Globalni cyber-napadi na kritičnu infrastrukturu svakim danom su u porastu, a istraživanje kompanije za informatičku sigurnost KnowBe4 je pokazalo da se tokom 2023. godine desilo više od 420 miliona takvih napada.
Prevedeno, to znači da je u prosjeku svake sekunde pokušano 13 napada na kritičnu infrastrukturu. Prema sigurnosnoj kompaniji KnowBe4, u odnosu na 2022, riječ je o povećanju od 30 posto. A stručnjaci upozoravaju da će broj takvih napada svakim danom sve više rasti.
Cyber-napadi se u javnosti uobičajeno povezuju s napadima na pojedince ili kompanije, gdje je primarni cilj finansijska dobit. Kako je riječ o relativno ograničenom broju žrtava i gdje je uobičajeno da cilj bude finansijske prirode, mnogi zanemaruju ili potcjenjuju posljedice informatičkih napada.
Međutim, cyber-napadi na kritičnu infrastrukturu imaju dalekosežnije posljedice koje zahvataju hiljade, pa i milione ljudi, a mogu biti i uvertira za rat, odnosno prethoditi vojničkoj čizmi na terenu, piše Al Jazeera Balkans.
Kako je prema navodima kompanije KnowBe4 globalno od 2020. godine učetverostručen broj sedmičnih cyber-napada, jasno je da ovakvi napadi predstavljaju prijetnju koja zahtijeva ozbiljnu pažnju.
Saša Mrdović, profesor sigurnosti računarskih sistema na Elektrotehničkom fakultetu u Sarajevu i sudski vještak informatičke struke, pojašnjava da je kritična infrastruktura ona od koje zavisi funkcioniranje društva i koja omogućava pružanje neophodnih usluga kao što su snabdijevanje električnom energijom i vodom.
‘Katastrofalne posljedice’
To znači da svaka smetnja u radu kritične infrastrukture znači da društvo ne dobiva uslugu koju ta infrastruktura omogućava, a posljedice mogu biti katastrofalne ako obim smetnje u radu pogađa veliki broj stanovnika ili veliko područje, dodaje.
Kao primjer iz kog se mogu vidjeti posljedice navodi ispad elektroenergetskog sistema koji se desio 21. juna ove godine, kada je došlo do raspada EES-a Albanije, Crne Gore, Bosne i Hercegovine i dijela Hrvatske, zbog čega hiljade građana nisu imali električnu energiju, a brojne usluge su bile nedostupne.
“Uspješan napad na informacioni sistem potreban za funkcionisanje kritične infrastrukture može imati iste posljedice: duži ili kraći prekid u pružanju neke neophodne usluge na manjem ili većem području. Iz tog razlog ovakvi napadi mogu biti jako opasni”, kazao je stručnjak za sigurnost računarskih sistema.
Da bi nastupile ozbiljne posljedice, dodaje, napad mora biti uspješan, što znači da napadač ostvari svoju namjeru ometanja rada informacionog sistema.
Osim toga, taj informacioni sistem mora biti ključan za pružanje usluga kritične infrastrukture da bi se posljedice uspješnog napada osjetile na pružanju usluga.
“Srećom, veliki broj napada bude zaustavljen”, kaže profesor Mrdović.
Ono što se generalno smatra manom u ovakvim slučajevima može biti i prednost, a to je slabija razvijenost.
Kako stručnjak sa sarajevskog ETF-a navodi, kod manje razvijenih zemalja često funkcioniranje kritične infrastrukture ne zavisi od informacionog sistema, pa u takvim slučajevima uspješni napadi na informacioni sistem nemaju negativan utjecaj na rad kritične infrastrukture.
Povećanje rizika od napada
Međutim, kako su informacioni sistemi sve više dio svih elemenata društva, tako se i kritična infrastruktura sve više oslanja na njih, što znači da se povećava potencijalni broj tačaka u kojima se može izvršiti napad na kritičnu infrastrukturu.
“Samim tim će i broj napada rasti, u svijetu i kod nas. To je jedna od posljedica informatizacije”, kaže Mrdović, koji napominje da to ne treba da zaustavi ovaj proces jer je informacione sisteme moguće zaštiti.
Kako kaže, postoje međunarodno prepoznati standardi provođenja zaštite, kojima se rizik od posljedica napada može smanjiti na prihvatljivu mjeru.
Ono što je isto značajno jeste da se većina napada na sigurnost informacija danas izvodi sa ciljem ostvarivanja finansijske koristi za napadače, pa bi po tome zemlja nižeg standarda bila manje izložena napadima.
“Međutim, neki napadi imaju drugačije motive poput političkih. U tom slučaju bogatstvo zemlje ne igra ulogu.”
A politički motivi posebno izazivaju zabrinutost jer, između ostalog, mogu biti uvertira za rat i invaziju. Napadom na kritičnu infrastrukturu je moguće paralizirati cijelu zemlju, bez fizičkog uništenja cesta, zgrada, objekata…
To je jasno razumljivo iz izjave Kena Dunhama, direktora Odjela za cyber-prijetnje kompanije Qualys, koji je za Security Magazine naveo utjecaj cyber-napada države na državu.
Državni napadi
“Nacionalni, državni akteri godinama ciljaju na kritičnu infrastrukturu kako bi postavili i pripremili kibernetičko oružje i sposobnosti za eskalaciju te pripremili te sposobnosti za vrijeme i mjesto kada im bude strateški odgovaralo da ih upotrijebe u napadu. Naprimjer, to se moglo vidjeti u ruskim napadima kada se radilo o njihovom napadu na Gruziju, kada su napali kritičnu infrastrukturu sedmicu prije napada konvencionalnih oružanih snaga, koje su se suočile s malim ili nikakvim otporom, jer su mnogi (Gruzijci) bili bolesni i imali dizenteriju”.
Kao primjer potencijalnih posljedica ovakvih napada navodi ozbiljnosti napada na vodovodne sisteme, što bi dovelo do nestašice vode za piće, što je ozbiljan problem, posebno na osnovu lokacije gdje je došlo do takvog napada, doba godine i stanja opskrbnog lanca. Primjera radi, napadi sredinom ljeta na područja u kojim inače vladaju visoke temperature, u slučaju da ljudi nemaju zaliha vode u kući, može biti izuzetno problematično.
Očekivana je navala na trgovine kako bi se kupila pitka voda, što često dovodi do kolapsa saobraćaja praćenih velikim neredima. Ako se, s druge strane, manipulira kanalizacijom i otpadnim vodama, može doći do širenja bolesti ili zagađenja lokalnih vodotoka, čime se bolest može proširi ogromnim područjima.
“Vrlo brzo cijele regije mogu biti dovedene u situacije opasne po život, u kojima je ugrožena kritična infrastruktura i životi su dovedeni u opasnosti samo zbog nedostatka pitke vode, ne bude dovoljno ustanova za njegu koje bi se nosile sa tim nivoom onih kojim je potrebna pomoć, mogući su nestanci struje i tako dalje, ovisno o opsegu i vrsti napada na kritične infrastrukture koje bi izveli protivnici u trenutku napada.”
Poziv na uzbunu
Stoga i ne čudi izjava Stua Sjouwermana, izvršnog direktora kompanije KnowBe4, koji je rekao da su rezultati njihovog istraživanja poziv na uzbunu za sektore kritičnih infrastruktura.
“Iako je val kibernetičkih napada na njih duboko zabrinjavajući, važno je upamtiti da nismo nemoćni u ovoj borbi. Poticanjem snažne sigurnosne kulture koja kombinira tehnologiju, procese i ljude, možemo značajno ublažiti te rizike. Svaka organizacija, bez obzira na veličinu ili sektor, ima ulogu u očuvanju naše zajedničke infrastrukture. Vrijeme je da kibernetičku sigurnost ne promatramo samo kao IT-problem, već kao temeljni aspekt naše operativne otpornosti i nacionalne sigurnosti”, dodao je.
Zbog toga sigurnosni stručnjaci širom svijeta upozoravaju da se više pažnje mora posvetiti zaštiti kritične infrastrukture od cyber-napada, s obzirom na ogromne posljedice koje relativno jednostavni napadi, bar u poređenju s klasičnim, konvencionalnim djelovanjem mogu imati.
