Bili smo napadnuti

»Radi li se nešto na lokalnom poslužitelju?« Ponedjeljak ujutro počeo je bezazlenim pitanjem kolege. Zatim smo otkrili zaključane podatke i zahtjev za otkupninom. I nas su napali. Zašto o tome pišem ako tvrtke takve napade skrivaju iza riječi »tehničke poteškoće«? Zato što šutnja koristi napadačima.

Kad se napad dogodi tebi, iza zaključanih podataka odjednom vidiš i sve ostalo: neizvjesnost, ljutnju i pitanja na koja trebaš odgovore. Nakon detaljne analize napada stručnjaci koje je angažiralo osiguravajuće društvo procijenili su da je najvjerojatnije riječ o pojedincu, o »vuku samotnjaku«, kako su ga opisali. Kao i u svim drugim sektorima i industrijama, i u IT sektoru i programiranju postoje zlonamjerni ljudi, bez trunke empatije, koji žele brzo i kaznenim djelom doći do novca. A toga je sve više.

Moja prva reakcija? F***! Istodobno su mi kroz glavu prolazile brojne misli o tome što učiniti u tom trenutku. Zahvaljujući kolegama i njihovoj pribranosti brzo smo reagirali. Odmah smo obavijestili sve nadležne institucije, udahnuli i krenuli u cjelovitu analizu i obnovu.

Priznajem da sam dosta dugo razmišljao trebam li o tome pisati ili ne. Kad sam o tome počeo razgovarati s drugima, pa i s osiguravajućim društvom, rekli su mi da je takvih slučajeva jako mnogo. Tvrtke se, međutim, boje to priznati i reći. Brojne poznate tvrtke u Sloveniji doživjele su napad. Neke su samo objavile: »Imali smo tehničkih poteškoća.« Mhm, jesu, da, i mi smo. Prilično ozbiljnih tehničkih poteškoća.

Zašto o tome ne govoriti? Zato što se bojiš da ti klijenti više neće vjerovati. Ali kad počneš otvoreno razgovarati, ohrabre se i drugi te priznaju. Tako sam otkrio da je toga još mnogo više nego što bih mogao pomisliti. Upravo zato moramo govoriti o napadima i uz digitalizaciju brinuti i o sigurnosti. Digitalni alati doista nam olakšavaju rad, ali sa svakim novim sustavom sve smo više ovisni o njegovu sigurnom radu. Ako zanemarimo zaštitu, već jedan napad može zaustaviti rad i ugroziti podatke na koje se svakodnevno oslanjamo.

A kako se sve to dogodilo kod nas? Preko sigurnosne ranjivosti u softveru koji smo koristili ušli su na naše interne/lokalne poslužitelje. Produkcijski poslužitelji, na kojima su svi naši klijenti, nalaze se na drugim lokacijama i ostali su netaknuti. Radilo se o testnim poslužiteljima i poslužiteljima za interni rad.

Zapravo smo imali sreću u nesreći. Tek kad ti se dogodi nešto slično, vidiš koliko si ranjiv. Kako se sve ono o čemu se govori može dogoditi i tebi. Napadač je jednostavno zaključao cijeli poslužitelj i ostavio poruku s iznosom koji traži da ga ponovno otključa. Poslužitelj smo odmah isključili i izolirali, a za sve smo imali pripremljene sigurnosne kopije. Moram priznati da sam prvi put bio jako sretan što plaćamo prilično visoku premiju osiguravajućem društvu koje pokriva sve troškove. I ne samo to, posebno su bili važni odziv i angažiranost. Savjetovanje, pomoć, forenzika...

Još nismo sasvim pri kraju, ali prošlo je otprilike mjesec dana, a rok za plaćanje uz prijetnju bio je dva dana. Nakon komunikacije s njim više se ne javlja, a osiguravajuće društvo pomoglo nam je i s različitim mjerama. Među njima i s uspostavom proširenog praćenja mogućih objava naših podataka na dark webu tijekom tri mjeseca. Naime, uz zaključavanje podataka napadači mogu prijetiti i njihovom javnom objavom ako ne dobiju otkupninu. Praćenjem bismo mogli što prije otkriti eventualnu objavu i reagirati. To što se napadač više ne javlja još ne znači da je opasnost od objave prošla.

Digitalno je praktično, ali i ranjivo

Još prije desetak godina registratori, pečati i faks bili su uobičajen dio svakog ureda. Danas račune šaljemo e-poštom, dokumente čuvamo u oblaku, s klijentima se sastajemo putem videopoziva, a kolege sustavima pristupaju od kuće ili s telefona. Digitalizacija nam je uštedjela mnogo vremena i papira te omogućila način rada koji prije nekoliko godina nismo mogli ni zamisliti.

Ali ima i drugu stranu. Svaki novi sustav, svaka veza i svaki korisnički račun predstavljaju i nova vrata koja netko može pokušati otvoriti.

Brojke rastu

Slovenski centri za odgovor na kibernetičke incidente to jasno vide u svojim podacima. U prvoj polovici 2025. SI-CERT i SIGOV-CERT zajedno su obradili 2786 sigurnosnih događaja i incidenata, što je približno 15 % više nego u drugoj polovici 2024. Jednostavni slučajevi mrežne krađe identiteta (phishinga) u te brojke uopće nisu uključeni, a u istom razdoblju bilo ih je još 3129. U drugoj polovici godine incidenata je bilo nešto manje, ali ponajprije zbog promijenjene metodologije brojanja, a ne zato što su napadači mirovali.

Ni šteta nije mala. Već 2023. zabilježen je 51 slučaj takozvanih BEC prijevara, u kojima se napadač ubacuje u poslovnu komunikaciju, a slovenskim su tvrtkama prouzročile štetu od 7,8 milijuna eura.

Gdje najčešće počinje

Rijetko je riječ o filmskim prizorima s hakerima u kapuljačama. Najčešće sve počinje sasvim svakodnevno:

• Lažna e-poruka, koja izgleda kao obavijest banke, dobavljača ili dostavne službe i od primatelja traži da klikne na poveznicu ili unese lozinku.
• Ukradena ili slaba lozinka, koju netko koristi na više mjesta istodobno.
• Softver bez sigurnosnih zakrpa, odnosno sustavi koje već dugo nitko nije ažurirao.
• Loše zaštićen udaljeni pristup, koji je uspostavljen »privremeno«, a zatim je ostao.

Posebno su opasni ucjenjivački virusi (ransomware). Oni šifriraju podatke i za ključ traže otkupninu. Sve češće napadači prije šifriranja podatke i ukradu te prijete njihovom objavom. Tada više nije riječ samo o prekidu rada, nego i o povjerenju klijenata i obvezama vezanima uz zaštitu osobnih podataka.

Što možemo učiniti

Potpuna sigurnost ne postoji, ali napadačima možemo znatno otežati posao. Većina mjera nije skupa, ali zahtijeva dosljednost:

• Prijava u dva koraka (2FA) svugdje gdje je dostupna, prvenstveno za e-poštu, oblak i udaljeni pristup.

• Redovita ažuriranja operacijskih sustava, programa i poslužitelja.
• Sigurnosne kopije, koje se čuvaju odvojeno od glavnog sustava, i povremena provjera je li ih doista moguće vratiti.
• Zdrava doza nepovjerenja prema neočekivanim porukama, hitnim zahtjevima za plaćanje i promjenama bankovnih računa. Jedan poziv radi provjere često spriječi veliku štetu.
• Pregled pristupa: tko ima pristup čemu i treba li mu još uvijek.

Ako se incident ipak dogodi, ključno je reagirati brzo i smireno. Zaražene uređaje treba odspojiti s mreže, obavijestiti odgovorne i slučaj prijaviti nacionalnom centru SI-CERT, koji pomaže i tvrtkama koje nisu zakonski obveznici.

Digitalizacija nije neprijatelj

Ništa od toga nije razlog da se vratimo registratorima. Digitalni alati ostaju jedna od najvećih prednosti suvremenog poslovanja. Kao što na kraju dana zaključamo ured, moramo se pobrinuti i za digitalne brave. Sigurnost nije jednokratan projekt, nego navika, slično vezanju sigurnosnog pojasa. Kad je jednom usvojimo, gotovo više ni ne primjećujemo da je imamo.

Nama je to iskustvo svakako bilo pouka i poduzeli smo još brojne mjere za budućnost i siguran rad. Svakako isto savjetujem i vama.