Cloudflare 官方分析顯示，二○二六年十月七日至十一日傳出烏克蘭無人機襲擊俄羅斯境內三座 Yandex 設施後，Yandex 搜尋與雲端自治系統流量一度較基線急跌約九成至九成九；外界一度以為俄系機械人農場與影響力操作已被「斷電」。來源真實性已驗證：本文以 Cloudflare Blog 與 Cloudflare Radar／Bot Management 數據為主，核對其 ASN、分類比例與博彩目標流量遷徙數字。結論卻相反——搜尋爬蟲確被打斷，但惡意自動化並未消失，而是帶著相同 JA4 指紋改道其他主機商繼續跑。

Cloudflare／官方：Yandex 數據中心癱瘓後惡意機械人未熄火——搜尋爬蟲驟降、攻擊負載改道其他雲端；博彩目標流量一周近乎持平

二○二六年十月十四日（UTC；香港時間十五日凌晨），Cloudflare 工程師 Marina Elmore 與 Lai Yi Ohlsen 於官方 Blog 發表《Yandex outage》分析。他們以 Cloudflare Radar 與 Bot Management 觀測兩組與 Yandex 相關的自治系統號碼（ASN）：AS13238（Yandex 搜尋）與 AS200350（Yandex.Cloud）。文章指出，整體 HTTP 流量圖表的陡降，容易被誤讀成「惡意活動已被打掉」；但若改看請求行為與指紋，惡意自動化其實具高度可攜性——數據中心熄燈，並不等于威脅熄火。

一、核心事件：設施受創、流量崩跌，敘事卻跑偏

技術細節

據 Cloudflare 整理的時間線，十月七日至十一日期間，傳出烏克蘭無人機襲擊俄羅斯境內三座 Yandex 設施，網絡容量逐步下線。Radar 顯示，十月十一日 Yandex 網絡近乎全面崩潰：Yandex Search（AS13238）流量較基線低約 99%，Yandex.Cloud（AS200350）低約 90%；其後短暫部分恢復，至十月十三日兩網仍較正常基線低約 86%–90%。截至十月十四日十八時（UTC），流量約為正常水平的 85%。

事件前基線方面，Cloudflare 全球 HTTP 流量中自動化請求約佔 36.1%；來自俄羅斯 IP 的流量中自動化約佔 35.8%。事件期間，全球機械人請求佔比幾乎不動（約 39.4%–39.6%），俄羅斯來源機械人佔比則由基線約 50.4% 降至約 42% 左右——跌幅大致與 Yandex 下線份額相符，並未出現「全球惡意流量被連根拔起」的證據。

兩組 ASN 角色截然不同，也解釋了為何「一起跌、含義不同」：

Yandex Search（AS13238）：約 99.5% 請求被判為自動化，其中約 93.6% 為 Cloudflare 已驗證（Verified）機械人；抽樣可見約 78.1% 為 verified YandexBot、11.5% 為 YandexRenderResourcesBot、1.9% 為 YandexImages。該 ASN 約佔俄羅斯來源機械人請求的 7%、全球僅約 0.05%。出版／新聞業來自 Yandex 網絡的流量跌約 44%，主因是搜尋索引減少，而非影響力操作被摧毀。
Yandex.Cloud（AS200350）：約 95.0% 已評分請求為機械人，且觀測到的機械人請求無一為 Cloudflare 驗證爬蟲；請求型態更像軟件應用（JavaScript／Python／Go、大量送出資料）。該 ASN 約佔俄羅斯來源機械人請求的 2%、全球約 0.01%。事件後其機械人流量約跌 40%；類攻擊行為更急：WordPress 外掛探測約跌 90%、掃描器類請求約跌 93%，客戶對該 ASN 的封鎖亦約跌 70%——一時看似「安靜」，實則流量改道。

Cloudflare 強調：惡意流量「來自某供應商」，並不等于可推斷「由誰負責」；要解釋為何實體打擊對惡意流量缺乏持久效果，必須看請求行為，而非只看總流量。

二、技術原理深度解析：可攜負載與行為指紋

惡意自動化本質上是雲端工作負載。當數據中心下線或 IP 前綴被封鎖，營運者可在數小時內把腳本遷到另一家主機商。Cloudflare 以博彩業客戶帳戶作為 clearest evidence：Yandex.Cloud 上幾乎全部機械人請求都打向同一博彩客戶帳戶；十月八日受創後，來自 Yandex.Cloud 的請求歸零，但同一組指紋随即出現在其他俄羅斯主機 ASN（文中點名包括 Radist、Selectel）：

相同 JA4 TLS 客戶端指紋
相同罕見路徑與 HTTP 標頭
相同自訂 User-Agent

整周針對博彩帳戶的俄羅斯來源機械人請求，由約 1.677 億 筆變為約 1.701 億 筆（約 +1.4%）——自動化從未真正停下，只是換了「雲上租盤」。

社交媒體層面，Cloudflare 亦未見異常：俄羅斯來源總流量事件期約 -0.6%，全球約 +1.2%；針對某社交平台「發帖／回覆／按讚」端點的機械人流量，俄羅斯來源約 -5.7%、全球約 +1.1%。作者寫明：現有數據不支持「襲擊癱瘓社交操控」的說法，惟亦坦言若欠缺 Cloudflare 以外數據，無法絕對否定任何關聯。

防禦含義因此很清楚：以客戶 ASN 流量當「惡意活動代理指標」並不可靠。有效防線應檢查行為——共用 JA4 指紋、異常請求速率、對敏感端點的 WAF 規則——而不論請求來自哪一張網絡。實體基礎設施是靜態的；惡意自動化天生為遷移而設計。

四、日常應用場景

1. 開發者與技術團隊

把「封鎖某國 ASN／某雲前綴」當成唯一對策的團隊，應補上指紋與行為層面的偵測：記錄 JA4、比對罕見路徑與自訂 UA、把掃描／外掛探測與高價值業務路徑分開限流。對香港團隊而言，許多 API 與管理後台已暴露在全球 Anycast 邊緣——只靠來源網絡黑名單，會在對手改道後立刻失效。

2. 企業與隱私敏感行業

金融、電訊、博彩、媒體與零售網站常見自動化探測與帳號濫用。Cloudflare 數據顯示，Yandex.Cloud 機械人流量高度集中於軟件與博彩垂直；當單一客戶帳戶成為焦點時，供應商切換可在小時級完成。企業資安應假設「雲上腳本可攜」，把監控重點放在帳戶層行為、憑證濫用與 WAF／Bot Management，而非單一主機商名冊。

3. 一般用戶

一般讀者看見「數據中心被炸、機械人死光」的標題時，應保留懷疑：搜尋爬蟲被打斷，確實會影響內容被索引进去；但針對網站的掃描、探測與批量請求，往往只是換一台 VPS 繼續跑。判斷威脅是否消失，要看行為數據，不是看某一張流量圖。

4. 香港與亞洲市場視角

香港企業大量依賴跨境 SaaS、CDN 與雲端主機；攻擊面同樣全球化。金管局與證監會監管下的金融科技、以及服務大灣區客戶的電訊與零售平台，都可能面對可攜式機械人負載。本地團隊若只依賴地理／ASN 封鎖清單，容易在對手遷雲後出現「看起來變安靜、實際風險未降」的假安全感。零信任、邊緣 WAF 與行為分析，比「某供應商掛了就安全」更貼近現實。

五、專業評價與潛在考量

優勢

以官方 Radar／Bot Management 公開數據回應網路傳聞，區分「已驗證搜尋爬蟲」與「未驗證雲端自動化」，方法清晰。
用 JA4、路徑、標頭與 User-Agent 的一致性，實證惡意負載遷徙，比單純看流量跌幅更有說服力。
對社交操控傳聞持審慎態度，並主動標出數據邊界，有助抑制過度解讀。

需要留意的地方

觀測範圍以 Cloudflare 網絡為主；作者亦承認，欠缺外部數據時無法對社交操控作絕對結論。
「來自某 ASN」不等于歸因到特定國家行為者；惡意流量可能只是租用該雲的第三方。
物理打擊與網絡效應的新聞敘事容易被簡化；技術讀者應分開「搜尋可用性」與「攻擊面是否縮小」兩條線。

結語

Yandex 設施受創後，搜尋爬蟲確實大減，但 Cloudflare 數據顯示惡意自動化迅速改道其他主機，博彩目標流量一周近乎持平。對企業而言，教訓不是「哪一座數據中心掛了」，而是自動化威脅本質上可攜——防守要盯行為與指紋，而不是只盯來源 ASN。若香港團隊正加固邊緣防護、零信任與雲端遷移，可參考 YSK Limited 的雲端遷移與網絡安全（官網刊 99.99% SLA）；本地模型閘道可搭配 YSK Omni v1.0.4，新產品脚手架可用 YSK Kit v1.6.0，單機 Linux 控制面則有外判方案預裝的 YSK Server v1.1.28。

參考來源

Cloudflare Blog（主來源）：https://blog.cloudflare.com/yandex-outage/ （2026-10-14 UTC／2026-10-15 HKT；Marina Elmore、Lai Yi Ohlsen）
Discovery：Cloudflare Blog RSS https://blog.cloudflare.com/rss/
相關背景（非本篇主軸；故事層已發 #1428）：路透等對 Yandex 數據中心遇襲的先前報道——本篇僅採用 Cloudflare 新公開的行為／指紋遷徙分析，不作重複報道