Novo zajedničko savjetodavno upozorenje cilja na brzorastuću prijetnju

Agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA) i FBI, u suradnji s Centrom za kibernetički kriminal Ministarstva obrane, NSA-om, Tajnom službom SAD-a i Nacionalnom policijskom agencijom Republike Koreje, objavili su zajedničko savjetodavno upozorenje o kibernetičkoj sigurnosti o ransomwareu Gunra. Upozorenje, objavljeno u kolovozu 2026., iznosi tehničke detalje o tome kako Gunra djeluje i nudi smjernice za ublažavanje rizika za organizacije koje bi mogle biti meta.

Gunra se prvi put pojavio u travnju 2025. i brzo je evoluirao od pojedinačne prijetnje u formalnu operaciju ransomwarea kao usluge (RaaS). Ta je razlika važna. Umjesto da jedna skupina izvodi napade, Gunra sada funkcionira više poput kriminalne franšize, oglašavajući svoje alate i infrastrukturu afilijatima na forumima dark weba. Ti afilijati zatim provode stvarne upade i dijele dio isplaćenih otkupnina s operaterima Gunre. Taj je model postao uobičajen među velikim obiteljima ransomwarea jer snižava tehnički prag za ulazak i omogućuje brzo širenje napada na više sektora, uključujući vladin sektor i proizvodnju.

Dvostruka iznuda: zašto jedan napad stvara dva problema

Ono što Gunru u ovom upozorenju izdvaja jest korištenje modela dvostruke iznude. U tradicionalnom napadu ransomwareom akteri šifriraju datoteke žrtve i traže plaćanje za ključ za dešifriranje. Afilijati Gunre idu korak dalje: prije šifriranja podataka eksfiltriraju ih, kopirajući osjetljive datoteke na vlastite poslužitelje. To im daje dva odvojena oblika pritiska. Čak i ako organizacija žrtva ima pouzdane sigurnosne kopije i može obnoviti šifrirane datoteke bez plaćanja, napadači i dalje mogu prijetiti javnim curenjem ili prodajom ukradenih podataka ako se ne plati otkupnina.

Upravo zbog tog dvostrukog pristupa upozorenje CISA-e i FBI-a o dvostrukoj iznudi ransomwarea Gunra ima veću težinu od uobičajenih upozorenja o ransomwareu. Ono mijenja računicu za žrtve. Oporavak više nije samo pitanje obnavljanja sustava; riječ je o kontroliranju posljedica potencijalnog curenja podataka koje može uključivati osobne zapise, financijske informacije ili vlasničke poslovne podatke.

Zašto je to važno za privatnost, a ne samo za IT sigurnost

Savjetodavna upozorenja o ransomwareu često se prikazuju isključivo kao pitanje IT-a ili infrastrukture, ali Gunrine taktike imaju izravne posljedice za privatnost običnih ljudi. Kada afilijati eksfiltriraju podatke iz bolnice, proizvodnog pogona ili državne agencije, ti ukradeni podaci često uključuju osobne informacije zaposlenika, kupaca ili pacijenata, a ne samo poslovne tajne. Povreda s dvostrukom iznudom znači da čak i organizacije koje odbiju platiti otkupninu mogu vidjeti privatne informacije objavljene ili prodane na tržištima dark weba.

To je dijelom i razlog zašto su proizvodnja i kritična infrastruktura postale česte mete. Ti sektori često koriste naslijeđene sustave i uređaje izložene internetu koje je teže brzo zakrpati, što ih čini privlačnim ulaznim točkama za afilijate koji žele uspostaviti uporište prije nego što aktiviraju ransomware i alate za eksfiltraciju.

Što to znači za vas

Ako radite za organizaciju u proizvodnji, državnoj upravi, zdravstvu ili nekom drugom sektoru navedenom u upozorenju, ovo je trenutak da preispitate svoj plan odgovora na incidente imajući na umu upravo dvostruku iznudu. Plaćanje otkupnine ne jamči da ukradeni podaci ipak neće iscuriti, pa su prevencija i rano otkrivanje važniji nego ikad.

Za pojedince je poruka neizravnija, ali i dalje važna. Ako tvrtka s kojom poslujete, poslodavac, pružatelj zdravstvene skrbi ili državna agencija s kojom ste u kontaktu bude ugrožena od strane Gunre ili slične RaaS skupine, vaši osobni podaci mogli bi biti izloženi čak i ako ta organizacija nikada ne plati otkupninu. Praćenje obavijesti o povredi podataka i prakticiranje dobre higijene lozinki i dalje su među najboljim obranama koje izravno kontrolirate.

Provedive preporuke

  • Organizacije bi trebale pregledati tehničke pokazatelje iz zajedničkog upozorenja i pravovremeno primijeniti preporučene mjere ublažavanja, osobito u vezi s uređajima izloženima internetu i točkama udaljenog pristupa.
  • Sigurnosni timovi trebali bi pretpostaviti da svaki incident s ransomwareom može uključivati eksfiltraciju podataka, a ne samo šifriranje, te u skladu s tim planirati komunikaciju i pravni odgovor.
  • Pojedinci bi trebali omogućiti višefaktorsku autentifikaciju gdje god je dostupna i pratiti račune povezane s organizacijama koje bi mogle biti pogođene napadima na kritičnu infrastrukturu.
  • Svi bi trebali obratiti pozornost na obavijesti o povredi podataka poslodavaca, pružatelja zdravstvene skrbi ili pružatelja usluga jer kampanje dvostruke iznude poput Gunrine često rezultiraju objavom podataka čak i kada otkupnine ostanu neplaćene.

Ovakva upozorenja podsjećaju nas da ransomware nije samo korporativni IT problem. Kako RaaS operacije poput Gunre šire svoje mreže afilijata, valni učinci dopiru do običnih ljudi čiji se podaci nalaze unutar ciljanih sustava. Informiranje o tim upozorenjima i poduzimanje osnovnih mjera opreza s vlastitim računima praktičan je način da smanjite svoju izloženost posljedicama.