Otkupnina je u napadima ransomware-a obično posljednja karika u pregovorima.
Rumunjska je odbila plaćanje dovela se do scenarija koji sigurnosna struka godinama spominje kao teoretski najgori ishod.
Napadač je, umjesto da samo objavi ukradene podatke, obrisao cjelokupnu bazu zemljišnih knjiga jedne države.
Posljedica je paraliza nacionalnog tržišta nekretnina, na tjedne.
Što se dogodilo
Meta je bila Nacionalna agencija za katastar i oglašavanje nekretnina (ANCPI), rumunjska institucija koja vodi zemljišne knjige.
Naime, napadač je u sustav ušao koristeći valjane korisničke vjerodajnice. Dakle ne kroz ranjivost softvera, nego kroz tuđi legitiman pristup.
Nakon ulaska objavio je na hakerskom forumu poruku upućenu Rumunjskoj i naveo što posjeduje.
Misleći time na podatke građana iz više baza prikupljenih kroz mrežu ANCPI-ja, kopiju GitLab poslužitelja s izvornim kodom agencijskih sustava Eterra i RENNS, te vlastiti ransomware program.
Uslijedio je zahtjev za otkupninom.
Kada plaćanja nije bilo, napadač je obrisao sve čemu je imao pristup. Dakle, interne dokumente, vjerodajnice zaposlenika i same podatke iz zemljišnih knjiga.
Na dark webu se potom pohvalio da je počeo prepisivati ukradene podatke preko sigurnosnih kopija kako bi onemogućio oporavak.
ANCPI je isprva javnosti govorio o tehničkim poteškoćama, a tek naknadno priznao da je riječ o kibernetičkom napadu.
Napadač koristi nadimak ByteToBreach i, prema dostupnim informacijama, ranije ove godine provalio je i u švedski portal elektroničke uprave.
U međuvremenu je doxxan, identitet mu je javno otkriven.
Više od IT incidenta
Zemljišne knjige nisu baza koju možete zaobići dok se ne popravi. One su pravni temelj vlasništva.
Rumunjska javna bilježnica Ana Stan javno je opisala situaciju u kojoj se struka našla. Tjedan dana nije mogla izdati izvadak iz zemljišnih knjiga, ovjeriti kupoprodaju ni upisati hipoteku.
U Rumunjskoj se godišnje proda između 150.000 i 170.000 stambenih nekretnina. Svaka od tih transakcija ovisi o mogućnosti provjere vlasništva i upisa promjene. Bez toga staje sve, kupoprodaje, hipoteke, krediti, ovrhe, nasljeđivanje.
ANCPI je u međuvremenu ponovno osposobio svoju internetsku stranicu i objavio da od nule obnavlja mrežnu infrastrukturu.
Prema službenoj obavijesti agencije, tehničke i pravne baze podataka prema dosadašnjim provjerama nisu bile pogođene, a pokrenuta je migracija aplikacija u Državni oblak, koju koordinira Posebna telekomunikacijska služba (STS).
Agencija je istovremeno upozorila da informacije koje kruže javnošću ne dolaze iz službenih izvora.
ANCPI, čini se, ipak ima offline sigurnosnu kopiju. Time su izbjegli ogromnu krizu i trajni gubitak podataka.
Podatak koji mijenja odluku
Ovdje priča prestaje biti samo rumunjska.
Svaka organizacija koja dođe do trenutka u kojem na ekranu piše iznos otkupnine donosi istu odluku pod istim pritiskom. Podaci pokazuju kamo se ta odluka pomiče.
Prema Sophosovom izvještaju State of Ransomware 2026, otkupninu je platilo 48 posto organizacija kojima su podaci bili kriptirani, što je u skladu s četverogodišnjim prosjekom od otprilike polovice.
No, unutar te brojke krije se sektorska razlika koja je za javni sektor neugodna. Među lokalnim i državnim tijelima udio onih koji plate iznosi 72 posto, najviše od svih sektora.
Podaci tvrtke Coveware, koja se bavi pregovorima s napadačima, pokazuju drukčiju sliku iz drugog kuta.
Udio žrtava koje plaćaju pao je na oko 20 posto u posljednjem tromjesečju 2025., što je najniža razina koju su ikad zabilježili, a u prvom tromjesečju 2026. blago se vratio na oko 23 posto.
Prosječna isplaćena otkupnina u tom je razdoblju iznosila nešto manje od 680.000 dolara, dok je medijan bio 300.750 dolara. Razlika je koja pokazuje da nekoliko vrlo velikih isplata podiže prosjek daleko iznad onoga što tipična žrtva stvarno plati.
Ukupan iznos ušao je u pad. Chainalysis je za 2025. godinu zabilježio oko 820 milijuna dolara isplaćenih otkupnina praćenih na blockchainu, najnižu godišnju brojku od 2021.
Broj napada, međutim, ide u suprotnom smjeru. NCC Group je u 2025. izbrojao 7.874 žrtve objavljene na stranicama za curenje podataka. Radi se o rekordu i rastu od pedeset posto u odnosu na godinu ranije.
Zaključak je jasan: napada je sve više, a plaća sve manji udio žrtava.
Što se stvarno dobije plaćanjem
Argument za plaćanje uvijek je isti. Brži povratak u pogon. Podaci taj argument slabe.
Prema podacima tvrtke Halcyon, 84 posto žrtava koje su platile otkupninu u posljednjem tromjesečju 2024. ipak nije uspjelo u potpunosti vratiti podatke.
Ključ za dekripciju nije čarobni štapić. Često radi sporo, na dijelu podataka zakaže, a rekonstrukcija sustava svejedno traje tjednima.
Plaćanje usto ne rješava drugu polovicu problema. Kod dvostruke iznude podaci su već iščitani i kopirani prije kriptiranja. Otkupnina kupuje obećanje da neće biti objavljeni, obećanje koje daje netko tko je upravo počinio kazneno djelo.
I treće, plaćanje ne štiti od ponavljanja. Organizacija koja je platila pokazala je da je platežno sposobna i voljna, što je u kriminalnim krugovima informacija koja se dijeli.
Rumunjski slučaj pokazuje i drugu stranu medalje, koju treba pošteno navesti: neplaćanje ne prolazi bez posljedica.
Napadač je brisanjem podataka napravio štetu koja se mjeri tjednima nacionalne paralize. Ali kad postoji ispravna offline kopija, ta je šteta popravljiva. Bez nje ne bi bila.
Je li plaćanje otkupnine uopće dopušteno
U Hrvatskoj i Europskoj uniji plaćanje otkupnine samo po sebi nije zabranjeno.
Ako je napadačka skupina na sankcijskim listama Europske unije ili Sjedinjenih Država, plaćanje može predstavljati kršenje sankcijskih propisa, neovisno o tome što je isplata izvršena pod prisilom.
Atribucija napada u prvim danima gotovo nikad nije sigurna, pa je provjera identiteta skupine dio posla koji preuzimaju specijalizirane tvrtke za pregovore, a ne IT odjel.
Uz to, isplata kriptovalutama pokreće obveze prijave prema propisima o sprječavanju pranja novca.
Obveze koje u Hrvatskoj počinju teći odmah
Zakon o kibernetičkoj sigurnosti (NN 14/2024), hrvatska transpozicija direktive NIS2, na snazi je od veljače 2024., a razrađuje ga Uredba iz studenoga iste godine.
Za ključne i važne subjekte rokovi su kratki i teku od saznanja o značajnom incidentu:
- 24 sata — rano upozorenje nadležnom CSIRT-u
- 72 sata — početna obavijest o incidentu
- 30 dana — završno izvješće
Prijava se podnosi kroz nacionalnu platformu PiXi. Ako je incident uključivao osobne podatke, paralelno teče i rok od 72 sata za prijavu AZOP-u prema GDPR-u.
Kazne za neispunjavanje obveza dosežu do deset milijuna eura ili dva posto globalnog godišnjeg prometa, uz osobnu odgovornost članova uprave.
Vrijedi zapamtiti i redoslijed: obveza prijave ne ovisi o tome hoćete li platiti otkupninu ni o tome hoćete li o incidentu obavijestiti javnost. Ona teče od trenutka saznanja.
Koliko je blizu Hrvatskoj
Rumunjski scenarij nije egzotičan. Nacionalni CERT pri CARNET-u zabilježio je lani porast prijavljenih incidenata od gotovo 36 posto u odnosu na 2024. godinu, uz napomenu da je većina bila financijski motivirana.
Javni sektor je pritom u posebno nezgodnoj poziciji.
Lokalna i državna tijela plaćaju otkupninu češće od bilo kojeg drugog sektora, a razlog je pragmatičan. Kad stane usluga koju građani ne mogu dobiti nigdje drugdje, politički pritisak da se sve vrati u pogon nadjača svaku dugoročnu računicu.
Katastar, matične knjige, zdravstveni sustavi i sustavi naplate spadaju upravo u tu kategoriju.
Uz to, javne institucije često rade s naslijeđenim sustavima koji se ne mogu jednostavno zamijeniti, s ograničenim proračunima za sigurnost i s velikim brojem korisničkih računa s pravima pristupa koje nitko ne revidira godinama.
Svaki od tih računa potencijalno je ulaz kakav je iskorišten u ANCPI-ju.
Za privatne tvrtke poruka je ista, samo bez političkog pritiska.
Prosječan trošak oporavka od ransomware napada, ne računajući samu otkupninu, je oko 1,53 milijuna dolara.
Sophos
Navedeni iznos se troši na forenziku, ponovnu izgradnju sustava, prekid poslovanja i pravne troškove, neovisno o tome je li otkupnina plaćena ili nije.
Što odlučuje ishod, a nije otkupnina
Rumunjska agencija nije spašena pregovorima. Spašena je, koliko je spašena, sigurnosnom kopijom izvan dosega napadača.
Nekoliko stvari sustavno razdvaja organizacije koje se oporave od onih koje ne mogu.
Identitet je danas glavni ulaz.
Prema Sophosu, 79 posto ransomware napada u 2026. počelo je pristupom temeljenim na identitetu, a višefaktorska autentifikacija nedostajala je ondje gdje je bila potrebna u 59 posto slučajeva.
Rumunjski napadač ušao je s valjanim vjerodajnicama. Što je najgore, takva situacija nije iznimka.
Backup mora biti offline i testiran. Napadač u rumunjskom slučaju izričito je ciljao sigurnosne kopije. Kopija dostupna s iste mreže s koje je napadač preuzeo kontrolu nije sigurnosna kopija, nego još jedna žrtva.
Pravilo 3-2-1, s barem jednom kopijom fizički odvojenom i s testiranim postupkom vraćanja, jedina je mjera koja izravno neutralizira polugu otkupnine.
Plan odgovora mora postojati prije incidenta.
Tko donosi odluku o plaćanju, tko komunicira s medijima, tko podnosi prijavu u roku od 24 sata, koji je forenzičar na raspolaganju.
Improvizacija u prvom danu skupo košta, a odluke donesene u panici obično su najskuplje. Podsjetimo: većina žrtava koje plate učini to u prva dva dana.
Komunikacija je dio obrane. ANCPI je isprva govorio o tehničkim poteškoćama. Taj je refleks razumljiv, ali gotovo uvijek se obije o glavu jer stvara vakuum koji popune neprovjerene informacije.
Zaključak
Otkupnina je najvidljiviji dio ransomware napada i, u pravilu, najmanje važan.
Odluka o plaćanju donosi se u nekoliko sati, ali njezin ishod određen je mjesecima ranije postojanjem offline kopije, uključenom višefaktorskom autentifikacijom, segmentiranom mrežom i planom koji netko doista poznaje.
Rumunjska je platila cijenu neplaćanja u tjednima zaustavljenog tržišta nekretnina. Platila bi je, u drugom obliku, i da je platila.
Niste sigurni biste li u istom scenariju mogli vratiti podatke bez pregovora s napadačem?
Na cyber.hr pratimo kibernetičke incidente, regulativu i praktične mjere zaštite za hrvatske tvrtke i institucije.
Pročitajte naše vodiče o obvezama iz Zakona o kibernetičkoj sigurnosti i pripremi plana odgovora na incident.
