security/police-arrest-354-vendors-buyers-in-global-cybercrime-crackdown/ - Europol – 354 dark web vendors and buyers arrested in Europol-coordinated global crackdown
https://www.europol.europa.eu/media-press/newsroom/news/354-dark-web-vendors-and-buyers-arrested-in-europol-coordinated-global-crackdown - DEA – International Law Enforcement Operation Targeting Opioid and Fentanyl Traffickers on the Dark Web Results in over 350 Arrests Worldwide and the Seizure of Drugs, Weapons, and over $234 Million
https://www.dea.gov/press-releases/2026/11/12/international-law-enforcement-operation-targeting-opioid-and-fentanyl - United States Department of Justice – Law Enforcement Seize Record Amounts of Illegal Drugs, Firearms, and Drug Trafficking Proceeds in International Operation Against Darknet Trafficking of Fentanyl and Opioids; 270 Arrested Across Four Continents
https://www.justice.gov/opa/pr/law-enforcement-seize-record-amounts-illegal-drugs-firearms-and-drug-trafficking-proceeds - FBI – Global Operation Targets Darknet Drug Trafficking
https://www.fbi.gov/news/stories/global-operation-targets-darknet-drug-trafficking