Hakeri postaju brži uz AI, a BiH još nema štit protiv novih cyber napada

Bosna i Hercegovina je u posljednje dvije godine napravila određene pomake u oblasti cyber sigurnosti, ali još uvijek zaostaje za zemljama regije i Evropske unije. Iako postoje kvalitetni stručnjaci, pojedinačne institucije koje ulažu u zaštitu i sve aktivnija zajednica, država i dalje nema dovoljno povezan i koordiniran sistem odgovora na cyber prijetnje.

Prema Globalnom indeksu cyber sigurnosti Međunarodne telekomunikacijske unije iz 2024. godine, BiH se nalazila u četvrtoj od pet razvojnih grupa, dok su neke zemlje regije bile znatno bolje pozicionirane. To pokazuje da problem nije samo u dostupnosti tehnologije, nego prije svega u nedovoljno razvijenom zakonodavnom, institucionalnom i koordinacijskom okviru.

"BiH je u protekle dvije godine napravila određene pomake, ali još ne možemo reći da smo sustigli zemlje regije, a posebno ne države članice Evropske unije. Naše stanje bih i dalje opisao kao fragmentirano", kaže za Bloomberg Adriju Nedim Gvožđar, menadžer projekta Cyber Security Summit i predsjednik Skupštine Udruženja e-Transformacija.

Prema njegovim riječima, BiH ima stručnjake i pojedinačne sektore koji dobro funkcioniraju, ali još nema sistem koji bi povezao institucije, CERT-ove (Computer Emergency Response Team), regulatorna tijela, policijske agencije, akademsku zajednicu i privatni sektor.

Jedan od važnijih koraka bilo je uspostavljanje CERT-a za institucije BiH krajem 2025. godine.

"Njegovo uspostavljanje jeste važan korak, jer se na formiranje takvog tima čekalo godinama, ali treba jasno reći da on nije državni, nacionalni CERT koji obuhvata sve nivoe vlasti. Njegova nadležnost ograničena je na institucije BiH", ističe Gvožđar.

Dodaje da će u narednom periodu biti ključno osigurati dovoljno kadrova, opreme, procedura i međunarodnih veza kako bi ovaj kapacitet mogao odgovoriti na rastuće prijetnje.

Mete su svi – od građana do velikih sistema

Broj cyber napada u BiH raste, ali država još nema jedinstven sistem prijavljivanja incidenata niti objedinjenu javnu statistiku koja bi pokazala tačan trend.

"Iako nemamo potpuno precizan podatak o procentualnom rastu napada, iskustva kompanija, stručnjaka, telekom operatera, finansijskog sektora i institucija jasno pokazuju da raste i broj pokušaja napada i njihova sofisticiranost", kaže Gvožđar.

Među najvećim prijetnjama danas su phishing napadi, krađa pristupnih podataka, kompromitacija poslovne elektronske pošte, ransomware, zloupotreba udaljenih pristupa i finansijske prevare.

Depositphotos

 

Posebno opasan trend predstavlja takozvani business email compromise (BEC), odnosno situacije kada napadači preuzmu ili imitiraju e-mail naloge direktora, računovodstva ili dobavljača i pokušavaju iznuditi hitne uplate ili promjenu podataka za plaćanje.

Ransomware napadi također su postali složeniji. Napadači više ne zaključavaju samo podatke, nego ih prethodno ukradu i prijete njihovim objavljivanjem, čime kompanijama stvaraju dodatni reputacijski i poslovni pritisak.

Cyber kriminalci ne biraju samo velike kompanije ili državne institucije. Mete su svi, ali se motivi razlikuju.

"Građani su najbrojnije mete phishinga, krađe identiteta, lažnih investicija, prevara prilikom internetske kupovine i preuzimanja profila na društvenim mrežama", navodi Gvožđar.

Kompanije su najčešće na meti zbog finansijske koristi, krađe podataka, industrijske špijunaže ili ucjene, dok su državne institucije interesantne zbog osjetljivih podataka, mogućnosti političkog i obavještajnog djelovanja te narušavanja povjerenja građana.

Problem je, međutim, što se cyber incidenti u BiH još uvijek često ne prijavljuju.

"Neke kompanije strahuju od narušavanja ugleda, gubitka klijenata, medijske pažnje ili mogućih regulatornih posljedica. Druge ne znaju kome trebaju prijaviti incident ili ne vjeruju da će nakon prijave dobiti konkretnu pomoć", kaže Gvožđar.

Takva praksa, upozorava, stvara začarani krug jer bez prijavljenih incidenata institucije nemaju realnu sliku prijetnji niti mogu razvijati odgovarajuće mjere zaštite.

Umjetna inteligencija mijenja pravila igre

Razvoj umjetne inteligencije dodatno je promijenio način na koji cyber kriminalci djeluju. Iako AI nije stvorila potpuno nove vrste napada, učinila je postojeće prevare bržim, jeftinijim i uvjerljivijim.

"Nekada su phishing poruke često bile lako prepoznatljive zbog lošeg prijevoda i gramatičkih grešaka. Danas napadač može za nekoliko sekundi kreirati poslovno uvjerljivu poruku na bosanskom jeziku, prilagođenu konkretnoj kompaniji ili zaposleniku", objašnjava Gvožđar.

Poseban rizik predstavljaju lažni audio i videosnimci kojima se mogu imitirati glasovi direktora, vlasnika kompanija ili članova porodice.

Depositphotos

"Zaposlenike više ne možemo učiti samo da prepoznaju pravopisne greške. Moramo ih učiti da provjeravaju kontekst, identitet pošiljaoca i neuobičajene zahtjeve", kaže on.

Spremnost na adekvatan odgovor u slučaju cyber napada ključnih sektora poput energetike, zdravstva, telekomunikacija i finansija nije jednaka. Finansijski sektor i veliki telekom operateri uglavnom imaju razvijenije sigurnosne kapacitete, dok su posebno osjetljivi zdravstvo i energetika.

"Zdravstveni sektor smatram posebno ranjivim. Zdravstvene ustanove posjeduju veoma osjetljive podatke, zavise od stalne dostupnosti sistema, a često koriste zastarjelu opremu i imaju ograničene budžete", upozorava Gvožđar.

Problem je i što BiH još nema potpuno definiran okvir kojim bi bilo jasno određeno šta predstavlja kritičnu infrastrukturu, koje mjere zaštite su obavezne i ko koordinira odgovor na velike incidente.

"Prvi put kada se upoznaju predstavnici institucija, elektroprivrede, telekoma, banaka, bolnica, policijskih agencija i CERT-ova ne smije biti tokom stvarnog napada", kaže on.

Gvožđar naglašava da je svijest domaćih kompanija o značaju ulaganja u cyber sigurnost porasla posebno nakon javno poznatih ransomware napada, prekida poslovanja, krađe podataka i prevara koje su izazvale direktnu finansijsku štetu.Velike kompanije, banke, telekomi, IT sektor i izvoznici sve češće cyber sigurnost tretiraju kao poslovni rizik. Međutim, kod velikog broja malih i srednjih poduzeća zaštita se još posmatra kao trošak koji se može odgoditi.

Depositphotos

 

''Još je prisutno uvjerenje da kompanija nije dovoljno velika ili interesantna da bi bila napadnuta. To je pogrešno. Većina napada danas je automatizirana. Napadači ne traže samo poznate kompanije, nego skeniraju hiljade sistema i traže nezaštićene servise, slabe lozinke i zastarjele aplikacije'', ističe.

Cyber sigurnost se također još često poistovjećuje s antivirusom i odgovornošću IT odjela. Međutim, ona je pitanje kontinuiteta poslovanja, finansijske stabilnosti, ugovorne odgovornosti, zaštite klijenata i reputacije.

''Kada kompanija izračuna koliko je košta jedan dan prekida rada, gubitak podataka, prevara s poslovnom uplatom ili gubitak ključnog klijenta, ulaganje u osnovne sigurnosne mjere više ne izgleda kao nepotreban trošak'', dodaje.

Kada je riječ o najčešćim greškama kompanija, Gvožđar navodi korištenje slabih ili ponovljenih lozinki, nepostojanje višefaktorske autentifikacije, neredovno ažuriranje sistema, prevelike korisničke privilegije, nekontroliran udaljeni pristup, neaktivni nalozi bivših zaposlenika i rezervne kopije koje nikada nisu testirane. Česta greška je i uvjerenje da sama kupovina sigurnosnog proizvoda rješava problem. Kompanija može imati skup firewall ili antivirus, ali ako svi korisnici imaju administratorska prava, isti password se koristi na više servisa ili se backup nalazi na istoj mreži kao osnovni podaci, rizik ostaje visok.

Iako kompanije često misle da je zaštita skupa, postoje osnovne mjere koje znatno smanjuju rizik. Gvožđar posebno izdvaja tri. Prva mjera je uvođenje višefaktorske autentifikacije, posebno na e-mailu, cloud servisima i administratorskim nalozima, druga je redovno ažuriranje sistema i primjena principa najmanjih privilegija, odnosno da zaposlenici imaju pristup samo onome što im je potrebno za posao. Treća mjera je uspostavljanje odvojenih i provjerenih rezervnih kopija. Nije dovoljno da sistem pokaže da je backup napravljen, potrebno je testirati može li se iz njega obnoviti poslovanje."

Usklađivanje s evropskim pravilima iz oblasti cyber sigurnosti bit će veliki izazov za domaće kompanije, posebno kroz zahtjeve poput NIS2 direktive, Cyber Resilience Acta i drugih propisa.

"Kompanije koje posluju s partnerima iz EU, obrađuju njihove podatke, razvijaju softver, pružaju IT usluge ili su dio njihovog dobavljačkog lanca, već sada dobijaju sigurnosne zahtjeve", navodi Gvožđar.

Prema njegovim riječima, cyber sigurnost sve manje treba posmatrati kao trošak, a sve više kao poslovnu investiciju koja nužno ne mora biti skupa.

"Za mnoge kompanije najvažniji prvi koraci su popis informacionih resursa, procjena rizika, jasna odgovornost, kontrola pristupa, sigurnosne kopije, plan odgovora na incidente i edukacija zaposlenih", kaže.

U narednim godinama prijetnje će biti sofisticiranije

Kada je riječ o kvalitetnim stručnjacima iz oblasti cyber sigurnosti, Gvožđar navodi da BiH tu nema problem, ali tržište ne može u potpunosti odgovoriti na rastuću potražnju.

"Nije riječ samo o nedostatku ljudi s nazivom radnog mjesta cyber security stručnjak. Potrebni su nam sigurnosni analitičari, stručnjaci za odgovor na incidente, digitalnu forenziku, cloud sigurnost, zaštitu industrijskih sistema i upravljanje rizicima", objašnjava Gvožđar.

Problem dodatno povećava odlazak stručnjaka prema stranim kompanijama. Zbog toga će, smatra, biti sve važniji modeli poput zajedničkih sigurnosnih centara, eksternih stručnih usluga i sektorskih CERT-ova.

 

U narednih pet godina očekuje se rast automatiziranih i personaliziranih napada, posebno uz pomoć umjetne inteligencije.

"Napadači će moći istovremeno kreirati veliki broj uvjerljivih poruka, lažnih identiteta, glasovnih snimaka i scenarija prilagođenih konkretnoj žrtvi", kaže Gvožđar.

Rast će i napadi na dobavljačke lance, cloud servise, mobilne uređaje i industrijske sisteme.

Poseban izazov predstavlja i razvoj kvantnih računara, koji bi u budućnosti mogli ugroziti dio današnjih kriptografskih sistema.

"Ne govorimo o problemu koji se mora riješiti sutra, ali migracija velikih informacionih sistema na postkvantnu kriptografiju može trajati godinama. Organizacije već sada trebaju znati gdje koriste kriptografiju, koliko dugo podaci moraju ostati povjerljivi i kakve planove imaju njihovi dobavljači", zaključuje Gvožđar.