Strona główna / Analizy / Mniej botów po atakach na Yandex?
// analiza · boty czy crawlery

Mniej botów po atakach na Yandex? Co naprawdę zmierzył wykres.

Po ukraińskich atakach na centra danych Yandexu w październiku 2026 r. pojawiła się teza, że „ustał ruch rosyjskich botów”. Wykres, od którego się zaczęło, był prawdziwy. Mierzył jednak coś innego niż to, o czym potem mówiono: automatyczne żądania HTTP z sieci Yandexu, a nie konta w mediach społecznościowych. Słowo „bot” znaczy w tych dwóch miejscach dwie różne rzeczy.

Łukasz Diener · opublikowano · ok. 9 min czytania

// w skrócie

Wykres był prawdziwy. Wniosek z niego — nie.

  • źródło Cloudflare Radar pokazał gwałtowny spadek automatycznego ruchu HTTP z sieci Yandexu (AS13238) po atakach na jego centra danych [7].
  • źródło „Bot” w Cloudflare Radar to pojedyncze żądanie HTTP, które model uczenia maszynowego ocenił jako prawdopodobnie zautomatyzowane — np. robot indeksujący strony (crawler), skaner, spam. Nie konto w mediach społecznościowych [9] [10].
  • źródło Analiza NASK nie wykazała istotnego spadku aktywności monitorowanych kont szerzących dezinformację w polskich mediach społecznościowych [1].
  • wniosek Z tych danych nie wynika zdanie „mniej ruchu automatycznego z Yandexu, więc mniej rosyjskich kont propagandowych”.
// co się stało

Trzy ataki, jeden wykres i dwie interpretacje.

źródło Ukraińskie drony zaatakowały trzy centra danych Yandexu — w Sasowie, Kałudze i Włodzimierzu. NASK podaje daty ataków: 8, 9 i 11 października 2026 r. [1]; relacje prasowe różnią się co do przypisania dat do poszczególnych obiektów.

źródło Po atakach w mediach społecznościowych zaczął krążyć wykres z serwisu Cloudflare Radar, pokazujący gwałtowny spadek ruchu botów z sieci Yandexu. Według Spider's Web po ataku na centrum w Sasowie 8 października wskaźnik spadł do około 57 proc. wcześniejszego poziomu, a w dniach 10 i 11 października liczba żądań HTTP załamała się [7].

źródło 12 października prezydent Ukrainy Wołodymyr Zełenski mówił podczas Warsaw Security Forum o tym, że po uderzeniach „na wielu platformach społecznościowych nieco łatwiej się oddycha (…) ponieważ jest mniej botów” [2]. Zapytane później przez BBC Verify biuro prezydenta wyjaśniło, że nie chodziło o zmniejszoną aktywność botów, tylko o „atmosferę w mediach społecznościowych” [3].

źródło Tego samego dnia, podczas odprawy rządowej, minister koordynator służb specjalnych powiedział [1] [8]:

„ABW obserwuje znaczący, radykalny spadek działalności rosyjskich botów w sieci, to jest zjawisko światowe. Po zbombardowaniu trzech centrów danych i wyłączeniu trzech rosyjskich superkomputerów, na świecie praktycznie ustał ruch rosyjskich botów, przynajmniej na ten moment.”

źródło Dzień później minister napisał, że posługiwał się wyłącznie informacjami od ABW, a wyłączenie centrów danych „miało oczywisty wpływ na zmiany ruchu sieciowego z tego kierunku. Pewnie przejściowy, pewnie pełny niuansów techniczno-terminologicznych (crowlery, skrypty, boty itd.)” [1]. Wirtualnej Polsce powiedział: „W myśl danych zmniejszył się wszelki ruch. Trudno rozpatrywać techniczne detale, co znaczą jakie boty” [4].

// co mierzy wykres

Jednostką jest żądanie HTTP, nie konto.

źródło Cloudflare przypisuje żądaniom HTTP tzw. bot score w skali 1–99. Większość ocen wystawia silnik uczenia maszynowego, który na podstawie cech żądania — nagłówków, cech sesji, sygnałów przeglądarki — szacuje, czy żądanie wysłał człowiek, czy automat [10].

źródło W Cloudflare Radar żądania z oceną 1–29 są liczone jako ruch botów („likely automated”), a z oceną 30 i wyższą — jako ruch ludzki. Domyślnie Radar pokazuje ten podział dla żądań o treść HTML [9] [11].

wniosek Jednostką pomiaru jest więc pojedyncze żądanie do strony internetowej, a nie konto, wpis ani osoba. Yandex jest przede wszystkim wyszukiwarką, a wyszukiwarka stale wysyła roboty, które pobierają strony do indeksu — dlatego zniszczenie jej centrów danych musiało być widoczne właśnie w tym wskaźniku.

// dwa znaczenia słowa „bot”

Ta sama nazwa, dwa różne zjawiska.

„Bot” w Cloudflare Radar„Bot” w mediach społecznościowych
Co to jestprogram wysyłający automatyczne żądania do stron WWW: robot indeksujący (crawler), skaner, spam, próby logowaniakonto, za którym stoi automat albo operator farmy kont
Gdzie działaw ruchu sieciowym do stron internetowychna platformach: X, Facebook, TikTok i innych
Co robipobiera strony, skanuje, wysyła żądaniapublikuje, komentuje, udostępnia, podbija zasięgi
Kto i jak mierzyCloudflare — model ocenia pojedyncze żądania HTTPanalitycy dezinformacji i platformy — obserwacja kont i ich aktywności w czasie

źródło Analitycy projektu Emocje w Sieci: „bot w tym kontekście oznacza oprogramowanie wysyłające zautomatyzowane żądania do stron internetowych lub usług, a nie człowieka samodzielnie przeglądającego sieć. Chodzi więc o boty służące do automatycznego zapisywania treści stron internetowych, czyli tzw. boty-crawlery” [5].

źródło Niebezpiecznik: „Ten spadek ruchu to boty-crawlery albo jak pisze sam cloudflare: znane automaty do spamu / bruteforce po http” [6].

źródło Josef Holnburger, dyrektor zarządzający niemieckiego CeMAS: spadek aktywności botów na stronach internetowych to „coś zupełnie innego niż spadek nieautentycznych zachowań botów społecznościowych w sieciach społecznościowych” [3].

// co ustalono

Monitorowane konta działały dalej.

źródło 12 października rzeczniczka NASK Paulina Zywar apelowała o ostrożność: „Działania charakterystyczne dla strony rosyjskiej, w tym przy użyciu kont botowskich, nadal są prowadzone. Potrzebujemy czasu, żeby przeanalizować skalę” [2].

źródło Według analizy Ośrodka Analizy Dezinformacji NASK, przekazanej Interii, zmniejszenie ruchu „dotyczyło przede wszystkim robotów indeksujących strony, a nie kont rozpowszechniających dezinformację w polskich mediach społecznościowych”, a wyniki „nie wskazują na wystąpienie istotnego spadku ogólnej aktywności monitorowanych kont po trzech atakach na centra danych Yandex” [1].

źródło Europejski Kolektyw Analityczny Res Futura Data House na podstawie dziennej analityki nie widzi, aby aktywność prorosyjskich kont w Polsce była mniejsza [6]. CeMAS: obecnie nie ma spadku rosyjskiej aktywności dezinformacyjnej, który dałoby się wyjaśnić atakiem na centra danych Yandexu; przy ogólnej aktywności z rosyjskich adresów IP na serwerach korzystających z Cloudflare nie widać też dużego spadku ruchu botów [3].

// błąd wnioskowania

Trzy przeskoki między wykresem a zdaniem.

wniosek To, co pokazuje wykres, i to, co z niego wywnioskowano, różni się w trzech miejscach:

  1. Inna jednostka.

    Wykres liczy żądania HTTP. Teza mówi o kontach w mediach społecznościowych. Te dwie rzeczy nie przeliczają się na siebie.

  2. Inny zakres.

    Wykres dotyczy jednej sieci — Yandexu (AS13238). Teza mówi o „rosyjskich botach na świecie”. Konta propagandowe działają na serwerach platform, a infrastruktura, która je obsługuje, może być rozproszona u wielu dostawców — na co zwraca uwagę także CeMAS [3].

  3. Przyczyna potwierdzona tylko dla tego, co mierzono.

    Spadek ruchu z Yandexu po zniszczeniu jego centrów danych jest spodziewany; zakłócenia sieci Yandexu odnotował też NetBlocks [6] [7]. Nie potwierdza to jednak zmiany w aktywności kont propagandowych — a tę NASK mierzył bezpośrednio i istotnego spadku nie stwierdził [1].

Wspólny mianownik: słowo z wykresu przeszło do zdania o świecie w innym znaczeniu niż to, w którym system je zmierzył. To ta sama klasa błędu, którą opisujemy przy systemach AI — wskaźnik informuje o czymś innym, niż się sądzi. Rozróżnienie faktu od wniosku opisuje metodologia.

Drugi wykres

źródło W sieci krążył też drugi wykres, mający pokazywać spadek aktywności wokół niemieckiej AfD. Udostępniający nie podali jego źródła. Analitycy Emocji w Sieci zauważyli podobny spadek także we wpisach o CDU i SPD, a Niebezpiecznik wskazał, że grafikę opublikowano 11 października, choć dane na niej sięgają 15 października [5]. Faktczeking DW opisuje też błędy skali na obu osiach [3]. Badacz z Uniwersytetu w Ratyzbonie Rafael Wimmer podejrzewa, że wykres mógł zostać wygenerowany przez AI [5].

// czego nie wiemy

Luki, których nie wypełniamy domysłem.

  • Na jakich danych oparła się ABW. Do 28 października 2026 r. nie znaleźliśmy ich publikacji.
  • Jaką metodą i w jakim okresie NASK mierzył aktywność kont — znamy wnioski z relacji prasowej, nie raport.
  • Czy w centrach danych Yandexu działała jakakolwiek infrastruktura operacji wpływu. Niebezpiecznik zaznacza, że nie można tego wykluczyć [6], ale dostępne dane nie pozwalają określić skali.
// jak czytać liczby o botach

Cztery pytania do każdego wykresu.

  1. Co jest jednostką?

    Żądanie HTTP, konto, wpis, sesja?

  2. Kto i czym klasyfikuje?

    Jaki system uznał coś za bota i od jakiego progu?

  3. Jaki jest zakres?

    Jedna sieć (numer AS), jedna platforma, jeden kraj — czy „cały internet”?

  4. Z czym porównano?

    Jaki był poziom wyjściowy i jakie są inne wyjaśnienia zmiany: awaria, sezonowość, zmiana metody pomiaru?

// źródła · data dostępu

Materiał źródłowy.

Oznaczenia w tekście: źródło — stoi w materiale źródłowym; wniosek — nasza interpretacja. Cytaty sprawdzone w pełnym tekście źródeł.

// jak cytować

Diener, Ł. (2026). Mniej botów po atakach na Yandex? Co naprawdę zmierzył wykres [analiza, wersja z 2026-10-28]. ais://lab — bezpieczeństwo systemów AI. https://aisecurity.org.pl/analizy/yandex-boty-crawlery/

// jak sprawdzić to u siebie

Rozróżnianie rodzajów ruchu automatycznego — robotów wyszukiwarek, robotów zbierających dane dla modeli AI, skanerów i ruchu podszywającego się pod znane boty — to codzienna praca przy analizie logów serwera. Tego dotyczy usługa AI Crawl Audit (od 10 900 zł).

Kiedy zaktualizujemy tę analizę

Jeśli ABW lub inna instytucja opublikuje dane pokazujące spadek aktywności kont w mediach społecznościowych, który da się powiązać z atakami na Yandex, poprawimy wnioski i opiszemy zmianę w historii wersji.

Historia wersji

  • — Pierwsza wersja. Źródła sprawdzone 16 i 28 października 2026 r.; do 28 października nie znaleźliśmy publikacji danych ABW.
← Wszystkie analizy Metric gaming Metodologia Rejestr dowodów