Products

AI Adoption & Privacy

AI Workspace
Pricing

Network Security Pricing

Network DDoS Protection
Partners
About Myra
Login
WAAP (Myra App) AI Workspace EU CAPTCHA Partner Portal
Deutsch English Français
Awaria Kontakt
Products
Application Security DDoS Protection Web Application Firewall CDN Bot Management CAPTCHA Network Security Network DDoS Protection (cloud) Network DDoS Protection (on-prem) Network DDoS Protection (hybrid)

AI Adoption & Privacy

AI Workspace
Pricing

Application Security Pricing

DDoS Protection, WAF, CDN, Bot Management EU CAPTCHA

Network Security Pricing

Network DDoS Protection
Partners
About Myra

Company

About Us Careers News & Insights Events 2026 Press Contact

Why Myra?

References & Case Studies Certifications Migration Integrations GDPR Compliance Digital Sovereignty

Myra Compared

Myra vs. Competitors Cloudflare Alternative Akamai Alternative F5 Alternative
Login WAAP Login AI Workspace Login EU CAPTCHA Partner Portal Deutsch Français
Awaria Kontakt

Zaktualizowano 12.10.2026

Atak DDoS: co robić w pierwszej godzinie, komu zgłosić i jak się chronić

Przy ataku DDoS decyduje to, co dzieje się przed Państwa infrastrukturą: zapchanego łącza nie odetka żaden firewall stojący za nim. Dlatego najpierw trzeba potwierdzić, że to atak, a nie awaria, potem zadzwonić do operatora albo dostawcy ochrony DDoS, zanotować godzinę wykrycia i zabezpieczyć logi. Czy incydent trzeba zgłosić do CSIRT, zależy od tego, czy organizacja jest podmiotem kluczowym lub ważnym według ustawy o krajowym systemie cyberbezpieczeństwa; banki i infrastruktura rynków finansowych zgłaszają według DORA. Zawiadomić Policję może każdy poszkodowany.

Stan prawny: październik 2026 r.

Czym jest atak DDoS

W rekomendacji z czerwca 2026 r. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa opisuje go jako zasypanie serwera, aplikacji lub sieci ogromną liczbą żądań z wielu rozproszonych źródeł. Działa to, bo „żaden system nie dysponuje nieograniczonymi zasobami”. Ataki wolumetryczne (np. UDP flood) zajmują całą przepustowość łącza. Ataki na protokoły (np. SYN flood) przeciążają serwery i firewalle. Najtrudniej wykryć ataki na warstwę aplikacji, takie jak HTTP flood, bo naśladują zachowanie prawdziwych użytkowników. Ta sama rekomendacja odnotowuje, że według krajowych zespołów CSIRT podmioty krajowego systemu cyberbezpieczeństwa „często nie są przygotowane na ataki DDoS”.

Pierwsza godzina

  1. Sprawdzić, czy to atak. Błąd routingu, awaria DNS albo nagły napływ klientów po kampanii dają ten sam objaw: usługa nie odpowiada. Gdzie jest wąskie gardło, w łączu, na serwerze czy w aplikacji?
  2. Zebrać zespół kryzysowy, z komunikacją i z osobą, która może zdecydować o ograniczeniu lub wyłączeniu usługi.
  3. Zadzwonić na numer alarmowy operatora lub dostawcy ochrony i od razu otworzyć zgłoszenie.
  4. Zapisać godzinę wykrycia. Od tej chwili wszystko z godziną i strefą czasową.
  5. Zabezpieczyć logi firewalla, proxy i atakowanych serwerów oraz dane NetFlow lub sFlow z routerów brzegowych.

Przy filtrowaniu warto zachować ostrożność. Blokowanie adresów źródłowych niewiele daje przy UDP, bo adres nadawcy można sfałszować, a przy atakach odbitych (np. przez DNS lub NTP) pakiety wysyłają cudze, niczego nieświadome serwery. Limit połączeń na adres IP obraca się przeciwko Państwu, jeśli przed serwerami stoi już reverse proxy, CDN albo usługa ochrony działająca jako proxy: cały prawdziwy ruch przychodzi wtedy z kilku adresów pośrednika i limit odetnie klientów. Ten sam problem dotyczy użytkowników za firmowym albo operatorskim NAT. Przekierowanie BGP do centrum scrubbingowego zachowuje natomiast oryginalne adresy źródłowe. A jeśli łącze jest pełne, lokalne ustawienia nie pomogą wcale; filtrować musi operator albo dostawca ochrony, do którego ruch przekierowano przez BGP.

Co przekazać operatorowi lub dostawcy ochrony

Informacja Do czego służy
Atakowane usługi, nazwy hostów, adresy IP wybór między przekierowaniem przez DNS a przez BGP
Prefiksy IPv4 i IPv6, numer AS, osoba uprawniona do ogłoszeń BGP przekierowanie całej sieci do centrum scrubbingowego
Ruch w bps, pps i liczba żądań na sekundę, początek ataku ocena ataku i dobór filtrów
Znany ruch legalny: partnerzy, API, dozwolone kraje żeby nie zablokować własnych klientów
Dostęp do strefy DNS (TTL obniżony do 5–15 minut; nowy TTL działa dopiero po wygaśnięciu dotychczasowego, dlatego najlepiej ustawić go zawczasu) i certyfikat TLS uruchomienie reverse proxy przed aplikacją webową

Uwaga przy aplikacjach webowych: reverse proxy chroni tylko ruch, który przez niego przechodzi. Atakujący zna już dotychczasowy adres serwera, a reguła na samym serwerze nic nie da, gdy jego łącze jest zapchane. Jeśli atak idzie bezpośrednio na ten adres, trzeba zmienić IP, najlepiej na adres spoza atakowanego zakresu, i nie ujawniać nowego w żadnym publicznym rekordzie DNS (MX, SPF, inne subdomeny) ani w nagłówkach poczty wysyłanej z tego serwera. Potem warto, najlepiej u operatora, odrzucać cały ruch spoza zakresów adresów dostawcy ochrony.

Pierwsza doba

Gdy obciążenie spadnie, praca się nie kończy. UKNF w dobrych praktykach dla sektora finansowego, wydanych przez CSIRT KNF i centrum CEBRF, zwraca uwagę, że DDoS może służyć do „odwrócenia uwagi od innych ataków”, i zaleca w czasie ataku monitorowanie bezpieczeństwa co najmniej w takim stopniu jak w normalnych warunkach. Warto więc przejrzeć logi logowań i alerty z okresu ataku, a przy wątpliwościach zmienić hasła do zaatakowanych systemów.

Potem zawiadomienie o przestępstwie. Art. 269a Kodeksu karnego przewiduje od 3 miesięcy do 5 lat pozbawienia wolności dla każdego, kto bez uprawnienia „przez transmisję” danych w istotnym stopniu zakłóca pracę systemu teleinformatycznego lub sieci. Zawiadomienie można złożyć w każdej jednostce Policji albo u prokuratora (art. 304 § 1 k.p.k.). Instytucje państwowe i samorządowe mają obowiązek zrobić to niezwłocznie i zabezpieczyć ślady (art. 304 § 2 k.p.k.). Do zawiadomienia warto dołączyć logi, zrzuty ekranu i korespondencję z operatorem.

Komu zgłosić incydent w Polsce

Kto zgłasza Dokąd Kiedy Podstawa
Podmiot kluczowy lub ważny przy incydencie poważnym (poza bankowością i infrastrukturą rynków finansowych) właściwy CSIRT sektorowy; do czasu komunikatu o osiągnięciu przez niego zdolności operacyjnej CSIRT NASK, CSIRT GOV albo CSIRT MON, przez system S46 wczesne ostrzeżenie w ciągu 24 h od wykrycia, zgłoszenie w ciągu 72 h od wykrycia, sprawozdanie końcowe w ciągu miesiąca od zgłoszenia; podmiot ważny będący podmiotem publicznym składa tylko zgłoszenie art. 11, 12 i 12c KSC; art. 42 i 44 ustawy nowelizującej
Podmioty kluczowe i ważne, które nie podlegają CSIRT GOV ani CSIRT MON CSIRT NASK, czyli CERT Polska (incydent.cert.pl) jak wyżej art. 26 ust. 6 pkt 1 lit. j KSC
Organy władzy publicznej (w tym administracji rządowej), NBP, BGK, UKNF i inne podmioty z art. 26 ust. 7 CSIRT GOV (ABW): S46 lub formularz e-mailem; z dyżurnym można skonsultować incydent telefonicznie jak wyżej art. 26 ust. 7 KSC
Podmioty podległe MON i firmy pracujące dla Sił Zbrojnych CSIRT MON jak wyżej art. 26 ust. 5 KSC
Firma spoza KSC CSIRT NASK, dobrowolnie; cyber.gov.pl kieruje do właściwego formularza gdy potrzebna pomoc art. 30 KSC
Podmiot finansowy objęty DORA, w tym banki KNF przez system CSIRT KNF wstępne powiadomienie do 4 h od klasyfikacji incydentu jako poważny i nie później niż 24 h od powzięcia o nim wiadomości (przy późniejszej klasyfikacji: 4 h od niej); sprawozdanie śródokresowe do 72 h od powiadomienia; końcowe do miesiąca od sprawozdania śródokresowego art. 19 DORA, art. 5 rozporządzenia delegowanego (UE) 2025/301
Administrator danych, gdy brak dostępu do danych osobowych tworzy ryzyko dla osób Prezes UODO; podmiot przetwarzający informuje administratora bez zbędnej zwłoki, w miarę możliwości w ciągu 72 h art. 33 RODO
Każdy poszkodowany Policja lub prokuratura jak najszybciej art. 269a k.k., art. 304 k.p.k.

Nowelizacja KSC wdrażająca NIS 2 (Dz. U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. Podmioty, które wtedy spełniały kryteria, mają 12 miesięcy na wykonanie obowiązków z rozdziału 3 ustawy, w tym zgłaszania incydentów; dawni operatorzy usług kluczowych mieli na przejście na nowe zasady zgłoszeń 6 miesięcy. Sektorowe zespoły CSIRT powstają w ciągu 18 miesięcy. Dopóki organ właściwy nie ogłosi w dzienniku urzędowym, że CSIRT sektorowy osiągnął zdolność operacyjną, zgłoszenie trafia do CSIRT NASK, GOV lub MON (art. 42 ust. 2 i art. 44 ust. 1 ustawy nowelizującej), a zespół niewłaściwy przekazuje je dalej sam. Tam, gdzie sektorowy zespół cyberbezpieczeństwa działał już przed 2025 r., jest on od 3 kwietnia 2026 r. CSIRT sektorowym i zgłasza się bezpośrednio do niego (art. 44 ust. 3 i art. 46). We wczesnym ostrzeżeniu podaje się m.in. moment wykrycia, czas trwania i to, czy incydent wywołało działanie bezprawne. Rekomendacja Pełnomocnika dodaje, czego CSIRT potrzebuje przy DDoS: zakres atakowanych adresów, numer AS operatora, czas trwania i bieżący wpływ ataku oraz kontakt do osoby, która obsługuje incydent. Więcej o samych obowiązkach: nowelizacja KSC i NIS 2.

Banki i infrastruktura rynków finansowych zgłaszają poważne incydenty związane z ICT wyłącznie do KNF według DORA; przepisów KSC o zgłaszaniu incydentów poważnych do nich nie stosuje się (art. 8i ust. 1 KSC). Zostaje obowiązek współdziałania z CSIRT przy obsłudze incydentu (art. 11 ust. 1 pkt 5) i możliwość dobrowolnego przekazywania informacji (art. 13).

Operatorzy telekomunikacyjni są dziś objęci KSC: średni i duzi przedsiębiorcy komunikacji elektronicznej to podmioty kluczowe, mikro i mali to podmioty ważne, a organem właściwym jest Prezes UKE. Przepisy działu VIIa dawnego Prawa telekomunikacyjnego utraciły moc z wejściem w życie przepisów wdrażających NIS 2, ale do czasu rozpoczęcia realizacji nowych obowiązków przedsiębiorcy telekomunikacyjni wykonują dotychczasowe na podstawie dawnych przepisów (art. 33 ust. 5 ustawy nowelizującej).

Gdy przed atakiem przychodzi żądanie okupu

Czasem najpierw przychodzi e-mail: zapłaćcie, inaczej serwis padnie. Dobre praktyki KNF zaliczają DDoS do narzędzi grup „zorientowanych na zysk finansowy”. Odrębnej rekomendacji CERT Polska ani Pełnomocnika na temat okupu za wstrzymanie DDoS nie znaleźliśmy. Nasza ocena: nie płacić. Wpłata nie daje pewności spokoju, ta sama grupa może wrócić, a firma, która raz zapłaciła, staje się atrakcyjnym celem. Tak też radzi Myra na swojej stronie alarmowej.

Termin podany przez szantażystów to czas, który warto wykorzystać. Wiadomość należy zachować razem z nagłówkami, zawiadomić Policję i w tych kilku dniach zrobić to, co zwykle zajmuje tygodnie: podpisać umowę na ochronę, przygotować przekierowanie i przetestować je. Podmiot kluczowy lub ważny, który we wczesnym ostrzeżeniu poprosi o wytyczne, dostanie je od CSIRT w ciągu 24 godzin, a przy incydencie wyczerpującym znamiona przestępstwa także informację, jak zgłosić go organom ścigania (art. 12 ust. 2 KSC).

Kolejne tygodnie: jak wybrać ochronę przed DDoS

W rekomendacji dla dostawców internetu Pełnomocnik wymienia wsparcie operatora: filtrowanie ruchu w jego sieci i przekierowanie do centrów scrubbingowych. O co pytać przy wyborze, podpowiadają dobre praktyki KNF.

Czy ochrona działa tylko przy ataku, czy stale? Centrum scrubbingowe w trybie off-ramp przyjmuje ruch dopiero w razie ataku, więc na co dzień nie dodaje opóźnień. Jego ryzykiem są błędy typu false positive, czyli odfiltrowanie poprawnego ruchu. Własne urządzenie w serwerowni pomaga wcześnie wykryć atak, ale jako jedyna metoda ochrony skuteczne nie jest, bo nie obroni łącza ponad jego przepustowość.

Gdzie przetwarzany jest ruch? Przy usługach chmurowych KNF zwraca uwagę, że ruch może przejść przez odległy węzeł na świecie, i oczekuje oceny, jak centrum analizuje ruch i czy przetwarza dane. Warto zapytać o lokalizację centrów i o przetwarzanie danych w UE.

Kto odbiera telefon w nocy i jak wygląda test? KNF zaleca regularne testy odporności i procedur oraz osobne łącze do zarządzania infrastrukturą, które działa także podczas ataku. Podobnie Pełnomocnik zaleca izolację sieci zarządzania od ruchu użytkowników, fizyczną lub logiczną.

Co oferuje Myra

Myra Security to kwalifikowany przez BSI dostawca usług mitygacji DDoS; BSI to niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji. W zestawieniu BSI przy Myra zaznaczono m.in. całodobową dostępność i przekierowanie ruchu przez DNS i BGP. Według strony alarmowej Myra ochronę DDoS Protection można uruchomić także w trakcie ataku, w ciągu kilku minut. Przy trwającym ataku prosimy skorzystać z kontaktu alarmowego. Klienci mają wsparcie awaryjne 24/7 zależnie od umowy.

Całe sieci chroni Network DDoS Protection (cloud): przy ataku ruch trafia do Myra przez bardziej szczegółowe ogłoszenie BGP, dla prefiksów IPv4 od /24 i IPv6 od /48. Oczyszczony ruch wraca przez Direct Connect, tunel GRE, VLAN lub opcjonalnie IPsec. Do dyspozycji jest ponad 50 Tb/s zdolności mitygacji ataków wolumetrycznych, a szczegółowy raport z incydentu przychodzi w ciągu 48 godzin (w dni robocze). Mniejsze sieci obsługuje Network DDoS Protection (hybrid): atak jest odpierany lokalnie, a po przekroczeniu lokalnej przepustowości ochrona przechodzi do chmury.

Aplikacje webowe chroni DDoS Protection, redundantny reverse proxy HTTP/S. Wystarczy wskazać w DNS serwery Myra i wgrać certyfikat TLS. Usługa działa na infrastrukturze Myra z atestacją BSI C5 typu 2. Dane: przetwarzanie danych w UE, na życzenie wyłącznie w Niemczech. Szczegóły certyfikatów i atestacji: certifications.

Najczęstsze pytania

Czy atak DDoS trzeba zgłosić do CSIRT?

Obowiązek dotyczy podmiotów kluczowych i ważnych w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, i to wtedy, gdy atak spełnia kryteria incydentu poważnego. Wczesne ostrzeżenie trzeba wysłać niezwłocznie, najpóźniej w ciągu 24 godzin od wykrycia, zgłoszenie incydentu najpóźniej w ciągu 72 godzin od wykrycia, a sprawozdanie końcowe w ciągu miesiąca od zgłoszenia (art. 11 ust. 1 pkt 4–4c KSC). Podmioty ważne będące podmiotami publicznymi nie składają wczesnego ostrzeżenia ani sprawozdania końcowego (art. 12c). Podmioty objęte KSC od 3 kwietnia 2026 r. mają na wdrożenie tego obowiązku czas do 3 kwietnia 2027 r. Dopóki organ właściwy nie ogłosi, że CSIRT sektorowy osiągnął zdolność operacyjną, zgłoszenia trafiają do CSIRT NASK, CSIRT GOV albo CSIRT MON (art. 44 ustawy nowelizującej z 23 stycznia 2026 r.). Pozostałe firmy mogą zgłosić incydent dobrowolnie do CSIRT NASK, czyli do CERT Polska (art. 30 KSC). Banki i infrastruktura rynków finansowych zgłaszają poważne incydenty związane z ICT według DORA do KNF, a nie według KSC (art. 8i KSC).

Czy płacić okup, gdy grupa grozi atakiem DDoS?

Naszym zdaniem nie. Zapłata niczego nie zamyka: ta sama grupa może wrócić, a pieniądze finansują kolejne ataki. Odrębnej rekomendacji CERT Polska ani Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotyczącej okupu za DDoS nie znaleźliśmy. Prosimy zachować wiadomość z nagłówkami, zawiadomić Policję i wykorzystać czas do terminu podanego przez szantażystów na uruchomienie ochrony.

Czy atak DDoS jest naruszeniem ochrony danych osobowych?

Może być. Wytyczne Grupy Roboczej Art. 29, opublikowane przez UODO, podają atak typu odmowa usługi jako przykład utraty dostępności danych. Każde takie zdarzenie trzeba udokumentować (art. 33 ust. 5 RODO). Zgłoszenie do Prezesa UODO, bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin, jest potrzebne, gdy brak dostępu do danych może skutkować ryzykiem dla praw lub wolności osób.

Czy można wykupić ochronę DDoS w trakcie ataku?

Tak. Według strony alarmowej Myra ochronę DDoS Protection można uruchomić także w trakcie ataku, w ciągu kilku minut, a linia alarmowa działa całą dobę. Przekierowanie całych sieci przez BGP wymaga jednak przygotowania połączenia zwrotnego, na przykład tunelu GRE. Szybciej uruchamia się ochronę aplikacji webowej przez zmianę rekordów DNS.

Źródła

Artykuł przedstawia stan na październik 2026 r. i nie stanowi porady prawnej.