Ransomware: kako zaštititi tvrtku i što učiniti nakon napada

Ransomware je zlonamjerni softver kojim napadač šifrira ili zaključa podatke i sustave tvrtke i traži otkupninu za njihovo vraćanje. Danas napadači gotovo uvijek prije šifriranja kradu podatke i prijete njihovom objavom, a ponekad samo kradu i ucjenjuju bez šifriranja. Prema ENISA-i ransomware je u 2025. bio financijski motivirani napad s najvećim kratkoročnim učinkom u EU-u.

Vodič objašnjava kako ransomware ulazi u tvrtku, koje mjere stvarno štite, što učiniti u prvim satima napada, treba li platiti otkupninu i kada incident treba prijaviti. Stanje je na 4. studenoga 2026.

Ako je napad u tijeku: odvojite pogođene uređaje od mreže, zaštitite sigurnosne kopije i administratorske račune, proglasite incident i prijeđite na rezervni kanal komunikacije. Ne gasite sve uređaje, ne brišite poruku o otkupnini i ne vraćajte kopije prije čišćenja. Koraci po redu su u odjeljku Prvi sat napada.

Ukratko

• Kako ulazi: zlonamjerna e-pošta (26 %), phishing (24 %), ukradene vjerodajnice (23 %) i iskorištene ranjivosti (18 %), prema anketi Sophosa među 2.158 pogođenih organizacija.
• MFA nije dovoljan sam po sebi: 97 % žrtava napadnutih ukradenim vjerodajnicama imalo je neki oblik MFA-a. Potrebna je prijava otporna na phishing i MFA na svim pristupima.
• Sigurnosne kopije rade: 66 % organizacija sa šifriranim podacima vratilo ih je iz kopija, a 55 % se oporavilo u tjedan dana.
• Otkupnine: medijan isplaćene otkupnine je 769.000 USD, a prosječni trošak oporavka bez otkupnine 1.700.200 USD (Sophos, 2026.).
• Hrvatska: NIS2 subjekti prijavili su u trećem tromjesečju 2026. sedam ransomware napada, od kojih je šest spriječeno prije nego što je napadač zaključao infrastrukturu.
• Prijava: ključni i važni subjekti šalju CSIRT-u rano upozorenje u 24 sata, a povreda osobnih podataka prijavljuje se AZOP-u u 72 sata.
• Otkupnina: plaćanje ne jamči povrat ni brisanje podataka. Britanski NCSC i projekt No More Ransom ne potiču plaćanje.

Što je ransomware

Ransomware ograničava pristup sustavu ili podacima, najčešće šifriranjem, i služi za ucjenu. Suvremeni napadi kombiniraju više oblika pritiska:

• šifriranje datoteka, poslužitelja, virtualnih strojeva ili podataka u oblaku;
• krađu podataka i prijetnju objavom na stranici napadača;
• brisanje sigurnosnih kopija i snimki sustava;
• kontaktiranje klijenata, zaposlenika ili medija;
• DDoS napade tijekom pregovora.

Kako teče napad

1. Početni pristup: phishing, ukradena lozinka, ranjiv VPN ili vatrozid, dobavljač ili alat za udaljeni pristup.
2. Uporište: novi račun, zakazani zadatak ili alat za udaljeno upravljanje koji osigurava trajan ulaz.
3. Izviđanje: popis računa, poslužitelja, sigurnosnih kopija i vrijednih podataka.
4. Preuzimanje ovlasti i širenje: preuzimanje administratorskog računa, često kontrolera domene, i kretanje prema kritičnim sustavima.
5. Krađa podataka i priprema: izvlačenje podataka, gašenje zaštite, brisanje kopija.
6. Šifriranje i ucjena: pokretanje ransomwarea i poruka s uputama za plaćanje.

Između ulaska i šifriranja obično prođe od nekoliko dana do nekoliko tjedana. Prema Sophosu 41 % napada zaustavljeno je prije šifriranja, što pokazuje da rano otkrivanje bitno smanjuje štetu.

Vrste ransomwarea

Grupe se gase i mijenjaju imena, a tehnike ostaju iste. Međunarodna akcija Cronos, koju je vodila britanska Nacionalna agencija za kriminal uz koordinaciju Europola i Eurojusta, u veljači 2024. preuzela je infrastrukturu LockBita, do tada najaktivnije grupe. Prema NCC Groupu LockBit je u 2025. ispao iz deset najaktivnijih, a najaktivniji su bili Qilin (1.022 napada), Akira (755) i Cl0p (517).

Ransomware u brojkama

Europska unija

ENISA je u izvješću Threat Landscape 2026 analizirala 8.257 incidenata:

U proizvodnji su najčešće grupe bile Qilin, Akira i SafePay.

Svijet

Brojke ovise o metodologiji: Sophos koristi anketu organizacija sa 100 do 5.000 zaposlenih, Coveware slučajeve koje je vodio, a NCC objave na stranicama napadača. Coveware navodi da je stopa plaćanja ostala blizu povijesnih minimuma.

Hrvatska

• NIS2 subjekti prijavili su NCSC-HR-u u trećem tromjesečju 2026. sedam ransomware napada. Šest je spriječeno prije zaključavanja infrastrukture.
• Policija ransomware navodi kao najveću prijetnju za tvrtke i javne ustanove.
• Poznati slučajevi, među kojima KBC Zagreb (lipanj 2024.) i Luka Rijeka (prosinac 2024.), opisani su u vodiču Kibernetički napadi.

Kako ransomware ulazi u tvrtku

Izvor je Sophos, State of Ransomware 2026. Iskorištene ranjivosti bile su najčešći uzrok prethodne tri godine. Napadi koji počinju ranjivošću na vatrozidu skuplji su: 59 % takvih zahtjeva iznosi milijun dolara ili više, u odnosu na 48 % svih zahtjeva.

Najrizičnije točke su uređaji na granici mreže: VPN, vatrozidi i sustavi za udaljeni pristup. CISA je zbog aktivnog iskorištavanja ranjivosti u Ivanti VPN uređajima početkom 2024. naložila saveznim agencijama da ih odspoje. Kako prepoznati phishing poruke opisuje vodič Phishing.

Znakovi zaraze

Rani znakovi prije šifriranja

Napad je najlakše zaustaviti prije šifriranja. Postavite upozorenja na:

• neuobičajenu uporabu administratorskih alata i alata za udaljeno upravljanje;
• masovno kopiranje podataka i velik odlazni promet;
• promjene ili brisanje sigurnosnih kopija i snimki sustava;
• brisanje zapisa i isključivanje zaštite;
• prijave administratorskih ili servisnih računa s novih lokacija i uređaja.

Kako zaštititi tvrtku

1. Sigurnosne kopije

Ispravne i odvojene kopije omogućuju oporavak bez plaćanja. Pravilo 3-2-1 dobar je početak: tri kopije podataka, na dva različita medija, od kojih je jedna izvan lokacije. Uz to:

• barem jedna kopija mora biti izvan mreže ili nepromjenjiva, zaštićena od izmjene i brisanja;
• sustavom kopija upravljajte odvojenim administratorskim računima s MFA-om, izvan domene koju napadač može preuzeti;
• kopirajte i konfiguracije, ključeve i postavke potrebne za obnovu;
• odredite koliko podataka smijete izgubiti (RPO) i koliko brzo morate oporaviti uslugu (RTO);
• redovito testirajte obnovu stvarne usluge, a ne samo pojedinih datoteka.

2. Ranjivosti i izložene usluge

• popis svih sustava dostupnih s interneta i uklanjanje nepotrebnih usluga;
• prioritetno krpanje VPN-a, vatrozida i poslužitelja e-pošte, a aktivno iskorištavanih ranjivosti odmah;
• praćenje upozorenja Nacionalnog CERT-a i CISA-ina popisa aktivno iskorištavanih ranjivosti (KEV);
• redovito skeniranje ranjivosti i penetracijski test, opisani u vodiču Penetracijski testovi.

3. Identiteti i pristup

• MFA na svim pristupima, a za administratore i udaljeni pristup prijava otporna na phishing;
• odvojeni administratorski računi i najmanje potrebne ovlasti;
• popis i zaštita servisnih računa;
• segmentacija koja odvaja korisnike, poslužitelje, upravljanje, sigurnosne kopije i proizvodne sustave.

Ta načela detaljnije opisuje vodič Zero Trust model sigurnosti.

4. E-pošta i krajnje točke

• filtriranje privitaka i poveznica, SPF, DKIM i DMARC;
• blokiranje makroa u dokumentima s interneta;
• EDR, koji prati ponašanje procesa i otkriva napade koje klasični antivirus propušta;
• uklanjanje ili izolacija sustava koji više ne dobivaju zakrpe.

5. Dobavljači i udaljeni pristup

Pristup dobavljača ograničite na potrebne sustave i vrijeme, vodite popis aktivnih veza i ugovorom odredite sigurnosne zahtjeve i obvezu obavještavanja o incidentu. Provjeru dobavljača radimo kroz upravljanje rizikom dobavljača.

6. Ljudi i plan

Edukacija o phishingu, provjera zahtjeva za plaćanje drugim kanalom i pisani plan odgovora koji se uvježbava vježbom za stolom s upravom.

Kako provjeriti da zaštita radi

Prvi sat napada

1. Proglasite incident i imenujte voditelja. Uključite IT, vlasnike pogođenih usluga, upravu, pravnu službu i službenika za zaštitu podataka. Ako je e-pošta možda kompromitirana, koordinirajte se rezervnim kanalom.
2. Ograničite širenje. Odvojite pogođene uređaje i segmente od mreže, onemogućite kompromitirane račune i sesije. Ne gasite cijelu infrastrukturu bez procjene jer se gube dokazi iz radne memorije.
3. Zaštitite kopije i upravljačke sustave: sustav kopija, administratore domene i oblaka, trezore lozinki, virtualizaciju i alate za udaljeno upravljanje.
4. Sačuvajte dokaze: zapise, poruku o otkupnini, uzorke šifriranih datoteka, mrežne pokazatelje i vremenske oznake.
5. Utvrdite opseg: koje su usluge pogođene, je li šifriranje aktivno, jesu li podaci izvučeni i koji su računi kompromitirani.
6. Uključite vanjsku pomoć i procijenite prijave: pružatelja odgovora na incidente, osiguratelja, nadležni CSIRT i policiju. Rok za NIS2 rano upozorenje teče od saznanja.

Prva 24 sata

Što ne raditi

Uloge, rokove i postupak za sve vrste incidenata opisuje vodič Upravljanje kibernetičkim incidentima.

Treba li platiti otkupninu

Plaćanje ne jamči povrat podataka. Alat za dešifriranje može biti spor ili neispravan, dio podataka može ostati oštećen, a napadač može zadržati kopije, prodati ih ili ponovno tražiti novac. Coveware navodi da plaćanje rijetko uklanja zakonske obveze obavještavanja i da se obećanje o brisanju ukradenih podataka ne može provjeriti.

Zašto tvrtke ipak razmatraju plaćanje

• nema upotrebljivih sigurnosnih kopija, a podaci su ključni za poslovanje;
• ugroženi su ljudski životi ili zdravlje, primjerice u bolnici;
• trošak zastoja višestruko premašuje traženi iznos;
• osiguratelj sudjeluje u odluci i pokriva dio troška.

Nijedan od tih razloga ne mijenja činjenicu da plaćanje ne jamči ishod. Najbolja zaštita od takve odluke su kopije i plan oporavka pripremljeni unaprijed.

Tko sudjeluje u odluci

Odluka je poslovna, pravna i tehnička. Prije bilo kakvog poteza uključite upravu, pravne savjetnike, policiju, osiguratelja i tim za odgovor na incident. Plaćanje osobama ili grupama pod sankcijama može biti zabranjeno, pa se primatelj mora provjeriti. Nitko ne smije samostalno pregovarati ni platiti. I kada se plaćanje razmatra, obuzdavanje, istraga, obnova i prijave nastavljaju se.

No More Ransom nudi besplatne alate za dešifriranje za dio vrsta ransomwarea. Alat pokrenite tek na kopiji podataka, nakon što su dokazi sačuvani.

Zakonske obveze u Hrvatskoj

Zakon o kibernetičkoj sigurnosti

Ako je tvrtka ključni ili važni subjekt, a ransomware ispunjava kriterije značajnog incidenta, primjerice zaustavi uslugu ili prouzroči financijski gubitak iznad praga iz Uredbe, prijavljuje ga nadležnom CSIRT-u:

Kriterije značajnog incidenta i sadržaj prijava opisuje vodič Upravljanje kibernetičkim incidentima, a tko je obveznik vodič NIS2 kategorizacija.

GDPR

Šifriranje osobnih podataka već je povreda dostupnosti, a krađa je povreda povjerljivosti. Voditelj obrade procjenjuje obje mogućnosti:

• prijava AZOP-u u 72 sata od saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za pojedince;
• obavještavanje pogođenih osoba kada je rizik visok, primjerice kada su podaci ukradeni ili objavljeni;
• evidencija svake povrede, i one koja se ne prijavljuje.

Financijski subjekti obuhvaćeni DORA-om veliki IKT incident prijavljuju nadležnom tijelu prema rokovima DORA-e, od 4 sata od klasifikacije.

Oporavak nakon napada

Pouzdana osnova. Prije vraćanja utvrdite početni vektor i doseg administratorskog pristupa, izgradite čistu upravljačku okolinu i promijenite kompromitirane lozinke, ključeve i tokene. Napadač koji zadrži administratorski pristup ugrozit će i obnovljene sustave.

Čisti izvor. Prednost dajte izgradnji iz provjerenih slika i konfiguracija. Kopije prije vraćanja pregledajte zbog zlonamjernog sadržaja i ne priključujte ih na kompromitiranu okolinu.

Poslovni prioritet. Najprije obnovite identitete, DNS, mrežu i sigurnosne funkcije o kojima ovise druge usluge, zatim poslovne sustave prema analizi poslovnog učinka.

Prema Sophosu 16 % organizacija oporavilo se za manje od dana, 55 % u tjedan dana, a 83 % u mjesec dana. Samo 3 % trebalo je više od tri mjeseca. Najveća razlika je u tome postoje li testirane kopije i plan.

Česta pitanja

Sljedeći korak

Plan odgovora na ransomware, vježbe za stolom i podršku tijekom napada pružamo u sklopu usluge odgovora na incidente. Procjenu zaštite, sigurnosnih kopija i pristupa radimo kroz usluge kibernetičke sigurnosti.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim izvorima:

• ENISA Threat Landscape 2026
• Sophos: State of Ransomware 2026
• Coveware: izvješće za treće tromjesečje 2026.
• NCC Group: Annual Cyber Threat Intelligence 2025
• Europol: akcija Cronos protiv LockBita, 20. veljače 2024.
• Nacionalni CERT: Ransomware
• NCSC-HR: Pregled implementacije Zakona o kibernetičkoj sigurnosti, Q3 2026.
• CISA: StopRansomware Guide
• NCSC: Mitigating malware and ransomware attacks
• CISA: Emergency Directive 24-01, Ivanti Connect Secure
• Uredba o kibernetičkoj sigurnosti, NN 135/2024
• AZOP: izvješćivanje o povredi osobnih podataka

Vodič ne zamjenjuje forenzičku, pravnu ni sankcijsku procjenu konkretnog incidenta.