Bivši izvođač Brightly Softwarea osuđen na zatvor zbog iznude od 2,5 milijuna dolara

Pristup izvođača pretvoren u zločin

Cameron Curry, bivši analitičar podataka koji je radio kao izvođač za Brightly Software, osuđen je na dvije godine zatvora zbog organiziranja sheme iznude od 2,5 milijuna dolara protiv svog bivšeg poslodavca. Prema sudskim spisima, Curry je tijekom rada u tvrtki pristupio osjetljivim podacima o plaćama te je, nakon što je njegov ugovor raskinut, te podatke iskoristio kao polugu. Prijetio je da će informacije javno objaviti ako mu tvrtka ne isplati otkupninu.

Brightly Software je na kraju isplatio 7.540 dolara u Bitcoinima prije nego što je policija intervenirala. FBI je kasnije zaplijenio dokaze povezane sa shemom, što je pomoglo osigurati Curryjevu osudu i izricanje kazne. Iako je sama isplata otkupnine bila tek djelić od 2,5 milijuna dolara koliko je Curry navodno tražio, ovaj slučaj podsjetnik je da sheme iznude od strane insajdera ne moraju dosegnuti puni traženi iznos da bi prouzročile ozbiljnu štetu, kako financijsku tako i reputacijsku.

Zašto se insajderske prijetnje razlikuju od vanjskih napada

Većina izvještavanja o kibernetičkom kriminalu fokusira se na vanjske napadače: hakere koji probijaju mreže, pokreću ransomware ili iskorištavaju nezakrpljeni softver. Ovaj slučaj korisna je suprotnost. Curry nije morao probijati vatrozidove niti zaobilaziti sustave autentifikacije. Kao izvođač, već je imao legitiman pristup podacima o plaćama kao dio svog posla. Krađa se dogodila prije nego što je itko primijetio da nešto nije u redu, a pokušaj iznude pojavio se tek nakon što je njegov ugovor istekao i pristup je trebao biti opozvan.

Ovo je ponavljajući obrazac u insajderskim incidentima: tehnička barijera za ulazak je niska jer je pristup već odobren. Prava ranjivost je organizacijske prirode — u tome kako tvrtke upravljaju završetkom suradnje, prate pristup podacima nakon isteka ugovora i revidiraju tko može vidjeti osjetljive zapise poput podataka o plaćama. Automatizirani alati za otkrivanje postali su iznimno brzi u hvatanju vanjskih prodora. Microsoft Defender, na primjer, zaustavio je ransomware napad na QNET u samo 128 sekundi nakon što je otkrio zlonamjernu aktivnost. Ali takva brzina dizajnirana je za otkrivanje neovlaštenog pristupa, a ne zlouporabe od strane nekoga tko je već imao važeću prijavu.

Šira slika o izloženosti podataka

Insajderska iznuda samo je jedan segment mnogo većeg problema sigurnosti podataka. Izvješće o istragama povreda podataka za 2026. godinu (Verizon Data Breach Investigations Report) pokazalo je da 31% povreda sada uključuje iskorištavanje tehničkih ranjivosti, što naglašava koliko pažnje organizacije ulažu u zakrpljivanje softvera i zatvaranje tehničkih praznina. Insajderski slučajevi poput Curryjevog u potpunosti su izvan te kategorije. Oni iskorištavaju povjerenje i procesne praznine, a ne kod, što znači da vatrozidovi, detekcija krajnjih točaka i skeniranje ranjivosti ne bi zaustavili ovu konkretnu shemu.

Za tvrtke koje rukuju podacima o plaćama, ljudskim resursima ili financijskim podacima, ovaj slučaj naglašava specifičnu i često nedovoljno financiranu kategoriju rizika. Izvođači i kratkoročni zaposlenici često trebaju širok pristup kako bi učinkovito obavljali svoj posao, ali taj se pristup rijetko preispituje nakon završetka angažmana. Praznina između raskida ugovora i opoziva pristupa upravo je mjesto gdje se ovakve sheme ukorjenjuju.

Što to znači za vas

Ako ste zaposlenik ili izvođač s pristupom osjetljivim podacima, ovaj slučaj jasan je signal da pokušaji iznude nose ozbiljne pravne posljedice — ne samo za tvrtku, već i za osobu koja to pokuša. Kazna od dvije godine zatvora, uz uključivanje FBI-ja i prikupljanje forenzičkih dokaza, pokazuje da se zahtjevi za otkupninom povezani s ukradenim podacima o plaćama tretiraju kao savezni zločin, a ne privatni spor.

Ako ste na strani tvrtke koja upravlja pristupom izvođača, zaključak je više operativne prirode. Podaci o plaćama i ljudskim resursima trebali bi biti ograničeni na najmanju skupinu ljudi kojoj su stvarno potrebni, pristup bi trebalo revidirati i ukinuti odmah po isteku ugovora, a neuobičajena preuzimanja ili izvoz podataka trebali bi pokrenuti upozorenja prije nego što postanu veći problem. Čekanje dok prijetnja ne stigne daleko je prekasno.

Za pojedince čiji bi osobni podaci ili podaci o plaćama mogli biti obuhvaćeni ovakvim incidentom, standardne mjere opreza i dalje vrijede: pratite neuobičajenu aktivnost na računima, razmotrite zamrzavanje kreditne sposobnosti ako ste obaviješteni da su vaši podaci bili uključeni i budite skeptični prema svakom neželjenom kontaktu koji se poziva na vaše zaposlenje ili financijske podatke.

Ključni zaključci

Ovaj slučaj podsjetnik je da iznuda podataka nije isključivo vanjska prijetnja. Organizacije bi trebale tretirati upravljanje pristupom, posebno za izvođače i zaposlenike koji odlaze, jednako ozbiljno kao što tretiraju vatrozidove i zakrpe. Nekoliko praktičnih koraka vrijedi usvojiti:

• Pregledajte i ukinite pristup sustavima odmah po završetku ugovora ili radnog odnosa, a ne danima ili tjednima kasnije.
• Ograničite pristup podacima o plaćama i ljudskim resursima na minimalan broj ljudi koji je potreban te vodite evidenciju tko ih pregledava ili izvozi.
• Tretirajte svaki zahtjev za otkupninom ili iznudom kao stvar za provedbu zakona, a ne privatno pregovaranje, budući da plaćanje rijetko jamči kraj prijetnje.

Izricanje kazne Cameronu Curryju zatvara jedno poglavlje ove priče, ali bi trebalo potaknuti svaku organizaciju koja rukuje osjetljivim podacima o zaposlenicima da se zapita bi li njihove vlastite kontrole završetka suradnje i pristupa uhvatile sličan pokušaj prije nego što se pretvori u skupi zahtjev za iznudu.