Nakon najnovijeg napada na Ministarstvo poljoprivrede, otvara se pitanje koliko su hrvatske institucije sigurne. Podaci kibernetičkog odjela SOA-e otkrivaju: Sve je više napada, ima i ucjena
U ponedjeljak ujutro zaposlenici Ministarstva poljoprivrede, šumarstva i ribarstva primili su jednaku obavijest.
“Poslali su paničnu poruku da svi ugasimo kompjutere”, rekao je za Net.hr jedan od zaposlenika.
Ministarstvo je postalo metom kibernetičkog napada, a ni u utorak ujutro svi sustavi još nisu normalno funkcionirali. Problemi su bili vidljivi i izvan same institucije jer elektronička pošta i dalje nije pristizala u Ministarstvo. Ubrzo je službeno potvrđeno da je riječ o kibernetičkom napadu, nakon čega je počeo proces oporavka sustava.
Međutim, ovo nije prvi takav incident u Hrvatskoj posljednjih godina. Prije nekoliko mjeseci kibernetički napad zabilježen je i u Hrvatskom zavodu za mirovinsko osiguranje, dok je ranije sigurnosni incident pogodio i obrazovni sustav. Prema tada objavljenim informacijama, neovlaštene osobe došle su do podataka učenika i nastavnika, među kojima su bila imena, prezimena i adrese elektroničke pošte.
O kibernetičkom incidentu početkom godine izvještavalo se i u kutinskoj Petrokemiji. U ranijim razdobljima napadači su ciljali i Zračnu luku Split, KBC Zagreb te Poreznu upravu.
Kibernetički napadi tako sve češće pogađaju velike ustanove i državne institucije. Više se ne radi samo o phishing prijevarama u kojima starije osobe zbog jednog pogrešnog klika mogu ostati bez nekoliko stotina ili tisuća eura. Otvaraju se i važna pitanja o tome tko stoji iza takvih napada, koji su njihovi ciljevi, što se događa s ukradenim podacima te koliko smo spremni za novi napad.
Gotovo 800 važnih tvrtki i ustanova pod posebnim pravilima
Početkom 2025. godine pri Sigurnosno-obavještajnoj agenciji (SOA) osnovan je Nacionalni centar za kibernetičku sigurnost, zadužen za praćenje kibernetičkih napada. Njegov rad ne obuhvaća samo napade za koje su odgovorne strane države, već i one usmjerene na takozvane ključne i važne subjekte. Među njima su tijela državne uprave, zdravstvene ustanove i tvrtke koje pružaju usluge od posebnog značaja za društvo i gospodarstvo. Riječ je o sustavima čiji bi ozbiljan poremećaj ili prekid rada mogao znatno utjecati na svakodnevni život građana.
Prema podacima Nacionalnog centra za kibernetičku sigurnost (NCSC-HR), gotovo 800 institucija i tvrtki nalazi se na popisu subjekata koji su obvezni uspostaviti snažniju zaštitu od kibernetičkih napada. Izvješće za drugo tromjesečje ove godine pokazuje da je među njima zabilježeno 87 kibernetičkih incidenata.
Od ukupnog broja, 23 incidenta ocijenjena su ozbiljnima, a zabilježena su i dva ransomware napada, odnosno napada ucjenjivačkog tipa. U takvim slučajevima napadači najčešće traže novac u zamjenu za ponovno omogućavanje pristupa podacima koje su zaključali ili ukrali.
Iz NCSC-HR-a pojasnili su i na koje načine napadači najčešće uspijevaju pristupiti informacijskim sustavima. Pritom uglavnom iskorištavaju sigurnosne propuste na javno dostupnim servisima ili koriste kompromitirane VPN račune koji nisu zaštićeni dvofaktorskom autentifikacijom.
Napadaju ‘zato što mogu’
Stručnjaci posebno ističu da bi se velik broj kibernetičkih napada mogao spriječiti primjenom relativno jednostavnih sigurnosnih mjera.
Naime, većina zabilježenih napada nije bila osobito sofisticirana, nego je bila „oportunistička“. Napadači su uočavali slabo zaštićene sustave i iskorištavali priliku za napad, svjesni da imaju dobre izglede za uspjeh. Iskorištavali su sigurnosne propuste i pogreške kako bi prodrli u sustave. Poruka je jasna: velik dio napada mogao se izbjeći dosljednom primjenom sigurnosnih mjera, koje ne moraju nužno biti složene. O ranjivosti sustava i mogućnosti novih incidenata, uključujući i one ozbiljnije, za Net.hr govorio je stručnjak za kibernetičku sigurnost Marko Gulan. Pritom je upozorio da je važno razlikovati dvije vrste napada.
“Postoje masovni napadi koji su usmjereni na velik broj korisnika. No tu su i znatno ozbiljniji napadi koji ciljaju kritičnu infrastrukturu. Na nedavno održanoj konferenciji o digitalnoj otpornosti ‘DORA’ izneseni su podaci prema kojima bi, nastavi li se sadašnji trend, broj kibernetičkih napada ove godine mogao biti 40 posto veći nego lani”, upozorava Gulan.
Gulan smatra da će takvih napada biti sve više, no pritom pojašnjava što neki incident čini doista opasnim. Prema njegovu mišljenju, samo objavljivanje imena učenika i nastavnika ne mora biti najveća prijetnja, koliko to mogu biti posljedice koje takvi napadi izazivaj
Napadi radi ‘spitivanja’ terena
“Cilj ne mora biti izvlačenje novca. Takav napad može biti sponzoriran od neke druge države koja želi izazvati društvene nemire, nepovjerenje građana u državu i funkcioniranje ustavnopravnog poretka. Naime, nakon takvih napada stječe se dojam da država ništa ‘ne radi’ i oni imaju najveći ‘odjek'”, objašnjava naš sugovornik.
Kako bi približio moguće posljedice takvih napada, Gulan se osvrnuo na popularnu seriju “Zero Day”, u kojoj Robert De Niro glumi bivšeg američkog predsjednika. Serija prikazuje koliko ozbiljne posljedice mogu izazvati kibernetički napadi, osobito kada su usmjereni na ključne sustave.
“U seriji se govori o napadima na infrastrukturu i pripremi terena za velike kibernetičke napade kojima se ne nastoji samo poljuljati povjerenje građana nego i ugasiti ono što je vitalno za funkcioniranje države – proizvodnju električne energije, isporuku nafte itd. Dakle, kibernetički napad može izazvati goleme probleme. Zato je curenje podataka, imena i prezimena, prema mojem mišljenju, manji problem, ali ipak zato nije samim time za zanemariti”, govori Gulan.
Dodaje kako bi napad na obrazovni sustav mogao poslužiti i kao svojevrsno testiranje obrane, odnosno provjera brzine reakcije nadležnih sustava. Jednaku pozornost, smatra, treba posvetiti i napadima na zdravstveni i prometni sustav. Kao primjer istaknuo je ozbiljnost napada na Zračnu luku Split.
“Nama gotovo 14 posto BDP-a otpada na turizam. Prije nekoliko godina meta napada bila je i aplikacija HAK-a, što je odjeknulo i izvan Hrvatske. Puno je tu elemenata”, zaključuje Gulan. Hrvatska pritom nije jedina zemlja suočena s takvim prijetnjama jer se slični napadi događaju diljem Europe. Gulan je upozorio i na nedavni slučaj iz Rumunjske, koji smatra posebno zabrinjavajućim.
“Bila bi ‘ljuta’ katastrofa kada bi hakeri izbrisali, na primjer, bazu zemljišnih knjiga. Upravo to se dogodilo početkom kolovoza u Rumunjskoj. Njima je kompletan katastar bio izbrisan. Ako se ne varam, sada izvlače sigurnosne kopije podataka. Ovo je bila ozbiljna eskalacija i nije to bila ‘mačja kašica'”, upozorio je.
O tom su slučaju opširno izvještavali rumunjski i europski mediji. Ipak, mjesec dana nakon velikog kibernetičkog napada, službeni preliminarni nalazi pokazali su da središnja baza katastarskih podataka nije bila kompromitirana. Mediji su istodobno izvijestili da su se tijekom obnove sustava koristile sigurnosne kopije, na što je upozorio i Gulan.
Hakerima je dovoljna samo jedna pogreška
Postavlja se pitanje pokazuju li ovakvi incidenti da su hakeri uvijek korak ispred sigurnosnih sustava i koliko se učinkovito uopće moguće zaštititi od njihovih napada.
“Statistika ne ide u prilog onima koji se brane. Haker ima milijun pokušaja. Ako onaj koji se brani uspješno odbije napad 999.999 puta i samo jednom ne uspije, svi će ga pitati: ‘Zašto si popustio?'”, slikovito objašnjava koliko problem može biti velik.
Napadači i stručnjaci koji štite sustave služe se istim metodama, taktikama i alatima. U tom nadmetanju važnu ulogu ne igra samo odabir mete nego i količina resursa kojima pojedina strana raspolaže. Situaciju dodatno otežava sve veća uloga umjetne inteligencije.
Posebnu je pozornost privukao slučaj u kojem je sustav umjetne inteligencije tvrtke OpenAI neovlašteno pristupio informacijskom sustavu australske vlade.
Što ako hakeri izbrišu zemljišne knjige?
Može li napadač već danas jednostavno zadati umjetnoj inteligenciji naredbu da probije sve sigurnosne sustave i uništi zemljišne knjige neke države ili pak prekine opskrbu električnom energijom?
Gulan ipak poziva na smirenost i upozorava da se umjetnu inteligenciju počelo pogrešno doživljavati kao univerzalno rješenje za sve probleme. Iako njezina primjena sve više ulazi i u područje kibernetičke sigurnosti, njezin je utjecaj već vidljiv u načinu na koji se izvode napadi. Kako objašnjava, umjetna inteligencija promijenila je “ekonomiju napada”, učinivši ih jeftinijima i omogućivši njihovu bržu provedbu.
Dok su napadači ranije za takve operacije morali angažirati tisuće ljudi, danas mogu kupiti tokene, razviti botove i u kraćem vremenu organizirati napad.
Osvrćući se na slučaj iz Australije, Gulan ističe da nije teoretičar zavjere niti zagovornik tvrdnji da je “umjetna inteligencija pobjegla”. Smatra da umjetna inteligencija ne može jednostavno i samostalno izmaknuti ljudskoj kontroli.
Umjetna inteligencija mijenja pravila igre
“Ona je dobila određeni hodogram prema kojemu provodi određene radnje. Međutim, treba se pitati može li ta autonomija umjetne inteligencije sutra možda poslužiti kao alibi za državno sponzorirani napad? Pitanje je zašto je Anthropicu umjetna inteligencija uspjela ‘pobjeći’ i zašto nisu postojale mjere koje bi to spriječile. Ne može se testirati sustav i dopustiti da on samo tako ‘pobjegne'”, navodi.
Gulan smatra da bi se umjetna inteligencija prije ili kasnije mogla upotrijebiti i za napade na internetske stranice Vlade Republike Hrvatske, zdravstveni sustav Italije ili čak nuklearne programe Francuske i Velike Britanije.
“Ne daj Bože da umjetna inteligencija ‘pobjegne’ iz Amerike i dotakne se Sjeverne Koreje. Imali bismo ozbiljan sukob u kojem ne bi pitali je li umjetna inteligencija kriva”, upozorava na moguće razmjere problema.
Govoreći o navodnom incidentu s kineskim brodovima, Gulan opisuje situaciju u kojoj je, prema njegovim riječima, umjetna inteligencija na američkoj strani pogrešno protumačila dostupne podatke i zaključila da kineski trgovački brod prevozi nuklearno naoružanje. Događaj je navodno doveo do situacije na rubu vojnog sukoba, o čemu je ekskluzivno izvijestio CNN.
“Ako se to stvarno počelo događati, a tome dodamo i upozorenja tehnoloških lidera da bi se umjetna inteligencija mogla oteti kontroli, ja u tome vidim čak i jedan manevar kojim se želi potaknuti da se umjetna inteligencija koristi još više. Kada su Sam Altman i ostali tehnološki lideri upozorili na prebrz rast, broj AI alata porastao je”, ističe Gulan.
Bez obzira na to je li u kibernetičkom napadu korištena umjetna inteligencija, nakon incidenta ključno je pitanje koliko brzo pogođeni sustav može ponovno početi normalno funkcionirati. Upravo se zato postavlja pitanje zbog čega hrvatsko Ministarstvo poljoprivrede, šumarstva i ribarstva ni dan nakon napada nije uspjelo u potpunosti obnoviti rad svojih sustava.
Gulan pritom povlači paralelu s napadom na katastarski sustav u Rumunjskoj i naglašava koliko su važne sigurnosne kopije podataka, poznate i kao backup.
“Backup je poznat već 30 godina, a sada je i zakonom propisano da kategorizirani subjekti, o kojima govori izvješće SOA-ina odjela za kibernetičku sigurnost, moraju imati svoje sigurnosne kopije podataka. Sada je na popisu oko 800 subjekata, a njihov će broj rasti. Rumunjski slučaj upozorenje je koliko su kopije važne”, govori nam.
Napadač može mjesecima biti u sustavu
Kibernetički napad često započinje mnogo prije nego što ga netko uoči. Kako objašnjava Gulan, napadač može pristupiti sustavu i više od 200 dana prije nego što pokrene sam napad, a da pritom ostane neprimijećen. Za to vrijeme može pokušati onesposobiti i sigurnosne kopije podataka.
“Zato je važno imati čak i treću ili četvrtu, takozvanu hladnu kopiju podataka za koju znamo da nije kompromitirana”, objašnjava Gulan.
Opasnost je još veća ako napadač uspije ostati unutar sustava godinama, a da pritom ne bude otkriven.
Zašto oporavak nakon hakerskog napada traje danima?
Zašto se informacijski sustavi nakon hakerskog napada ne mogu odmah vratiti u funkciju, kao što je bio slučaj s Ministarstvom poljoprivrede, šumarstva i ribarstva? Gulan objašnjava da oporavak može trajati dulje zbog postupaka digitalne forenzike i potrebe da se sačuvaju dokazi.
„Forenzičari moraju prikupiti takozvane snapshotove, odnosno snimke stanja sustava, i digitalne artefakte koji mogu pomoći u utvrđivanju uzroka napada. Ako se odmah krene sa sanacijom, postoji opasnost da se izgube važni dokazi i da se nikada ne utvrdi što se dogodilo“, objašnjava.
Kao primjer navodi napad iz 2023. godine na sustav za nadzor i upravljanje distribucijom električne energije u rumunjskoj regiji Transilvania Nord. Prema njegovim riječima, i u tom je slučaju istraga trajala danima.
Gulan očekuje da će se broj kibernetičkih napada na važne institucije i tvrtke nastaviti povećavati, zbog čega je nužno dodatno jačati otpornost sustava.
„Tu više ne govorimo samo o sigurnosti, nego o operativnoj otpornosti. Kada do napada dođe, ključno je osigurati da šteta bude što manja, bilo da je riječ o financijskim gubicima, vremenu tijekom kojeg sustavi nisu dostupni ili nekom drugom parametru“, zaključuje Gulan, prenosi Danas.hr.
