Ransomware paralizirao sustave LVM-a

Kada građanin ne može do lovne dozvole, šumarske karte ili podataka o isporuci drvne građe, kibernapad prestaje biti tehnički incident i postaje problem javne uprave. Dana 22. lipnja napadnuta je Latvijas valsts meži (LVM), latvijska državna šumarska tvrtka. Oko polovice njezinih informatičkih sustava bilo je izvan funkcije tijekom blagdana Jāņi, latvijske proslave ljetnog solsticija, kada je u službama bilo manje zaposlenih (LTV).

LVM je iz predostrožnosti isključio javne usluge: digitalne karte, lovačku aplikaciju Mednis i razmjenu podataka s partnerima. Tvrtka je počela obnavljati sustave iz sigurnosnih kopija i odbila suradnju s napadačem. Latvijski tim za odgovor na kibernetičke incidente CERT.LV potvrdio je da je dio ukradenog materijala objavljen na internetu, iako istražitelji još utvrđuju koji su podaci doista odneseni. Njihova je procjena da je riječ o komercijalno motiviranoj ucjeni, a ne o kampanji povezanoj s državnim akterom (LTV). Kriminalna skupina koja radi za zaradu privremeno je zaustavila usluge na koje se građani svakodnevno oslanjaju.

Stara instalacija iza novih zidova

Velika javna organizacija često nalikuje obnovljenoj zgradi. Predvorje izgleda suvremeno: internetski portali, mobilne aplikacije, interaktivne karte. Iza zidova, međutim, ostaju stare instalacije: sustavi prijave nastali prije današnjih sigurnosnih standarda, udaljeni pristupi izvođača koje godinama nitko nije provjerio, zastarjeli poslužitelji koje je teško zamijeniti bez prekida rada. Javnost te slabe točke ne vidi, ali napadači ih prvo traže.

Skupine koje koriste ucjenjivački softver najčešće ulaze ukradenom lozinkom ili kroz nezakrpan sustav. Nakon toga tiho pokušavaju od običnog korisničkog pristupa doći do administratorskih ovlasti, krećući se kroz mrežu dok ne steknu kontrolu nad ključnim sustavima. Kada se pojavi poruka s otkupninom, uljez je ponekad već tjednima unutra (CISA). LTV je izvijestio da je ispitivanje LVM-ovih sigurnosnih sustava počelo prije vidljivog datuma napada (LTV).

Javne organizacije posebno su ranjive jer ne mogu lako prihvatiti prekid rada, a istodobno moraju godinama održavati staru i novu tehnologiju u istom sustavu (CISA, CrowdStrike). Upravo na spojevima naslijeđene i moderne infrastrukture sigurnost najčešće popušta.

Obrazac iz susjedstva

Latvijski slučaj uklapa se u širi regionalni problem. U Litvi vlasti istražuju krađu više od 600.000 izvadaka iz Registra nekretnina, uključujući osobne identifikacijske brojeve, iz državnog operatera Registrų centras (LRT). Pristup je ostvaren preko ukradenih korisničkih računa zaposlenika, a prvi nezakoniti ulasci zabilježeni su početkom 2026. Javnost je za slučaj doznala tek mjesecima poslije (TV3). Oko 1.000 ljudi pripremalo je tužbu protiv države (Verslo žinios).

Ta su dva slučaja tehnički različita, ali upućuju na isti manjak: civilni digitalni sustavi, preko kojih se odvija svakodnevni javni život, često su slabije zaštićeni nego što njihova uloga zahtijeva. Njemačka je još 2021. pokazala kamo to vodi. Okrug Anhalt-Bitterfeld proglasio je stanje katastrofe nakon napada ucjenjivačkim softverom, a usluge za građane bile su poremećene tjednima (Landkreis Anhalt-Bitterfeld).

Nova pravila pred stvarnim prekidom rada

NIS2 je direktiva Europske unije koja kibernetičku otpornost pretvara u odgovornost uprava, a ne samo informatičkih odjela. Operateri ključnih usluga moraju poslati rano upozorenje u roku od 24 sata od otkrivanja incidenta, detaljnu obavijest u roku od 72 sata, a završno izvješće u roku od mjesec dana (EUR-Lex). Više rukovodstvo osobno je odgovorno za upravljanje kibernetičkim rizikom (European Commission).

Latvija je NIS2 prenijela u nacionalno zakonodavstvo s primjenom od rujna 2024., dok minimalni zahtjevi kibernetičke sigurnosti stupaju na snagu u srpnju 2025. (Business.gov.lv). Nakon napada na LVM, latvijski vršitelj dužnosti premijera potpisao je pet zaključaka kojima se od ministarstava traže izvješća o sigurnosti državnih sustava i o tome kako informacije o incidentima putuju kroz vlast (Kulbergs). Incident je povezao sa zakašnjelim pravilima o kibernetičkoj sigurnosti, priznajući da propisi na papiru vrijede tek kada iza njih postoji operativna provedba.

Sada slijedi praktična provjera, i ona se ne tiče samo Baltika. Koliko će trajati oporavak LVM-a? Hoće li građani doznati koji su osobni podaci bili izloženi? Jesu li sigurnosne kopije stvarno testirane prije nego što su postale nužne? Može li ministar imenovati osobu u zapovjednom lancu koja snosi odgovornost za kibernetički rizik svakog javnog sustava? S istim se pitanjima suočava svaki javni operater u Europi. NIS2 znači da ona više ne mogu ostati bez odgovora.