Ransomware: Kada vam neko ukrade sopstvenu firmu i ponudi da je otkupite

Zamislite da jednog jutra dođete na posao i otkrijete da ne možete da pristupite fakturama, poslovnoj dokumentaciji, bazi klijenata ili projektima na kojima radite. Sve je tu, na vašim računarima i serverima, ali više ništa ne možete da otvorite. Umesto toga, čeka vas poruka sa instrukcijama za plaćanje otkupnine. Dobro došli u svet ransomwarea, jedne od najopasnijih sajber-pretnji savremenom poslovanju.

Sve je počelo od jedne diskete

Godine 1989. američki biolog Džozef Pop (Joseph Popp) došao je na prilično neobičnu ideju. Pripremio je oko 20.000 disketa sa programom koji je navodno sadržao korisne informacije o AIDS-u i poslao ih ljudima iz medicinske i istraživačke zajednice.

Međutim, program je u pozadini brojao pokretanja računara. Nakon devedesetog pokretanja aktivirao bi zlonamernu funkciju koja je menjala nazive datoteka i činila ih nedostupnim. Korisnicima bi se zatim pojavila poruka da moraju da plate 189 dolara kako bi ponovo mogli da pristupe svojim podacima. Novac je trebalo poslati poštom, na adresu kompanije PC Cyborg u Panami.

To je bio prvi poznati ransomware napad. Za današnje standarde sve deluje gotovo simpatično: fizičke diskete, plaćanje poštom i relativno jednostavna zaštita koju su stručnjaci brzo uspeli da zaobiđu.

Ali osnovna ideja bila je izuzetno opasna. Umesto da nekome ukradete podatke, možete da mu onemogućite pristup sopstvenim podacima, a zatim naplatite njihovo vraćanje.

Kako ransomware zapravo funkcioniše?

Ransomware je vrsta zlonamernog softvera (malware) koji onemogućava pristup podacima ili sistemima, najčešće tako što ih šifruje, odnosno kriptuje. Napadač potom zahteva otkupninu (ransom) u zamenu za ključ kojim bi podaci mogli da budu vraćeni u prvobitno stanje.

Napad može početi zlonamernim prilogom u mejlu, kompromitovanim korisničkim nalogom, bezbednosnim propustom na serveru ili nedovoljno zaštićenim udaljenim pristupom računarskoj mreži.

U ozbiljnijim napadima kriminalci najpre istražuju infrastrukturu, pronalaze važne sisteme, pokušavaju da pristupe rezervnim kopijama podataka i tek onda aktiviraju ransomware.

Danas, međutim, postoji još jedan problem. Napadači često prvo kopiraju poverljive podatke, pa tek onda aktiviraju šifrovanje. Nakon toga prete da će ukradene informacije javno objaviti ili prodati ukoliko kompanija ne plati. Ova praksa poznata je kao double extortion, odnosno dvostruka iznuda.

U pojedinim slučajevima kriminalci više ni ne šifruju podatke. Dovoljno im je da ih ukradu i zaprete njihovim objavljivanjem.

Zbog toga ransomware više nije samo problem izgubljenog pristupa dokumentima. On može ugroziti poslovni kontinuitet, poverljivost podataka, reputaciju i finansijsku stabilnost kompanije.

Kada ransomware zaustavi čitavu organizaciju

Jedan od najpoznatijih napada dogodio se 12. maja 2017. godine, kada je ransomware WannaCry počeo nekontrolisano da se širi svetom.

Koristio je ranjivost operativnog sistema Windows koja mu je omogućavala automatsko širenje između računara. Pogođeno je približno 300.000 uređaja u oko 150 zemalja.

Među najteže pogođenim organizacijama bio je britanski zdravstveni sistem NHS¹NHS England. Pojedine bolnice nisu mogle normalno da pristupe informacionim sistemima, hiljade pregleda i medicinskih procedura morale su da budu odložene, a osoblje se vraćalo na papirnu dokumentaciju.

Posebno je zanimljivo da je Microsoft još u martu te godine objavio bezbednosnu zakrpu za ranjivost koju je WannaCry koristio. Problem u velikom broju slučajeva nije bio u tome što rešenje nije postojalo, već što nije bilo primenjeno.

Šest godina kasnije, u oktobru 2023, Britanska biblioteka²British Library postala je žrtva ransomware napada koji je ozbiljno poremetio njen rad. Digitalni servisi, katalozi i brojni interni sistemi bili su nedostupni mesecima, a troškovi odgovora i oporavka procenjeni su na između šest i sedam miliona funti.

Biblioteka je naknadno objavila detaljan izveštaj o incidentu, a među problemima koji su doprineli njegovoj ozbiljnosti bio je i nedostatak višefaktorske autentifikacije na jednom od administratorskih naloga.

Ovi primeri pokazuju da ransomware ne mora samo da ugrozi podatke. Može da zaustavi čitavu organizaciju, čak i kada ona raspolaže ozbiljnim resursima.

Koliko je ransomware danas ozbiljan problem?

Prema izveštaju Data Breach Investigations Report 2026³Verizon, ransomware je bio prisutan u 48% analiziranih slučajeva potvrđenog narušavanja bezbednosti podataka, što je povećanje u odnosu na 44% iz prethodnog izveštaja. Važno je naglasiti da je reč o udelu u analiziranom skupu incidenata, a ne o procentu svih sajber-napada u svetu.

Još zanimljivije podatke donosi istraživanje State of Ransomware 2026⁴Sophos, sprovedeno među 2.158 IT i bezbednosnih rukovodilaca iz 17 zemalja:

• U 56% analiziranih napada kriminalci su uspeli da šifruju podatke.
• Od organizacija kojima su podaci šifrovani, 48% platilo je otkupninu.
• Medijalni iznos plaćene otkupnine iznosio je 769.000 dolara.
• Prosečni troškovi oporavka dostigli su 1,7 miliona dolara, ne računajući samu otkupninu.

Istraživanje obuhvata organizacije sa 100 do 5.000 zaposlenih, pa ove iznose ne treba posmatrati kao očekivanu štetu za prosečnu malu firmu u Srbiji.

Ali podatak o troškovima oporavka pokazuje nešto veoma važno: sama otkupnina često nije najveći finansijski problem. Gubici nastaju i zbog prekida poslovanja, oporavka infrastrukture, izgubljene produktivnosti, angažovanja stručnjaka i mogućih reputacionih posledica.

Istovremeno, ransomware je prerastao u organizovani kriminalni biznis. Kroz model Ransomware as a Service (RaaS) pojedine grupe razvijaju zlonamerni softver i infrastrukturu, dok drugi kriminalci koriste njihove alate za napade, uz podelu zarade.

Drugim rečima, za izvođenje ozbiljnog ransomware napada više nije neophodno da napadač sam bude vrhunski programer.

Kako se zaštititi?

Najbolja zaštita od ransomwarea kombinuje sprečavanje napada, rano otkrivanje pretnji i mogućnost brzog oporavka.

Prvi korak je redovno otkrivanje ranjivosti u IT infrastrukturi. Napadači često automatski pretražuju internet u potrazi za izloženim servisima i zastarelim softverom. Rešenja poput Offensity, dostupnog kroz ponudu A1, omogućavaju kontinuirano skeniranje javno dostupne infrastrukture, identifikovanje potencijalnih ranjivosti i njihovo rangiranje prema nivou rizika (A1 Srbija).

Drugi sloj zaštite odnosi se na računare i servere. A1 Endpoint Protect, zasnovan na SentinelOne tehnologiji, omogućava prepoznavanje zlonamernog ponašanja i zaštitu od ransomwarea i drugih vrsta malwarea. U zavisnosti od paketa, dostupne su i napredne funkcionalnosti za otkrivanje i zaustavljanje napada, kao i mogućnost vraćanja određenih promena koje je napad izazvao (A1 Srbija).

Dodatni preventivni sloj predstavlja A1 Net Protect Biz, koji pomaže u blokiranju pristupa poznatim zlonamernim internet lokacijama tokom korišćenja A1 mobilne mreže (A1 Srbija).

Ovakva rešenja imaju različite uloge, ali nijedno pojedinačno ne može da garantuje potpunu zaštitu. Zato su podjednako važne i interne procedure, ažuriranje sistema i rezervne kopije podataka.

Šest stvari koje bi svaka kompanija trebalo da uradi

1. Napravite rezervne kopije podataka i redovno ih testirajte.

Backup koji postoji, ali iz kojeg niko nikada nije pokušao da vrati podatke, nije naročito pouzdana zaštita. Koristite princip 3-2-1: najmanje tri kopije podataka, na dva različita tipa medija, od kojih je jedna na drugoj lokaciji. Posebno su važne offline ili neizmenjive (immutable) kopije do kojih napadači ne mogu lako da dođu.

2. Redovno ažurirajte softver i infrastrukturu.

Operativni sistemi, serveri, ruteri, VPN servisi i poslovne aplikacije moraju biti ažurni. Posebnu pažnju posvetite poznatim ranjivostima koje napadači već aktivno iskorišćavaju.

3. Zaštitite korisničke naloge.

Uključite višefaktorsku autentifikaciju, naročito za administrativne naloge i udaljeni pristup. Zaposleni treba da imaju samo ona ovlašćenja koja su im potrebna za posao.

4. Koristite naprednu zaštitu računara i servera.

Savremena EDR rešenja prate i sumnjivo ponašanje programa, umesto da prepoznaju isključivo poznate viruse. To povećava šansu da ransomware bude zaustavljen pre nego što zahvati veći broj uređaja.

5. Pripremite plan za slučaj incidenta.

Ko donosi odluku da se deo mreže isključi? Ko kontaktira IT podršku? Kako ćete komunicirati sa klijentima ako poslovni mejl ne radi? Gde su rezervne kopije i koliko traje vraćanje sistema u funkciju? Ovo nisu pitanja na koja odgovore treba prvi put tražiti usred napada.

6. Nemojte automatski pristajati na plaćanje otkupnine.

Plaćanje ne garantuje vraćanje podataka niti sprečava kriminalce da objave ono što su ukrali. U pojedinim slučajevima postoje besplatni alati za dešifrovanje dostupni kroz međunarodnu inicijativu No More Ransom⁵No More Ransom, koju podržavaju Europol i brojne bezbednosne kompanije.

Ako do napada ipak dođe, važno je što pre izolovati pogođene uređaje od mreže, angažovati IT stručnjake, zaštititi rezervne kopije i izbegavati brisanje tragova koji mogu biti važni za istragu. Incident je moguće prijaviti i Nacionalnom CERT-u Republike Srbije⁶Nacionalni CERT.

Koliko bi koštao jedan dan bez vaše firme?

Oktobar je mesec sajber-bezbednosti i dobra prilika da kompanije provere koliko su zaista spremne za ozbiljne digitalne incidente.

Možda najvažnije pitanje koje vlasnik biznisa može sebi da postavi nije koliko je njegov IT sistem bezbedan, već nešto mnogo konkretnije:

Šta bi se dogodilo kada narednih pet dana ne bismo mogli da koristimo nijedan računar, server ili poslovnu aplikaciju?

Koliko bismo novca izgubili? Koliko klijenata ne bismo mogli da uslužimo? Da li bismo mogli da izdamo fakture, isporučimo robu ili nastavimo proizvodnju?

Odgovori na ova pitanja mnogo bolje pokazuju stvarnu vrednost ulaganja u sajber-bezbednost od bilo koje tehničke specifikacije.

Jer najveća šteta od ransomwarea često nije u vrednosti zaključanih podataka, već u vremenu tokom kojeg vaša kompanija, iako formalno postoji, zapravo ne može da posluje.

Fusnote

• 1
  NHS England ↩︎
• 2
  British Library ↩︎
• 3
  Verizon ↩︎
• 4
  Sophos ↩︎
• 5
  No More Ransom ↩︎
• 6
  Nacionalni CERT ↩︎