Ірма Шелест
Після ударів по інфраструктурі «Яндексу» російські цифрові сервіси зіткнулися з масштабними перебоями, однак найпомітніший наслідок атаки виявився не там, де його очікували. Пошукові функції, хмарні платформи та частина користувацьких інструментів відновлюються повільно, тоді як мережі автоматизованих акаунтів і ботів змогли повернутися до роботи значно швидше. Їхні оператори оперативно перенесли навантаження на інші майданчики, продемонструвавши, наскільки гнучкою є сучасна інфраструктура дезінформації.
За оцінками фахівців із мережевого моніторингу, трафік пошуковика Yandex Search і хмарного сервісу Yandex.Cloud після атак тримається приблизно на рівні 10–15% від звичайних показників. Такий спад свідчить про серйозні проблеми з основними дата-центрами, системами зберігання даних і внутрішніми каналами обробки запитів. Водночас активність, пов’язана з ботофермами, скоротилася набагато менше. Це створює враження, що відновлення інструментів масового інформаційного впливу для російської сторони стало пріоритетнішим за повернення повноцінної роботи цивільних цифрових продуктів.
Російські боти відновилися швидше, ніж частина звичайних онлайн-сервісів. Автоматизовані мережі не обов’язково залежать від одного конкретного дата-центру. Їхні оператори можуть заздалегідь підготувати резервні облікові записи, копії програмного забезпечення, альтернативні сервери та кілька маршрутів для передавання команд. У разі пошкодження одного вузла система перемикається на інший, а користувачі соціальних мереж часто навіть не помічають зміни.
Де тепер працюють російські ботоферми
Після проблем із потужностями «Яндексу» значна частина автоматизованого трафіку почала переміщуватися до інших російських хостинг-провайдерів. Серед майданчиків, які фігурують у спостереженнях за такою активністю, називають Radist і Selectel. Йдеться не про повне перенесення всіх ресурсів в один момент, а про поступовий розподіл навантаження між різними серверами, адресами та мережевими сегментами.
Такий підхід ускладнює блокування. Якщо заблокувати один діапазон IP-адрес або вимкнути окремий сервер, оператори можуть швидко перевести ботів на інший майданчик. Частина інфраструктури також може бути розподілена між кількома постачальниками хмарних послуг. У результаті атака на один центр обробки даних не гарантує припинення роботи всієї мережі.
Аналітики описують ситуацію як міграцію високооб’ємної автоматизації. Тобто шкідливий або маніпулятивний трафік не зникає, а змінює місце розташування. Після короткого періоду нестабільності боти знову отримують доступ до систем керування, соціальних платформ і сервісів, де можна створювати публікації, залишати коментарі або масово ставити вподобайки.
Моніторинг соціальних мереж показав, що трафік із російських IP-адрес зменшився приблизно на 0,6%. Кількість автоматизованих дій на окремих платформах скоротилася орієнтовно на 5,7%. Це помітна зміна, але вона не схожа на повне припинення координованої активності. Для масштабних інформаційних кампаній навіть частково відновленої інфраструктури достатньо, щоб підтримувати потрібну кількість публікацій і реакцій.
Знищення дата-центрів саме по собі не означає зникнення дезінформації. Воно може тимчасово знизити темп поширення контенту, порушити роботу панелей керування або змусити операторів витратити ресурси на відновлення. Проте ботоферми, які мають резервні копії та доступ до альтернативних хмарних майданчиків, здатні повернутися до роботи протягом короткого часу.
Чому хмарну інфраструктуру важко зупинити
Сучасні хмарні технології створювалися для забезпечення безперервності бізнесу. Компанії використовують їх, щоб швидко переносити застосунки, масштабувати потужності та відновлювати роботу після аварій. Ті самі можливості можуть застосовувати оператори шкідливих мереж. Для них хмара стає інструментом мобільності: програмне забезпечення, бази даних і керувальні компоненти не прив’язані до одного фізичного приміщення.
Перенесення ботоферми може включати зміну хостинг-провайдера, оренду нових серверів, реєстрацію додаткових доменів і підключення нових проксі-сервісів. Якщо програмні сценарії вже підготовлені, основна операція зводиться до копіювання файлів і налаштування доступу. У деяких випадках це можна зробити за кілька годин. Саме тому фізична атака на частину серверної інфраструктури не обов’язково призводить до тривалої паузи в роботі ботів.
Окрема проблема полягає в тому, що автоматизований трафік може маскуватися під поведінку звичайних користувачів. Боти змінюють частоту запитів, використовують різні IP-адреси, імітують браузери та взаємодіють із контентом нерівномірно. Частина акаунтів може публікувати повідомлення рідко, але синхронно реагувати на конкретні теми. Інші облікові записи працюють майже непомітно, накопичуючи історію активності перед масованою інформаційною кампанією.
Виявлення таких мереж потребує аналізу не лише адрес серверів, а й поведінкових ознак. Фахівці порівнюють час публікацій, повторювані формулювання, маршрути переходів, взаємодію між акаунтами та характер використання однакових технічних шаблонів. Якщо блокувати тільки окремі сервери, оператори зможуть замінити їх. Якщо ж аналізувати всю мережу взаємопов’язаних акаунтів і командних центрів, виявити координацію значно легше.
Показовою є і різниця між цивільними сервісами та інструментами пропаганди. Пошукова система або хмарна платформа працює з великими масивами даних, складними залежностями та критично важливими компонентами. Їхнє відновлення потребує перевірки обладнання, каналів зв’язку, резервних копій і безпеки. Ботофермі часто достатньо мінімального набору функцій: отримати команду, опублікувати текст імітованим користувачем та повторити дію тисячі разів.
Що означає швидке відновлення ботів
Ситуація навколо «Яндексу» демонструє, що інформаційні операції дедалі менше залежать від одного бренду чи конкретного дата-центру. Навіть якщо центральна платформа зазнає серйозних пошкоджень, оператори можуть використати інші хостингові компанії, орендовані сервери або заздалегідь підготовлену резервну інфраструктуру. Це робить цифрову протидію складнішою, адже мішенню стає не один об’єкт, а ціла екосистема.
Для соціальних мереж наслідки можуть бути особливо відчутними. Навіть невелике зменшення загального трафіку не гарантує зниження впливу на аудиторію. Боти можуть зосередитися на кількох ключових темах, підсилювати потрібні повідомлення та створювати ілюзію масової підтримки. Вони не обов’язково мають генерувати мільйони публікацій. Іноді достатньо синхронних коментарів під популярними дописами, щоб змінити сприйняття події або спровокувати суперечку.
Водночас показники трафіку не дають повної картини. Моніторинг окремих мережевих сегментів може не охоплювати закриті сервери, проксі, віртуальні приватні мережі та інфраструктуру за межами країни. Частина автоматизованих дій може проходити через скомпрометовані пристрої звичайних користувачів. Тому будь-які оцінки варто сприймати як зріз активності, а не як абсолютний підрахунок усіх ботів.
Протидія таким кампаніям передбачає поєднання технічних і організаційних заходів. Платформам необхідно швидше виявляти скоординовану поведінку, блокувати мережі пов’язаних акаунтів і перевіряти різкі сплески однотипної активності. Користувачам важливо звертати увагу на повторювані повідомлення, підозріло синхронні реакції та профілі без достовірної історії. Водночас остаточної універсальної технології, яка миттєво зупиняє всі ботоферми, не існує.
Швидке відновлення російських ботів після атак на інфраструктуру «Яндексу» свідчить про заздалегідь підготовлену резервність і високу мобільність таких мереж. Пошкодження серверів може тимчасово зменшити активність, але не ліквідує саму систему. Поки оператори мають доступ до альтернативних хмарних ресурсів, програмних копій і каналів керування, автоматизована пропаганда здатна змінювати майданчики та продовжувати роботу.