Hakerima ni traga, država bez "terapije": Četiri godine bez traga počiniocima sajber napada na Vladu
Novi incidenti otvaraju pitanje bezbjednosti podataka građana, posebno zdravstvenih Nadležni još utvrđuju razmjere incidenata u više institucija, a profesorica Mihailović ističe da nedostatak stručnjaka i izostanak odgovora ne smiju biti trajno opravdanje za slabosti sistema i neizvjesnost građana o bezbjednosti njihovih podataka Mihailović upozorava da izostanak dokaza o krađi podataka ne znači da napadači nijesu mogli da im pristupe ili ih kopiraju, dok dugotrajne istrage otvaraju pitanje sposobnosti države da se izbori sa sajber kriminalom
Ko je prije više od četiri godine gotovo srušio informacionu infrastrukturu Vlade Crne Gore i dalje je nepoznato, a nadležni još provjeravaju jesu li i koliko u posljednjim sajber incidentima u više drugih resora i institucija ugroženi podaci građana.
To što više nadležnih agencija i institucija još ispituje razmjere incidenata u zdravstvenim, finansijskim i telekomunikacionim sistemima, ne znači da napadači nisu mogli pristupiti podacima ili ih kopirati, upozorila je docentkinja na Pravnom fakultetu Univerziteta Crne Gore i menadžerka Cybersecurity Innovation Hub-a Andreja Mihailović.
Ona je kazala “Vijestima” da izostanak epiloga napada iz avgusta 2022. otvara i pitanje sposobnosti države da istražuje sajber kriminal i prikupljene digitalne tragove pretvori u dokaze upotrebljive pred sudom.
“Dugotrajnost postupka, nedovoljna transparentnost njegovog procesnog statusa i ograničeni specijalizovani kapaciteti opravdano otvaraju pitanje sposobnosti države da složene digitalne istrage pretvori u pravno održive dokaze i djelotvorno krivično gonjenje”, ocijenila je Mihailović.
Osnovno državno tužilaštvo u Podgorici odgovorilo je “Vijestima” 22. oktobra da je predmet napada na Vladu od prije četiri godine i dalje u fazi izviđaja.
“U dosadašnjem toku postupka izvršioci predmetnog krivičnog djela još nisu identifikovani”, saopštili su, dodajući da je Upravi policije naloženo da preduzme mjere radi identifikacije počinilaca, utvrđivanja okolnosti napada i prikupljanja dokaza.
Na pitanja o konkretnim pomacima i preprekama u istrazi nisu dali detaljnije odgovore, uz obrazloženje da bi to moglo ugroziti dalje postupanje.
Nema potvrde o krađi, ali ni potpune slike novih napada
“Vijesti” su prethodnih sedmica objavile nezvanične informacije o mogućim napadima na M:tel, Fond za zdravstveno osiguranje (FZO), Ministarstvo finansija, dio sistema Ministarstva pravde... Te informacije nikada nisu osporene.
Iz FZO, Ministarstva finansija i Ministarstva zdravlja redakcija nije dobila odgovore na pitanja o incidentima, njihovim razmjerama i mogućoj ugroženosti podataka građana.
Ministar javne uprave Maraš Dukaj saopštio je da je kod pojedinih institucija bilo sajber napada, da se njihove posljedice analiziraju i da te institucije imaju samostalne informacione sisteme, izvan zaštite njegovog resora.
Agencija za sajber bezbjednost navela je da ne može potvrditi navode o napadima na Fond ni kompromitaciju zdravstvenih podataka...
Mihailović objašnjava da “u digitalnoj forenzici postoji suštinska razlika između odsustva dokaza o kompromitaciji i pouzdanog dokaza da do kompromitacije nije došlo”.
Prema njenim riječima, napadači mogu pristupiti sistemu, pregledati podatke ili ih kopirati, a da institucija u početnoj fazi analize to ne uspije da utvrdi. Ona je kazala da je za pouzdanu rekonstrukciju potrebna analiza mrežnog saobraćaja, evidencije pristupa bazama i drugih digitalnih tragova, koji nekada nisu dovoljno dugo čuvani.
Danilo Potpara iz Agencije za sajber bezbjednost kazao je 9. novembra u “Bojama jutra” TV Vijesti da “trenutno nema provjerenih dokaza da se kompromitacija zaista desila”. Rikardo Junčaj iz Vladinog CIRT-a naveo je da se prijetnje analiziraju, ali da timovi imaju ograničene kadrovske kapacitete.
Mihailović ističe da nema dovoljno javnih dokaza da su svi pomenuti događaji dio jednog koordinisanog napada, ali da prijetnje različitim sektorima zahtijevaju zajedničku bezbjednosnu procjenu.
Dijagnoza se ne može promijeniti kao lozinka
Posebno zabrinjavajuće posljedice, prema ocjeni Mihailović, mogla bi imati eventualna krađa zdravstvenih podataka.
“Za razliku od kompromitovane lozinke ili platne kartice, koje je moguće zamijeniti ili blokirati, zdravstveni podaci imaju trajnu ili dugoročnu identifikacionu vrijednost”, upozorava ona.
Podaci o dijagnozama, terapijama i istoriji liječenja, ukoliko bi dospjeli u neovlašćene ruke, mogli bi biti korišćeni za ucjene, prevare, krađu identiteta ili diskriminaciju, čak i godinama nakon napada. Mihailović naglašava da prethodno treba utvrditi kojim medicinskim evidencijama Fond zaista raspolaže.
Govoreći o izostanku odgovora institucija, ocjenjuje da zaštita istrage može opravdati uskraćivanje tehničkih detalja, ali ne i potpuno odsustvo informacija o događajima koji mogu ugroziti prava građana.
Institucije, smatra, mogu saopštiti da li je incident registrovan, koje su usluge pogođene, postoji li preliminarna procjena rizika i šta se još provjerava.
“Povjerenje javnosti ne gradi se odsustvom informacija, već sposobnošću institucije da profesionalno upravlja krizom i jasno komunicira utvrđene činjenice”, poručuje Mihailović.
Ona objašnjava da Zakon o informacionoj bezbjednosti za određene incidente propisuje početno obavještavanje nadležnih u roku od 24 časa, što ne znači automatsku obavezu obavještavanja svakog građanina.
Novi Zakon o zaštiti podataka o ličnosti, čija primjena počinje 19. marta 2027, predviđa prijavljivanje određenih povreda, po pravilu u roku od 72 sata, i obavještavanje pogođenih lica kada postoji visok rizik. Do tada, naglašava, primjenjuju se dosadašnji propisi.
Više zakona, ali nedovoljno stručnjaka
Mihailović ukazuje na podatak iz izvještaja Evropske komisije za 2026. godinu, prema kojem je u martu 2025. u policijskoj grupi za suzbijanje visokotehnološkog kriminala bilo popunjeno svega sedam od 18 radnih mjesta.
Objašnjava da je istraživanje sajber napada posebno zahtjevno jer počinioci koriste infrastrukturu u više država i prikrivaju identitet, a tehnička atribucija napada nije dovoljna za dokazivanje krivične odgovornosti.
Prema njenoj ocjeni, nedostatak stručnjaka ne smije ostati trajno opravdanje institucionalnih slabosti, već problem koji zahtijeva odgovarajuću kadrovsku politiku, ulaganja i upravljanje.
Ističe da je Crna Gora od 2022. usvojila novi Zakon o informacionoj bezbjednosti, osnovala Agenciju za sajber bezbjednost i unaprijedila saradnju, ali da se stvarna otpornost ne mjeri samo postojanjem institucija i propisa.
Samostalni informacioni sistemi, objašnjava, nisu nužno problem, već to što moraju biti obuhvaćeni jedinstvenim standardima zaštite, nadzora i koordinisanog odgovora.
Kao prioritete navodi nezavisne provjere bezbjednosti, očuvanje digitalnih dokaza, saradnju policije, tužilaštva i tehničkih timova i javne analize ozbiljnih incidenata koje ne bi otkrivale osjetljive informacije.
Mihailović upozorava i da građani, čak i kada koriste snažne lozinke i višefaktorsku zaštitu, ne mogu sami obezbijediti sigurnost podataka u sistemima institucija i kompanija. U slučaju sumnje mogu od njih zatražiti informacije i obratiti se Agenciji za zaštitu ličnih podataka, ali najčešće ne mogu samostalno ustanoviti da li su njihovi podaci preuzeti.
“Primarna odgovornost za zakonitu i bezbjednu obradu podataka pripada rukovaocu podataka”, naglašava Mihailović.
Lažne poruke u ime banaka i aplikacija
Građani Crne Gore izloženi su internet prevarama u kojima napadači zloupotrebljavaju imena banaka i popularnih aplikacija, a u jednom od tzv. “fišing” mejlova, sa logom crnogorske banke, od klijenta se traži da klikne na “Potvrdi sada” i dostavi lične podatke, uz tvrdnju da su mu od 9. novembra pojedine funkcije računa ograničene.
Uprava policije nedavno je upozorila i na prevare putem WhatsAppa i Vibera. Napadači se predstavljaju kao korisnička podrška i traže verifikacione kodove, navodno radi potvrde vlasništva nad brojem. Dostavljanjem koda građani rizikuju da izgube kontrolu nad nalogom.
Policija apeluje da građani ne dijele verifikacione kodove i ne odgovaraju na sumnjive poruke.
( Jelena Kočanović )