Najveći kibernetički rizik nisu hakeri, već ono što koriste vaši zaposlenici

Kada je Anthropic 7. travnja objavio da njihov novi AI model Claude Mythos može samostalno pronaći sigurnosne propuste u svakom velikom operativnom sustavu te odmah odlučio da ga neće pustiti u javnost, priča je obišla svijet kao upozorenje na prijetnju koja dolazi.

U istom mjesecu u kojem je Mythos postao globalna vijest, hakeri su kompromitirali AI startup vrijedan 10 milijardi dolara i jednu od najvećih cloud platformi na svijetu, Vercel, bez ikakvog naprednog AI alata. Ulazna točka bili su zaposlenici i alati koje oni svakodnevno koriste.

Napad koje ne vidite dok ne bude prekasno

Jedan zaposlenik u tvrtki Vercel instalirao je dodatak za preglednik i povezao ga s poslovnim Google računom. Nije pitao šefove, nije prekršio nijedno pravilo, samo je koristio alat koji mu je olakšavao posao. Do kraja dana, virus je bio unutar internih sustava. Ukradeni podaci pojavili su se na hakerskom forumu s cijenom od dva milijuna dolara.

Tri tjedna ranije, Mercor, AI startup vrijedan 10 milijardi dolara, napadnut je kroz potpuno drugačiji kanal: LiteLLM, besplatnu programersku komponentu koju su koristili kao i tisuće drugih tvrtki. Hakeri su ubacili virus (malware, zlonamjerni kod) u novu verziju LiteLLM-a i objavili je na PyPI-ju, javnom servisu odakle programeri diljem svijeta preuzimaju softverske komponente.

Zaražena verzija bila je dostupna 40 minuta, dovoljno da je tisuće tvrtki automatski preuzme i instalira. Rezultat: četiri terabajta ukradenih podataka i osobni podaci 40.000 registriranih korisnika na hakerskim forumima.

Prema neslužbenim informacijama iz industrije, napad je imao izravan utjecaj na odnose s velikim klijentima poput Mete.

 

 

Ako ne znate koje alate vaši zaposlenici koriste putem poslovnih računa, ne možete zaštititi ni vlastite podatke. AI servisi i programerski dodaci šire se brže nego što ih IT timovi stižu evidentirati, a svaki novi alat koji zaposlenik instalira bez znanja tvrtke potencijalna je ulazna točka za napad.

Kako se regija bori s kibernetičkim napadima?

Tvrtke u Adria regiji koriste iste programerske alate kao i napadnute tvrtke u Silicijskoj dolini. Razlika je u tome što se događa nakon napada. Hrvatska i Slovenija, kao članice EU-a, imaju NIS2 direktivu koja tvrtke obvezuje da prijave ozbiljan incident u roku od 24 sata.

Kazne za neprijavljivanje mogu doseći i do 10 milijuna eura, ovisno o veličini tvrtke i zabilježenom incidentu.

U ostatku regije ta obveza ne postoji, a prema izvješću BIRN-a, napadi na institucije često ne budu javno prijavljeni ni kada se dogode.

Krajem travnja 2026. pojavio se i konkretan primjer iz Srbije. Dunav osiguranje našlo se na meti hakerske skupine APT73/Bashe, koja je objavila da je uspješno kompromitirala sustave tvrtke i zaprijetila objavom osjetljivih podataka ako zahtjevi ne budu ispunjeni.

Detalji napada nisu službeno potvrđeni, ali sam obrazac je poznat: ulazak kroz pristupne točke, enkripcija sustava i pritisak prijetnjom curenja podataka.

Odsustvo obveze prijavljivanja izravno utječe na poslovne odluke. Bez obveze prijavljivanja, menadžment ne dobiva signale koji bi ga natjerali na reakciju, a industrija ostaje bez podataka koji bi pokazali koliki je problem zapravo.

Prema analizi Kloudlea, Bosna i Hercegovina je najizloženija zemlja u Europi za kibernetičke napade, a odmah nakon nje je Srbija. Nisu primamljivije mete od ostalih, ali automatizirani napadi ne prave razliku između tvrtke u Beogradu i Bruxellesu.

Tri pitanja koja svaki menadžer treba postaviti sutra

Anthropic je oko svojeg modela Mythos okupila konzorcij od 50 tvrtki kako bi radile na pronalaženju propusta u kritičnom softveru. To je dobar signal za globalnu sigurnost, ali ne mijenja situaciju za tvrtke u regiji.

 

 

Bez odgovora na ova pitanja, sigurnosna strategija ostaje mrtvo slovo na papiru. Jim Zemlin, izvršni direktor Linux zaklade i partner u Glasswingu, sažeo je problem za Bloomberg: "Izvrsni smo u pronalaženju pogrešaka, ali smo užasni u njihovu ispravljanju."

Ovo je trenutno stanje u većini tvrtki u regiji. Bez promjene, broj incidenata će rasti, a posljedice će biti sve skuplje.