1 listopada 2025 r. płatności BLIK przez kilka godzin działały z zakłóceniami. Powodem był poranny atak DDoS na polską infrastrukturę rozliczeniową, o czym poinformował zarówno operator, jak i minister cyfryzacji. Skutki opanowano jeszcze przed południem, bo procedury i zabezpieczenia sieciowe zadziałały zgodnie z założeniami. Ataki na infrastrukturę płatniczą to nie teoria, tylko regularna praktyka, a skuteczna obrona nie bierze się z przypadku - operatorzy płatności online budują ją warstwami, od filtrowania ruchu po nadzór, certyfikaty i ochronę pojedynczej transakcji.
Dlaczego atakują właśnie płatności? Skala zagrożenia w liczbach
Sektor finansowy od lat jest jednym z najczęściej atakowanych w polskim internecie. Klienci oczekują dostępu do pieniędzy przez całą dobę, więc każda przerwa w działaniu systemu płatności trafia do mediów, co przyciąga grupy szukające rozgłosu. Do tego, jak wskazuje CSIRT KNF, polski sektor finansowy - jako część infrastruktury kraju wspierającego Ukrainę - stał się celem grup powiązanych z Rosją. Ataki DDoS bywają też zasłoną dymną dla równoległych działań, np. prób włamań.
Dane za 2025 rok pokazują skalę problemu.
- CSIRT KNF zidentyfikował 787 ataków DDoS wymierzonych w polski sektor finansowy - wyraźnie więcej niż w latach poprzednich.
- Największy atak, odnotowany w maju, osiągnął w szczycie 1,3 Tbps. Łącznie 19 ataków przekroczyło 500 Gbps, a 48 zmieściło się w przedziale 100-500 Gbps.
- 78% ataków było wolumetrycznych (przeciążenie łącza ruchem), 12% skierowano w konkretne usługi i aplikacje, a 10% łączyło obie techniki.
- CERT Polska odnotował w 2025 r. 260 783 incydenty, z czego 97% dotyczyło oszustw internetowych, a liczba tych zdarzeń wzrosła o 158% rok do roku.
- NBP raportuje rekordowe liczby fraudów: w II kw. 2025 r. doszło do 21,7 tys. oszukańczych przelewów o wartości 172,8 mln zł.
Jak wygląda atak i jak odpierać go na poziomie sieci
Atak wolumetryczny polega na zalaniu serwerów ofiary strumieniem zapytań z tysięcy urządzeń naraz, tak że ruch klientów przestaje docierać do usługi. Bariera wejścia jest przy tym niska: zdaniem CSIRT KNF atak DDoS można dziś kupić jako usługę, nie tylko w darknecie, ale i w otwartej sieci. Rosnąca przepustowość łączy, sieci 5G i liczba urządzeń IoT powiększają zasoby, z których mogą korzystać atakujący.
Skuteczna obrona zaczyna się na obrzeżach sieci, zanim szkodliwy ruch dotrze do serwerów. Operator płatności filtruje ruch w rozproszonej chmurze brzegowej - Tpay deklaruje, że jako jedyny polski operator płatności korzysta z infrastruktury Cloudflare na poziomie premium, więc atak jest odcinany na zewnątrz, a nie w serwerowni. Ochronę uzupełnia redundancja (usługa działa w kilku lokalizacjach), stały monitoring ruchu oraz przetwarzanie danych na terenie Europejskiego Obszaru Gospodarczego. Ważne są również testy: odporność infrastruktury sprawdza się symulowanymi atakami, zanim zrobi to przestępca.
Warstwa regulacyjna, czyli licencje i certyfikaty, których nie da się kupić
Druga linia obrony to wymogi, których spełnienie weryfikują niezależne instytucje. Krajowy Integrator Płatności, właściciel marki Tpay, działa jako Krajowa Instytucja Płatnicza i od 2020 r. ma rozszerzoną licencję Komisji Nadzoru Finansowego. Utrzymanie tego statusu oznacza stały nadzór i obowiązek spełniania rygorystycznych wymogów, w tym dotyczących bezpieczeństwa.
Na to nakładają się standardy unijne i branżowe. Dyrektywa PSD2 wprowadziła silne uwierzytelnienie klienta (SCA), czyli potwierdzanie transakcji co najmniej dwoma niezależnymi składnikami. Tpay utrzymuje certyfikację PCI DSS Level 1 dla usługodawców - najwyższy poziom wymagany przez Visa i Mastercard - oraz PCI 3DS. Od kwietnia 2024 r. obowiązuje wersja PCI DSS 4.0, która podniosła wymagania także wobec samych sklepów, m.in. o kwartalne skanowanie podatności i kontrolę skryptów uruchamianych na stronie. Całą komunikację z bramką płatności szyfruje protokół TLS, więc dane przesyłane między klientem, sklepem a operatorem nie są czytelne dla osób trzecich.
Warstwa transakcyjna: tokenizacja, 3-D Secure i czynnik ludzki
Trzeci poziom to ochrona samej transakcji i danych karty. Wrażliwe informacje, takie jak numer karty czy kod CVV, są zastępowane unikalnymi tokenami - sklep nie przechowuje ani nie przetwarza pełnych danych karty klienta. Rozwiązania w rodzaju Tokenizacji Plus w Tpay idą o krok dalej: token sieciowy aktualizuje się automatycznie, gdy klient otrzyma nową kartę, więc płatności cykliczne działają bez przerw i bez ponownego podawania danych.
Skuteczność tych zabezpieczeń widać w danych NBP. Aż 73,2% oszustw kartowych to płatności zdalne zawierane poza Polską, bez silnego uwierzytelnienia; najmniej fraudów zdarza się w polskich płatnościach zdalnych objętych SCA. Tam, gdzie działa pełna warstwa techniczna, oszustom jest najtrudniej.
Pozostaje czynnik ludzki. W II kw. 2025 r. aż 82% wartości oszukańczych przelewów pochodziło z transakcji, do których ofiarę nakłoniono manipulacją - podstawioną stroną, fałszywym konsultantem czy wiadomością o rzekomej blokadzie konta. Dlatego operatorzy płatności online inwestują nie tylko w infrastrukturę, lecz także w wykrywanie anomalii transakcyjnych, weryfikację sprzedawców (w Tpay obejmuje ona m.in. potwierdzenie rachunku bankowego, na który trafiają środki) oraz regularne szkolenia pracowników.
Na co zwrócić uwagę, wybierając bramkę płatności
Bezpieczeństwo infrastruktury płatniczej to nie pojedyncze zabezpieczenie, tylko zespół warstw: odporność sieci na DDoS, licencje i certyfikaty, szyfrowanie transmisji, tokenizacja danych oraz kontrola tego, kto przyjmuje płatność. Praktyczna konkluzja dla właściciela sklepu jest prosta: przed integracją warto dopytać operatora o każdą z tych warstw. Jeśli szukasz rozwiązania spełniającego opisane standardy, skontaktuj się z zespołem Tpay - bezpieczne płatności internetowe zaczynają się od bezpiecznej bramki.