Wprowadzenie do problemu / definicja
Cyberprzestępczość od dawna nie ogranicza się wyłącznie do pojedynczych ataków malware czy prostych kampanii phishingowych. Współczesne grupy przestępcze działają transgranicznie, łącząc oszustwa inwestycyjne, wyłudzenia BEC, ransomware, pranie pieniędzy oraz infrastrukturę cyfrową rozproszoną pomiędzy wieloma państwami. Operacja Serengeti III pokazuje, że dzisiejszy cyberfraud funkcjonuje jak zorganizowany ekosystem usługowy, w którym technologia, socjotechnika i mechanizmy finansowe wzajemnie się uzupełniają.
W praktyce oznacza to, że ofiara coraz częściej nie ma kontaktu ze złośliwym oprogramowaniem w klasycznej formie, lecz z profesjonalnie przygotowaną operacją manipulacji. Fałszywe platformy inwestycyjne, przejęte skrzynki pocztowe, skrypty rozmów dla operatorów call center i kryptowalutowe kanały transferu środków stają się standardowym wyposażeniem przestępczych struktur.
W skrócie
INTERPOL poinformował o wynikach operacji Serengeti III, prowadzonej od 29 czerwca do 31 sierpnia 2026 roku w 21 państwach. W ramach akcji zatrzymano 1462 osoby, zakłócono działanie 10 909 złośliwych sieci oraz odzyskano ponad 105 mln USD pochodzących z nielegalnej działalności.
Śledczy zidentyfikowali 65 929 ofiar, a analiza finansowa powiązała badane kampanie ze stratami przekraczającymi 385 mln USD. Działania objęły między innymi oszustwa inwestycyjne, ransomware, phishing, business email compromise, internetowe scamy oraz cyfrowe wymuszenia.
- 1462 zatrzymanych podejrzanych
- 105 mln USD odzyskanych środków
- 10 909 zakłóconych złośliwych sieci
- 65 929 zidentyfikowanych ofiar
- Straty powiązane ze sprawami przekroczyły 385 mln USD
Kontekst / historia
Międzynarodowe operacje organów ścigania coraz wyraźniej odchodzą od modelu skoncentrowanego wyłącznie na przejęciu serwerów, domen czy pojedynczych narzędzi wykorzystywanych przez przestępców. Coraz częściej mamy do czynienia z podejściem łączącym analizę infrastruktury, korelację danych wywiadowczych, dochodzenia finansowe i skoordynowane działania operacyjne w wielu jurysdykcjach jednocześnie.
W przypadku Serengeti III znaczenie miała nie tylko faza egzekucyjna, ale również wcześniejsze działania przygotowawcze. Śledczy otrzymali informacje o podejrzanych domenach, adresach IP oraz infrastrukturze command-and-control, co pozwoliło lepiej odwzorować zależności pomiędzy kampaniami i ich operatorami. Istotne wsparcie zapewnił także sektor prywatny, dostarczając dane telemetryczne, analizę zagrożeń oraz wiedzę techniczną pomocną przy łączeniu incydentów występujących w różnych krajach.
Analiza techniczna
Z technicznego punktu widzenia operacja potwierdza, że nowoczesne kampanie cyberprzestępcze są budowane warstwowo. Widoczna dla ofiary część ataku to najczęściej fałszywa witryna inwestycyjna, wiadomość phishingowa, komunikacja przez komunikator lub przejęta korespondencja e-mail. Za tym frontem działa jednak pełne zaplecze operacyjne obejmujące domeny, serwery pośredniczące, systemy zarządzania kampanią, panele obsługi ofiar, usługi hostingowe i kanały anonimizacji przepływów finansowych.
Jednym z ważniejszych przypadków była Uganda, gdzie rozbito dwie międzynarodowe sieci oszustw i zatrzymano 365 cudzoziemców podejrzewanych o prowadzenie internetowych scamów inwestycyjnych i emerytalnych wymierzonych w ofiary w Azji. Śledczy ujawnili call center, w których operatorzy korzystali z gotowych skryptów socjotechnicznych. Model ten łączy klasyczne techniki manipulacji z technologiczną warstwą oszustwa, obejmującą domeny podszywające się pod legalne usługi, systemy płatności oraz narzędzia do zarządzania kontaktami z ofiarami.
W Angoli zlikwidowano dwa nielegalne centra kopania kryptowalut, zatrzymano dziewięć osób i przejęto ponad 2000 urządzeń miningowych oraz sześć nielegalnych stacji zasilania. Ten wątek pokazuje, że cyberprzestępczość może obejmować nie tylko infrastrukturę logiczną, ale również fizyczne zasoby obliczeniowe i energetyczne generujące przychód poza legalnym obiegiem.
W Nigerii zatrzymano podejrzanego powiązanego z phishingiem i BEC. Sprawa dotyczyła kradzieży poświadczeń do oprogramowania oraz pozyskania około 2,1 mln adresów e-mail. Równolegle odrębne dochodzenie doprowadziło do prześledzenia ponad 2,4 mln USD związanych z oszustwem inwestycyjnym promowanym przez komunikatory, przy czym znaczna część środków była prana z wykorzystaniem kryptowalut.
W tle całej operacji widoczny jest też wzrost znaczenia sztucznej inteligencji w skalowaniu oszustw. AI może wspierać tworzenie bardziej wiarygodnych wiadomości, personalizację przynęt phishingowych, automatyzację dialogu z ofiarą czy poprawę jakości treści używanych w kampaniach socjotechnicznych. Nie zastępuje ona jednak infrastruktury przestępczej, lecz zwiększa skuteczność już istniejących modeli działania.
Konsekwencje / ryzyko
Wyniki operacji potwierdzają, że współczesna cyberprzestępczość działa jak zorganizowany sektor usługowy. Dla firm oznacza to rosnące ryzyko wieloetapowych ataków łączących phishing, kradzież tożsamości, przejęcie komunikacji biznesowej oraz oszustwa płatnicze. Szczególnie narażone pozostają organizacje realizujące międzynarodowe przelewy, współpracujące z rozproszonym łańcuchem dostaw lub opierające procesy autoryzacyjne głównie na poczcie elektronicznej.
Dla użytkowników indywidualnych największym zagrożeniem są fałszywe inwestycje, scamy emerytalne, fikcyjne aplikacje pożyczkowe oraz manipulacja oparta na pozorach wiarygodności. Ofiara często ma do czynienia nie z typowym atakiem technicznym, ale z profesjonalnie zaplanowaną operacją psychologiczną wspieraną przez analitykę danych i częściową automatyzację.
Warto też podkreślić, że samo zakłócenie infrastruktury nie musi oznaczać trwałego rozbicia grupy. Operatorzy potrafią szybko odbudowywać zaplecze techniczne, migrować do nowych dostawców, zmieniać domeny i modyfikować swoje TTP. Udana akcja organów ścigania podnosi koszt działalności przestępczej, ale nie eliminuje ryzyka długofalowo.
Rekomendacje
Organizacje powinny rozwijać wielowarstwową ochronę przed phishingiem i BEC, obejmującą zarówno kontrolę techniczną, jak i procedury biznesowe. Szczególne znaczenie ma zabezpieczenie poczty elektronicznej, uwierzytelnianie wieloskładnikowe oraz niezależna weryfikacja zmian w danych płatniczych.
- Wdrażanie MFA dla kont pocztowych, administracyjnych i finansowych
- Egzekwowanie polityk SPF, DKIM i DMARC
- Monitorowanie anomalii logowań oraz nietypowych wzorców komunikacji
- Stosowanie out-of-band verification przy zmianach numerów rachunków i pilnych dyspozycjach płatniczych
- Wykrywanie brand abuse i fałszywych stron podszywających się pod markę
- Korelacja IOC, danych o domenach i schematach fraudowych przez zespoły SOC oraz threat intelligence
- Rozwijanie mechanizmów antyfraudowych opartych na analizie behawioralnej transakcji
- Szkolenie użytkowników z rozpoznawania fałszywych inwestycji, presji czasowej i manipulacji emocjonalnej
Na poziomie strategicznym firmy powinny zakładać, że nowoczesny cyberfraud ma charakter hybrydowy. Obrona nie może więc koncentrować się wyłącznie na malware i exploitach, lecz powinna obejmować również ochronę procesów biznesowych, tożsamości cyfrowej oraz monitorowanie nadużyć finansowych.
Podsumowanie
Operacja Serengeti III to ważny przykład międzynarodowej współpracy przeciwko cyberprzestępczości prowadzonej na dużą skalę. Liczba zatrzymań, odzyskane środki i skala zakłóconej infrastruktury pokazują, że skuteczne przeciwdziałanie wymaga połączenia analizy technicznej, działań operacyjnych i dochodzeń finansowych.
Sprawa potwierdza również, że głównym wektorem zagrożeń pozostaje dziś połączenie socjotechniki, rozproszonej infrastruktury cyfrowej i sprawnych mechanizmów monetyzacji. Dla firm, instytucji i użytkowników indywidualnych to wyraźny sygnał, że bezpieczeństwo musi obejmować nie tylko warstwę IT, ale także procesy operacyjne oraz kontrolę przepływów finansowych.
Źródła
- Security Affairs — https://securityaffairs.com/201500/cyber-crime/interpol-operation-serengeti-iii-nets-1462-arrests-and-recovers-105-million-in-cybercrime-crackdown.html
- INTERPOL — https://www.interpol.int/