Kibernetički napad na tvrtku MyDr, jednog od najvećih poljskih pružatelja sustava za elektroničku medicinsku dokumentaciju, pretvorio je pitanje kibernetičke sigurnosti zdravstva u problem koji se izravno tiče gotovo polovice stanovništva Poljske. Poljske vlasti 12. kolovoza objavile su da curenje podataka može obuhvatiti blizu 19 milijuna građana, a ukradena baza veća je od dva terabajta. Napadači su ranije tvrdili da raspolažu podacima povezanima s više od 18,8 milijuna jedinstvenih PESEL identifikacijskih brojeva. Sustav MyDr koristi oko 12.000 zdravstvenih ustanova, koje su, prema posljednjim informacijama poljskih vlasti, nastavile s normalnim radom.
Točan opseg kompromitiranih zapisa još se utvrđuje. Prema dosad objavljenim informacijama, zahvaćeni podaci mogu uključivati identifikacijske podatke te informacije povezane s posjetima liječniku, propisanim lijekovima i medicinskom dokumentacijom. Poljski ministar digitalizacije i potpredsjednik vlade Krzysztof Gawkowski poručio je da zasad nema pokazatelja da je riječ o napadu neke strane države te da okolnosti upućuju na financijski motiv. Vlada je odbacila mogućnost pregovaranja o otkupnini, a građanima je omogućena provjera kompromitiranosti podataka kroz sustav Bezpieczne Dane, uz preporuku zaštite PESEL identifikacijskog broja.
Razlika između krađe lozinke i krađe zdravstvenog kartona golema je. Lozinka se može promijeniti za nekoliko minuta. Nacionalni identifikacijski broj, povijest bolesti, dijagnoze, terapije i podaci o pregledima ostaju povezani s osobom godinama. Zato zdravstveni podaci napadačima mogu poslužiti za ciljane phishing poruke, lažno predstavljanje, prijevare, ucjenjivanje ili kombiniranje s podacima iz drugih proboja.
Poljski slučaj pokazuje i problem lanca dobave. Napadač više ne mora provaliti u svaku bolnicu zasebno. Dovoljno je kompromitirati dobavljača čiji softver ili infrastrukturu koristi velik broj zdravstvenih ustanova. Jedan sigurnosni propust tako može otvoriti pristup podacima milijuna pacijenata, pa se sigurnost dobavljača, usluga u javnom oblaku i medicinskog softvera više ne može promatrati kao sporedno tehničko pitanje.
Hrvatska je tu lekciju već dobila. U lipnju 2024. KBC Zagreb pogođen je ransomware napadom kriminalne skupine LockBit. SOA je u javnom izvješću za 2025. navela da su napadači uspjeli ukrasti i zaključati veliku količinu medicinske dokumentacije. Nakon forenzičke istrage i sigurnosnih mjera ukradeni podaci su, prema SOA-i, vraćeni KBC-u, a napadači prijetnju objavom veće količine ukradenih dokumenata na kraju nisu ostvarili. Napad na bolnicu pritom nije samo pitanje privatnosti: prekid rada sustava može se preliti na dijagnostiku, naručivanje, laboratorije i svakodnevni rad s pacijentima.
Nekoliko tjedana poslije, u srpnju 2024., ransomware je pogodio informacijsku infrastrukturu Zračne luke Split. Ministar unutarnjih poslova Davor Božinović potvrdio je da je riječ o ransomwareu i da je zatražena otkupnina, uz poruku da država neće pregovarati s napadačima. U odgovor su bili uključeni hrvatske službe, Europol, FBI i drugi međunarodni partneri. Incident je pokazao koliko brzo kibernetički problem može prijeći iz podatkovnog centra u fizički svijet i poremetiti rad infrastrukture kroz koju prolaze tisuće ljudi.
Popis poznatih hrvatskih incidenata ne počinje 2024. A1 Hrvatska je početkom 2022. prijavio neovlašteni pristup korisničkoj bazi. Potencijalno su bili kompromitirani ime i prezime, adresa, OIB i telefonski broj manje od deset posto korisnika, dok podaci o bankovnim karticama i računima nisu bili dio pogođene baze. Još 2020. INA je bila žrtva kibernetičkog napada koji je izazvao probleme u dijelu poslovnih IT sustava. Prodaja goriva i platni promet nastavili su raditi, ali su bili pogođeni pojedini pozadinski procesi i usluge.
Pojedinačni veliki incidenti ipak ne daju potpunu sliku. Nacionalni CERT je u 2025. zabilježio 1.513 kibernetičkih incidenata, 35,9 posto više nego godinu prije. To nije ukupan broj svih napada u Hrvatskoj, nego broj incidenata koje je CERT zaprimio ili otkrio vlastitim aktivnostima. Phishing je činio 32 posto obrađenih incidenata, neželjene poruke 19 posto, ostale financijski motivirane prijevare 18 posto, a napadačka infrastruktura 12 posto. Velik dio svakodnevne prijetnje tako i dalje počinje porukom, lažnom prijavom, ukradenom lozinkom ili uvjerljivom prijevarom.
Drugačiji segment prijetnje vidi SOA. Agencija je za 2024. evidentirala 38 državno sponzoriranih APT napada na hrvatske mete, sedam više nego 2023. Primarni cilj takvih operacija je špijunaža i krađa podataka važnih za nacionalnu sigurnost, a među metama su državne institucije i sve češće kritična infrastruktura. SOA navodi da su ruske državno sponzorirane APT skupine izvele dvije trećine značajnih napada na hrvatske ciljeve. Te brojke ne treba miješati sa statistikom CERT-a jer je riječ o različitim vrstama incidenata, nadležnostima i metodama praćenja.
Na razini Europske unije slika je još jasnija. Europol u procjeni IOCTA 2026 navodi da je tijekom 2025. pratio više od 120 aktivnih ransomware brendova i da broj napada nastavlja rasti. Istodobno se mijenja i poslovni model kriminalaca. Ransomware više nije samo zlonamjerni program koji zaključa datoteke i traži novac za ključ za dešifriranje. Sve je češća krađa podataka prije zaključavanja sustava, nakon čega slijedi prijetnja njihovom objavom. Žrtva tako plaća ne samo za povrat pristupa sustavima nego, barem u teoriji, i za obećanje kriminalca da ukradene podatke neće objaviti.
Europol upozorava i na rast modela ransomware-as-a-service, u kojem razvoj zlonamjernog softvera, pribavljanje početnog pristupa, izvođenje napada i pranje novca mogu biti podijeljeni između različitih kriminalnih aktera. Takva podjela rada smanjuje tehničku prepreku za ulazak u kibernetički kriminal. Usto se zamagljuje granica između kriminala i geopolitički motiviranih operacija: Europol navodi da hibridni akteri koriste kibernetičke kriminalne mreže kao posrednike za DDoS napade, upade, krađu podataka i ransomware.
ENISA je u svom izvješću Threat Landscape 2025 analizirala 4.875 incidenata zabilježenih između srpnja 2024. i lipnja 2025. DDoS napadi činili su čak 77 posto prijavljenih incidenata, uglavnom zbog velikog broja hacktivističkih kampanja, ali ENISA ransomware ipak označava prijetnjom s najvećim posljedicama. Phishing je bio početna točka u oko 60 posto promatranih upada, a iskorištavanje ranjivosti u 21,3 posto. Ono što je najčešće, dakle, nije nužno i ono što nanosi najveću štetu.
Zdravstvo je posebno osjetljiv sektor. U ENISA-inoj analizi 487 zdravstvenih incidenata obuhvaćenih pregledom za 2024., 45 posto odnosilo se na ransomware, a 28 posto na povrede podataka. Bolnice imaju ono što kriminalcu treba: osjetljive podatke, velik broj korisnika, složenu infrastrukturu i vrlo mali prostor za dulji prekid rada. Kada informacijski sustav stane u bolnici, posljedice se ne mjere samo izgubljenim prihodom nego i mogućim poremećajem zdravstvene skrbi.
EU zato pojačava zaštitu zdravstvenog sektora. Europska komisija pokrenula je akcijski plan za kibernetičku sigurnost bolnica i pružatelja zdravstvenih usluga, a ENISA je u srpnju 2026. s Komisijom potpisala trogodišnji sporazum vrijedan šest milijuna eura za potporu njegovoj provedbi. Aktivnosti obuhvaćaju pripravnost, detekciju, odgovor na incidente i upravljanje sigurnošću te razvoj europskog mehanizma potpore zdravstvenim ustanovama. Novi pristup posebno naglašava i sigurnost dobavljača te zahtjeve koje bolnice trebaju ugrađivati već pri nabavi softvera, medicinskih uređaja, mrežne infrastrukture i drugih digitalnih sustava.
Napad na MyDr zato nije udaljena poljska priča. On pokazuje smjer kibernetičkog kriminala: prema velikim bazama podataka, dobavljačima koji povezuju tisuće organizacija i sektorima u kojima je cijena prekida rada dovoljno visoka da stvori snažan pritisak na žrtvu. Hrvatski slučajevi KBC-a Zagreb, Zračne luke Split, A1 Hrvatska i INA-e pokazuju da su isti obrasci već prisutni i ovdje.
Najvažnija promjena zato mora biti organizacijska, a ne samo tehnološka. Višefaktorska autentifikacija, pravodobno uklanjanje ranjivosti, segmentacija mreže, nadzor privilegiranih računa i sigurnosne kopije koje napadač ne može dohvatiti iz kompromitiranog sustava više nisu dodatna zaštita nego osnova. Jednako su važni provjera dobavljača, vježbe odgovora na incidente i jasna procedura za trenutak kada napad ipak uspije.
Jer kod današnjeg ransomwarea pitanje više nije samo može li organizacija vratiti podatke iz sigurnosne kopije. Pitanje je i tko ih je već odnio, koliko dugo ih može koristiti i što će s njima napraviti sljedeće.
