Region koji je gorio

Prije nego počnem sa vlastitim iskustvom, vrijedi napomenuti kontekst. Iste godine nisu stradale samo male firme ili loše administrirani sistemi — padali su energetski holdinzi, državne elektroprivrede, aerodromski sistemi, gradske uprave. Različite hakerske grupe, različiti ransomware, isti rezultat.

Rhysida je srušila HSE — Holding Slovenske Elektrarne, najvećeg slovenskog državnog proizvođača električne energije. Qilin je udario na Elektroprivredu Srbije. Hakerska skupina Akira izvela je napad na informatički sistem Zračne luke sv. Jeronim u Splitu — check-in je pao, aerodrom je prešao na ručnu obradu putnika uz tiskane liste, a podatke nastale u međuvremenu unosili su naknadno kad su sistemi oživjeli. JKP Informatika u Novom Sadu odbila je platiti otkup i ostala bez dijela podataka. Parlamentarna skupština Bosne i Hercegovine bila je van funkcije sedmicama.

Sve nabrojano su institucije sa IT odjeljenjima, budžetima i — pretpostavljamo — nekim oblikom zaštite. Nije pomoglo.

Prema podacima sa vlastitog T-Pot honeypot-a, Srbija i BiH bile su u samom vrhu po broju zabilježenih napada u regionu.

Prve naznake

Symantec Endpoint Protection bio je prvi koji je nešto primijetio — upozorenja o IP adresama iz sabneta koji tu nije imao šta da traži. Uz to, u logovima su se pojavljivale aktivnosti u periodima kad je sistem trebao biti potpuno miran.

Jedan detalj koji se teško opisuje: kada si na serveru u sesiji, a slika počne da se trzuca kao da još neko sjedi za istim ekranom — taj osjećaj je specifičan. Na serverima je grafika ionako loša pa je lako naći racionalno objašnjenje, ali nešto nije štimalo.

Takve anomalije je teško pretvoriti u argument za hitnu akciju. Reakcija je bila pojačati backup i pratiti dalje.

Kako je izgledao napad

Napadači su strpljivo pratili ritam organizacije. Znali su kada nema nikoga. U petak, sat nakon radnog vremena, na server je prebačen izvršni fajl veličine pet gigabajta. Do ponedjeljka ujutro, Trigona V2 je odradila posao na svim sistemima koji su ostali uključeni preko vikenda.

Trigona ima korisnički interfejs i chat sistem. Kao dokaz da je dekripcija moguća, operateri su bez oklijevanja otključali dva tražena fajla i vratili ih nazad. Policija je obaviještena.

Zašto MS SQL Server

Jedan detalj koji je upao u oči: stariji server, loše zaštićen, ostao je potpuno netaknut. Preskočen je.

MS SQL Server u produkciji košta ozbiljan novac — to napadačima govori da organizacija ima budžet i da postoji realna šansa da će otkupnina biti plaćena. Stari server bez prepoznatljive licence tu etiketu ne nosi. Port 1433 izložen prema mreži dobar je pokazatelj napadačima koga treba targetirat.

Šta je spasilo podatke

MS SQL baze su svaki dan radile puni backup sa uključenom kompresijom. Disk se po završetku iskopčavao i fizički odlagao van mreže.

Trigona nije našla taj disk.

Rezultat: nula izgubljenih podataka. Samo reinstalacija sistema.

Backup dostupan na mreži — na NAS-u, cloud-u, dijeljenom folderu — u dosegu je ransomware-a. Backup na iskopčanom disku nije. Jedino što se pokazalo sigurnim je medij koji u trenutku napada nije bio priključen nigdje.

Šta je promijenjeno

Serveri su dostupni isključivo sa jednog menadžment računara kojemu pristupaju samo administratori. Korisnici imaju prava samo na foldere koji su im potrebni, bez administratorskih privilegija. Mreža je segmentirana. Kao pasivni sistem ranog upozorenja podignut je honeypot koji simulira standardne servise — svaki kontakt sa njim je alarm.

Firma je prihvatila nova pravila bez otpora.

The post Trigona V2 — sigurnim se pokazao samo backup na iskopčanom disku first appeared on .

Ovo nije izolovan slučaj. Prema FBI IC3 godišnjem izvještaju za 2023., Business Email Compromise (BEC) prevare uzrokovale su gubitke veće od 2,9 milijardi USD samo u SAD-u. Sa integracijom deepfake audio i video tehnologije, ova cifra eksponencijalno raste.

Kloniranje glasa u realnom vremenu omogućava kriminalcima da unutar nekoliko sekundi replikuju glas bilo kojeg menadžera ili direktora preduzeća, prebacujući težište sajber kriminala sa digitalnih propusta direktno na ljudsku psihologiju.

Scenario iz prave prakse: Kako izgleda savremeni AI napad?

Da bismo razumjeli opasnost ove tehnologije, moramo je posmatrati kroz realistični scenario koji se sve češće dešava u poslovnom svijetu širom planete:

1. Faza pripreme (Izviđanje): Napadač targetira kompaniju i identifikuje ključne osobe – generalnog direktora (CEO) i šefa računovodstva ili finansija. Kroz javno dostupne materijale (video intervjui na YouTube-u, paneli, podcasti ili izjave za medije), napadač prikuplja svega tridesetak sekundi čistog audio materijala na kojem direktor govori.
2. Inicijalni kontakt (Mejl): Šefu računovodstva stiže email sa adrese koja izgleda gotovo identično direktorovoj: “Na veoma sam važnom i povjerljivom sastanku sa advokatima oko akvizicije nove opreme. Moramo hitno uplatiti avans od 25.000 EUR kako ugovor ne bi propao. Trenutno ne mogu da kucam, ali nazvaću te na kratko sa sastanka da potvrdim nalog.”
3. AI izvršenje (Poziv): Telefon zvoni. Sa druge strane žice čuje se prepoznatljiva boja glasa direktora, njegov specifičan akcenat, pa čak i ambijentalna buka sastanka u pozadini. Glas užurbano govori: “Da, ja sam, situacija je kritična, pusti onu uplatu o kojoj sam ti pisao u mejlu odmah, gubimo ugovor ako ne legne u narednih pola sata. Računam na tebe, žurim nazad unutra.” Veza se prekida.
4. Ishod: Žrtva, potpuno uvjerena da je razgovarala sa svojim nadređenim, unosi i autorizuje nalog. Novac odlazi na inostrani račun prevaranata, a prevara se otkriva tek na kraju radnog vremena ili tokom narednih dana kada se direktor vrati sa puta.

Tehnička pozadina: Koliko je lako klonirati nečiji glas?

Zabluda je da su za kreiranje uvjerljivog deepfake audio snimka potrebni super-računari ili skupi softver. Alati su danas komercijalno dostupni, jeftini i zastrašujuće jednostavni za upotrebu:

• ElevenLabs — lider na tržištu TTS/voice cloning-a. Besplatni tier dovoljan je za generisanje uzorka; plaćeni planovi počinju od 5 USD/mjesečno i nude voice cloning iz 30-sekundnog sampla sa izlazom gotovo nerazlučivim od originala.
• Resemble AI — specijalizovan za real-time voice changing tokom aktivnih poziva. Napadač govori, AI transformiše glas u ciljani u milisekundama.
• RVC (Retrieval-based Voice Conversion) — open-source, besplatan, lokalno se pokreće. Dostupan na GitHub-u, bez cenzure, bez limita.

Modernim neuronskim mrežama više nije potreban ogroman skup podataka. Dovoljno je unijeti kratak audio uzorak (tzv. “Voice Seed”) kako bi AI u potpunosti mapirao:

• Boju i ton glasa, specifičan regionalni akcenat.
• Emotivni ton — užurbanost, stres, smirenost.
• Prirodne nesavršenosti: uzdisanje, pauze, oklijevanje između riječi.

Kada sistem jednom mapira glas, napadač u tekstualno polje ukuca željeni tekst (Text-to-Speech), a AI generiše audio fajl ili vrši real-time transformaciju tokom aktivnog telefonskog poziva.

Kako se odbraniti? Proceduralni i tehnički protokoli

Pošto se u ovom slučaju ne radi o propustu u kodu ili zastarjelom OS-u, klasična perimetarska odbrana ovdje gubi bitku. Potreban je kombinovani pristup — i procesni i tehnički.

1. Uvođenje interne “Sigurnosne lozinke” (Safe Word)

Svaka vanredna finansijska transakcija koja prelazi određeni limit, a nalaže se putem telefona ili video poziva, mora biti potvrđena internom tajnom lozinkom. Ovu šifru znaju isključivo članovi uprave i lica ovlašćena za izvršavanje plaćanja. Ukoliko osoba sa druge strane žice ne može da izgovori dogovorenu lozinku, poziv se automatski prekida i incident se prijavljuje IT sektoru.

2. Obavezni “Out-of-Band” verifikacioni protokol

Ako nalog za hitno plaćanje stiže kroz jedan kanal (npr. email), verifikacija mora ići kroz potpuno drugi, nezavisni kanal. Potvrda nikada ne smije biti odgovor na isti email ili poziv broja navedenog u sumnjivoj poruci. Interni Signal, privatni mobilni broj direktora ili lični kontakt su jedine prihvatljive opcije.

3. Tehnički sloj odbrane: email autentifikacija i komunikacijski kanali

Procesni protokoli funkcionišu samo ako su podržani tehničkom infrastrukturom:

• DMARC + DKIM + SPF — osnova email autentifikacije. Bez ova tri zapisa ispravno konfigurisana na DNS-u, napadač može lako spoofovati direktorov email. DMARC politika p=reject blokira spoofovane poruke na nivou mail servera primatelja.
• Interni komunikacijski kanal sa verifikacijom identiteta — Microsoft Teams, Cisco Webex ili Signal for Teams, gdje je svaki korisnik vezan za korporativni identitet i MFA. Finansijske instrukcije koje ne dolaze kroz ovaj kanal automatski su sumnjive.
• Dual-approval za visoke transakcije — ERP/finansijski sistem treba konfigurisati tako da svaki transfer iznad definisanog limita zahtijeva odobrenje dva ovlašćena lica, bez mogućnosti override-a putem telefonskog naloga.

4. Edukacija i promjena korporativne kulture

Finansijski i administrativni timovi moraju naučiti da pojmovi “HITNO”, “TAJNO” i “ODMAH” više ne predstavljaju naredbu za slijepo izvršavanje, već automatsku crvenu zastavicu koja zahtijeva dodatne provjere. Direktor koji razumije ovu prijetnju nikada neće zamjeriti zaposlenom što je stopirao hitnu uplatu radi sigurnosne verifikacije — naprotiv.

Tehnologija koja stoji iza ovih napada nije nauka budućnosti — dostupna je svakome sa internet konekcijom i kreditnom karticom. Kao IT profesionalci, ne možemo se osloniti isključivo na firewall i antivirus kada napadač zaobiđe cijeli tehnički perimetar i direktno cilja čovjeka. Jedina efikasna odbrana je kombinacija jasnih procedura, skepticizma ugrađenog u kulturu organizacije i tehničkih kontrola koje te procedure podupiru.

The post Nova era CEO prevara: Kada vas “direktor” pozove glasom koji je generisao AI first appeared on .

Dok tehnologija igra veliku ulogu u očuvanju sigurnosti, ne smijemo zaboraviti ni ljudski faktor.

Nudge Security koristi koncept “nudges” (podsticaja) kako bi uticao na ponašanje zaposlenih u organizaciji i podstakao ih na sigurne prakse. Ovi “nudges” su suptilni podsticaji ili podsjećanja koja podstiču ljude na određene akcije ili promjene u njihovim ponašanjima radi poboljšanja bezbjednosti.

Primjeri “nudges” u kontekstu bezbjednosti mogu uključivati:

1. Edukativne Poruke: Slanje kratkih poruka ili obavještenja koja podsjećaju zaposlene na važnost sigurnosti informacija.
2. Podsticanje Na Korake Bezbjednosti: Pružanje jednostavnih koraka koje zaposleni mogu preduzeti kako bi poboljšali bezbjednost, kao što su redovno menjanje lozinki ili prijavljivanje sumnjivih e-mailova.
3. Nagrade Za Sigurno Ponašanje: Incentiviranje sigurnog ponašanja putem priznanja ili nagrada.

Osnovna ideja je koristiti pozitivne podsticaje i podsjećanja kako bi se formirale dobre navike u vezi sa bezbjednošću informacija. Ovaj pristup uzima u obzir ljudsku psihologiju i teži stvaranju bezbjednosne kulture u organizaciji.

Zaključak

U konačnom smislu, Nudge Security predstavlja inovativan pristup unapređenju bezbjednosti informacija putem pozitivnih podsticaja. Integracija ovog koncepta ne samo da podstiče snažniju bezbjednosnu kulturu unutar organizacije, već i smanjuje rizik od bezbjednosnih incidenata. Pratite naš blog kako biste saznali više o Nudge Security i drugim strategijama koje jačaju cyber bezbjednost. Vaša bezbjednost je naš prioritet!

Podijelite svoje iskustvo sa primjenom Nudge Security u vašoj organizaciji.

The post Nudge Security: Suptilni Podsticaji za Jaču Bezbjednost first appeared on .