--- id: CP-027 slug: atak-watering-hole-skompromitowana-strona lang: pl title: Atak typu watering hole description: Strona, którą odwiedza się co tydzień, może być pułapką. Jak działa atak watering hole, co można zauważyć i jakie nawyki chronią. canonical_url: https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Atak typu watering hole”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ it: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ nl: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ pt: https://startbrain.io/cyberpedia/pt/articles/watering-hole-ataque-site-comprometido/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Atak typu watering hole W ataku typu watering hole (po polsku: „wodopój”) atakujący nie kontaktuje się z ofiarą. Przygotowuje pułapkę na stronie, którą ofiara już odwiedza: umieszcza w niej złośliwy kod, a potem czeka, aż odwiedzający sami się pojawią. Dla pracownika zagrożenie wynika z zaufania. Strona jest znana, przydatna w pracy i nic nie wskazuje, że się zmieniła. Ten artykuł opisuje mechanizm, to, co można zauważyć, oraz to, co ogranicza szkody. ## W 30 sekund - Gdzie to się zdarza: na stronie odwiedzanej przez określoną społeczność (administrację, branżę, region), podczas zwykłego przeglądania sieci [1]. - Czego chce atakujący: uruchomić kod na komputerze ofiary, co często daje mu dostęp do systemów sieci wewnętrznej [1]. - Odruch: aktualizować przeglądarkę i jej rozszerzenia oraz odrzucać każdą „aktualizację” proponowaną przez stronę internetową, bez względu na to, jaka to strona. - Jeśli już się stało: niezwłocznie powiadomić dział IT lub bezpieczeństwa, nawet jeśli nie widać nic niepokojącego. ## Pytania wprost ### Czym jest atak typu watering hole? Źródła opisują przypadek, w którym strona wykorzystywana przez atakującego jest często odwiedzana przez pewną społeczność (rząd, branżę, region). Celem jest skompromitowanie użytkownika lub grupy użytkowników na podstawie wspólnego zainteresowania. Tę ukierunkowaną kampanię nazywa się „strategic web compromise” lub „watering hole attack” [1]. Należy ona do szerszej rodziny „drive-by compromise”: ofiara odwiedza stronę podczas zwykłego przeglądania sieci [1]. ### Czy trzeba w coś kliknąć, żeby się zarazić? Nie zawsze. Celem wykorzystania podatności jest zazwyczaj przeglądarka, a po otwarciu strony często nie wymaga to żadnego dodatkowego działania [2]. W innych przypadkach użytkownik musi pomóc procesowi: włączyć skrypty, powiadomienia lub aktywne składniki albo zignorować okna z ostrzeżeniami [1]. ### Czy znana, zaufana strona naprawdę może być pułapką? Tak, na tym polega ta metoda. Atakujący przejmuje legalną stronę, aby wstrzyknąć do niej złośliwy kod [1]. Może też zmodyfikować pliki skryptów dostarczane stronie z otwartej do zapisu przestrzeni przechowywania w sieci albo kupić zainfekowane reklamy u legalnych pośredników reklamowych [1]. ### Czy wystarczy aktualna przeglądarka? Nie, ale zmniejsza to ryzyko. Aktualizowanie wszystkich przeglądarek i wtyczek może zapobiec fazie wykorzystania podatności [1]. MITRE zauważa też, że zabezpieczenia przed wykorzystaniem podatności zależą od architektury i atakowanego oprogramowania oraz że piaskownice można obejść [1]. ## W skórze atakującego Atakujący zaczyna od wyboru miejsca, w którym cel spędza czas: strony odwiedzanej przez sektor, dziedzinę działalności lub region [2]. Następnie przygotowuje środowisko. Zainfekowana treść może być umieszczona w infrastrukturze, którą zdobył lub którą już wcześniej przejął [2]. Może też kupić domeny podobne do legalnych (homoglify, celowa literówka, inne rozszerzenie) [2]. Potem umieszcza kod w witrynie: skrypty na stronach lub w treściach, które użytkownicy mogą edytować, na przykład we wpisach na forum [2]. Może też dodać skrypty badające przeglądarkę odwiedzającego, aby przed próbą wykorzystania podatności sprawdzić, czy jest ona podatna [2]. Opisano grupę, która osadzała kod w witrynach, aby sprawdzać adres IP odwiedzającego, a jego przeglądarkę atakować tylko wtedy, gdy był interesujący [2]. Te przygotowania odbywają się w dużej mierze poza zasięgiem wzroku zaatakowanej organizacji, co utrudnia ich wykrycie [2]. Legalne usługi internetowe też służą jako pośrednicy: skompromitowane witryny WordPress hostowały w ten sposób złośliwe pliki do pobrania [3]. ## Co widać na ekranie Skrypty uruchamiają się automatycznie [1]. Zwykle sprawdzają wersję przeglądarki i wtyczek, szukając wersji podatnej [1]. W niektórych przypadkach potrzebna jest druga wizyta, zanim dotrze kod wykorzystujący podatność [1]. Widoczne są jednak pewne sygnały. Strona może prosić o włączenie skryptów lub powiadomień albo namawiać do zignorowania ostrzeżenia [1]. Klikając „zezwól” w powiadomieniach przeglądarki, użytkownik może dać witrynie zgodę na uruchamianie JavaScriptu w swojej przeglądarce [1]. Niektóre kampanie używają jako przynęty fałszywych aktualizacji przeglądarki: tak jest w przypadku SocGholish, rozpowszechnianego przez skompromitowane witryny, których treść udaje aktualizację przeglądarki [1]. ## Pod maską Oto zneutralizowana ilustracja z fikcyjnym adresem w domenie `.invalid`. Nie działa. ```text [Legalna strona witryny branżowej] ... zwykła treść witryny ... [ukryty element dodany przez atakującego, o zerowym rozmiarze] [ładuje w tle stronę z hxxps://exemple[.]invalid/] ``` Typowy łańcuch ataku według MITRE ATT&CK składa się z czterech etapów. Użytkownik odwiedza witrynę, która hostuje treść atakującego. Skrypty uruchamiają się i sprawdzają wersje przeglądarki i wtyczek. Jeśli zostanie znaleziona wersja podatna, dostarczany jest kod wykorzystujący podatność. Jeśli wykorzystanie podatności się powiedzie, atakujący uzyskuje możliwość wykonania kodu na komputerze, chyba że działają inne zabezpieczenia [1]. Cel różni się od ataku na serwer wystawiony w internecie: tutaj wykorzystuje się oprogramowanie na stanowisku pracy, co często daje dostęp do systemów sieci wewnętrznej [1]. Przeglądarki są częstym celem wykorzystania podatności po stronie klienta, podobnie jak rozpowszechnione w firmach aplikacje zewnętrzne, na przykład Adobe Reader i Flash [4]. Po stronie obrony źródła wymieniają piaskownice przeglądarki, które łagodzą część skutków (istnieją ucieczki z piaskownicy) [1], blokery reklam i skryptów oraz wyłączenie powiadomień przeglądarki [1]. Brytyjskie NCSC dodaje, że większość nowoczesnych przeglądarek blokuje znane strony phishingowe i znane strony ze szkodliwym oprogramowaniem, lecz nie zawsze na urządzeniach mobilnych [5]. Zaleca też używanie wyłącznie oprogramowania objętego wsparciem i aktualnego oraz nieprzeglądanie sieci z konta administratora [5]. ## Analizy incydentów ### Forbes.com, 2014 APT19 przeprowadziła w 2014 roku atak typu watering hole na forbes.com, aby przejąć swoje cele [1]. Źródła nie podają innych szczegółów tego epizodu. ### Operacja Dust Storm, wykorzystanie CVE-2014-0322 Podczas operacji Dust Storm atakujący użyli ataku typu watering hole przeciwko popularnemu sprzedawcy oprogramowania. Wykorzystywali nieznaną wówczas publicznie lukę w Internet Explorerze (zero-day), CVE-2014-0322 [1]. Źródło nie podaje daty kampanii. ### Strona logowania izraelskiego przewoźnika morskiego, do listopada 2021 W kampanii C0010 atakujący przejęli stronę logowania legalnej izraelskiej firmy żeglugowej i prawdopodobnie utworzyli punkt typu watering hole, który zbierał informacje o odwiedzających [2]. Ten punkt opisano jako aktywny co najmniej do listopada 2021 [1]. ## Źródła 1. MITRE ATT&CK, „Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1189/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1608/004/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1584/006/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1203/ (dostęp 3 listopada 2026) 5. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.