Stručnjak za kibernetičku sigurnost: Svaka druga osoba može postati žrtva hakera

Nepoznati hakeri nedavno su napali čak i sustave za hlađenje u supermarketima, a na meti su se našle i službe za darivanje krvi. Zbog prekida hlađenja dio prikupljenih doza krvi postao je neupotrebljiv. O sve učestalijim napadima za Euronews je govorio Marco Di Filippo, stručnjak za kibernetičku sigurnost iz tvrtke Whitelisthackers, koji se bavi etičkim hakiranjem.

"U posljednja dva tjedna svjedočili smo iznimnoj koncentraciji spektakularnih slučajeva kakve ranije ne bismo doživjeli ni tijekom cijele godine", rekao je Di Filippo.

Njegov posao uključuje provjeru sigurnosti informacijskih sustava tvrtki i pronalaženje njihovih slabih točaka prije nego što ih otkriju kriminalci. Posljednjih tjedana bavio se različitim incidentima, od curenja podataka povezanih sa strankom AfD do sigurnosnih propusta u sustavu Revolut i programskom jeziku PHP, koji se koristi za izradu brojnih internetskih stranica, kao i napada na rashladne sustave.

Prema izvješću njemačkog Saveznog kriminalističkog ureda o stanju kibernetičkog kriminala za 2025. godinu, gospodarska šteta uzrokovana takvim napadima iznosila je 202,4 milijarde eura.

Jedan klik otvorio je hakerima vrata državne mreže Berlina

Govoreći o kibernetičkom napadu na državnu mrežu Berlina iz kolovoza 2026., Di Filippo istaknuo je da je riječ o posebno ozbiljnom slučaju koji se mogao izbjeći.

Napadači su tražili otkupninu od 30 bitcoina, što je tada vrijedilo oko dva milijuna eura. Berlinski senat odbio je platiti traženi iznos, nakon čega je na darknetu objavljeno 1,4 milijuna povjerljivih datoteka.

Napad je omogućen zbog slabosti u digitalnom sustavu, a hakerska skupina Rhysida iskoristila je nedovoljnu informiranost jedne osobe.

"Žrtvu su namamili na internetsku stranicu i zatražili od nje da potvrdi kako je čovjek. Ta metoda napada zove se ClickFix. Ljudi su upoznati s takvim postupcima: potrebno je upisati brojeve, složiti slike ili riješiti matematički zadatak kako bi dokazali da nisu botovi", objasnio je Di Filippo.

No, na stranici je žrtva dobila upute da pritisne određenu kombinaciju tipki, kopira naredbu i pritisne Enter. "Time su napadačima zapravo sami otvorili vrata", upozorio je stručnjak.

Kako bi dočarao što se dogodilo, usporedio je takav postupak sa slanjem poruke u kojoj bi netko napisao: "Želim opljačkati banku i večeras ću doći u deset sati. Molim vas, ostavite vrata odškrinuta kako bih mogao izravno doći do sefa."

Di Filippo smatra da taj slučaj pokazuje dva velika problema. Prvi je ljudska nepažnja, odnosno činjenica da je korisnik samostalno izvršio zlonamjernu naredbu. Drugi je propust u postavljanju ovlasti jer ta osoba uopće nije smjela imati dopuštenja koja su joj omogućila takav postupak.

"Svaki dan nailazimo na slične slučajeve zbog kojih ponekad možemo samo odmahnuti glavom", rekao je.

Vjerojatnost da postanete žrtva hakera je jedan prema dva

Prema procjeni stručnjaka, vjerojatnost da će netko postati žrtva hakerskog napada iznosi jedan prema dva. Unatoč tome, ljudi i dalje podcjenjuju tu opasnost, dok se istodobno više boje provala u domove ili udara groma.

"Vjerojatnost da vas pogodi grom iznosi samo jedan prema 200.000", istaknuo je Di Filippo.

Upozorava da se pri razvoju brojnih proizvoda prednost daje jednostavnosti korištenja, dok sigurnost često ostaje u drugom planu. Primjer su pametni domovi u kojima se rasvjetom i grijanjem može upravljati na daljinu, ali i hladnjaci u supermarketima koji su povezani s internetom kako bi se njima moglo upravljati centralizirano.

Tehnologija tako postaje sve jednostavnija za korištenje, ali ne nužno i sigurnija. "Upravo tu danas imamo nedostatak znanja. Kada kažem 'mi', mislim na sve nas koji nikada nismo naučili prepoznavati opasnosti", rekao je Di Filippo, dodajući da prevencija mora početi edukacijom.

Ljudi koji nikada nisu bili izloženi hakerskom napadu često ne smatraju da bi se tako nešto moglo dogoditi upravo njima. Istodobno, mogućnosti neovlaštenog pristupa tuđim uređajima neprestano se povećavaju.

Dovoljan je klik na poveznicu u SMS-u ili WhatsAppu

U pojedinim slučajevima dovoljno je kliknuti na poveznicu u SMS-u ili poruci na WhatsAppu te nakon toga potvrditi identitet. Korisnik pritom može nesvjesno omogućiti napadačima pristup svojim privatnim porukama.

Napadači se na taj način povezuju s uređajem i dobivaju pristup porukama, medijskim sadržajima i kontaktima. Njemački Savezni ured za informacijsku sigurnost (BSI) početkom godine upozorio je na takvu metodu, poznatu pod nazivom "ghost pairing".

Kako bi spriječili neovlašteno čitanje komunikacije, iz BSI-ja preporučuju kritičko provjeravanje dolaznih poruka i uključivanje sigurnosnih mehanizama poput dvofaktorske autentifikacije.

Di Filippo pritom ističe da neke države, poput Indije, uz razvoj tehnologije mnogo ulažu i u podizanje svijesti građana.

"Kada putujem podzemnom željeznicom u Indiji, posvuda vidim plakate o kibernetičkim kriminalcima i šteti koju uzrokuju, uz telefonski broj na koji se mogu javiti", rekao je.

U Njemačkoj, s druge strane, građani ponekad od policije ne dobiju potrebnu pomoć pa sami moraju istraživati kojoj se instituciji trebaju obratiti. Stručnjak upozorava i na to da se svakodnevno pojavljuju novi načini napada.

"Svaki dan nastaju nove metode i ideje za napade", rekao je, navodeći primjer hakiranja rashladnih sustava. Nakon što pronađu određeni sigurnosni propust, kriminalci mogu jednostavno utvrditi koji još uređaji koriste isti model i potom proširiti napad.

Pronalaženje jedne ranjivosti tako može pokrenuti lančanu reakciju. Prema Di Filippu, u otprilike 80 do 95 posto napada ljudi na neki način sudjeluju u omogućavanju iskorištavanja sigurnosnih propusta, kao što se dogodilo i u slučaju berlinske državne mreže.

"Zato se moramo snažno usredotočiti na obrazovanje i podizanje svijesti kako bismo postali otporniji na kibernetičke napade. Ljudski faktor mora biti uključen, jer problem ne možemo riješiti samo tehnologijom", poručio je.

Etički hakeri koriste iste alate kao i kibernetički kriminalci

Di Filippo objašnjava da se u svom poslu nastoji staviti u položaj kriminalnih hakera kako bi otkrio slabe točke sustava.

"U osnovi pokušavamo napasti infrastrukturu ili pronaći njezine nedostatke u softveru i uređajima informacijske tehnologije. Pritom koristimo iste alate kao i pravi kibernetički kriminalci", objasnio je.

Ključna je razlika u tome što etički hakeri rade po narudžbi klijenata, primjerice velikih tvrtki, i pritom nemaju namjeru nanijeti štetu njihovim sustavima.

Di Filippo naglašava da nitko u njegovoj tvrtki nema kriminalnu prošlost. Etički hakeri moraju predočiti potvrdu o nekažnjavanju kako bi dokazali da nemaju takvu pozadinu.

"Uvijek pronađemo neku sigurnosnu ranjivost", rekao je za Euronews.

Nakon završetka provjere njegov tim klijentima dostavlja izvješće koje može imati i do 400 stranica. U njemu se detaljno navode slabe točke digitalne infrastrukture i način na koji su otkrivene.

Sigurnosni propusti mogu vrijediti milijune eura

Kada pronađu sigurnosni propust, o tome obavještavaju proizvođače uređaja ili sustava kako bi ga mogli ukloniti. U pojedinim slučajevima takve ranjivosti, primjerice one na iPhoneu, mogu vrijediti nekoliko milijuna eura.

"Zatim čekamo da se propust ukloni. Nakon toga svaka se ranjivost objavljuje putem takozvanog CVE-a", objasnio je Di Filippo.

Riječ je o međunarodnom katalogu poznatih sigurnosnih ranjivosti i izloženosti, koji je javno dostupan. Informacije o takvim propustima objavljuje i njemački Savezni ured za informacijsku sigurnost, a upućuje i na međunarodnu bazu podataka National Vulnerability Database (NVD).

Zbog nedostatka enkripcije banka izgubila 1,2 milijarde eura

Di Filippo se prisjetio i slučaja od prije desetak godina, kada su kibernetički kriminalci relativno jednostavno uspjeli ukrasti 1,2 milijarde eura iz jedne banke.

"Razlog je bio taj što banka u to vrijeme uopće nije imala sigurnosne mjere za povezivanje svojih poslovnica", rekao je stručnjak.

Prema dostupnim izvješćima, banka je imala jednu poslovnicu s jedne strane ulice, a drugu povezanu lokaciju neposredno preko puta. Njihovi su sustavi bili povezani usmjerenom radiovezom koja nije bila šifrirana.

"Napadači, koji nisu imali nikakvo hakersko znanje, vrlo su se jednostavno uspjeli prijaviti u sustav, digitalno se kretati bankom i neprimjetno ukrasti novac", opisao je.

Sličan problem postojao je i kod pojedinih rashladnih uređaja u supermarketima, koji također nisu imali odgovarajuću zaštitu enkripcijom. Stručnjaci zato preporučuju barem korištenje virtualne privatne mreže (VPN) ili vatrozida.

Nova europska pravila trebala bi povećati sigurnost

Banke danas moraju ispunjavati znatno strože sigurnosne standarde. Njemačka savezna vlada prije nešto manje od godinu dana usvojila je i direktivu NIS 2, kojom se znatno većem broju tvrtki i sektora nego dosad propisuje obveza uvođenja obveznih mjera kibernetičke sigurnosti, osobito onih preventivnih.

Tvrtka Whitelisthackers ujedno radi na podizanju medijske i digitalne pismenosti. Pokrenula je natjecanje "Najbolji njemački haker", čiji je cilj pronaći nove talente i uz pomoć etičkih hakera učiniti digitalni svijet sigurnijim. Pobjednici dobivaju priliku sudjelovati na međunarodnim hakatonima.

Raste i legalno i kriminalno tržište hakiranja

Di Filippo ističe da se tržište hakiranja kao usluge brzo širi na obje strane. Na darknetu je među kriminalcima sve rašireniji model Cybercrime as a Service (CaaS), odnosno kibernetički kriminal koji se obavlja po narudžbi. Istodobno raste i legalno tržište usluga kibernetičke sigurnosti.

Whitelisthackers godišnje obavlja poslove za oko 250 klijenata, a nakon velikih, ponekad i globalnih kibernetičkih incidenata, sve je više tvrtki zainteresirano za unapređenje vlastite digitalne zaštite.