Знікненне трафіку Yandex не спыніла шкодных ботаў — яны змянілі хостынг

У аналізе Cloudflare ад 14 кастрычніка 2026 года паказана, што пасля збояў у расійскіх цэнтрах даных Yandex трафік яго пошукавай сеткі 11 кастрычніка ўпаў на 99% адносна звычайнага ўзроўню, а воблачнай сеткі — на 90%. У пошукавай сетцы амаль увесь зніклы аўтаматызаваны трафік стваралі робаты, якія збіраюць старонкі для індэксацыі. Шкодныя запыты, заўважаныя ў воблачнай сетцы, пасля перапынку пачалі паступаць з іншых хостынгавых сетак.

У разборы Tom’s Hardware названыя Radist і Selectel сярод сетак, куды перайшлі падобныя запыты; расійскі бот-трафік да акаўнтаў з сектара азартных гульняў у назіранай выбарцы за тыдзень змяніўся са 167,7 млн да 170,1 млн запытаў. Гэта аб’ём HTTP-запытаў да сайтаў, бачных Cloudflare, а не колькасць акаўнтаў у сацыяльных сетках. Ён паказвае працяг канкрэтнай аўтаматызаванай актыўнасці пасля змены хостынгу, але не вымярае ўсе шкодныя аперацыі ў інтэрнэце.

Што насамрэч знікла з пошукавай сеткі Yandex

Пошукавая сетка AS13238 абслугоўвала краўлераў Yandex: яны загружалі старонкі, выявы і іншыя рэсурсы, патрэбныя для абнаўлення пошукавага індэкса. Да збою 99,5% запытаў з гэтай сеткі былі класіфікаваныя як аўтаматызаваныя, а 93,6% менавіта бот-запытаў — як Verified bots. Апошняя пазнака азначае, што робат быў распазнаны як вядомы аператар; яна не ператварае кожны аўтаматызаваны запыт у пагрозу.

У выбарцы былі бачныя асобныя задачы пошуку: YandexBot забіраў старонкі, YandexRenderResourcesBot — рэсурсы для іх адлюстравання, YandexImages — выявы. Калі гэтая сетка страціла магутнасць, сайты пачалі атрымліваць менш такіх зваротаў. Для пошуку непасрэднае наступства — слабейшае выяўленне і абнаўленне кантэнту, пакуль краўлер працуе з перабоямі. Зніжэнне колькасці яго запытаў нічога само па сабе не кажа пра праграмы, размешчаныя ў іншай сетцы Yandex.

ASN — нумар аўтаномнай сістэмы, які пазначае сетку адпраўніка. У Yandex пошукавы трафік ішоў праз AS13238, а воблачны хостынг выкарыстоўваў AS200350. Графік па ASN добра паказвае, што з пэўнай сеткі прыйшло менш HTTP-запытаў, але не раскрывае прызначэнне кожнай праграмы. Асабліва лёгка памыліцца, калі аб’яднаць на адным графіку легітымнае сканаванне старонак і запыты праграм, якія спрабуюць знайсці ўразлівасці.

Як шкодныя запыты захаваліся пасля збою Yandex.Cloud

У воблачнай сетцы AS200350 склад трафіку быў іншым. Каля 95% запытаў, якім сістэма дала ацэнку, былі бот-запытамі, але сярод назіраных ботаў не было правераных у класіфікацыі Cloudflare. Гэта не азначае, што ўсе яны былі шкоднымі: праз воблачную інфраструктуру працавалі і звычайныя праграмы, частка якіх абменьвалася данымі з сайтамі. Таму нават для гэтай сеткі агульны спад аўтаматычных запытаў не раўняецца спаду шкоднай актыўнасці.

Падчас збою з адрасоў Yandex.Cloud стала менш запытаў, падобных да сканавання ўразлівасцяў і праверкі ўбудоў WordPress. Аднак найбольш выразны след далейшай працы аўтаматызацыі з’явіўся ў трафіку да кліенцкага акаўнта з сектара азартных гульняў. Пасля перапынку запыты з Yandex.Cloud да яго зніклі, затое адначасова пачалі паступаць падобныя запыты з сетак іншых расійскіх правайдараў.

Сувязь паміж гэтымі запытамі грунтуецца на іх тэхнічных прыкметах. Пасля змены правайдара супадалі адбітак TLS-кліента JA4, незвычайныя шляхі звароту да сайта, загалоўкі HTTP і ўласныя радкі User-Agent. Кожная прыкмета паасобку была б слабейшым доказам; разам з тым самым адрасатам і часам з’яўлення яны даюць падставу гаварыць пра перанос назіранай аўтаматызацыі. Сетка адпраўніка змянілася, але спосаб звароту праграмы да сайта захаваўся.

Лічбы для ўсяго сектара азартных гульняў і назіранне за адным кліенцкім акаўнтам апісваюць розныя маштабы. Амаль нязменны агульны аб’ём запытаў у сектары не азначае, што кожны сайт атрымаў столькі ж трафіку, колькі раней. Адрас хостынгу таксама паказвае, адкуль прыйшоў запыт, а не хто кіраваў праграмай ці дзе знаходзіўся яе аператар. Выснова пра перанос датычыцца паводзін назіраных запытаў, а не асобы людзей за імі.

Чаму з гэтых графікаў нельга падлічыць акаўнты ў сацсетках

Краўлер, HTTP-запыт і акаўнт у сацыяльнай сетцы — розныя адзінкі назірання. Краўлер можа забраць артыкул для пошукавага індэкса; іншая праграма можа праверыць шлях да ўбудовы сайта; акаўнт можа апублікаваць допіс або каментарый. Падзенне трафіку з пошукавай сеткі Yandex вымярае першае дзеянне. Яно не дае колькасці акаўнтаў, якія спынілі публікацыі, і не паказвае, хто стаіць за такімі акаўнтамі.

Спецыяліст па кібербяспецы Лукаш Алейнік у матэрыяле El País аддзяліў пошукавых робатаў Yandex ад акаўнтаў, якія выкарыстоўваюцца ў аперацыях уплыву, і сказаў пра сеткі троляў: «Siguen operando» — «яны працягваюць дзейнічаць». Яго заўвага датычыцца інтэрпрэтацыі графікаў, на якіх бачны абвал трафіку краўлераў. Самі гэтыя графікі не вымяраюць допісы, каментары або сувязі паміж акаўнтамі.

У трафіку сацыяльных сэрвісаў, даступным для аналізу, не было выяўлена нечаканага правалу пасля збою. Асобна вывучаліся і аўтаматызаваныя звароты да функцый публікацыі, адказу і адзнакі ўпадабання на адной платформе. Гэтая выбарка дапаўняе назіранне за пераносам хостынгу, але не ахоплівае ўсе сацыяльныя платформы і іх унутраныя даныя пра акаўнты. Пытанне пра маштаб аперацый уплыву патрабуе менавіта такіх даных, а не толькі падліку запытаў паводле сеткі адпраўніка.

Для сайтаў, якія атрымлівалі шкодныя запыты, змена правайдара не змяніла саму назіраную актыўнасць. Наступныя сеткавыя даныя пакажуць, ці аднавіўся абыход старонак пошукавым краўлерам Yandex і як доўга той самы ўзор запытаў захоўваўся на іншым хостынгу. Гэтыя два працэсы могуць развівацца па-рознаму, нават калі пачаліся пасля аднаго збою.

Чытайце таксама:

• 88% работнікаў ужо змянілі працу праз ШІ — палова без дапамогі кіраўнікоў
• 69% арганізацый спынілі ІТ-праект: сертыфікат яшчэ не даказвае навык
• Spotify for Creators ці Acast: бясплатны хостынг не адкрывае манетызацыю