Kibernetički napad nije jedna prepoznatljiva radnja, nego lanac: napadač može ukrasti lozinku phishingom, iskoristiti ranjivost, proširiti se mrežom i tek zatim ukrasti podatke ili zaustaviti poslovanje. Zato se tvrtka ne štiti jednim alatom. Potrebni su prioriteti temeljeni na riziku, višeslojne kontrole i uvježban odgovor na incident.
Ključne činjenice
- Phishing, iskorištavanje ranjivosti, ransomware i DDoS opisuju različite dijelove napada te se mogu pojaviti u istom incidentu.
- Aktualne statistike CERT.hr-a i ENISA-e opisuju njihove skupove obrađenih ili analiziranih incidenata; nisu potpuni popis svih napada u Hrvatskoj ili EU-u.
- Najveći učinak obično daje kombinacija sigurnog upravljanja identitetima, zakrpa, odvojenih i provjerenih sigurnosnih kopija, segmentacije, nadzora i pripremljenog odgovora.
- NIS2 ne propisuje isti paket tehnologija svakoj organizaciji, nego odgovarajuće i razmjerne mjere prema riziku.
- Rokovi 24 sata, 72 sata i 30 dana odnose se na značajne incidente ključnih i važnih subjekata, a ne na svaki sumnjivi događaj u svakoj tvrtki.
Kako razlikovati vrste kibernetičkih napada
Korisnije je razlikovati početni pristup, tehniku i poslovni učinak nego tražiti jednu oznaku za cijeli incident.
| Obrazac | Što napadač pokušava postići | Tipični pokazatelji |
|---|---|---|
| Phishing i socijalni inženjering | Navesti osobu na otkrivanje podatka, odobravanje prijave, plaćanje ili pokretanje sadržaja | Neočekivana hitnost, promjena računa za uplatu, lažna domena, zahtjev za MFA odobrenje |
| Krađa i zlouporaba vjerodajnica | Preuzeti korisnički ili administratorski račun | Prijave s neuobičajene lokacije, novi uređaj, promjene pravila e-pošte, neočekivano resetiranje MFA-e |
| Iskorištavanje ranjivosti | Pokrenuti kod, zaobići kontrolu ili povećati ovlasti | Upozorenje proizvođača, neuobičajeni procesi, zahtjevi prema ranjivoj komponenti |
| Zlonamjerni softver i ransomware | Krasti, šifrirati ili uništiti podatke i ometati rad | Isključeni sigurnosni alati, masovne promjene datoteka, brisanje kopija, poruka o otkupnini |
| DDoS | Iscrpiti mrežne ili aplikacijske resurse i učiniti uslugu nedostupnom | Nagli rast prometa, velik broj zahtjeva, pogreške i usporavanje usluge |
| Napad na opskrbni lanac | Doći do cilja preko dobavljača, ažuriranja ili zajedničke usluge | Aktivnost servisnog računa dobavljača, neočekivana promjena paketa ili integracije |
| Unutarnja prijetnja | Namjerno ili nenamjerno zloupotrijebiti legitiman pristup | Neuobičajeno masovno preuzimanje, pristup izvan poslovne potrebe, zaobilaženje procesa |
Jedan ransomware incident, primjerice, može početi phishingom ili kompromitiranim udaljenim pristupom, uključiti krađu administratorskih ovlasti i završiti eksfiltracijom podataka, šifriranjem te DDoS pritiskom. Obrana zato mora pratiti cijeli put napada.
Što pokazuju aktualni službeni podaci
Nacionalni CERT navodi da je tijekom 2025. zabilježio 1.513 incidenata. U tom skupu phishing je činio 32 %, neželjene poruke 19 %, druge financijski motivirane prijevare 18 %, a napadačka infrastruktura 12 %. Broj se odnosi samo na incidente koje je CERT.hr zaprimio ili otkrio vlastitim aktivnostima.
ENISA je u Threat Landscapeu 2025 analizirala 4.875 incidenata od srpnja 2024. do lipnja 2025. U tom uzorku DDoS je brojčano dominirao, velikim dijelom zbog hacktivističkih kampanja s ograničenim učinkom, dok je ransomware ocijenjen prijetnjom s najvećim učinkom. Phishing i iskorištavanje ranjivosti bili su vodeće promatrane točke početnog pristupa.
Ti se podaci ne smiju izravno uspoređivati: različiti izvori imaju različite nadležnosti, kriterije i razdoblja. Za upravljanje rizikom važnije je povezati vanjski trend s vlastitim kritičnim uslugama, izloženom imovinom i stvarnim kontrolama.
Najvažniji scenariji za tvrtku
Kompromitacija poslovne e-pošte
Napadač preuzima ili uvjerljivo oponaša račun zaposlenika, dobavljača ili člana uprave. Cilj može biti promjena računa za uplatu, krađa dokumentacije ili daljnji phishing. Promjenu bankovnih podataka i neuobičajenu isplatu treba potvrditi drugim, unaprijed poznatim kanalom, a ne kontaktom iz primljene poruke.
Ransomware i iznuda podacima
Šifriranje nije jedini oblik. Napadači mogu prvo ukrasti podatke i prijetiti objavom, a ponekad iznuđivati bez šifriranja. Obrana uključuje ograničavanje početnog pristupa i bočnog kretanja te mogućnost oporavka iz poznato čistih kopija.
Napad na javno dostupnu uslugu
Internetu izloženi VPN, RDP, web-aplikacija ili administracijsko sučelje privlačna su meta. Popis takvih usluga, sigurna konfiguracija, pravodobne zakrpe, snažna autentikacija i praćenje smanjuju razdoblje u kojem napadač može djelovati neopaženo.
Dobavljač kao put do sustava
Ugovor ne prenosi rizik. Organizacija treba znati kojim sustavima dobavljač pristupa, ograničiti njegove ovlasti, bilježiti aktivnost, dogovoriti obavještavanje o incidentu i unaprijed odrediti kako će ukinuti pristup bez prekida ključne usluge.
Prioriteti zaštite prema riziku
| Prioritet | Praktična provedba | Dokaz da kontrola radi |
|---|---|---|
| Kritična imovina i podaci | Vodite vlasnika, lokaciju, ovisnosti i potrebni redoslijed oporavka | Ažuran inventar i zapis vježbe oporavka |
| Identiteti i ovlasti | Uvedite MFA, najmanje privilegije, odvojene administratorske račune i brz opoziv pristupa | Pregledi ovlasti i upozorenja na rizične prijave |
| Ranjivosti i konfiguracije | Pratite proizvođačke obavijesti, prioritizirajte izložene i iskorištavane slabosti | Evidencija odluke, popravka, iznimke i ponovne provjere |
| Sigurnosne kopije | Odvojite upravljanje kopijama od produkcije i zaštitite ih od izmjene ili brisanja | Uspješno testirano vraćanje unutar ciljanog vremena |
| E-pošta i web | Filtrirajte zlonamjerni sadržaj, zaštitite domenu te uredite provjeru plaćanja i promjena računa | Testovi konfiguracije i mjerljivo brzo prijavljivanje sumnjivih poruka |
| Segmentacija i nadzor | Ograničite komunikaciju na poslovno potrebne tokove i centralizirajte relevantne zapise | Test blokiranog toka i upotrebljiv alarm s kontekstom |
| Odgovor na incident | Definirajte ovlasti, kontakte, rezervni kanal i regulatornu procjenu | Tabletop vježba i zatvorene korektivne radnje |
Fiksno pravilo poput „svaku kritičnu ranjivost riješiti u 48 sati” može biti interni cilj, ali nije univerzalno sigurno ni zakonsko pravilo. Rok mora uzeti u obzir stvarnu izloženost, dokaz aktivnog iskorištavanja, važnost sustava, dostupnost popravka i rizik promjene. Ako zakrpa nije odmah izvediva, privremene mjere i prihvaćanje preostalog rizika treba dokumentirati.
Kibernetički napadi i NIS2
Članak 21. Direktive (EU) 2022/2555 traži da ključni i važni subjekti primjenjuju odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere. Obuhvaćena su, među ostalim, upravljanje incidentima, kontinuitet poslovanja, sigurnost opskrbnog lanca, upravljanje ranjivostima, procjena učinkovitosti mjera, osnovna kibernetička higijena, kriptografija te kontrola pristupa.
To ne znači da je svaki navedeni proizvod obvezan ni da NIS2 zahtijeva identičnu arhitekturu za svaki subjekt. Organizacija treba moći objasniti vezu između rizika, odabrane mjere, odgovornosti i dokaza učinkovitosti.
Za značajan incident ključnog ili važnog subjekta hrvatska Uredba o kibernetičkoj sigurnosti propisuje:
- rano upozorenje nadležnom CSIRT-u bez odgode, najkasnije u 24 sata od saznanja;
- početnu obavijest bez odgode, najkasnije u 72 sata od saznanja;
- završno izvješće najkasnije 30 dana od dostave početne obavijesti; ako incident traje, primjenjuju se izvješća o napretku i poseban završni rok.
Prag značajnosti i nadležni CSIRT ovise o statusu i sektoru subjekta. Obična phishing poruka koju je filtar zaustavio ne aktivira automatski ove rokove.
Što učiniti kada sumnjate na napad
- Otvorite zapis incidenta. Zabilježite vrijeme saznanja, izvor prijave, pogođenu uslugu i poznate činjenice. Odvojite činjenice od pretpostavki.
- Procijenite hitnost i proglasite incident. Uključite osobu s ovlasti za koordinaciju, vlasnika usluge, IT/sigurnost te prema potrebi pravnu funkciju, DPO-a i komunikacije.
- Ograničite širenje. Izolirajte pogođene uređaje ili račune prema scenariju. Nemojte rutinski gasiti sve sustave jer time možete izgubiti volatilne dokaze ili otežati kontinuitet.
- Sačuvajte tragove. Zaštitite zapise, izvornu poruku sa zaglavljima, slike zaslona, vremenske oznake i promjene koje je tim proveo.
- Uklonite uzrok, ne samo simptom. Zatvorite početni vektor, opozovite sesije i ključeve, ispravite konfiguraciju ili ranjivost te potražite povezanu aktivnost.
- Oporavljajte kontrolirano. Vraćajte poznato čiste sustave prema poslovnom prioritetu i pojačano ih nadzirite.
- Procijenite obavijesti. Odvojeno provjerite NIS2/Zakon o kibernetičkoj sigurnosti, GDPR, sektorske i ugovorne obveze te prijavu kaznenog djela.
Za planiranje kontrola i provjeru spremnosti pogledajte usluge kibernetičke sigurnosti. Ako je incident već u tijeku, koristite unaprijed dogovorene interne i vanjske kontakte umjesto oslanjanja samo na kontaktni obrazac.
Česta pitanja
Koji je najčešći kibernetički napad u Hrvatskoj?
U skupu incidenata koje je Nacionalni CERT zabilježio 2025. phishing je bio najzastupljenija pojedinačna kategorija. To ne dokazuje da je phishing najčešći među svim napadima u zemlji jer mnogi događaji nisu prijavljeni CERT.hr-u ili su u nadležnosti drugih tijela.
Je li mala tvrtka premala da bi bila meta?
Ne. Automatizirano skeniranje, krađa vjerodajnica i masovne prijevare ne biraju metu samo prema veličini. Manja organizacija treba uži, izvediv skup kontrola usmjeren na najkritičnije usluge, a ne presliku sustava velike korporacije.
Je li antivirus dovoljan?
Nije. Zaštita krajnjih točaka može otkriti dio zlonamjerne aktivnosti, ali ne rješava prijevaru plaćanja, kompromitirani račun u oblaku, loše ovlasti, ranjivi uređaj ili nedostatak oporavka.
Treba li svaki incident prijaviti CERT.hr-u?
Ne postoji jedno pravilo za sve. Opća prijava Nacionalnom CERT-u ovisi o njegovoj nadležnosti i prirodi incidenta, dok ključni i važni subjekti značajne incidente prijavljuju svojem nadležnom CSIRT-u propisanim putem. Slučaj može istodobno zahtijevati kontakt s policijom, AZOP-om ili sektorskim tijelom.
Povezani vodiči
- Phishing napadi i edukacija zaposlenika
- Ransomware: zaštita tvrtke i postupanje
- Upravljanje kibernetičkim incidentima
- Zero Trust model sigurnosti
Izvori i pregled
Sadržaj je stručno pregledan 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:
- Nacionalni CERT — godišnji izvještaj za 2025.
- ENISA Threat Landscape 2025
- Direktiva (EU) 2022/2555 — članak 21.
- Direktiva (EU) 2022/2555 — članak 23.
- Uredba o kibernetičkoj sigurnosti, NN 135/2024
- Nacionalni CERT — o prijavi incidenta
Ovaj tekst daje opće informacije. Kategorizaciju subjekta, značajnost incidenta i obveze prijave treba procijeniti prema konkretnim činjenicama i važećim sektorskim pravilima.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.