Osobno pisano prevarantsko pismo danas napadača košta manje od tri centa, a prije dvije godine za isti posao trebao je tim ljudi i nekoliko tjedana rada.

To je jedna od brojki koje je Tomislav Vazdar, CISSP, ISO/IEC 27001 LA, direktor Riskorije, iznio u podcastu ICT Insider, koji Lider priprema u suradnji s A1 Hrvatskom. Razgovor je krenuo od pitanja podcjenjuju li hrvatske tvrtke rizik cyber napada, a odgovor koji je Vazdar ponudio ide dalje od uobičajenog da. Prema njegovim riječima, promijenila se ekonomija napada, a ne njegova pamet, i upravo ta promjena čini rizik lakšim za podcijeniti.

Agent nije pametniji napadač, nego jeftiniji

Vazdar razlikuje chat i agenta jednostavnom slikom: chat odgovori na pitanje i stane, dok agent dobije zadatak, sam smisli korake i ima pristup alatima, poput izvođača radova kojem je dan ključ od zgrade. No najvažniji pomak, po njemu, nije u pameti nego u trošku. Cijena jednog upita modelu pala je 280 puta između kraja 2022. i kraja 2024., prema podacima Stanford HAI-ja, a svako sljedeće čitanje već pripremljenih uputa modelu košta gotovo ništa. Konkretno, prevarantsko pismo pisano baš za jednu osobu danas napadača košta 0,026 eura, a četiri tisuće takvih pisama izlazi na 103 eura, prema istraživanju sveučilišta TU Berlin objavljenom na USENIX Security Symposiumu 2026. Granica isplativosti napada pala je s 11,45 eura na 29 centi po uspješnom pokušaju, pad od oko 97 posto.

Zanimljivo, čovjek je i dalje uspješniji: na personaliziranu poruku koju je pisao čovjek koji je žrtvu stvarno istražio kliknulo je 24,2 posto ljudi, a na istu poruku iz modela tek 10 posto. Ali jedan čovjek ne može napisati četiri tisuće pisama u jedno poslijepodne, a model može. Zato Vazdar zaključuje da se nije pojavio pametniji napadač, nego jeftiniji, i da to napadaču omogućuje da gađa mete koje mu prije nisu bile isplative, malu tvrtku jednako kao i veliku.

Zakon više ne gleda samo tvrtku

Drugi dio razgovora bavio se stanjem provedbe Zakona o kibernetičkoj sigurnosti, dvije godine nakon njegova donošenja. Vazdar navodi da je razvrstano 798 tvrtki i ustanova, od toga 162 ključna i 636 važnih subjekata, te da je rok za uspostavu propisanih mjera za prvi, najveći val obveznika istekao još u travnju ove godine. Otad, kaže, ne odgovara samo tvrtka nego i osoba koju je tvrtka službeno prijavila kao odgovornu za kibernetičku sigurnost, prekršajno i osobno. Kazne za ključne subjekte idu do deset milijuna eura ili dva posto svjetskog godišnjeg prometa, a za važne do sedam milijuna ili 1,4 posto, ovisno o tome što je više.

No po Vazdarovim riječima, kazna nije ni najveći problem. Veći je trenutak kad se nešto dogodi, jer tada tvrtka mora pokazati dokaz, ne samo dokumentaciju, da su mjere doista uspostavljene, provjeravane i da rade. Iz vlastitog rada s obveznicima, Riskoria najčešće zatječe upravo taj jaz: politiku koja postoji na papiru, ali nikad nije testirana, sigurnosne kopije koje se rade, ali čiji povrat nitko nije do kraja isprobao, te imovinu koja nije razvrstana po kritičnosti, zbog čega se po propisu sve smatra kritičnim.

Telekom vidi ono što tvrtka ne vidi

Treći dio razgovora dotaknuo se uloge telekomunikacijskih operatera, teme koju je prirodno otvorio suorganizator podcasta A1 Hrvatska. Vazdar ističe da su se promijenile tri stvari: mrežna jezgra danas je softver koji se pokreće na običnom poslužitelju, pa se napada isto kao i svaki drugi računalni sustav; broj povezanih uređaja interneta stvari, od kamera do brojila, narastao je toliko da ih napadači rjeđe biraju kao metu, a češće kao alat, vojsku uređaja koja tuđu uslugu zatrpa prometom; i sama mreža postala je meta špijunaže, ne samo kanal kroz koji netko prolazi. Kao primjer navodi skupinu Salt Typhoon, koja godinama ulazi u telekom operatore u desecima zemalja kroz poznate, nezakrpane ranjivosti na rubnim uređajima, a FBI je u veljači ove godine potvrdio da je skupina i dalje aktivna, dok su Norveška i Singapur istog mjeseca javili da su pogođeni. Prednost koju operator ima, po Vazdaru, jest da vidi promet koji sam poslovni korisnik ne vidi i može uočiti napad prije nego što stigne do njegovih vrata. No ta prednost vrijedi samo ako je zapisana u ugovoru, s jasnim rokom u kojem operator zove i jasno određenim tko koga zove, jer zakonski rok prijave teče prema tvrtki, a ne prema njezinu dobavljaču.

Tri koraka bez velikog proračuna

Upravama koje na sigurnost gledaju kao na trošak koji si ne mogu priuštiti, Vazdar je ponudio tri konkretna, gotovo besplatna koraka. Prvi je unaprijed napisati po kojim se kriterijima procjenjuje da je incident ozbiljan i unaprijed odrediti tko ima ovlast to proglasiti, jer inače cijeli rok od 24 sata za prijavu Nacionalnom centru za kibernetičku sigurnost prođe u raspravi tko smije donijeti tu odluku. Drugi je uvesti potvrdu drugim kanalom za svaki nalog za plaćanje i svaku promjenu ovlasti, jer glas više nije dokaz identiteta otkako je petnaestak sekundi snimljenog govora dovoljno za uvjerljiv klon. Treći je zatvoriti dvije najčešće rupe: poznate, nezakrpane ranjivosti na svemu što je javno izloženo internetu, i pristup na daljinu bez dodatne provjere identiteta, jer kroz te dvije ulazi većina stvarnih napada.

Poruka koju Vazdar ponavlja upravama uvjerenim da već imaju sve posloženo jednako je izravna: jednom u tri mjeseca postavite jedno pitanje, pokažite mi da je ovo prošlo prošli mjesec. Ako nitko ne može odgovoriti, Vaša tvrtka nema mjeru, nego račun. Ako se Vaša organizacija nalazi među 798 kategoriziranih obveznika, ili tek očekuje obavijest o kategorizaciji, to pitanje vrijedi postaviti prije nego što ga postavi inspekcija ili napadač. Riskoria kroz procjene rizika i rad vCISO-a pomaže obveznicima da razliku između papira i dokaza zatvore na vrijeme, a više o pristupu tih trinaest mjera dostupno je na riskoria.eu/13-mjera. Cijeli razgovor dostupan je na stranicama Lidera.