Cyberpediaod Brain
PLDEENESFRITNLPT

Atak typu watering hole

Strona, którą odwiedza się co tydzień, może być pułapką. Jak działa atak watering hole, co można zauważyć i jakie nawyki chronią.

W 30 sekund

Gdzie to się zdarza
Na stronie odwiedzanej przez określoną społeczność (administrację, branżę, region), podczas zwykłego przeglądania sieci1.
Czego chce atakujący
Uruchomić kod na komputerze ofiary, co często daje mu dostęp do systemów sieci wewnętrznej1.
Odruch
Aktualizować przeglądarkę i jej rozszerzenia oraz odrzucać każdą „aktualizację” proponowaną przez stronę internetową, bez względu na to, jaka to strona.
Jeśli już się stało
Niezwłocznie powiadomić dział IT lub bezpieczeństwa, nawet jeśli nie widać nic niepokojącego.

O co chodzi

W ataku typu watering hole (po polsku: „wodopój”) atakujący nie kontaktuje się z ofiarą. Przygotowuje pułapkę na stronie, którą ofiara już odwiedza: umieszcza w niej złośliwy kod, a potem czeka, aż odwiedzający sami się pojawią.

Dla pracownika zagrożenie wynika z zaufania. Strona jest znana, przydatna w pracy i nic nie wskazuje, że się zmieniła. Ten artykuł opisuje mechanizm, to, co można zauważyć, oraz to, co ogranicza szkody.

Pytania wprost

Czym jest atak typu watering hole?

Źródła opisują przypadek, w którym strona wykorzystywana przez atakującego jest często odwiedzana przez pewną społeczność (rząd, branżę, region). Celem jest skompromitowanie użytkownika lub grupy użytkowników na podstawie wspólnego zainteresowania. Tę ukierunkowaną kampanię nazywa się „strategic web compromise” lub „watering hole attack”1. Należy ona do szerszej rodziny „drive-by compromise”: ofiara odwiedza stronę podczas zwykłego przeglądania sieci1.

Czy trzeba w coś kliknąć, żeby się zarazić?

Nie zawsze. Celem wykorzystania podatności jest zazwyczaj przeglądarka, a po otwarciu strony często nie wymaga to żadnego dodatkowego działania2. W innych przypadkach użytkownik musi pomóc procesowi: włączyć skrypty, powiadomienia lub aktywne składniki albo zignorować okna z ostrzeżeniami1.

Czy znana, zaufana strona naprawdę może być pułapką?

Tak, na tym polega ta metoda. Atakujący przejmuje legalną stronę, aby wstrzyknąć do niej złośliwy kod1. Może też zmodyfikować pliki skryptów dostarczane stronie z otwartej do zapisu przestrzeni przechowywania w sieci albo kupić zainfekowane reklamy u legalnych pośredników reklamowych1.

Czy wystarczy aktualna przeglądarka?

Nie, ale zmniejsza to ryzyko. Aktualizowanie wszystkich przeglądarek i wtyczek może zapobiec fazie wykorzystania podatności1. MITRE zauważa też, że zabezpieczenia przed wykorzystaniem podatności zależą od architektury i atakowanego oprogramowania oraz że piaskownice można obejść1.

1W skórze atakującego1 min

Atakujący zaczyna od wyboru miejsca, w którym cel spędza czas: strony odwiedzanej przez sektor, dziedzinę działalności lub region2. Następnie przygotowuje środowisko. Zainfekowana treść może być umieszczona w infrastrukturze, którą zdobył lub którą już wcześniej przejął2. Może też kupić domeny podobne do legalnych (homoglify, celowa literówka, inne rozszerzenie)2.

Potem umieszcza kod w witrynie: skrypty na stronach lub w treściach, które użytkownicy mogą edytować, na przykład we wpisach na forum2. Może też dodać skrypty badające przeglądarkę odwiedzającego, aby przed próbą wykorzystania podatności sprawdzić, czy jest ona podatna2. Opisano grupę, która osadzała kod w witrynach, aby sprawdzać adres IP odwiedzającego, a jego przeglądarkę atakować tylko wtedy, gdy był interesujący2.

Te przygotowania odbywają się w dużej mierze poza zasięgiem wzroku zaatakowanej organizacji, co utrudnia ich wykrycie2. Legalne usługi internetowe też służą jako pośrednicy: skompromitowane witryny WordPress hostowały w ten sposób złośliwe pliki do pobrania3.

2Co widać na ekranie1 min

Skrypty uruchamiają się automatycznie1. Zwykle sprawdzają wersję przeglądarki i wtyczek, szukając wersji podatnej1. W niektórych przypadkach potrzebna jest druga wizyta, zanim dotrze kod wykorzystujący podatność1.

Widoczne są jednak pewne sygnały. Strona może prosić o włączenie skryptów lub powiadomień albo namawiać do zignorowania ostrzeżenia1. Klikając „zezwól” w powiadomieniach przeglądarki, użytkownik może dać witrynie zgodę na uruchamianie JavaScriptu w swojej przeglądarce1. Niektóre kampanie używają jako przynęty fałszywych aktualizacji przeglądarki: tak jest w przypadku SocGholish, rozpowszechnianego przez skompromitowane witryny, których treść udaje aktualizację przeglądarki1.

3Pod maskąZespoły IT1 min

Oto zneutralizowana ilustracja z fikcyjnym adresem w domenie .invalid. Nie działa.

Fragment
[Legalna strona witryny branżowej]
  ... zwykła treść witryny ...
  [ukryty element dodany przez atakującego, o zerowym rozmiarze]
  [ładuje w tle stronę z hxxps://exemple[.]invalid/]

Typowy łańcuch ataku według MITRE ATT&CK składa się z czterech etapów. Użytkownik odwiedza witrynę, która hostuje treść atakującego. Skrypty uruchamiają się i sprawdzają wersje przeglądarki i wtyczek. Jeśli zostanie znaleziona wersja podatna, dostarczany jest kod wykorzystujący podatność. Jeśli wykorzystanie podatności się powiedzie, atakujący uzyskuje możliwość wykonania kodu na komputerze, chyba że działają inne zabezpieczenia1.

Cel różni się od ataku na serwer wystawiony w internecie: tutaj wykorzystuje się oprogramowanie na stanowisku pracy, co często daje dostęp do systemów sieci wewnętrznej1. Przeglądarki są częstym celem wykorzystania podatności po stronie klienta, podobnie jak rozpowszechnione w firmach aplikacje zewnętrzne, na przykład Adobe Reader i Flash4.

Po stronie obrony źródła wymieniają piaskownice przeglądarki, które łagodzą część skutków (istnieją ucieczki z piaskownicy)1, blokery reklam i skryptów oraz wyłączenie powiadomień przeglądarki1. Brytyjskie NCSC dodaje, że większość nowoczesnych przeglądarek blokuje znane strony phishingowe i znane strony ze szkodliwym oprogramowaniem, lecz nie zawsze na urządzeniach mobilnych5. Zaleca też używanie wyłącznie oprogramowania objętego wsparciem i aktualnego oraz nieprzeglądanie sieci z konta administratora5.

4Analizy incydentówPrawdziwe przypadki1 min

Forbes.com, 2014

APT19 przeprowadziła w 2014 roku atak typu watering hole na forbes.com, aby przejąć swoje cele1. Źródła nie podają innych szczegółów tego epizodu.

Operacja Dust Storm, wykorzystanie CVE-2014-0322

Podczas operacji Dust Storm atakujący użyli ataku typu watering hole przeciwko popularnemu sprzedawcy oprogramowania. Wykorzystywali nieznaną wówczas publicznie lukę w Internet Explorerze (zero-day), CVE-2014-03221. Źródło nie podaje daty kampanii.

Strona logowania izraelskiego przewoźnika morskiego, do listopada 2021

W kampanii C0010 atakujący przejęli stronę logowania legalnej izraelskiej firmy żeglugowej i prawdopodobnie utworzyli punkt typu watering hole, który zbierał informacje o odwiedzających2. Ten punkt opisano jako aktywny co najmniej do listopada 20211.

Karta

Identyfikator
CP-027
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Przechytrzyć socjotechnikę (outsmart_social_engineering)
Odruch Brain
cr-046
Schemat
G5 · Drzewo decyzyjne odruchu
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
  1. MITRE ATT&CK, „Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1189/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1608/004/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1584/006/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1203/ (dostęp 3 listopada 2026)
  5. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Atak typu watering hole”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/

BibTeX 
@misc{brain_cp027_pl_2026,
  author = {Brain},
  title = {Atak typu watering hole},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/atak-watering-hole-skompromitowana-strona/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0