Što se dogodilo?
Švicarski obrambeni koncern RUAG navodno je platio otkupninu cyber bandi Akira nakon napada na svoju američku podružnicu Mecanex USA. Krađa podataka dogodila se početkom studenog 2025., a švicarska radiotelevizija SRF pripisuje upad američkoj podružnici RUAG LLC. Počinitelji su objavili iznudu na svojoj darknet stranici i naveli da su kopirali oko 24 GB podataka.
Predsjednik uprave RUAG-a Jürg Rötheli priznao je isplatu u SRF-ovoj emisiji Samstagsrundschau: "Platili smo, mali iznos, srećom, i vratili smo sve podatke", rekao je. Zahtjevi za otkupninu navodno su iznosili niže šesteroznamenkaste iznose.
Detalji
Prema navodima napadača, ukradeni podaci sadržavali su brojeve socijalnog osiguranja, osobne iskaznice, vozačke dozvole, telefonske brojeve, adrese i druge osobne podatke zaposlenika. Osim toga, navodno su bile pogođene i tajne vojne informacije te ugovori i upute za rukovanje eksplozivima.
Rötheli je objasnio da je isplata otkupnine bila interno dogovorena – s unutarnjim tijelima tvrtke. Osim toga, obavljene su konzultacije s američkim pravnim stručnjacima. Švicarsko ministarstvo obrane VBS (Savezni odjel za obranu, zaštitu stanovništva i sport) nije htjelo komentirati isplatu, ali je navelo da o tome nije bilo prethodno obaviješteno.
Cyber banda Akira koristi vlastiti ransomware i i dalje enkriptira podatke svojih žrtava, umjesto da se – kao mnoge druge skupine – ograniči samo na krađu podataka i iznudu neobjavljivanjem. Skupina je posljednji put privukla pozornost krajem 2025., kada je uspjela ubaciti svoj ransomware na SonicWall vatrozide unatoč aktiviranoj višefaktorskoj autentifikaciji. Od tada se čini da se Akira više usmjerava na manje tvrtke i djeluje manje upadljivo.
Kontekst
Ovaj slučaj proturječi uobičajenoj preporuci stručnjaka za IT sigurnost, kao i švicarskih tijela za cyber sigurnost, da se u takvim slučajevima ne plaća otkupnina. I u Njemačkoj nadležna tijela izričito odvraćaju od toga. Već 2022. stručnjaci za IT sigurnost iz obrazovnog i gospodarskog sektora u otvorenom su pismu čak zahtijevali konkretne mjere protiv plaćanja otkupnine od strane žrtava – pismo koje je tada privuklo veliku pozornost.
Zastupnik SVP-a u Nacionalnom vijeću i IT poduzetnik Mauro Tuena izjavio je za SRF da skupina Akira sada zna kako je švicarska savezna vlada spremna platiti otkupninu – što je, prema njegovom mišljenju, poguban signal. RUAG je na to odgovorio da je odluka bila ispravna, jer su svi podaci vraćeni, a šteta minimalizirana.
Ova proturječnost između službene preporuke i stvarnog ponašanja državnog poduzeća jasno pokazuje dilemu u kojoj se nalaze žrtve takvih napada: s jedne strane, poslovni model ucjenjivača ne bi se smio jačati isplatama, a s druge strane, tvrtke su pod znatnim pritiskom da spriječe objavu osjetljivih podataka – osobito onih povezanih s vojnim informacijama.
Praktični savjeti
- Tvrtke bi se, neovisno o akutnoj pritiskajućoj situaciji, trebale unaprijed upoznati sa službenim preporukama tijela za cyber sigurnost i definirati interne procese odlučivanja za slučaj krize.
- Rano uključivanje nadzornih tijela i – kao što je bio slučaj kod RUAG-a – pravnog savjetovanja može pomoći da se odluke u kriznim situacijama dokumentiraju na razumljiv način.
- Tvrtke s osjetljivim ili sigurnosno relevantnim podacima trebale bi posebno provjeriti jesu li prethodne sigurnosne mjere, poput višefaktorske autentifikacije, dovoljno ojačane – slučaj SonicWall vatrozida pokazuje da Akira može zaobići i ustaljene zaštitne mehanizme.
- Transparentna komunikacija s nadređenim tijelima, poput ministarstava ili nadzornih agencija, trebala bi biti osigurana i unutar internih procesa odlučivanja, kako bi se izbjegao gubitak povjerenja poput onog u slučaju neobaviještenog VBS-a.
Izgledi za budućnost
Slučaj RUAG-a vjerojatno će ponovno potaknuti raspravu o postupanju sa zahtjevima za otkupninu, osobito jer se radi o poduzeću povezanom sa švicarskom saveznom vladom. Izjava zastupnika Tuene, prema kojoj Akira sada zna da je vlada spremna platiti, upućuje na to da slični napadi na državne ili sigurnosno relevantne institucije u budućnosti neće biti manje vjerojatni.
Istovremeno, ponašanje skupine Akira, koja se u posljednje vrijeme sve više usmjerava na manje tvrtke, pokazuje da se prijetnja za organizacije različitih veličina i dalje pojačava. Detalji o mogućim daljnjim posljedicama za RUAG ili eventualnim reakcijama nadležnih tijela trenutno još nisu poznati.
