Cyberpediaod Brain
PLDEENESFRITNLPT

Tor, Deep Web i Dark Web

Jak działa Tor i trasowanie cebulowe oraz dlaczego pracownik nie powinien instalować Tora na komputerze służbowym bez zgody działu IT.

W 30 sekund

Gdzie to występuje
Złośliwe grupy używają Tora do swojego ruchu1.
Czego chce atakujący
Ukryć pochodzenie swojego ruchu, aby firma nie mogła do niego dotrzeć2.
Odruch
Nie instalować Tora na komputerze służbowym bez zgody działu IT i nie pobierać żadnej „przeglądarki Tor” ze źródła, którego dział IT nie potwierdził.
Jeśli to już się stało
Niezwłocznie poinformować dział IT, niczego samodzielnie nie usuwając.

O co chodzi

Tor to oprogramowanie i sieć, które służą do bardziej anonimowego przeglądania internetu. Jego nazwa często pojawia się obok określeń „Deep Web” i „Dark Web”, które łatwo ze sobą pomylić. Ta strona wyjaśnia, jak działa Tor i co zmienia dla firmy.

Zebrane tu źródła pochodzą z bazy MITRE ATT&CK, która opisuje techniki atakujących. Mówią głównie o tym, jak Tor bywa wykorzystywany w złych celach, a niewiele o jego zwykłym użyciu. Strona trzyma się tego, co te źródła potwierdzają.

Pytania wprost

Czym jest Tor?

MITRE ATT&CK opisuje go jako pakiet oprogramowania i sieć zapewniające większą anonimowość w internecie. Tworzy łańcuch przekaźników (tzw. „multi-hop proxy”) i stosuje szyfrowanie warstwowe, aby chronić zarówno wiadomość, jak i informacje o trasie1. Istnieje w wersjach dla Linuksa, Windowsa i macOS1.

Co oznacza „trasowanie cebulowe”?

Wiadomości są szyfrowane w kilku warstwach. Na każdym etapie sieci przekaźników wierzchnia warstwa jest odszyfrowywana, a zawartość trafia do następnego węzła, aż do celu1. Obraz jest taki jak z cebulą, której każdy przekaźnik zdejmuje jedną łuskę.

Przez ile przekaźników przechodzi ruch?

Źródło podaje, że ruch jest przekazywany przez kilka węzłów, zanim opuści sieć Tor i pójdzie dalej do celu1. Nie podaje liczby. Często cytowana liczba trzech przekaźników nie występuje w żadnym z tu przytoczonych źródeł.

Czy Dark Web jest nielegalny?

Żadne z przytoczonych tu źródeł nie dotyczy statusu prawnego Dark Webu ani Tora. Strona nie rozstrzyga więc tej kwestii. Źródła potwierdzają inny fakt: złośliwe grupy używają Tora1.

Jaka jest różnica między Deep Webem a Dark Webem?

Przytoczone tu źródła nie definiują żadnego z tych dwóch pojęć. Opisują wyłącznie Tora, sieć anonimizującą. W sprawie rozróżnienia między treściami nieindeksowanymi a usługami dostępnymi przez sieć anonimizującą właściwym kontaktem pozostaje dział IT firmy.

1Jak to działa1 min

Tor łączy dwa mechanizmy. Pierwszym jest wielokrotne przekazywanie: ruch przechodzi przez kilka węzłów, zanim dotrze do celu1. Drugim jest szyfrowanie: Tor pakuje ruch w kilka warstw szyfrowania i domyślnie używa TLS1.

Dla zespołu bezpieczeństwa efekt jest następujący. Zwykle obrońca może zidentyfikować ostatni serwer proxy, przez który ruch przeszedł przed wejściem do jego sieci. Poprzednich serwerów proxy może zidentyfikować lub nie2. Łączenie kilku serwerów proxy zmusza do śledzenia ruchu od przekaźnika do przekaźnika, aby znaleźć jego źródło2. MITRE wskazuje publicznie dostępną sieć Tor jako przykład sieci trasowania cebulowego2.

W przypadku komunikacji dowodzenia i kontroli (command and control) złośliwego oprogramowania MITRE zauważa, że mimo bezpiecznego algorytmu implementacja może być podatna na inżynierię wsteczną, jeśli tajne klucze są zapisane na stałe lub generowane w próbkach złośliwego oprogramowania albo w jego plikach konfiguracyjnych3.

Atakujący używają też serwerów proxy, aby unikać bezpośrednich połączeń z własną infrastrukturą, zarządzać komunikacją dowodzenia i kontroli lub korzystać ze ścieżek komunikacji uznawanych już za zaufane, by nie budzić podejrzeń4.

2Co Pan/Pani robi1 min
  • Proszę nie instalować Tora ani żadnego innego oprogramowania anonimizującego na komputerze służbowym bez zgody działu IT.
  • Jeśli jakaś informacja wydaje się dostępna wyłącznie w ten sposób, proszę zapytać dział IT zamiast szukać jej samodzielnie.
  • Jeśli wiadomość proponuje kupno, wgląd lub sprawdzenie danych firmy na stronie tego rodzaju, proszę nie klikać i zgłosić to działowi IT.
  • Jeśli takie oprogramowanie zostało już zainstalowane, proszę powiedzieć o tym działowi IT, nawet gdy nic nie wydaje się nieprawidłowe.
3Pułapki1 min

Pierwszą jest wiara w absolutną anonimowość. Szyfrowanie i przekaźniki utrudniają pracę obrońcy: MITRE mówi o trudności w ustaleniu źródła, nie o niemożności2.

Tor służy także atakującym. MITRE wspomina o sieciach cebulowych używanych do przesyłania szyfrowanego ruchu dowodzenia i kontroli przez zbiór przejętych maszyn2. Ruch atakującego może ponadto wtopić się w zwykły ruch webowy: HTTP/S i WebSocket są bardzo powszechne w środowiskach firmowych, a atakujący może je przejąć, by naśladować normalny ruch5.

Sieć gości strony grup przestępczych. Water Galura prowadzi hostowaną w Torze stronę z wyciekami danych dla ransomware Qilin i jego afiliantów1. Grupa ShinyHunters użyła Tora dla własnej strony z wyciekami1. Zobaczenie nazwy firmy na takiej stronie samo w sobie nie dowodzi ataku: weryfikacja należy do działu IT.

Źródła nie dotyczą ani fałszywych przeglądarek Tor, ani zainfekowanych plików do pobrania, ani ofert skradzionych danych. Ostrożność zalecana w tych sprawach wynika z polecenia działu IT, a nie z faktu tu potwierdzonego. Jeden przypadek ilustruje jednak ryzyko oprogramowania instalowanego bez kontroli: złośliwe oprogramowanie Dok pobiera i instaluje Tora przez Homebrew2.

4Prawdziwe przypadki1 min

2025 Poland Wiper Attacks

Podczas ataków z użyciem oprogramowania niszczącego (wiper) w Polsce w 2025 roku atakujący używali węzłów Tor do dowodzenia i kontroli12. W kampanii CostaRicto atakujący zarządzali serwerami dowodzenia przez Tora1.

Scattered Spider i wyciąg danych z Salesforce

Według MITRE grupa Scattered Spider użyła Tora do komunikacji z atakowanymi organizacjami1. W kampanii Salesforce Data Exfiltration atakujący używali adresów IP Tora do rozmów głosowych i zbierania danych1.

Operation Wocao

Podczas operacji Wocao atakujący używali węzłów wyjściowych Tora do wykonywania poleceń1.

Karta

Identyfikator
CP-234
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Bezpiecznie przeglądać sieć (browse_safely)
Odruch Brain
cr-077
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
  1. MITRE ATT&CK, „Tor”. https://attack.mitre.org/software/S0183/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Proxy: Multi-hop Proxy”. https://attack.mitre.org/techniques/T1090/003/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Encrypted Channel”. https://attack.mitre.org/techniques/T1573/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Proxy”. https://attack.mitre.org/techniques/T1090/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Application Layer Protocol: Web Protocols”. https://attack.mitre.org/techniques/T1071/001/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Tor, Deep Web i Dark Web”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/

BibTeX 
@misc{brain_cp234_pl_2026,
  author = {Brain},
  title = {Tor, Deep Web i Dark Web},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/tor-deep-web-dark-web/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0