Od rozpoznania do ataku. Łańcuch operacyjny rosyjskich służb specjalnych

Rosyjskie służby nie porzuciły tradycyjnego wywiadu. Łączą agenturę i obserwację z danymi komercyjnymi, cyberdziałaniami, pośrednikami oraz wykonawcami rekrutowanymi do pojedynczych zadań. Z tych elementów powstaje łańcuch operacyjny: od decyzji o celu, przez rozpoznanie i przekazanie zadania, po finansowanie, logistykę i wykonanie – sabotaż, operację wpływu lub atak na konkretną osobę. W poszczególnych operacjach ogniwa mogą występować w różnej kolejności.

Od priorytetu do zadania

FSB odpowiada przede wszystkim za bezpieczeństwo wewnętrzne i kontrwywiad, SWR prowadzi cywilny wywiad zagraniczny, a GRU – wywiad wojskowy. Zakresy ich działalności częściowo się pokrywają. Służby współpracują przy konkretnych zadaniach, ale rywalizują też o wpływy i dostęp do informacji.

ICDS wskazuje na poprawę koordynacji między rosyjskimi służbami oraz szersze wykorzystywanie nielegałów, obywateli państw trzecich i kanałów naukowych oraz kulturalnych. Tomorrow’s Affairs i Intelligence and National Security opisują rywalizację instytucjonalną, hierarchiczny obieg informacji i ukrywanie ocen sprzecznych z oczekiwaniami władz. Współpraca nie oznacza więc, że wszystkie operacje są planowane i kontrolowane przez jedno centrum. Priorytety polityczne przekładają się na zadania operacyjne: zdobywanie informacji, pozyskiwanie technologii, zakłócanie dostaw dla Ukrainy, wywieranie presji na przemysł obronny czy podważanie zaufania do instytucji. Następnie dobierane są źródła, narzędzia i wykonawcy.

Wydalenia rosyjskich dyplomatów ograniczyły możliwości działania tradycyjnych rezydentur. Zwiększyło to znaczenie zdalnego kierowania oraz rozdzielania zadań między osoby, które nie muszą znać całego planu. Atlantic Council opisuje powiązania jednostek państwowych z cyberprzestępcami i tak zwanymi patriotycznymi hakerami. Takie kontakty poszerzają pulę dostępnych wykonawców, choć same w sobie nie dowodzą, że wszystkie operacje mają wspólnego kierownika.

Rozpoznanie celu

Po określeniu zadania trzeba ustalić, kto lub co jest celem, kiedy można do niego dotrzeć i jakie ma zabezpieczenia. Rozpoznanie może wykorzystywać źródła osobowe, obserwację fizyczną, dane cyfrowe, informacje publiczne albo materiały zdobyte w cyberoperacji. Tradycyjną metodą jest naruzhka, czyli zewnętrzna obserwacja operacyjna. Enderi opisuje odtwarzanie tras, rutyn i kontaktów obserwowanej osoby. Zebrane w ten sposób informacje mogą pomóc w werbunku, dalszym rozpoznaniu albo przygotowaniu operacji przeciwko konkretnej osobie.

Rozpoznaniu mogą podlegać także infrastruktura i procedury. W sprawie przesyłek ukraińskiej firmy kurierskiej Nova Post paczki z częściami samochodowymi i lokalizatorami miały pomóc w odtworzeniu tras i procedur transportowych przed planowaną wysyłką ładunków zapalających. Tagesschau relacjonowała proces, a Deutsche Welle wyrok sądu w Stuttgarcie. Jeden z oskarżonych został skazany za szpiegostwo w celu sabotażu, dwóch uniewinniono. Sprawa pokazuje, jak rozpoznanie logistyki może poprzedzać próbę sabotażu; odpowiedzialność każdego oskarżonego oceniono osobno.

Informacje o celu mogą pochodzić również z komercyjnych zbiorów lokalizacyjnych. Euractiv opisał sprzedaż danych o położeniu telefonów, które mogły ujawniać miejsca pobytu pracowników wojska i urzędników. CSIS wskazuje, że takie zbiory mogą odsłaniać trasy, miejsca zamieszkania i zwyczaje osób związanych z sektorem obronnym. Ich wartość wywiadowcza wynika z możliwości łączenia pojedynczych sygnałów w obraz zachowań konkretnej osoby. Opis irlandzkiej sprawy nie dowodzi jednak, że dane z tego źródła wykorzystały rosyjskie służby.

Agentura i wykonawcy doraźni

Służby mogą pozyskiwać osoby mające dostęp do informacji albo zlecać ograniczone zadania ludziom z zewnątrz. Agentura zapewnia dłuższy dostęp do instytucji lub określonego środowiska. Wykonawca doraźny może otrzymać polecenie obserwacji, przekazania przesyłki, zdobycia sprzętu czy podpalenia, nie znając zleceniodawcy ani celu całej operacji.

Szwedzka prokuratura oskarżyła byłego konsultanta sił zbrojnych o usiłowanie szpiegostwa na rzecz Rosji. Według aktu oskarżenia mężczyzna uzyskał dostęp do informacji o wysokiej wartości ochronnej, a następnie pojechał do Moskwy i spotkał się z przedstawicielami rosyjskiego wywiadu oraz służb bezpieczeństwa. Sprawa pokazuje, jak wcześniejszy dostęp zawodowy może uczynić daną osobę wartościowym źródłem informacji.

Włoskie śledztwo dotyczy emerytowanych funkcjonariuszy AISI, Gavina Raoula Pirasa i Vincenza Di Pasquale. Według ROS Piras miał przekazywać informacje rosyjskiemu attaché wojskowemu Mikhailowi Vasilyevichowi Astakhovowi. Pozyskiwał je z sześciu źródeł, w tym od czterech żołnierzy pozostających w czynnej służbie. Astakhov został wydalony, wobec podejrzanych zastosowano areszt domowy, a kolejne osoby objęto śledztwem. Ten przypadek pokazuje, jak były funkcjonariusz może pośredniczyć w dostępie do wielu źródeł.

Säpo poinformowała o operacji zaplanowanej i kierowanej przez SWR, której celem było gromadzenie wiedzy o szwedzkich procesach decyzyjnych i wykorzystanie jej do oddziaływania na debatę publiczną. W operacji uczestniczyły osoby korzystające z immunitetu dyplomatycznego, w tym agent związany z zagranicznym przedstawicielstwem dyplomatycznym. Materiały uzyskane przez agenturę mogą służyć nie tylko do przekazywania informacji, lecz także do rozpoznania środowiska, wyszukiwania kolejnych źródeł i przygotowywania działań wpływu.

Badanie opublikowane w European Security analizuje role agentów niskiego szczebla, ich ponowne wykorzystywanie oraz strukturę sieci. Według badacza sieci te są hierarchiczne i podzielone na komórki; funkcjonariusze służb, pośrednicy, werbownicy i wykonawcy zajmują w nich różne pozycje. Wykonawcy często znają przede wszystkim własne zadanie, co ogranicza ich wiedzę o całej operacji.

Śledztwo EBU opisało rekrutowanie wykonawców przez media społecznościowe, portale pracy i serwisy wolontariackie. Zadania mogły obejmować obserwację, sabotaż i sprawdzanie jego skutków. Zleceniodawca mógł przedstawić je jako dorywcze zajęcie i przekazać rekrutowi tylko informacje niezbędne do jego wykonania. Poszczególni uczestnicy mogli znać jedynie pośrednika, który przekazał im instrukcje.

Pośrednicy i przestępczość zorganizowana

Sieci przestępcze mogą pomagać w rekrutacji ludzi, organizacji transportu, zdobywaniu sprzętu i przekazywaniu pieniędzy. Rola pośrednika może ograniczać się do znalezienia wykonawcy, przekazania instrukcji lub ukrycia płatności. Nie musi on znać osoby, która wyznaczyła cel, ani całego planu.

Nie każdy doraźnie zwerbowany sprawca należy do grupy przestępczej, a udział jednego członka nie dowodzi, że cała organizacja współpracuje ze służbą. Analiza ICCT i GLOBSEC obejmuje 151 przypadków i 172 zidentyfikowane osoby. Około 95 proc. z nich nie miało formalnych związków z rosyjskimi służbami. Dane pokazują, że do działań na rzecz Rosji angażowani są przede wszystkim ludzie spoza aparatu wywiadowczego, ale nie oznaczają, że wszyscy należą do zorganizowanej przestępczości.

Śledztwo The Insider i Der Spiegel w sprawie planowanego sabotażu na lotnisku w Lipsku wskazało na pułkownika GRU Denisa Smolyaninova, pośredników Andreia Usacheva i Olega Levushkin oraz domniemanego bezpośredniego wykonawcę Andreia Karshakova. Według dziennikarzy Karshakov brał również udział w pożarze sklepu Leroy Merlin w Łodzi w 2024 r. Ich rekonstrukcja przedstawia podział ról między funkcjonariuszem służby, pośrednikami i wykonawcą. Dotyczy konkretnej sieci, a nie jednego wzoru, według którego przebiegają wszystkie operacje.

Rozproszenie zadań zwiększa zasięg operacji, ale może obniżać kontrolę nad wykonawcami. IISS i RUSI wskazują, że słabo przygotowani sprawcy popełniają błędy, mogą pomylić cel lub wywołać większe szkody, niż zakładali zleceniodawcy.

Zaplecze operacji

Pieniądze, dokumenty, transport i sprzęt wspierają różne ogniwa operacji – od rozpoznania po wykonanie. Nie muszą tworzyć odrębnego etapu po werbunku. Zakupy, podróże, płatności i komunikacja pozostawiają ślady, które pozwalają łączyć osoby pozornie niemające ze sobą związku.

RUSI opisał płatności w kryptowalutach i nieformalne kanały wymiany. W jednym z analizowanych przypadków trzej sabotażyści mieli otrzymać po około tysiąc dolarów w USDT z tego samego portfela pośrednika. Analiza przepływów wskazywała na możliwy związek portfela z brokerem wymiany gotówki i kryptowalut. Taki system utrudnia ustalenie źródła pieniędzy, ale pozostawia ślady transakcji i powiązań.

Zaplecze obejmuje również pozyskiwanie technologii. Estońska Służba Wywiadu Zagranicznego, ICDS i Tomorrow’s Affairs opisują rolę przedsiębiorstw i pośredników w zdobywaniu towarów podwójnego zastosowania mimo ograniczeń eksportowych. Ukryte kanały zaopatrzenia, płatności i transport wspierają operacje, a ich dokumentacja może pomóc śledczym ustalić, kto dostarczył zasoby i komu je przekazał.

Wykonanie: sabotaż, atak, cyberoperacja i wpływ

Forma działania zależy od zadania. Zakłócenie dostaw lub pracy infrastruktury prowadzi do sabotażu; zdobycie informacji albo przerwanie pracy instytucji – do cyberoperacji; osłabienie poparcia dla Ukrainy – do kampanii wpływu. Zastraszenie lub zabicie konkretnej osoby może przybrać postać przemocy ukierunkowanej. Warianty mogą się łączyć, lecz nie tworzą obowiązkowych etapów jednej operacji.

Ochrona infrastruktury na Bałtyku pokazuje, jak państwa reagują na ryzyko. NATO uruchomiło Baltic Sentry, wykorzystujące fregaty, samoloty patrolowe i drony morskie. JEF prowadzi Nordic Warden – system analizujący ruch statków i wskazujący jednostki mogące stanowić zagrożenie dla infrastruktury. Są to działania ochronne, a nie rosyjskie ogniwa operacyjne. Przy uszkodzeniu kabla trzeba ustalić przyczynę; sam incydent nie przesądza o sabotażu ani o sprawcy.

Financial Times, powołując się na przedstawicieli europejskich służb, opisał zainteresowanie GRU kierownictwem firm obronnych, zwłaszcza producentów dronów i komponentów. Według rozmówców do przygotowania ataków mogły być wykorzystywane grupy przestępcze i komórki wykonawców.

W Polsce zastrzelono rosyjskiego artystę i krytyka Kremla Roberta Kuzovkova, znanego jako Semyon Skrepetsky. W związku ze sprawą zatrzymano dwóch obywateli Białorusi, ale nie postawiono im zarzutów. Zleceniodawca pozostaje nieznany.

Polskie władze poinformowały także o udaremnieniu próby zabójstwa obywatela USA ukraińskiego pochodzenia. Według władz podejrzany działał na zlecenie rosyjskich służb. W odrębnej sprawie prokuratura zarzuciła Serhijowi P. podłożenie w Irpieniu improwizowanego ładunku pod samochodem przedstawiciela ukraińskiego przemysłu zbrojeniowego. Ładunek nie eksplodował, a podejrzany po nieudanej próbie uciekł do Polski. Te sprawy różnią się statusem dowodowym i nie należy łączyć ich w jeden łańcuch bez dodatkowych ustaleń.

Amerykański Departament Sprawiedliwości przedstawił zarzuty pięciu osobom, w tym funkcjonariuszowi FSB, w sprawie planowanych zabójstw dysydenta w Waszyngtonie i krytyka Rosji na Litwie. Do ataków nie doszło, a akt oskarżenia nie wymieniał celów z nazwiska. El Mundo podało, że chodziło o Garriego Kasparowa i Ilję Ponomariowa. Kasparow oświadczył, że on i aktywista Iwan Tiutrin zostali ostrzeżeni przez służby USA i Litwy, ale nie powiedziano im, że formalnie wskazano ich jako cele. To plany opisane w zarzutach i relacjach medialnych, nie dokonane zamachy.

Cyberoperacje pozwalają realizować zadania bez fizycznego kontaktu z celem. Unia Europejska przypisała Rosji atak na satelitarną sieć KA-SAT należącą do Viasat, przeprowadzony przed rozpoczęciem pełnoskalowej inwazji na Ukrainę. Zakłócenia łączności dotknęły Ukrainę i kilka państw UE.

CERT-EU opisał kampanię Laundry Bear wykorzystującą podatność poczty Zimbra do kradzieży korespondencji i utrzymywania dostępu do kont. W osobnym raporcie przedstawił działania Storm-1516 i sieci Matryoshka, które rozpowszechniały fałszywe materiały przed wyborami w Niemczech i Francji. Włamanie i operacja wpływu są różnymi formami działania; ich związek trzeba ustalić w konkretnej sprawie.

Atrybucja i odpowiedź

Zatrzymanie wykonawcy nie ujawnia całej sieci. Policja może mieć dowody sabotażu, kontrwywiad – informacje o zagranicznym kierowaniu, a instytucje finansowe – ślady przepływów. Połączenie tych danych wymaga współpracy służb, prokuratury, instytucji finansowych i operatorów infrastruktury. Kluczowe pytania dotyczą tego, kto wyznaczył cel, zebrał informacje, przekazał zadanie i zapewnił środki.

Portal Ważne historie przedstawiają sabotaż, cyberataki, zakłócanie GPS, dezinformację i presję migracyjną jako elementy kampanii mającej osłabić poparcie dla Ukrainy i sprawdzić reakcję NATO. Prognozy dotyczące możliwej eskalacji są ocenami autorów, a nie dowodem na podjęcie konkretnej decyzji przez Kreml.

Łańcuch operacyjny pozwala porządkować rozproszone ślady i odtwarzać role poszczególnych uczestników. Dokumenty, komunikacja, przepływy finansowe i zeznania pomagają ustalić, kto rozpoznał cel, przekazał zadanie, zapewnił środki i połączył wykonawców ze zleceniodawcami. Analizowane sprawy pokazują, że rosyjskie służby łączą własne kadry i agenturę z pośrednikami, wykonawcami oraz narzędziami cyfrowymi.