Operacja Ramz: 201 zatrzymań w walce z phishingiem. Co oznacza dla polskich firm?

Międzynarodowa współpraca służb przynosi wymierne efekty w walce z cyberprzestępczością. Interpol poinformował o zakończeniu operacji Ramz, w ramach której w 13 krajach Bliskiego Wschodu i Afryki Północnej zatrzymano 201 osób podejrzanych o prowadzenie ataków phishingowych i rozprzestrzenianie malware. Akcja, trwająca od października 2025 do końca lutego 2026, doprowadziła również do przejęcia 53 serwerów i zidentyfikowania blisko 3,9 tysiąca ofiar. Choć działania toczyły się głównie poza Europą, ich skutki i metody znaczą dla bezpieczeństwa firm na całym świecie, także w Polsce.

Jak działała operacja Ramz?

W operacji uczestniczyły służby z Algierii, Bahrajnu, Egiptu, Iraku, Jordanii, Libanu, Libii, Maroka, Omanu, Kataru, Palestyny, Tunezji i Zjednoczonych Emiratów Arabskich. Jak zaznacza Interpol, kluczowe było wsparcie ze strony partnerów prywatnych, w tym firm Group-IB, Kaspersky, Shadowserver Foundation, Team Cymru i TrendAI. Pomagały one w śledzeniu nielegalnej działalności i identyfikowaniu złośliwej infrastruktury. Ta mieszanka sił policyjnych i eksperckiej wiedzy z sektora prywatnego pozwoliła na skuteczne uderzenie w cyberprzestępców.

W Algierii zamknięto stronę oferującą phishing jako usługę (PhaaS), zatrzymano jedną osobę i przejęto serwer, komputer oraz dyski twarde ze złośliwym oprogramowaniem. W Jordanii policja zlokalizowała komputer używany w oszustwach finansowych i aresztowała dwie osoby. Jak się okazało, 15 osób zaangażowanych w te oszustwa było równocześnie ofiarami handlu ludźmi – zwabiono je z krajów azjatyckich obietnicą pracy, a po przyjeździe skonfiskowano im paszporty i zmuszono do udziału w procederze.

Dlaczego to ważne dla polskich firm?

Można zapytać: po co polskiemu przedsiębiorcy wiedzieć o akcji w Omanie czy Katarze? Odpowiedź jest prosta – cyberprzestępczość nie zna granic. Jak zauważył Joe Sander, CEO Team Cymru, cytowany w komunikacie Interpolu: „Cyberprzestępczość nie ma granic, a jedyną skuteczną odpowiedzią jest taka, która jest równie bezgraniczna. Operacja Ramz jest właśnie taką odpowiedzią – służby i zaufani partnerzy prywatni łączą wywiad, działają wspólnie i demontują infrastrukturę, od której zależą przestępcy”.

Infrastruktura wykorzystywana w atakach phishingowych wymierzonych w polskich użytkowników często znajduje się właśnie w krajach MENA. Przejęcie tych serwerów oznacza, że kampanie wymierzone w klientów polskich banków czy firm mogą zostać przerwane. To realna korzyść, choć trudna do bezpośredniego zmierzenia przez lokalne firmy.

Wnioski dla polskich przedsiębiorców

Operacja Ramz ukazuje kilka kluczowych rzeczy, które polskie firmy powinny uwzględnić w strategii bezpieczeństwa. Po pierwsze, phishing wciąż pozostaje jednym z najgroźniejszych wektorów ataku. Przestępcy nie muszą być zaawansowani technicznie – coraz częściej korzystają z modelu PhaaS, kupując gotowe zestawy do przeprowadzania ataków. Przejęcie takiej platformy w Algierii to cios w cały łańcuch dostaw cyberprzestępczości.

Po drugie, przypadki takie jak ten w Jordanii pokazują, że za atakami stoją czasem zorganizowane grupy, które łączą cyberprzestępczość z innymi formami przestępczości, w tym handlem ludźmi. Świadomość, że ofiarą może być nie tylko firma, ale też ludzie zmuszani do działania, powinna skłaniać do odpowiedzialnych praktyk w zakresie cyberbezpieczeństwa.

Po trzecie, współpraca międzynarodowa i publiczno-prywatna działa. Polski CERT, działający w strukturach NASK, regularnie współpracuje z Interpolem i innymi agencjami. Dla firm oznacza to, że zgłaszanie incydentów ma sens – każde takie zgłoszenie może trafić do międzynarodowego systemu wymiany informacji i pomóc w namierzeniu infrastruktury przestępczej.

Co mogą zrobić polskie firmy?

Najważniejszym wnioskiem z operacji Ramz dla polskiego biznesu jest konieczność inwestowania w świadomość pracowników. Ataki phishingowe są coraz bardziej wyrafinowane, a przestępcy nieustannie udoskonalają metody socjotechniczne. Regularne szkolenia, testy phishingowe i wdrożenie silnego uwierzytelniania wieloskładnikowego (MFA) to podstawa.

Warto również śledzić komunikaty CERT Polska oraz raporty organizacji takich jak Shadowserver Foundation, które brały udział w operacji. Szybka wymiana informacji o zagrożeniach pozwala skuteczniej blokować podejrzane domeny i adresy IP, zanim dojdzie do incydentu. Dla firm, które obsługują transakcje kartami płatniczymi, szczególnie istotne może być także monitorowanie wycieków danych na dark webie – jak w przypadku niedawnego wycieku z rynku B1ack’s Stash, który udostępnił za darmo 4,6 miliona kart kredytowych.

Operacja Ramz to dowód, że walka z cyberprzestępczością przynosi efekty, ale nie zwalnia to firm z odpowiedzialności za własne zabezpieczenia. Globalne działania enforcementowe są istotnym elementem układanki, jednak codzienna higiena cybernetyczna pozostaje w rękach każdej organizacji.