Netia opublikowała raport analizujący ataki DDoS na polskie przedsiębiorstwa i instytucje w latach 2021–2025. Z opracowania wynika, że w ciągu pięciu lat liczba takich incydentów wzrosła 2,69-krotnie. Wśród najczęściej atakowanych podmiotów znalazły się firmy hostingowe, operatorzy telekomunikacyjni i przedsiębiorstwa z sektora IT.
Raport przygotowany na zlecenie Netii obejmuje analizę 45 072 ataków DDoS zidentyfikowanych i zneutralizowanych w infrastrukturze operatora oraz u jego klientów korzystających z usługi DDoS Protection. Dane pokazują wyraźny wzrost aktywności cyberprzestępców. Szczególnie intensywny był 2025 rok, w którym odnotowano 14 562 incydenty, o 36 proc. więcej niż rok wcześniej.
W porównaniu z 2021 r. liczba ataków wzrosła o 169 proc. Oznacza to, że w ubiegłym roku klienci objęci analizą mierzyli się średnio z jednym atakiem co około 36 minut.
Netia: firmy hostingowe najczęstszym celem ataków
Zestawienie obejmuje podmioty z różnych sektorów gospodarki. Najczęściej atakowane były firmy hostingowe oraz przedsiębiorstwa z branży IT i telekomunikacyjnej. W 2025 r. ta ostatnia grupa odnotowywała średnio 654 ataki miesięcznie.
Wśród pozostałych sektorów szczególnie widoczne były transport i logistyka, przemysł, administracja publiczna oraz handel. Instytucje publiczne mierzyły się średnio z 59 incydentami miesięcznie, a przedsiębiorstwa przemysłowe z 63.
Netia zwraca uwagę, że ataki na operatorów i dostawców hostingu mogą mieć szersze konsekwencje. Zakłócenia infrastruktury wykorzystywanej przez klientów mogą wpływać również na funkcjonowanie samych dostawców usług internetowych.
Największy atak przekroczył 481 Gb/s
W raporcie przeanalizowano również czas trwania i skalę poszczególnych incydentów. Większość ataków była krótkotrwała: 68 proc. zakończyło się przed upływem pięciu minut, a 87 proc. trwało krócej niż 15 minut. Zdarzały się jednak znacznie dłuższe kampanie. Najdłuższy zarejestrowany atak utrzymywał się przez 78,28 dnia i był wymierzony w wydawcę medialnego.
Największy pod względem przepustowości incydent osiągnął 481,1 Gb/s. Wśród dziesięciu największych ataków dominowały te skierowane przeciwko firmom telekomunikacyjnym i hostingowym. Na liście znalazły się również przedsiębiorstwa spoza branży technologicznej, w tym producent oświetlenia i operator usług płatniczych.
Zmieniają się techniki cyberprzestępców
Autorzy opracowania wskazują na rosnące znaczenie ataków wielowektorowych, w których napastnicy zmieniają wykorzystywane metody i parametry ruchu, aby ominąć zabezpieczenia. Coraz częściej stosowany jest również carpet-bombing, czyli atak dywanowy. Polega on na rozpraszaniu złośliwego ruchu na wiele adresów IP lub całe zakresy sieci, co utrudnia wykrycie zagrożenia przy użyciu standardowych mechanizmów progowych.
Raport opisuje także różne motywacje stojące za atakami. Obejmują one wymuszenia finansowe, zemstę, działania wymierzone w konkurencję oraz aktywność grup haktywistycznych. W kontekście Polski Netia zwraca uwagę na działania grup powiązanych z Rosją i Białorusią, wykorzystujących DDoS jako narzędzie presji politycznej i element działań hybrydowych.
Netia wskazuje na znaczenie szybkiej reakcji
Ostatnia część raportu poświęcona jest metodom ochrony infrastruktury przed atakami DDoS. Netia opisuje m.in. rolę automatycznej detekcji, filtrowania ruchu i centrów oczyszczania, które pozwalają oddzielić złośliwe pakiety od połączeń pochodzących od rzeczywistych użytkowników.
Z danych operatora wynika, że w latach 2021–2025 84 proc. klientów zostało poinformowanych o ataku w czasie nieprzekraczającym pięciu minut, a 93 proc. powiadomień przekazano w ciągu maksymalnie 15 minut.
W raporcie znalazło się również studium przypadku ataku na polską firmę e-commerce z maja 2025 r. Cyberprzestępcy wygenerowali ruch przekraczający 100 Gb/s, wykorzystując ponad 200 tys. adresów IP. Atak objął około 250 serwerów i doprowadził do zakłóceń w dystrybucji paczek oraz dostawach do sklepów stacjonarnych. Tego samego dnia nastąpiło kolejne uderzenie o podobnej skali. Według Netii zastosowane mechanizmy ochronne pozwoliły ograniczyć skutki obu incydentów.
Raport został przygotowany w lipcu 2026 r. przez Smart Tech RE na zlecenie Netia S.A. Analiza bazuje na danych z platformy NETSCOUT/Arbor DDoS i obejmuje rzeczywiste ataki z lat 2021–2025.
