Služba za strance hakovana zbog zastarjelog sistema? Na udaru desetine institucija

Ista zastarjela verzija pronađena je na sistemu Službe za poslove sa strancima, nakon što je objavljeno da je njen e-mail sistem hakovan. Javno dostupni podaci pokazuju da server koristi verziju iz aprila 2024. godine, nakon koje je Microsoft objavio još deset nadogradnji. Posljednja je objavljena u augustu 2026, otkriva Detektor.

Riječ je o Microsoft Exchange Serveru 2016, kojem je podrška prestala u oktobru 2025. godine.

Profesor Elektrotehničkog fakulteta u Sarajevu Saša Mrdović upozorava da korištenje softvera kojem je istekla podrška predstavlja ozbiljan propust.

„Ako je toliko star da je istekla već podrška za njega, onda je to baš priličan propust“, kazao je Mrdović.

Detektor navodi da ne objavljuje imena institucija koje koriste zastarjele verzije zbog sigurnosnih razloga. Analizirano je 129 mail domena institucija, a 44 su vratile verzije za koje je podrška istekla. Budući da neke domene koristi više institucija, riječ je o više od stotinu institucija koje rade na nepodržanim verzijama servera.

Služba za poslove sa strancima hakovana

Portal Istraga objavio je da je e-mail sistem Službe za poslove sa strancima hakovan te da je zaražen malwareom za krađu korisničkih podataka. Služba je potvrdila da je od sigurnosnih agencija dobila upozorenje o napadu, tokom kojeg napadač pokušava ukrasti korisničke akreditive.

Iz Službe nisu odgovorili da li su napadnuti i drugi sistemi, uključujući eStranac, koji sadrži osjetljive podatke o strancima koji borave i rade u BiH.

Služba je saopćila da je pokrenula internu istragu zbog sumnje da, usljed nesavjesnog rada pojedinih zaposlenika, mjere zaštite informacionog sistema nisu pravovremeno provedene.

Mrdović objašnjava da zastarjeli softver napadačima može omogućiti iskorištavanje već poznatih sigurnosnih propusta ili krađu lozinki.

„Ako imate star, neažuriran softver, neko može iskoristiti poznati napadački kod i upasti u sistem. Drugi način je da se pogode ili ukradu lozinke“, kazao je.

Problem nije ograničen samo na jednu instituciju. Identične ili također nepodržane verzije koriste i druge državne institucije, kao i veliki broj pravosudnih institucija koje se oslanjaju na centralizirani e-mail sistem. Javno dostupni podaci pokazuju da je taj sistem posljednji put ažuriran još u oktobru 2023. godine.

Nadležna institucija nije željela potvrditi tačnu verziju servera, navodeći sigurnosne razloge, ali tvrdi da pravosudni informacioni sistem ima napredne mehanizme zaštite i da do sada nije bilo incidenata koji bi ugrozili podatke.

Milioni potrošeni na licence, ali sistemi nisu ažurni

Podaci s Portala javnih nabavki pokazuju da su institucije BiH prošle godine, putem Ministarstva prometa i komunikacija, kupile licence, među kojima i za Exchange servere, vrijedne 24 miliona KM.

Iz Ministarstva su naveli da institucijama, osim licenci, Microsoft osigurava edukaciju i tehničku podršku. Tvrde i da većina institucija koristi nova tehnološka rješenja te da Ministarstvo ima najnoviju verziju Exchange servera koja se automatski nadograđuje.

Mrdović, međutim, upozorava da problem nastaje nakon same kupovine softvera jer institucije često zanemaruju njegovo održavanje.

„Ako kupujete softver na pet godina, koliko potrošite za inicijalnu nabavku, toliko ćete minimalno imati troškova u naredne tri do pet godina za njegovo održavanje“, rekao je.

BiH i dalje bez državnog CERT-a

BiH ima i širi problem nedostatka stručnjaka za cyber sigurnost. Mrdović smatra da nije realno očekivati da svaka institucija ima vlastiti tim stručnjaka, već predlaže formiranje specijaliziranih timova koji bi održavali određene sisteme u više institucija.

Kao dodatni problem navodi činjenicu da BiH i dalje nema funkcionalan državni CERT tim, koji bi koordinirao odgovor na cyber napade. Takav tim godinama se najavljuje, ali nisu stvoreni svi uslovi za njegovo uspostavljanje, dok je Republika Srpska formirala vlastiti tim.

Na ozbiljnost problema podsjeća i raniji napad na Parlament BiH, zbog kojeg zastupnici nisu imali pristup e-mailovima, kao i nedavni slučaj kompanije „Igman“ iz Konjica, koja je zbog prevare greškom uplatila oko 1,5 miliona KM na račun prevaranata.

(Vijesti.ba)