Atak DDoS na kasyno online nie jest już kwestią “czy”, ale “kiedy”. Dla gracza niedostępna strona to powód do zmiany operatora, a dla biznesu utrata depozytów, ruchu i reputacji w kilka minut. Poniższy przewodnik zbiera konkretne kroki wdrożeniowe: od architektury CDN z filtrowaniem, przez testy przepustowości, po plan komunikacji na wypadek awarii. To lista zadań dla zespołu technicznego i operacyjnego, nie zbiór ogólników.
Warstwa brzegowa: CDN z filtrowaniem DDoS jako fundament
Pierwsza decyzja architektoniczna brzmi: cały ruch publiczny przechodzi przez sieć dostawcy CDN z wbudowanym scrubbingiem. Origin nie może być bezpośrednio osiągalny z internetu, bo wtedy każdy atak wolumetryczny trafia prosto w serwery gry i panel płatności. W praktyce oznacza to ukrycie adresów IP originu, wymuszenie ruchu przez anycast oraz reguły firewall na poziomie edge, które odrzucają pakiety spoza zakresów dostawcy.
Druga rzecz to profil ochrony dopasowany do specyfiki hazardu. Kasyno generuje nietypowe wzorce: krótkie sesje, intensywne zapytania do API portfela, ruch WebSocket przy grach live od Evolution, sezonowe skoki przy promocjach. Reguły rate limiting trzeba oprzeć na tych wzorcach, a nie na domyślnych szablonach. Atak typu HTTP flood na endpoint logowania wygląda inaczej niż na katalog gier z tysiącami miniaturek od Play’n GO czy PG Soft.
Warto rozdzielić polityki dla ścieżek krytycznych i statycznych. Strona marketingowa, katalog gier i assety od Hacksaw czy Nolimit City mogą siedzieć za agresywnym cache i tanim filtrowaniem. Panel kasjera, logowanie i API wypłat wymagają ochrony z challenge’em, ale bez psucia UX. Tu sprawdza się model “cache everything, challenge selectively”: statyki nie ruszamy, a do wrażliwych endpointów dodajemy weryfikację po stronie edge. Dla operatorów white label to szczególnie ważne, bo często nie mają kontroli nad infrastrukturą backendu i mogą wpływać tylko na warstwę brzegową.
Testy przepustowości i regularne ćwiczenia z ataku
Konfiguracja bez testów to założenie, nie zabezpieczenie. Minimum to kwartalny test obciążeniowy symulujący atak wolumetryczny i aplikacyjny, przeprowadzony na środowisku stagingowym z ruchem zbliżonym do produkcji, zgodnie z zasadami opisanymi na https://stonevegas-bonus.pl/kasyno-bez-weryfikacji/. Mierzymy nie tylko to, czy strona się otwiera, ale czy transakcje depozytowe przechodzą, czy sesje gier nie pękają i czy panel administracyjny pozostaje dostępny dla zespołu supportu.
Drugi element to tabletop exercise z udziałem zespołów: DevOps, płatności, compliance i obsługa klienta. Scenariusz “atak na API wypłat w piątek o 21:00” ujawnia luki w eskaluacji szybciej niż jakikolwiek raport z monitoringu. Ustalcie progi: przy jakim poziomie ruchu włączamy tryb challenge, kto decyduje o tzw. “under attack mode”, kto informuje graczy i po ilu minutach niedostępności uruchamiamy komunikację.
Checklista gotowości na atak
- Test wolumetryczny i aplikacyjny wykonany w ciągu ostatnich 90 dni, z raportem i listą poprawek.
- Udokumentowane progi eskalacji: ruch, błędy 5xx, czas odpowiedzi API, spadek konwersji depozytów.
- Runbook z numerami kontaktowymi do dostawcy CDN, hostingu i zespołu płatności, dostępny offline.
- Tryb challenge przetestowany na ścieżkach logowania i kasjera, bez blokowania legalnych graczy mobilnych.
- Plan komunikacji z gotowymi szablonami: status page, e-mail, social media, komunikat w aplikacji.
- Ćwiczenie tabletop z ostatnich 6 miesięcy z wnioskami wdrożonymi w konfigurację.
Plan komunikacji z graczami na wypadek awarii
Gracz, który widzi błąd 503, nie wie, czy to atak, czy awaria, czy blokada. Cisza w takich momentach kosztuje więcej niż sam atak, bo ludzie przenoszą depozyty do konkurencji i piszą o tym na forach. Plan komunikacji powinien zakładać trzy fazy: natychmiastowe potwierdzenie problemu na status page w ciągu 15 minut, aktualizację co 30-60 minut oraz powiadomienie o przywróceniu usług z krótkim wyjaśnieniem.
Ton komunikatów ma znaczenie. Nie piszcie “trwają prace techniczne”, jeśli doszło do ataku DDoS. Uczciwe “odnotowaliśmy wzmożony ruch, który wpłynął na dostępność, pracujemy nad przywróceniem usług” buduje zaufanie. Ważne, żeby poinformować o statusie środków na kontach: gracze w trakcie awarii boją się o salda, a to najczęstszy powód zgłoszeń do supportu. Jeśli operator promuje odpowiedzialną grę, spójność komunikacji w kryzysie jest jej częścią, podobnie jak linkowanie do zasobów takich jak Anonimowi Hazardziści czy Uzależnienia Behawioralne w materiałach pomocowych.
Warto przygotować szablony w kilku językach i trzymać je poza infrastrukturą, która może paść. Status page na zewnętrznym dostawcy, lista kontaktów offline i dostępy awaryjne do kanałów social media to elementy, które w praktyce ratują reputację. Zespół supportu powinien mieć skrypt odpowiedzi na pytania o wypłaty wstrzymane w trakcie ataku.
Kontekst regulacyjny i ryzyka specyficzne dla kasyn offshore
Dostępność to nie tylko kwestia techniczna, ale też prawna. Total Casino posiada monopol na hazard online w Polsce, a Ministerstwo Finansów prowadzi Rejestr Domen Zakazanych, który blokuje nielegalne strony hazardowe. Dla operatora spoza polskiego rynku oznacza to, że domena może zostać wpisana do rejestru niezależnie od tego, jak dobrze zabezpieczona jest infrastruktura. StoneVegas posiada licencję zagraniczną, co w praktyce oznacza, że gracze z Polski mogą napotkać blokadę DNS i sięgać po VPN, a sam operator działa w szarej strefie dostępności.
To rodzi pytanie o model “kasyno bez weryfikacji”. W praktyce kasyno bez weryfikacji oznacza brak pełnej weryfikacji KYC przy rejestracji, ale weryfikacja KYC jest wymagana przy wypłacie wygranych. Operatorzy z licencją Malta Gaming Authority czy Curacao muszą spełniać wymogi AML i przeciwdziałać praniu pieniędzy, więc pełna anonimowość nie istnieje. W kontekście DDoS ma to znaczenie: atakujący może celować w proces KYC, żeby zablokować wypłaty i wywołać falę skarg, a nie tylko w samą stronę.
Kasyno bez polskiej licencji działa w warunkach podwójnej presji: z jednej strony blokady domen, z drugiej ataki wymierzone w reputację. Strona, która promuje odpowiedzialną grę i jasno tłumaczy zasady weryfikacji, łatwiej przechodzi przez kryzys. Kasyno bez blokady to często hasło marketingowe, ale technicznie oznacza konieczność utrzymania wielu domen zapasowych i ciągłego monitoringu rejestru. To dodatkowy powód, żeby warstwę brzegową traktować priorytetowo, bo przełączenie ruchu na nową domenę musi być natychmiastowe.
Ostatni element to bonusy. StoneVegas oferuje bonus +150% do depozytu, a tego typu promocje generują skoki ruchu, które łatwo pomylić z atakiem. Zespół monitoringu powinien mieć kalendarz promocji i wiedzieć, kiedy wzrost zapytań jest planowany. Bez tego każda kampania uruchamia fałszywy alarm, a prawdziwy atak ginie w szumie.
Zacznijcie od audytu: czy origin jest ukryty, czy polityki CDN są dopasowane do endpointów kasjera, kiedy ostatnio robiliście test obciążeniowy i kto ma numer do dostawcy o trzeciej w nocy. Uzupełnijcie luki w tej kolejności, bo każda godzina niedostępności to realne pieniądze i zaufanie graczy, którego nie odbuduje żaden bonus. Plan komunikacji napiszcie, zanim będzie potrzebny, i przetestujcie go w ćwiczeniu, a nie dopiero w trakcie ataku.
