Yandex 資料中心遭無人機攻擊，俄羅斯惡意機器人卻搬家了：Cloudflare 揭露 1.7 億次請求背後的真相

資料中心被炸，機器人卻沒有消失

2026 年 10 月 7 日至 11 日，據媒體與 Cloudflare 彙整的事件紀錄，烏克蘭對俄羅斯 Yandex 資料中心發動多次無人機打擊。10 月 11 日，Cloudflare 觀察到 Yandex Search 所屬 AS13238 的 HTTP 流量較基準下降約 99%，Yandex.Cloud 所屬 AS200350 下降約 90%。這代表實體基礎設施遭到嚴重衝擊，但不能直接推論俄羅斯網路宣傳活動同幅萎縮。

被誤認成宣傳機器人的搜尋爬蟲

Yandex Search 的大量自動請求其實來自經驗證的搜尋引擎爬蟲，負責擷取網頁、圖片與其他內容以建立搜尋索引。Crawler 是 bot，但 bot 不一定惡意，更不能把搜尋索引流量直接視為散播假訊息的帳號。若只看 ASN 總流量折線圖，容易把基礎設施故障誤讀成政治宣傳網路遭殲滅。

真正值得注意的是跨雲端遷移

Cloudflare 研究了旗下某博彩產業客戶遭遇的高頻自動化請求。原本由 Yandex.Cloud 發出的相關請求在 10 月 8 日中斷後，其他俄羅斯託管網路，例如 Radist、Selectel，隨即出現相同特徵的流量。研究者透過相同的 JA4 TLS 用戶端指紋、不常見的請求路徑、HTTP 標頭及自訂 User-Agent，把這些活動關聯起來。

對該博彩帳號群的俄羅斯來源機器人請求，一週內從 1.677 億次增加至 1.701 億次，約成長 1.4%。這些是觀測到的請求量，不等於 1.701 億次成功入侵，也不是 1.701 億則假訊息。研究顯示的是：即使來源供應商改變，同一類自動化活動仍可能持續。

為何雲端遷移如此有效？

許多自動化程式本身不依賴某一台實體主機。當程式、設定與必要憑證可以在其他供應商重新部署，原本的 IP 位址便不是攻擊行為的固定身分。容器化、基礎設施即程式碼與自動化部署可以縮短恢復時間，但這次事件的公開資料並未證實涉事操作者具體使用哪一套部署工具，也不能將報導中的「遷移」直接等同於已證實的全自動故障切換。

JA4 為何比單看 IP 更有價值？

IP 與 ASN 告訴防禦者流量從哪個網路進來；JA4 則概括 TLS 連線握手中的用戶端特徵。若攻擊程式搬家，出口 IP 可能完全不同，但 TLS 行為、HTTP 標頭、路徑與請求節奏仍可能相近。防禦系統把多個訊號結合，通常比單純封鎖單一 IP 更有機會識別同一類自動化活動。不過 JA4 並不是個人身分證，不同客戶端可能共享指紋，攻擊者也可能修改特徵，因此不應單憑一項指標判定惡意。

這是否證明俄羅斯假訊息網路毫髮無傷？

不能。Cloudflare 的資料涵蓋其可觀測網路與特定客戶案例，無法全面量測所有社群平台、住宅代理、封閉通訊軟體或國家級影響力行動。它能有力反駁「Yandex 爬蟲流量崩潰就代表俄羅斯宣傳機器人被消滅」的簡化說法，但不能直接量化俄羅斯資訊作戰的全部效果，也不能只憑俄羅斯來源 IP 將攻擊歸責給俄羅斯政府。

對企業與一般網站的啟示

第一，區分搜尋爬蟲、一般自動化與惡意請求，避免誤封合法流量。第二，保護登入、註冊、留言及付款等敏感端點，配合速率限制、WAF、帳號風險訊號與行為分析。第三，監控跨 ASN 的共同指紋，而非把單一機房或 IP 的消失當成威脅結束。最後，資料中心本身承載大量民用服務，實體攻擊可能傷及一般使用者與企業，不能把服務中斷簡化成網路安全上的勝利。

結論

這起事件揭示數位衝突的一個悖論：機房是固定的，程式卻可以移動。摧毀資料中心可能重創搜尋、支付及雲端服務，但要真正抑制惡意自動化，還需要跨網路追蹤行為、提升平台防禦，以及精確區分可驗證的觀測與尚未證實的政治歸因。

Tech English 專有名詞

Autonomous System Number（自治系統編號，ASN）：識別網際網路上由特定網路營運者管理的路由網路。

Web Crawler（網頁爬蟲）：自動擷取網頁內容以建立搜尋索引的程式，不必然具有惡意。

JA4 TLS Fingerprint（JA4 TLS 用戶端指紋）：根據 TLS 握手特徵建立的分類訊號，協助辨識相似客戶端行為。

Workload Migration（工作負載遷移）：把應用程式或運算工作轉移到其他主機、機房或雲端供應商。

Web Application Firewall（網站應用程式防火牆，WAF）：依 HTTP 請求特徵及規則偵測、阻擋網站層級的可疑流量。

User-Agent（用戶端識別字串）：HTTP 請求中用來宣告軟體身分的標頭，可自訂也可偽造。