--- id: CP-234 slug: tor-deep-web-dark-web lang: pl title: Tor, Deep Web i Dark Web description: Jak działa Tor i trasowanie cebulowe oraz dlaczego pracownik nie powinien instalować Tora na komputerze służbowym bez zgody działu IT. canonical_url: https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Tor, Deep Web i Dark Web”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/ fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ it: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ nl: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ pt: https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web i Dark Web Tor to oprogramowanie i sieć, które służą do bardziej anonimowego przeglądania internetu. Jego nazwa często pojawia się obok określeń „Deep Web” i „Dark Web”, które łatwo ze sobą pomylić. Ta strona wyjaśnia, jak działa Tor i co zmienia dla firmy. Zebrane tu źródła pochodzą z bazy MITRE ATT&CK, która opisuje techniki atakujących. Mówią głównie o tym, jak Tor bywa wykorzystywany w złych celach, a niewiele o jego zwykłym użyciu. Strona trzyma się tego, co te źródła potwierdzają. ## W 30 sekund - Gdzie to występuje: złośliwe grupy używają Tora do swojego ruchu [1]. - Czego chce atakujący: ukryć pochodzenie swojego ruchu, aby firma nie mogła do niego dotrzeć [2]. - Odruch: nie instalować Tora na komputerze służbowym bez zgody działu IT i nie pobierać żadnej „przeglądarki Tor” ze źródła, którego dział IT nie potwierdził. - Jeśli to już się stało: niezwłocznie poinformować dział IT, niczego samodzielnie nie usuwając. ## Pytania wprost ### Czym jest Tor? MITRE ATT&CK opisuje go jako pakiet oprogramowania i sieć zapewniające większą anonimowość w internecie. Tworzy łańcuch przekaźników (tzw. „multi-hop proxy”) i stosuje szyfrowanie warstwowe, aby chronić zarówno wiadomość, jak i informacje o trasie [1]. Istnieje w wersjach dla Linuksa, Windowsa i macOS [1]. ### Co oznacza „trasowanie cebulowe”? Wiadomości są szyfrowane w kilku warstwach. Na każdym etapie sieci przekaźników wierzchnia warstwa jest odszyfrowywana, a zawartość trafia do następnego węzła, aż do celu [1]. Obraz jest taki jak z cebulą, której każdy przekaźnik zdejmuje jedną łuskę. ### Przez ile przekaźników przechodzi ruch? Źródło podaje, że ruch jest przekazywany przez kilka węzłów, zanim opuści sieć Tor i pójdzie dalej do celu [1]. Nie podaje liczby. Często cytowana liczba trzech przekaźników nie występuje w żadnym z tu przytoczonych źródeł. ### Czy Dark Web jest nielegalny? Żadne z przytoczonych tu źródeł nie dotyczy statusu prawnego Dark Webu ani Tora. Strona nie rozstrzyga więc tej kwestii. Źródła potwierdzają inny fakt: złośliwe grupy używają Tora [1]. ### Jaka jest różnica między Deep Webem a Dark Webem? Przytoczone tu źródła nie definiują żadnego z tych dwóch pojęć. Opisują wyłącznie Tora, sieć anonimizującą. W sprawie rozróżnienia między treściami nieindeksowanymi a usługami dostępnymi przez sieć anonimizującą właściwym kontaktem pozostaje dział IT firmy. ## Jak to działa Tor łączy dwa mechanizmy. Pierwszym jest wielokrotne przekazywanie: ruch przechodzi przez kilka węzłów, zanim dotrze do celu [1]. Drugim jest szyfrowanie: Tor pakuje ruch w kilka warstw szyfrowania i domyślnie używa TLS [1]. Dla zespołu bezpieczeństwa efekt jest następujący. Zwykle obrońca może zidentyfikować ostatni serwer proxy, przez który ruch przeszedł przed wejściem do jego sieci. Poprzednich serwerów proxy może zidentyfikować lub nie [2]. Łączenie kilku serwerów proxy zmusza do śledzenia ruchu od przekaźnika do przekaźnika, aby znaleźć jego źródło [2]. MITRE wskazuje publicznie dostępną sieć Tor jako przykład sieci trasowania cebulowego [2]. W przypadku komunikacji dowodzenia i kontroli (command and control) złośliwego oprogramowania MITRE zauważa, że mimo bezpiecznego algorytmu implementacja może być podatna na inżynierię wsteczną, jeśli tajne klucze są zapisane na stałe lub generowane w próbkach złośliwego oprogramowania albo w jego plikach konfiguracyjnych [3]. Atakujący używają też serwerów proxy, aby unikać bezpośrednich połączeń z własną infrastrukturą, zarządzać komunikacją dowodzenia i kontroli lub korzystać ze ścieżek komunikacji uznawanych już za zaufane, by nie budzić podejrzeń [4]. ## Co Pan/Pani robi - Proszę nie instalować Tora ani żadnego innego oprogramowania anonimizującego na komputerze służbowym bez zgody działu IT. - Jeśli jakaś informacja wydaje się dostępna wyłącznie w ten sposób, proszę zapytać dział IT zamiast szukać jej samodzielnie. - Jeśli wiadomość proponuje kupno, wgląd lub sprawdzenie danych firmy na stronie tego rodzaju, proszę nie klikać i zgłosić to działowi IT. - Jeśli takie oprogramowanie zostało już zainstalowane, proszę powiedzieć o tym działowi IT, nawet gdy nic nie wydaje się nieprawidłowe. ## Pułapki Pierwszą jest wiara w absolutną anonimowość. Szyfrowanie i przekaźniki utrudniają pracę obrońcy: MITRE mówi o trudności w ustaleniu źródła, nie o niemożności [2]. Tor służy także atakującym. MITRE wspomina o sieciach cebulowych używanych do przesyłania szyfrowanego ruchu dowodzenia i kontroli przez zbiór przejętych maszyn [2]. Ruch atakującego może ponadto wtopić się w zwykły ruch webowy: HTTP/S i WebSocket są bardzo powszechne w środowiskach firmowych, a atakujący może je przejąć, by naśladować normalny ruch [5]. Sieć gości strony grup przestępczych. Water Galura prowadzi hostowaną w Torze stronę z wyciekami danych dla ransomware Qilin i jego afiliantów [1]. Grupa ShinyHunters użyła Tora dla własnej strony z wyciekami [1]. Zobaczenie nazwy firmy na takiej stronie samo w sobie nie dowodzi ataku: weryfikacja należy do działu IT. Źródła nie dotyczą ani fałszywych przeglądarek Tor, ani zainfekowanych plików do pobrania, ani ofert skradzionych danych. Ostrożność zalecana w tych sprawach wynika z polecenia działu IT, a nie z faktu tu potwierdzonego. Jeden przypadek ilustruje jednak ryzyko oprogramowania instalowanego bez kontroli: złośliwe oprogramowanie Dok pobiera i instaluje Tora przez Homebrew [2]. ## Prawdziwe przypadki ### 2025 Poland Wiper Attacks Podczas ataków z użyciem oprogramowania niszczącego (wiper) w Polsce w 2025 roku atakujący używali węzłów Tor do dowodzenia i kontroli [1][2]. W kampanii CostaRicto atakujący zarządzali serwerami dowodzenia przez Tora [1]. ### Scattered Spider i wyciąg danych z Salesforce Według MITRE grupa Scattered Spider użyła Tora do komunikacji z atakowanymi organizacjami [1]. W kampanii Salesforce Data Exfiltration atakujący używali adresów IP Tora do rozmów głosowych i zbierania danych [1]. ### Operation Wocao Podczas operacji Wocao atakujący używali węzłów wyjściowych Tora do wykonywania poleceń [1]. ## Źródła 1. MITRE ATT&CK, „Tor”. https://attack.mitre.org/software/S0183/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Proxy: Multi-hop Proxy”. https://attack.mitre.org/techniques/T1090/003/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Encrypted Channel”. https://attack.mitre.org/techniques/T1573/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Proxy”. https://attack.mitre.org/techniques/T1090/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Application Layer Protocol: Web Protocols”. https://attack.mitre.org/techniques/T1071/001/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.