Autor: Wojciech Ciemski

Wprowadzenie do problemu / definicja

Międzynarodowe operacje przeciwko cyberprzestępczości coraz częściej koncentrują się nie tylko na identyfikacji sprawców, ale również na szybkim wyłączaniu infrastruktury wykorzystywanej do phishingu, dystrybucji malware oraz kampanii ransomware. W tym modelu kluczowe znaczenie ma współpraca transgraniczna, wymiana danych operacyjnych i możliwość równoczesnego działania w wielu jurysdykcjach.

Operacja Synergia III jest przykładem skoordynowanej akcji wymierzonej w globalne zaplecze techniczne cyberprzestępców. Jej celem było zakłócenie infrastruktury używanej do oszustw internetowych, kradzieży danych oraz wspierania dalszych etapów ataków.

W skrócie

INTERPOL poinformował o zakończeniu operacji Synergia III, prowadzonej od 18 lipca 2025 r. do 31 stycznia 2026 r. W działaniach uczestniczyły służby z 72 państw i terytoriów, a efektem było rozbicie 45 tys. złośliwych adresów IP i serwerów powiązanych z phishingiem, malware i ransomware.

Operacja doprowadziła do 94 zatrzymań, objęła 110 toczących się postępowań oraz zakończyła się zajęciem 212 urządzeń elektronicznych i serwerów. Wśród ujawnionych aktywności znalazły się fałszywe portale kasynowe, serwisy podszywające się pod banki i instytucje publiczne, a także kampanie związane z przejęciami kont, oszustwami romantycznymi, sextortion i wyłudzeniami kredytowymi.

Kontekst / historia

Synergia III to trzecia odsłona szerszego programu działań INTERPOL-u wymierzonego w cyberprzestępczą infrastrukturę. W przeciwieństwie do klasycznych śledztw skupionych na jednej grupie przestępczej, takie operacje mają charakter infrastrukturalny i są nastawione na jednoczesne uderzenie w wiele rozproszonych zasobów wspierających różne modele przestępcze.

Znaczenie podobnych działań rośnie wraz z profesjonalizacją cyberprzestępczości. Współczesne grupy przestępcze korzystają z usług hostingowych odpornych na zgłoszenia, automatyzują tworzenie fałszywych domen oraz współdzielą infrastrukturę pomiędzy różnymi kampaniami. To sprawia, że skuteczne przeciwdziałanie wymaga centralnej koordynacji, sprawnej analizy danych i ścisłej współpracy z sektorem prywatnym.

Wsparcie firm z branży cyberbezpieczeństwa pokazuje, że model współpracy publiczno-prywatnej staje się standardem. Podmioty komercyjne często dysponują telemetrią, wskaźnikami kompromitacji i wiedzą o aktywnej infrastrukturze wykorzystywanej przez sprawców, co znacząco zwiększa skuteczność operacji.

Analiza techniczna

Z technicznego punktu widzenia kluczowym elementem operacji było przekształcenie rozproszonych danych w użyteczne informacje operacyjne. Oznacza to agregację wskaźników kompromitacji, korelację adresów IP, domen, serwerów C2, hostingów phishingowych i innych artefaktów, a następnie przekazanie wyników do właściwych organów krajowych.

Skala działań sugeruje, że celem nie były pojedyncze systemy, lecz całe klastry infrastruktury wspierające różne typy nadużyć. Rozbicie 45 tys. adresów IP i serwerów wskazuje na działania obejmujące identyfikację aktywnej infrastruktury phishingowej, mapowanie serwerów używanych do hostowania fałszywych paneli logowania, namierzanie zaplecza do dystrybucji malware oraz łączenie wybranych zasobów z kampaniami ransomware lub ich komponentami pośrednimi.

• identyfikacja aktywnej infrastruktury phishingowej,
• mapowanie serwerów hostujących fałszywe strony i panele logowania,
• namierzanie zasobów wykorzystywanych do dystrybucji malware,
• powiązanie wybranych elementów infrastruktury z kampaniami ransomware.

Szczególnie istotny był przypadek Makau, gdzie śledczy zidentyfikowali ponad 33 tys. stron phishingowych związanych z fałszywymi kasynami oraz portalami podszywającymi się pod banki i instytucje publiczne. Tego typu operacje zwykle opierają się na masowo generowanych domenach, gotowych szablonach stron logowania oraz mechanizmach automatycznego zbierania danych uwierzytelniających i informacji finansowych.

W Togo ujawniono działalność grup zajmujących się przejęciami kont w mediach społecznościowych, oszustwami romantycznymi i sextortion. Takie kampanie często łączą socjotechnikę z przejętymi tożsamościami, dostępami do skrzynek pocztowych i komunikatorów oraz infrastrukturą służącą do anonimizacji działań. W Bangladeszu zatrzymania dotyczyły z kolei oszustw związanych z pożyczkami, ofertami pracy, kradzieżą tożsamości i kartami płatniczymi.

Zajęcie 212 urządzeń i serwerów ma znaczenie nie tylko dowodowe. Fizyczne przejęcie sprzętu lub logiczne odłączenie systemów od sieci może umożliwić odzyskanie logów, list ofiar, konfiguracji paneli administracyjnych, kluczy dostępowych oraz danych o kolejnych podmiotach zaangażowanych w przestępczy ekosystem.

Konsekwencje / ryzyko

Dla organizacji i użytkowników końcowych operacja potwierdza, że zagrożenie ma charakter masowy, zautomatyzowany i wieloetapowy. Phishing, malware i ransomware nie funkcjonują już jako odrębne zjawiska, lecz jako elementy jednego łańcucha ataku. Fałszywa witryna może posłużyć do kradzieży haseł, które następnie zostaną wykorzystane do przejęcia kont, eskalacji uprawnień, dalszej dystrybucji kampanii lub wdrożenia ransomware.

Ryzyko dla firm obejmuje zarówno bezpośrednie skutki techniczne, jak i konsekwencje biznesowe oraz regulacyjne.

• utrata danych uwierzytelniających pracowników,
• przejęcie kont pocztowych i usług chmurowych,
• nadużycia finansowe i wycieki danych,
• wtórne wykorzystanie skradzionych informacji w kampaniach BEC,
• naruszenia zgodności i obowiązków regulacyjnych.

Z perspektywy obrony należy podkreślić, że nawet skuteczne działania organów ścigania nie eliminują problemu trwale. Infrastruktura cyberprzestępcza jest relatywnie tania do odtworzenia, a grupy przestępcze szybko migrują do nowych dostawców, domen i zakresów adresowych. Oznacza to, że rozbicie zaplecza operacyjnego daje istotny efekt zakłócający, ale nie zastępuje stałego monitoringu i wielowarstwowej ochrony.

Rekomendacje

Organizacje powinny potraktować informacje o takich operacjach jako impuls do przeglądu własnych mechanizmów bezpieczeństwa. Kluczowe znaczenie ma połączenie kontroli technicznych, monitoringu oraz gotowości operacyjnej zespołów bezpieczeństwa.

• egzekwowanie uwierzytelniania wieloskładnikowego dla poczty, VPN i usług SaaS,
• monitorowanie wskaźników kompromitacji związanych z phishingiem, malware i infrastrukturą C2,
• stosowanie filtracji DNS, poczty i ruchu web z analizą reputacyjną domen oraz adresów IP,
• regularne szkolenia użytkowników z rozpoznawania kampanii phishingowych i oszustw socjotechnicznych,
• segmentacja sieci oraz ograniczanie uprawnień zgodnie z zasadą najmniejszych uprawnień,
• centralizacja logów i korelacja zdarzeń w systemach SIEM lub XDR,
• testowanie planów reagowania na incydenty, w tym scenariuszy przejęcia kont i wdrożenia ransomware,
• blokowanie makr, skryptów i nieautoryzowanych binariów tam, gdzie to możliwe,
• kontrola ekspozycji publicznych usług oraz regularne przeglądy powierzchni ataku,
• współpraca z dostawcami bezpieczeństwa, CERT-ami i organami ścigania w przypadku wykrycia aktywnej kampanii.

Dodatkowo zespoły SOC powinny analizować zależności między alertami phishingowymi a późniejszym ruchem lateralnym, nietypowymi próbami logowania i anomaliami w dostępie do danych. Współczesne kampanie rozwijają się etapowo, dlatego incydent związany z kradzieżą poświadczeń może być jedynie początkiem poważniejszego naruszenia.

Podsumowanie

Operacja Synergia III pokazuje skalę współczesnej cyberprzestępczości oraz znaczenie międzynarodowej koordynacji w walce z rozproszoną infrastrukturą zagrożeń. Rozbicie 45 tys. złośliwych adresów IP i serwerów, 94 zatrzymania oraz zajęcie 212 urządzeń to wymierny sukces operacyjny, ale również przypomnienie, że phishing, malware i ransomware nadal tworzą spójny i wysoce adaptacyjny ekosystem.

Dla organizacji najważniejszy wniosek jest praktyczny: nawet skuteczne operacje policyjne nie zastępują ciągłego monitoringu, odporności operacyjnej i dojrzałego programu cyberbezpieczeństwa. Ochrona przed podobnymi zagrożeniami wymaga stałej analizy ryzyka, szybkiego reagowania i konsekwentnego wzmacniania podstawowych mechanizmów obronnych.

Źródła

1. Security Affairs — https://securityaffairs.com/189420/cyber-crime/interpol-operation-synergia-iii-leads-to-45000-malicious-ips-dismantled-and-94-arrests-worldwide.html
2. INTERPOL — Operation Synergia III announcement — https://www.interpol.int/en/News-and-Events/News/2026/Operation-Synergia-III-targets-cybercriminal-networks-worldwide