DDoS и рансъмуер: как атакуващите спират услуги и заключват данни

DDoS и рансъмуер често се споменават заедно, но са два различни вида атака. При DDoS целта е услугата да спре да отговаря. При рансъмуер целта са самите данни: атакуващият ги криптира, често и ги краде, и иска откуп. Първото е шумно, но обикновено краткотрайно; второто може да спре работата на една организация за седмици.

Какво е DDoS

DDoS (distributed denial of service, разпределен отказ от услуга) е опит да се претовари сайт, сървър или мрежа с толкова много заявки, че нормалните потребители да не могат да стигнат до тях. „Разпределен“ означава, че трафикът идва от много места наведнъж, обикновено от ботнет: хиляди заразени компютри, рутери или камери, които атакуващият управлява дистанционно. Така не помага просто да блокирате един адрес.

Атаката не прониква в системата и не краде данни. Вредата е в прекъснатата услуга: онлайн магазин, който не продава, или сайт на институция, който не се отваря, когато е най-нужен.

Годишният доклад на Агенцията на ЕС за киберсигурност ENISA за периода от 1 юли 2024 г. до 30 юни 2025 г. анализира 4875 инцидента. Според обобщението му (октомври 2025 г.) по брой инциденти в ЕС преобладава хактивизмът, движен главно от DDoS кампании с малко въздействие срещу сайтове на организации в държавите членки, като само 2% от инцидентите са довели до прекъсване на услугата. Най-атакуван сектор е публичната администрация, а в него 94,8% от инцидентите са DDoS. Ако четете пълния доклад, ползвайте последната му версия: ENISA публикува коригирана версия 1.3 през септември 2026 г.

Какво е рансъмуер

Рансъмуер е зловреден софтуер, който криптира файловете на устройството, така че те и системите, които зависят от тях, стават неизползваеми. После атакуващият иска плащане срещу ключа за декриптиране. Американската агенция CISA описва в ръководството си и „двойното изнудване“: данните първо се изнасят, после се криптират, а жертвата е заплашена, че ще бъдат публикувани, ако не плати. Някои групи вече изобщо не криптират, а само крадат и изнудват.

ENISA определя рансъмуера като най-тежката по последствия заплаха за ЕС, въпреки отчетения спад от 11% спрямо предходния доклад. Сред най-разпространените разновидности агенцията посочва Akira и SafePay, а в публичната администрация рансъмуерът засяга особено общините.

Как най-често започва атаката? Според ENISA фишингът е основният начин за проникване, с около 60% от случаите (включително зловредни имейли, телефонни измами и подвеждащи реклами). Използването на уязвимости е 21,3% от първоначалните пробиви. С други думи, повечето атаки започват от човек, който отваря прикачен файл или въвежда паролата си на фалшива страница, или от сървър без последните обновления.

Как се предпазвате

Мерките са едни и същи за малкия офис и за голямата организация, разлика има само в мащаба. Ръководството на CISA и съветите на проекта No More Ransom (инициатива на нидерландската полиция, Европейския център за борба с киберпрестъпността към Европол и компании за киберсигурност) се събират в няколко точки:

• Резервни копия, които атакуващият не може да достигне. CISA препоръчва копия на важните данни офлайн и криптирани, и редовна проверка, че от тях наистина може да се възстанови. Копие на съседна папка на същия сървър не е резервно копие.
• Многофакторен вход. Устойчив на фишинг втори фактор за пощата, VPN и всички профили с достъп до важни системи.
• Обновления. Редовни кръпки на операционните системи и програмите, с приоритет за сървърите, достъпни от интернет, и за вече известни използвани уязвимости.
• Внимание при прикачени файлове и изтегляния. Съветите на No More Ransom започват от простото: не отваряйте неочаквани прикачени файлове, проверявайте адреса на сайта и сваляйте програми само от сигурни източници.

Срещу DDoS основната защита е на ниво доставчик: услуги за филтриране на трафика и мрежи за доставка на съдържание поемат и пресяват голяма част от заявките, преди да стигнат до сървъра ви. За малък сайт това често означава просто да проверите какво предлага хостингът.

Ако все пак се случи

Първите стъпки в контролния списък на CISA са:

1. Веднага идентифицирайте и изолирайте засегнатите системи; при много засегнати машини извадете мрежата офлайн на ниво комутатор.
2. Изключвайте устройствата само в краен случай, защото така се губят следи в паметта.
3. Подредете системите за възстановяване по важност според предварително изготвен списък.

Проектът No More Ransom съветва да не плащате откупа: плащането финансира престъпниците и не гарантира, че ще получите ключ. Целта на проекта е да помага на жертвите да си върнат данните, без да плащат, затова преди всяко решение проверете раздела му с инструменти за декриптиране. В България инцидентите се докладват на CERT България, националния екип за реагиране при инциденти с компютърната сигурност; формата за докладване е на сайта му.

Ако искате тази тема да стане професия, тя е част от работата, описана в статията за мрежовия инженер и системния администратор, а основите на сигурността в Linux са добро начало. За родители: как да пазим децата в интернет.