Što je ransomware
Ransomware je vrsta zlonamjernog softvera koji šifrira podatke ili zaključava računala i poslužitelje, a zatim od žrtve traži otkupninu, najčešće u kriptovaluti, u zamjenu za ključ za dešifriranje.
Današnji napadi gotovo uvijek uključuju i dvostruku iznudu: napadači prije šifriranja iznesu podatke tvrtke i prijete njihovom objavom ako otkupnina ne bude plaćena. Zato je ransomware napad često i povreda osobnih podataka, čak i kad tvrtka podatke obnovi iz sigurnosnih kopija.
Posljedice nisu samo tehničke: zastoj poslovanja, troškovi oporavka i forenzike, ugovorne kazne zbog neisporuke, gubitak povjerenja klijenata i mogući upravni postupci.
Prema Kaznenom zakonu, ransomware napad može ostvariti obilježja više kaznenih djela, primjerice neovlašteni pristup računalnom sustavu (čl. 266.), oštećenje računalnih podataka (čl. 268.) i iznudu (čl. 243.).
Kako ransomware ulazi u tvrtku
| Ulaz | Kako izgleda |
|---|---|
| Phishing | e-poruka sa zaraženim privitkom ili poveznicom na lažnu stranicu za prijavu |
| Ukradene ili slabe lozinke | prijava na VPN, udaljenu radnu površinu (RDP) ili e-poštu bez višefaktorske autentifikacije |
| Nezakrpane ranjivosti | iskorištavanje poznatih propusta u sustavima dostupnima s interneta, primjerice VPN uređajima i poslužiteljima e-pošte |
| Dobavljači | ulazak preko kompromitiranog pružatelja IT usluga ili zaraženo ažuriranje softvera |
Prva dva ulaza ovise o zaposlenicima, zato je edukacija jednako važna kao tehnička zaštita.
Kako teče napad
Šifriranje je posljednji korak napada, a ne prvi. Napad obično traje danima ili tjednima prije nego što ga tvrtka primijeti:
- Početni pristup: napadač ulazi phishingom, ukradenom lozinkom ili kroz ranjivost.
- Širenje i preuzimanje ovlasti: kreće se kroz mrežu, prikuplja lozinke i pokušava doći do administratorskih ovlasti.
- Napad na sigurnosne kopije: traži kopije spojene na mrežu kako bi ih obrisao ili šifrirao.
- Iznošenje podataka: kopira podatke koje će koristiti za ucjenu.
- Šifriranje: pokreće ga obično noću, vikendom ili za blagdana, kad je nadzor najslabiji.
Faza prije šifriranja prilika je za obranu. Tvrtka koja prati neuobičajene prijave i aktivnosti u mreži te ima zaposlenike koji prijavljuju sumnjive događaje može napad zaustaviti prije nego što nastane šteta.
Kako se zaštititi
1. Sigurnosne kopije odvojene od mreže
Sigurnosne kopije najvažnija su zaštita: tvrtka koja može obnoviti podatke ne ovisi o napadaču. Kopije moraju ispunjavati tri uvjeta:
- odvojene su od mreže (offline) ili su nepromjenjive, tako da ih napadač s administratorskim ovlastima ne može obrisati
- obnova se redovito testira jer kopija koja se ne može vratiti ne štiti
- obuhvaćaju sve ključne sustave, uključujući podatke u oblaku
Pravilo 3-2-1 i dalje je dobra polazna točka: tri kopije podataka, na dvije vrste medija, od kojih je jedna na izdvojenoj lokaciji.
2. Višefaktorska autentifikacija i kontrola pristupa
Višefaktorska autentifikacija za e-poštu, VPN, udaljeni pristup i administratorske račune zatvara najčešći put ulaska. Primijenite i načelo najmanjih ovlasti: korisnici i sustavi imaju samo pristup koji im je nužan za rad, a administratorski računi koriste se samo za administraciju.
3. Ažuriranja i upravljanje ranjivostima
Sigurnosne zakrpe za operativne sustave, aplikacije i uređaje dostupne s interneta instalirajte što prije. Vodite popis imovine kako biste znali što treba ažurirati i prioritet dajte ranjivostima koje napadači već aktivno iskorištavaju.
4. Segmentacija mreže
Podijelite mrežu tako da napadač koji uđe u jedan dio ne dobije automatski pristup svemu. Segmentacija usporava širenje napada i ograničava štetu.
5. Zaštita računala i e-pošte
Suvremena zaštita krajnjih točaka (EDR), filtriranje e-pošte i blokiranje rizičnih vrsta privitaka smanjuju broj prijetnji koje uopće dođu do korisnika. Zapise o događajima u sustavima prikupljajte centralno kako bi se napad mogao otkriti i istražiti.
6. Edukacija zaposlenika
Zaposlenik koji prepozna phishing i odmah prijavi sumnjivu poruku zaustavlja napad prije nego što počne. Edukacija treba obuhvatiti prepoznavanje phishinga, sigurno korištenje lozinki i višefaktorske autentifikacije te postupak prijave incidenta. Više u članku Kibernetička sigurnost: vodič za zaposlenike.
7. Plan odgovora na incident
Plan određuje tko što radi kad se napad dogodi: tko odlučuje o odspajanju sustava, koga se zove, tko komunicira s klijentima i tko šalje regulatorne prijave. Plan treba uvježbati, a podatke za kontakt čuvati i izvan sustava koji mogu biti šifrirani.
Za ključne i važne subjekte ove mjere nisu samo preporuka: Zakon o kibernetičkoj sigurnosti i Uredba o kibernetičkoj sigurnosti među obveznim mjerama navode upravljanje sigurnosnim kopijama, postupanje s incidentima, kontinuitet poslovanja, višefaktorsku autentifikaciju i osposobljavanje zaposlenika.
Znakovi da je napad u tijeku
- prijave na račune izvan radnog vremena ili s neuobičajenih lokacija
- novi administratorski računi ili neočekivane promjene ovlasti
- antivirusna zaštita koja se sama isključuje
- nepoznati programi ili procesi, neuobičajeno opterećenje sustava i mreže
- datoteke kojima se mijenjaju nazivi ili ekstenzije
- poruka sa zahtjevom za otkupninu
Zaposlenici trebaju znati kome odmah prijaviti sumnju, bez straha da će ispasti neugodno ako se pokaže da je riječ o lažnoj uzbuni.
Što učiniti ako vas pogodi ransomware
- Izolirajte zaražene sustave: odspojite ih s mreže, ali ih ne gasite i ne brišite ništa bez uputa stručnjaka kako biste sačuvali dokaze.
- Aktivirajte plan odgovora i obavijestite upravu, IT i osobu zaduženu za usklađenost.
- Utvrdite opseg: koji su sustavi i podaci pogođeni i jesu li podaci izneseni.
- Pošaljite regulatorne prijave u propisanim rokovima (vidi sljedeće poglavlje).
- Prijavite napad policiji i po potrebi uključite vanjske stručnjake za forenziku.
- Provjerite postoji li besplatan alat za dešifriranje na stranici No More Ransom, koju su pokrenuli Europol i nizozemska policija s partnerima iz privatnog sektora.
- Obnovite sustave iz čistih sigurnosnih kopija tek kad je uzrok uklonjen, inače se napad može ponoviti.
- Analizirajte uzrok i ojačajte mjere koje su zakazale.
Kome i u kojem roku prijaviti napad
Zakon o kibernetičkoj sigurnosti
Ako je tvrtka ključni ili važni subjekt, značajan incident prijavljuje nadležnom CSIRT-u u nekoliko koraka:
| Obavijest | Rok |
|---|---|
| Rano upozorenje | bez odgode, a najkasnije u roku od 24 sata od saznanja |
| Početna obavijest | bez odgode, a najkasnije u roku od 72 sata od saznanja |
| Završno izvješće | najkasnije 30 dana od dostave početne obavijesti; ako je incident još u tijeku, umjesto njega izvješće o napretku |
GDPR
Ako su pogođeni osobni podaci, riječ je o povredi osobnih podataka. Voditelj obrade mora je prijaviti AZOP-u bez nepotrebnog odgađanja, a najkasnije u roku od 72 sata od saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za pojedince. Ako je rizik visok, mora obavijestiti i same pojedince.
Povreda osobnih podataka nije samo krađa: i šifriranje podataka bez mogućnosti pristupa povreda je jer je narušena njihova dostupnost.
Financijski sektor
Banke, osiguratelji i drugi financijski subjekti velike incidente povezane s IKT-om prijavljuju nadležnom nadzornom tijelu prema pravilima DORA-e. Više u članku DORA uredba: obveze financijskog sektora.
Treba li platiti otkupninu
Opća je preporuka ne plaćati. Projekt No More Ransom navodi da se plaćanje nikad ne preporučuje, ponajprije zato što ne jamči rješenje problema. Uz to:
- napadač može poslati neispravan ključ ili tražiti dodatni iznos
- plaćanje ne sprječava objavu ukradenih podataka
- tvrtka koja je jednom platila često postaje ponovna meta
- novac financira daljnje napade
Najbolji odgovor na pitanje o otkupnini jest imati sigurnosne kopije zbog kojih ga uopće ne treba postavljati.
Kibernetičko osiguranje
Osiguranje može pokriti dio troškova forenzike, oporavka i pravnih posljedica, ali osiguratelji sve češće traže dokaz o osnovnim mjerama: testiranim sigurnosnim kopijama, višefaktorskoj autentifikaciji, ažurnim sustavima i edukaciji zaposlenika. Osiguranje ne vraća izgubljeno vrijeme ni povjerenje klijenata. Ono dopunjuje zaštitu, a ne zamjenjuje je.
Pet pitanja za upravu
- Možemo li ključne sustave obnoviti iz sigurnosnih kopija i jesmo li to stvarno testirali?
- Jesu li sigurnosne kopije odvojene od mreže ili nepromjenjive?
- Imamo li višefaktorsku autentifikaciju za e-poštu, VPN i administratorske račune?
- Znaju li zaposlenici prepoznati phishing i kome prijaviti sumnju?
- Imamo li napisan i uvježban plan odgovora na incident, s rokovima za regulatorne prijave?
Svaki odgovor „ne” ili „nismo sigurni” prioritet je za sljedeće razdoblje.
Često postavljana pitanja
Što je ransomware?
Ransomware je zlonamjerni program koji šifrira podatke ili zaključava sustave i traži otkupninu za njihovo otključavanje. Napadači podatke često i ukradu pa prijete njihovom objavom.
Trebamo li platiti otkupninu?
Općenito se ne preporučuje. Plaćanje ne jamči povrat podataka niti sprječava objavu ukradenih podataka, a financira daljnje napade. Prije bilo kakve odluke provjerite postoji li besplatan alat za dešifriranje na stranici No More Ransom.
Jesu li male tvrtke meta?
Jesu. Napadi su velikim dijelom automatizirani i ciljaju svaku ranjivu tvrtku, a manje tvrtke često imaju slabiju zaštitu i teže podnose dulji zastoj.
Je li ransomware napad povreda osobnih podataka?
Ako su pogođeni osobni podaci, jest, i kad su samo šifrirani, a ne ukradeni. Voditelj obrade mora povredu prijaviti AZOP-u u roku od 72 sata, osim ako nije vjerojatno da će prouzročiti rizik za pojedince.
Kome treba prijaviti ransomware napad?
Ključni i važni subjekti prijavljuju značajan incident nadležnom CSIRT-u, ranim upozorenjem u roku od 24 sata. Povreda osobnih podataka prijavljuje se AZOP-u, a napad kao kazneno djelo policiji.
Jesu li podaci u oblaku sigurni od ransomwarea?
Ne automatski. Pružatelj štiti svoju infrastrukturu, ali tvrtka mora štititi pristupne račune, konfiguraciju i sigurnosne kopije. Ransomware može pogoditi i podatke u oblaku, osobito ako napadač preuzme korisnički račun.
Je li dovoljno imati dobar antivirusni program?
Nije. Antivirusni program i EDR rješenja važan su sloj zaštite, ali bez testiranih sigurnosnih kopija, višefaktorske autentifikacije, ažuriranja, segmentacije mreže i educiranih zaposlenika napad koji ih zaobiđe i dalje može zaustaviti poslovanje.
Povezani članci
- Kibernetička sigurnost: vodič za zaposlenike
- Phishing: što je, primjeri i kako se zaštititi
- NIS2 direktiva u Hrvatskoj: obveze i kazne
- GDPR kazne u Hrvatskoj: iznosi i primjeri
Izvori
- Zakon o kibernetičkoj sigurnosti (NN 14/2024)
- Uredba o kibernetičkoj sigurnosti (NN 135/2024)
- Opća uredba o zaštiti podataka (EU) 2016/679, EUR-Lex
- No More Ransom
- Nacionalni CERT
Ovaj je članak informativne naravi i nije pravni savjet.