Zaklenjeni podatki in zahteva po odkupnini – zakaj je plačilo lahko zelo slaba ideja

Število kibernetskih napadov na podjetja v Sloveniji in širši regiji Adria narašča, vendar jih večina sploh ne pride v uradne statistike, saj podjetja napadov ne prijavijo. Katere ukrepe mora vodstvo podjetja sprejeti, če postane žrtev kibernetskega izsiljevalskega napada?

Po neuradnih ocenah podjetja v devetih od desetih primerov izsiljevalskega napada sploh ne prijavijo, je za Bloomberg Adria povedal Peter Merc, ustanovitelj in vodilni partner v družbi Bloctopus Inteligence.

V Sloveniji so bila v preteklosti tudi velika podjetja žrtve izsiljevalskih kibernetskih napadov, med njimi Holding Slovenskih elektrarn (HSE) – ta primer je leta 2023 sprožil razpravo o kibernetski varnosti ključnih infrastrukturnih sistemov v državi.

Pavel Škerlj, izvršni direktor sektorja informacijskih tehnologij, je po napadu povedal, da je incident pomenil pospešek kibernetske varnosti za vso Slovenijo, njihovo podjetje pa postavil pred težko preizkušnjo.

Obseg napadov raste tudi v širši regiji - Peter Merc omenja nedavni kibernetski napad na Telekom Srbije ter obsežni napad na podjetja v Črni Gori leta 2022, ko je bilo napadenih več kot 50 javnih podjetij.

Kaj mora storiti podjetje, ko pride do napada?

''Napad je treba obravnavati z več vidikov, saj nikakor ne gre zgolj za vprašanje informacijske tehnologije,'' odgovarja Peter Merc.

''Podjetje mora čim prej ugotoviti, kaj natančno se je zgodilo, kateri podatki so bili ukradeni, ali so bili ukradeni občutljivi podatki, na primer finančni ali osebni podatki. Podjetje mora obvestiti tudi pristojne regulatorje ter vzpostaviti zunanjo in notranjo komunikacijo. Vzpostaviti mora krizno upravljanje,'' še pravi Merc.

V idealnem scenariju bi imelo podjetje že vnaprej pripravljen scenarij, po katerem bi delovalo v primeru napada, kot pove Merc - čim manj improvizacije, tem bolje.

Odziv mora voditi multidisciplinarna krizna skupina, v kateri sodelujejo poslovodstvo, IT in forenzični strokovnjaki, pravna in compliance funkcija, pooblaščenec za varstvo osebnih podatkov, zavarovalnica, komunikacijska ekipa ter strokovnjaki za blockchain forenziko, kadar je zahtevano plačilo v kriptovalutah, pravi sogovornik.

Podjetje mora določiti, kdo sprejema končne odločitve, kdo komunicira z napadalci in kdo vodi komunikacijo z zaposlenimi, strankami, regulatorji ter mediji.

Blockchain forenzika, s katero se ukvarja Bloctopus Inteligence, lahko pomaga pri oceni tveganja pred plačilom, sledenju sredstev, pripravi dokazov za policijo, komunikaciji z menjalnicami in podpori pri zavarovalniških oziroma regulatornih postopkih. Transparentnost blockchaina pa ne pomeni, da je mogoče sredstva vedno uspešno zamrzniti ali vrniti.

Plačati ali zavrniti plačilo odkupnine?

Prej ali slej se podjetje sooči z vprašanjem, ali naj hekerjem plača zahtevano odkupnino ali ne. ''Odgovor še zdaleč ni enoznačen,'' pravi Merc, ''saj je vsak primer unikaten.'' "Neko splošno priporočilo pravi, da se odkupnine ne plača. Razlogov je več, eden od njih je zagotovo etični: s plačilom namreč financirajo kriminalce.''

Poleg tega ima lahko plačilo težke posledice za podjetje - nekatere hekerske skupine so namreč na seznamih sankcij, na primer hekerske skupine iz Irana, Rusije in Severne Koreje.

"Če se takim hekerskim skupinam plača odkupnina, lahko v najslabšem primeru tudi žrtev postane del sankcijske liste. To je v preteklosti že vodilo v bankrote podjetij, ker jim je bil onemogočen dostop do plačilne infrastrukture."

Število težjih incidentov se je zmanjšalo Število kibernetskih incidentov v Sloveniji še vedno narašča. Nacionalni odzivni center za kibernetsko varnost SI-CERT je leta 2024 obravnaval 4.587 incidentov, kar kaže 7-odstotno rast glede na leto 2023. Število težjih incidentov se je sicer zmanjšalo. Leta 2023 jih je bilo 2138, leta 2024 pa 790. V zadnjih dveh letih se je močno povečalo število napadov z lažnim predstavljanjem (phishing), kot kažejo podatki SI-CERT. Poročila za leto 2025 SI-CERT še ni objavil. Banka Slovenije kibernetsko tveganje v bančnem sistemu ocenjuje kot povišano s stabilno tendenco. V letu 2024 so banke SI-CERT poročale o 19 incidentih z materialno škodo, medtem ko je bilo v letu 2025 prijavljenih pet takih incidentov, kar je največji upad med sektorji, v zadnjem poročilu o finančni stabilnosti navaja slovenska centralna banka. Največ dogodkov in incidentov so sicer priglasile fizične osebe ter majhna in srednje velika podjetja.

Po drugi strani pa obstajajo okoliščine, ko podjetje mora plačati, saj so druge alternative bistveno slabše, je opozoril Merc. Če podjetje nima ustrezne infrastrukture in zavarovanih podatkov in brez njih ne more poslovati, je prisiljeno plačati odkupnino.

Odločitev o plačilu odkupnine je odvisna od tega, koliko časa lahko podjetje posluje brez prizadetih sistemov, ali varnostne kopije delujejo, koliko časa bo trajala obnova, kakšna je cena vsakodnevnega izpada, ali so bili podatki ukradeni, ali napadalec dejansko razpolaga z delujočim dešifrirnim ključem, ali plačilo krije zavarovanje in ali bi bilo plačilo pravno dopustno.