Ransomware napad: zaštita tvrtke i postupanje

Ako je ransomware aktivan, prvo ograničite širenje i zaštitite sigurnosne kopije, identitete i zapise. Aktivirajte plan odgovora, odredite voditelja incidenta i koristite rezervni komunikacijski kanal. Nemojte rutinski gasiti sve uređaje, brisati poruku o otkupnini ili odmah vraćati kopije: time možete izgubiti dokaze, proširiti kompromitaciju ili ponovno zaraziti obnovljene sustave.

Ključne činjenice

• Ransomware incident može uključivati krađu podataka, šifriranje, brisanje kopija i prijetnju objavom; iznuda podacima ponekad se događa i bez šifriranja.
• Sigurnosna kopija vrijedi samo ako je odvojena od kompromitiranih administratorskih računa, zaštićena od izmjene ili brisanja i dokazano obnovljiva.
• Plaćanje ne jamči dešifriranje, brisanje ukradenih podataka ni prekid iznude te može imati pravne i sankcijske posljedice.
• Antivirus je jedan sloj, ne potpuna zaštita. Potrebni su upravljanje izloženim uslugama i ranjivostima, snažni identiteti, segmentacija, nadzor i uvježban oporavak.
• NIS2 rokovi 24 sata, 72 sata i 30 dana primjenjuju se na značajan incident ključnog ili važnog subjekta; GDPR ima zaseban prag za povredu osobnih podataka.

Što je ransomware

Ransomware je zlonamjerni softver ili širi obrazac napada kojim napadač ograničava dostupnost sustava ili podataka i zahtijeva korist za njihovo vraćanje ili neobjavljivanje. Današnje kampanje često spajaju više oblika pritiska:

• šifriranje datoteka, poslužitelja, virtualnih sustava ili cloud resursa;
• krađu podataka i prijetnju objavom;
• uništavanje ili brisanje sigurnosnih kopija i snimki sustava;
• kontaktiranje klijenata ili zaposlenika radi dodatnog pritiska;
• uskraćivanje usluge ili ponovljene napade tijekom pregovora.

ENISA je u Threat Landscapeu 2025 ransomware ocijenila prijetnjom s najvećim učinkom u analiziranom europskom okruženju. To ne znači da je bio brojčano najčešća vrsta svakog incidenta, nego da su posljedice za pogođene organizacije posebno ozbiljne.

Kako napad napreduje

Ransomware se rijetko svodi na jednu zaraženu datoteku. Tipičan lanac uključuje:

1. Početni pristup: ukradena vjerodajnica, phishing, ranjiva javna usluga, dobavljač ili udaljeni alat.
2. Učvršćivanje pristupa: novi račun, token, zakazani zadatak, alat za udaljeno upravljanje ili druga trajna točka ulaza.
3. Otkrivanje okoline: popis identiteta, poslužitelja, kopija, sigurnosnih alata i vrijednih podataka.
4. Povećanje ovlasti i bočno kretanje: preuzimanje privilegiranog računa i širenje prema kritičnim sustavima.
5. Eksfiltracija i priprema: izdvajanje podataka, gašenje zaštite i pokušaj uklanjanja mogućnosti oporavka.
6. Šifriranje ili druga iznuda: ometanje usluge i zahtjev prema žrtvi.

Detekcija prije posljednjeg koraka može bitno smanjiti učinak. Posebno su važna upozorenja na neuobičajenu uporabu administratorskih alata, masovno čitanje podataka, promjene sigurnosnih kopija, brisanje zapisa, isključivanje zaštite i prijave servisnih računa iz novog konteksta.

Prvi sat odgovora

1. Proglasite incident i odredite vodstvo

Imenujte osobu koja koordinira odluke, vodi kronologiju i odobrava promjene. Uključite IT/sigurnost, vlasnike pogođenih usluga, upravu, pravnu funkciju, DPO-a i komunikacije prema stvarnom učinku. Premjestite osjetljivu koordinaciju na unaprijed pripremljen kanal ako postoji sumnja da je poslovna e-pošta kompromitirana.

2. Ograničite širenje

Odvojite potvrđeno ili vjerojatno pogođene uređaje i segmente od mreže te onemogućite kompromitirane račune ili sesije prema planu. Nemojte bez procjene ugasiti cijelu infrastrukturu. Napajanje uređaja može sadržavati volatilne dokaze, a nekontrolirano gašenje može ugroziti poslovne ili sigurnosne procese.

Ako izolacija kroz upravljačku konzolu ovisi o kompromitiranom identitetu, koristite alternativni pouzdani način. Svaku promjenu zabilježite s vremenom i izvršiteljem.

3. Zaštitite oporavak i upravljačku ravninu

Ograničite pristup sustavu sigurnosnih kopija, provjerite neuobičajeno brisanje ili promjene te zaštitite neovisne kopije. Istodobno provjerite domenske/cloud administratore, trezore tajni, sustave za virtualizaciju, RMM alate i sigurnosne konzole. Napadač koji zadržava privilegirani pristup može kompromitirati i oporavak.

4. Sačuvajte dokaze

Zaštitite relevantne dnevničke zapise, snimke sustava, poruku o otkupnini, uzorke datoteka, mrežne pokazatelje i vremenske oznake. Ne kontaktirajte napadača individualno i ne pokrećite neprovjerene „decryptor” alate na izvornim sustavima.

5. Utvrdite opseg i poslovni učinak

Odgovorite najmanje na ova pitanja:

• Koje su usluge i lokacije pogođene, a koje još pouzdano čiste?
• Je li šifriranje još aktivno i postoji li eksfiltracija?
• Koji su identiteti, ključevi ili tokeni kompromitirani?
• Jesu li osobni, povjerljivi ili sektorski regulirani podaci ugroženi?
• Koje ovisnosti i dobavljači utječu na oporavak?
• Kada je organizacija saznala dovoljno da pokrene regulatorne rokove?

6. Aktivirajte vanjsku pomoć i procjenu obavijesti

Kontaktirajte unaprijed ugovorenog pružatelja odgovora, nadležni CSIRT, osiguravatelja i pravne savjetnike prema planu. Kod sumnje na kazneno djelo uključite policiju. Ne čekajte potpunu forenzičku sigurnost prije procjene rokova: rane obavijesti mogu sadržavati početne, jasno označene informacije.

Za pripremu plana, vježbu ili koordinaciju aktivnog slučaja pogledajte odgovor na kibernetičke incidente.

Treba li platiti otkupninu

Službene smjernice CISA-e i NCSC-a upozoravaju da plaćanje ne jamči povrat podataka. Dešifrator može biti spor ili neispravan, dio podataka može ostati oštećen, a napadač može zadržati kopije i ponovno tražiti novac. Plaćanje također može potaknuti daljnje napade.

Odluka nije samo tehnička. Prije bilo kakvog poteza potrebno je uključiti upravu, pravne i sankcijske stručnjake, tijela kaznenog progona, osiguravatelja i odgovor na incident. Tvrtka treba provjeriti identitet primatelja i primjenjiva ograničenja. Nitko ne bi smio samostalno pregovarati ili izvršiti uplatu.

Čak i ako organizacija razmatra plaćanje, mora nastaviti s obuzdavanjem, istragom, obnovom, prijavama i zaštitom pogođenih osoba. Obećanje napadača da je podatke izbrisao nije dokaz brisanja.

Oporavak bez ponovne kompromitacije

Uspostavite pouzdanu osnovu

Prije vraćanja utvrdite početni vektor i domet privilegiranog pristupa. Izgradite ili potvrdite čistu upravljačku okolinu, rotirajte kompromitirane vjerodajnice, ključeve i tokene te zatvorite ulaznu točku. Redoslijed rotacije mora uzeti u obzir ovisnosti kako se ne bi srušile kritične usluge.

Obnavljajte iz poznato čistog izvora

Prednost dajte ponovnoj izgradnji iz provjerenih slika i konfiguracija kada je izvediva. Sigurnosne kopije pregledajte zbog mogućeg zlonamjernog sadržaja ili kompromitiranih postavki prije vraćanja. Ne priključujte čiste kopije kompromitiranoj upravljačkoj okolini.

Vraćajte prema poslovnom prioritetu

Najprije obnovite identitete, DNS, mrežne i sigurnosne funkcije o kojima ovise druge usluge, ali konkretan redoslijed mora slijediti analizu poslovnog učinka. Svaku uslugu provjerite funkcionalno i sigurnosno prije povratka korisnika.

Pojačano nadzirite

Nakon obnove pratite iste pokazatelje, povezane račune i pokušaje ponovnog pristupa. Zadržite incident otvorenim dok nisu potvrđeni opseg, temeljni uzrok, regulatorne radnje i korektivne mjere.

Kako izgraditi otpornost

Pravilo 3-2-1 može biti koristan početni obrazac za kopije, ali broj kopija nije cilj sam po sebi. Važnije je može li ih napadač izmijeniti, jesu li obuhvaćeni konfiguracija i ključevi te može li organizacija stvarno obnoviti prioritetnu uslugu u prihvatljivom vremenu.

NIS2, hrvatski propisi i GDPR

Ransomware nije automatski „NIS2 incident” za svaku tvrtku. Prema Direktivi i hrvatskom Zakonu, obveza se veže uz ključni ili važni subjekt i incident sa znatnim učinkom. Hrvatska Uredba za značajan incident propisuje:

1. rano upozorenje: bez odgode, najkasnije 24 sata od saznanja;
2. početnu obavijest: bez odgode, najkasnije 72 sata od saznanja;
3. završno izvješće: najkasnije 30 dana od dostave početne obavijesti;
4. izvješća tijekom incidenta: privremeno izvješće na zahtjev nadležnog CSIRT-a te izvješće o napretku ako incident još traje, prema pravilima Uredbe.

Prijava se podnosi nadležnom CSIRT-u propisanim putem. Ne treba pretpostaviti da je Nacionalni CERT nadležan za svaki sektor ili svaki subjekt.

Ako je incident doveo do povrede osobnih podataka, voditelj obrade zasebno procjenjuje GDPR. AZOP se izvješćuje bez nepotrebnog odgađanja i, ako je izvedivo, u 72 sata od saznanja kada je vjerojatan rizik za prava i slobode pojedinaca. Visok rizik može zahtijevati i izravno obavještavanje pogođenih osoba bez nepotrebnog odgađanja. Činjenica da su podaci „samo šifrirani” ne isključuje povredu dostupnosti niti mogućnost prethodne eksfiltracije.

Česta pitanja

Je li dovoljno imati kopiju u oblaku?+

Ne nužno. Ako isti kompromitirani identitet može izbrisati produkciju, prethodne verzije i kopije, oblak nije neovisna zaštita. Provjerite razdvajanje računa, nepromjenjivost ili odgođeno brisanje, zapisivanje i stvarni postupak obnove.

Treba li odmah ugasiti zaraženo računalo?+

Ne postoji univerzalno pravilo. Mrežna izolacija obično je prioritet, dok gašenje može ukloniti volatilne dokaze. Odluku treba donijeti incidentni tim prema aktivnom širenju, sigurnosti ljudi i važnosti sustava.

Može li ransomware zahvatiti SaaS i cloud podatke?+

Može. Napadač može koristiti kompromitirani račun ili API za masovno brisanje, šifriranje, izvoz ili promjenu podataka. Model podijeljene odgovornosti znači da pružateljeva otpornost infrastrukture ne zamjenjuje korisničko upravljanje identitetima, konfiguracijom i kopijama.

Kada zatvoriti incident?+

Nakon stabilnog oporavka, uklonjenog ili prihvaćenog temeljnog rizika, dovršenih obavijesti, dokumentiranog opsega i dodijeljenih korektivnih mjera. Povratak aplikacije u rad sam po sebi nije kraj incidenta.

Povezani vodiči

• Upravljanje kibernetičkim incidentima
• Phishing napadi i edukacija zaposlenika
• Kibernetički napadi: vrste i zaštita

Izvori i pregled

Sadržaj je stručno pregledan 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:

• Nacionalni CERT — Ransomware
• NCSC — Mitigating malware and ransomware attacks
• CISA — StopRansomware Guide
• ENISA Threat Landscape 2025
• Uredba o kibernetičkoj sigurnosti, NN 135/2024
• AZOP — izvješćivanje o povredi osobnih podataka

Ovaj vodič ne zamjenjuje forenzičku, pravnu ili sankcijsku procjenu konkretnog incidenta. Aktivni ransomware zahtijeva koordinirano odlučivanje na temelju aktualnih činjenica.