U utorak 14. listopada 2025., malo poslije 23 sata, putnici u zračnoj luci Harrisburg u Pennsylvaniji umjesto poziva na ukrcaj čuli su snimku koja je počinjala riječima „Turkish hacker, cyber-Islam is here“.

Neovlašteni korisnik ušao je u sustav razglasa i pustio političku poruku punu psovki, prema pisanju Daily Voicea. Istih su dana slične poruke odjeknule u tri kanadske zračne luke, u Kelowni, Victoriji i Windsoru. Američki ministar prometa Sean Duffy ocijenio je događaj potpuno neprihvatljivim, a Savezna uprava za civilno zrakoplovstvo (FAA) pokrenula je istragu, izvijestio je 6abc. Kibernetički napadi na zračne luke rijetko izgledaju kao u filmovima. Upravo ih zato uprave podcjenjuju.

Mit o otetom kontrolnom tornju

Većina ljudi zamisli napadača koji preuzima radar ili šalje lažne upute pilotima. Ta slika opstaje jer je dramatična. Američko iskustvo posljednjih godina pokazuje nešto posve drugo: napadi pogađaju zemaljski sloj, dakle sve ono što putnik vidi i čime se služi prije nego što uopće priđe zrakoplovu.

Dana 10. listopada 2022. proruska skupina Killnet oborila je web stranice 14 američkih zračnih luka. Senatorica Jacky Rosen u pismu Ministarstvu prometa i agenciji CISA navela je da napad nije izravno utjecao na rad zračnih luka. Sljedeći nisu bili tako bezopasni.

Seattle, Tulsa i dobavljač kojeg nitko nije gledao

Dana 24. kolovoza 2024. kriminalna skupina Rhysida napala je Port of Seattle, javno tijelo koje upravlja zračnom lukom Seattle-Tacoma. Prema službenom pregledu napada, pogođeni su prtljaga, samoposlužni kiosci za prijavu na let, prodaja karata, Wi-Fi, zasloni s informacijama o letovima, web stranica, aplikacija flySEA i rezervirano parkiranje. Port of Seattle odbio je platiti otkupninu, no napadači su prije toga odnijeli osobne podatke sadašnjih i bivših zaposlenika i ugovornih suradnika, uključujući brojeve socijalnog osiguranja i zdravstvene podatke. Obavijesti pogođenima krenule su tek 3. travnja 2025.

Ni manja zračna luka nije sigurna. Upravitelj zračne luke u Tulsi, Tulsa Airports Improvement Trust, u obavijesti o sigurnosnom incidentu navodi da je neovlaštena treća strana između 17. i 20. siječnja 2026. pristupila datotekama i preuzela ih. Među njima su bila imena, adrese, brojevi socijalnog osiguranja, osobne isprave i bankovni podaci. Letovi nisu stali, ali šteta se ne mjeri samo zastojem.

Najpoučniji slučaj ipak nije napad na zračnu luku nego na dobavljača. Američka korporacija RTX u izvješću Komisiji za vrijednosne papire potvrdila je da je 19. rujna 2025. saznala za ransomware na sustavima koji podržavaju MUSE, rješenje tvrtke Collins Aerospace kojim više zračnih prijevoznika dijeli šaltere za prijavu, izlaze i predaju prtljage. Kupci su prešli na ručni rad, uz kašnjenja i otkazane letove. Posljedice su stigle u Europu: zračna luka Berlin Brandenburg izvijestila je da su neki prijevoznici i dva dana poslije prijavljivali putnike ručno. Za RTX incident nije bio materijalno značajan. Za putnike u redu pred šalterom bio je.

Što kibernetički napadi na zračne luke znače za ZKS

Zračna luka nalik je zgradi s trezorom u podrumu i stotinu sporednih vrata. Trezor, dakle kontrola leta, zaključan je i čuvan, dok putnici, zaposlenici i dobavljači svakodnevno prolaze kroz sporedna vrata: razglas, kioske, parkiralište, aplikaciju. Napadač ne mora otvoriti trezor da bi zaustavio cijelu zgradu.

Hrvatski Zakon o kibernetičkoj sigurnosti postavlja stvar izravnije. Zračni promet je u Prilogu I., među sektorima visoke kritičnosti, uz Hrvatsku agenciju za civilno zrakoplovstvo kao tijelo za provedbu posebnih zakona i NCSC-HR kao nadležni CSIRT. Uredba o kibernetičkoj sigurnosti (NN 135/2024) u čl. 59. propisuje da je nedostupnost usluge u zračnoj luci ili kod zračnog prijevoznika u trajanju od najmanje jednog sata značajan incident, bez obzira na broj pogođenih, a nedostupnost kontrole zračnog prometa značajna je neovisno o trajanju. Seattle bi po hrvatskim pravilima značio rano upozorenje nadležnom CSIRT-u u roku od 24 sata i početnu obavijest u roku od 72 sata.

Newark je 21. rujna 2026. pokazao drugu stranu iste priče. Centar FAA-e u Philadelphiji izgubio je glavnu i rezervnu komunikacijsku liniju. Ekipa Amtraka u New Jerseyju slučajno je presjekla optički kabel, rekao je ministar Duffy, prenio je Fox Business, i promet prema Newarku je stao. Napada nije bilo, ali ZKS u čl. 4. sigurnost sustava definira kao otpornost na sve događaje koji ugrožavaju dostupnost, a ne samo na napade. Istoga dana američki državni revizorski ured GAO upozorio je da sustavi ACARS i CPDLC, kojima zrakoplovi i kontrola leta razmjenjuju poruke, nemaju dostatnu autentikaciju ni šifriranje. Trezor, dakle, nije toliko čvrst koliko se misli.

Harrisburg je zanimljiviji pravni slučaj. Razglas nije bio nedostupan, nego ga je preuzeo netko drugi, a Uredba neovlašten pristup kritičnom sustavu također smatra značajnim incidentom. Ako subjekt nije proveo klasifikaciju kritičnosti, čl. 59. st. 4. sve sustave smatra kritičnima, pa i razglas. Collins pak pokazuje zašto je sigurnost lanca opskrbe zasebna među 13 mjera: tuđi ransomware postaje Vaš incident onog trena kad Vaš šalter stane. Ključnim subjektima ZKS za neprovedbu mjera ili neprijavu incidenta predviđa kaznu do 10 000 000 EUR ili do 2 % ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome koji je iznos veći.

„Sat vremena prolazi brže od sastanka kriznog stožera. Tko tek tada traži broj dobavljača, već kasni s prijavom“, upozorava Tomislav Vazdar, direktor Riskorije.

Tri koraka prije sljedećeg zastoja

Upravi zračne luke ili prijevoznika ne treba nova strategija nego tri provjere:

• popis sporednih vrata: razglas, zasloni, kiosci, aplikacija i parkiranje ulaze u registar imovine i klasifikaciju kritičnosti, jer ih bez nje Uredba ionako smatra kritičnima;
• ugovori s dobavljačima zajedničkih sustava: tko koga obavještava, kojim kanalom i u kojem roku, tako da prvih 24 sata ne ovisi o tuđem priopćenju;
• uvježban ručni rad: Berlin je zastoj izdržao jer su putnici imali zamjenske putove, a takva se zaliha gradi mjesecima, ne preko vikenda.

Kibernetički napadi na zračne luke neće stati. Pitanje za Vašu upravu nije je li kontrolni toranj siguran, nego tko ovog trena može ući u Vaš razglas. Ako odgovor nije jasan, pomoć pri upravljanju incidentima i razgovor na info@riskoria.eu dobro su mjesto za početak.

Izvori: Port of Seattle, RTX, obrazac 8-K, Tulsa Airports Improvement Trust, GAO-26-108439.