Nizozemski institut za otkrivanje ranjivosti upravo je objavio da su ga hakirali preko dvije nulte...

To je kao da je vatrogasna postaja izgorjela jer je netko zapalio kutiju u kojoj drže prijave o požarima. Ili, ako više voliš lokalni kontekst: kao da je Ri stanica za tehnički pregled pala na tehničkom pregledu. Samo što je ovdje u pitanju institut čija je cijela svrha — cijela, ne devedeset posto, ne "uglavnom" — pronaći rupe u tuđem softveru prije nego ih pronađu oni koji ne žele dobro. I onda su ih pronašli u njihovom.

DIVD, dakle, Dutch Institute for Vulnerability Disclosure. Ljudi koji su u Nizozemskoj postali svojevrsni dobri duh otvorenog koda — oni koji ne traže otkupninu, ne drže ranjivosti u ladici za kišni dan, nego ih prijavljuju proizvođačima i onda, kad proizvođač ne odgovori u razumnom roku, objave svijetu. Heroji, ukratko. Oni dečki koje svi citiraju na konferencijama, a nitko ne plaća.

I ti ljudi su pali. Preko Zammada. Otvorenog softvera za tickete. Dvije nulte ranjivosti, dakle dvije rupe za koje proizvođač nije znao, spojene u lanac koji je napadaču omogućio ulaz. Nije to jedan bug. To je bug plus bug, i između njih nitko nije stigao postaviti zakrpu jer — gle šok — nitko nije znao da postoje. To je definicija nulte ranjivosti. Ne postoji dok ne eksplodira.

Sad, cinični dio mene pita: koji kurac radi institut za kibernetičku sigurnost na platformi za tickete? Pa dobro, logično, treba im sustav za zaprimanje prijava. Ne možeš voditi evidenciju o stotinama ranjivosti u Excelu, to rade ljudi koji još nisu shvatili da je 2025. Zammad je open source, besplatan, prilagodljiv, Nizozemci ga vole jer ne šalju podatke u nečiji cloud u Virginiji. Sve pet. Ali open source nije čarolija. Open source znači da netko DRUGI može čitati kod. I da netko drugi može naći rupu koju ti nisi.

Tu je ključna rečenica iz cijele priče, ona koju su novinari stavili u naslov i onda je nitko nije pročitao do kraja: napad je bio "AI-driven". Vođen umjetnom inteligencijom. Ne "haker u podrumu majice s kapuljačom", nego alat koji je vjerojatno sam prolazio kroz kod, tražio uzorke, predlagao lance eksploatacije, testirao ih i ponavljao dok nije prošlo. To je ono što bi u starim danima tražilo tim od pet ljudi i tri mjeseca. Sad traži jedan prompt i strpljenje.

I tu dolazimo do stvari zbog koje bi trebalo otvoriti raspravu, a ne samo podijeliti vijest na LinkedInu s komentarom "važno je biti svjestan prijetnji". Ako je AI toliko pametan da sam pronađe dva povezana buga u softveru koji nitko živ nije skenirao dovoljno duboko — zašto onda isti taj AI ne može sam napisati zakrpu? Zašto ne može sam testirati je li zakrpa radi? Zašto nizozemski institut, koji ima ime, reputaciju i pristup najboljim ljudima u branši, nije imao AI koji non-stop skenira njihov vlastiti perimetar?

Odgovor je dosadan i poznat: jer su i oni ljudi. Jer imaju proračun. Jer imaju prioritete. Jer kad cijeli dan gledaš tuđe rupe, vlastite ostaju u mraku. To je kao kad psihijatar ima najgori brak u kvartu. Nije ironija, to je statistika.

Ali ovdje je važnije nešto drugo. DIVD je institut koji živi od povjerenja. Njihova cijela egzistencija — volonterska, javna, koliko-toliko financirana iz raznih kutija — počiva na pretpostavci da su oni ti koji nešto znaju bolje od tebe. Oni su ti koji će ti reći da ti je server ranjiv. Oni su ti koji će te nazvati u ponedjeljak ujutro i reći da ti baza curi. I onda se ispostavi da je i njima baza curila. Nije to katastrofa, to je PR problem koji ne riješiš priopćenjem. To riješiš tako da objaviš sve, do zadnjeg detalja, i pustiš da te ljudi gledaju.

I to su napravili. Objavili su. Nema skrivanja, nema "nemamo komentara", nema odvjetnika koji sastavlja izjavu o "incidentu koji je u ranoj fazi istrage". Priznali su da su ih dobili preko vlastitog alata, da su bile dvije nulte ranjivosti, da je napad bio AI-vođen. To je ono što rade ljudi koji znaju da im je reputacija jedina imovina. Ako lažeš o tome kako si pao, nitko ti više neće vjerovati kad prijaviš tuđi pad.

Sad, ono što me zapravo kopka nije DIVD. DIVD je samo simptom. Simptom nečega što se događa cijeloj branši, a što nitko ne želi priznati na glas jer zvuči kao defetizam. A to je: obrambena strana je izgubila utrku. Ne u smislu da je izgubila zauvijek, nego u smislu da se utrka više ne vodi na terenu na kojem je obrana ikad bila konkurentna. Napadači imaju AI koji skenira tisuće sustava paralelno, koji uči iz svakog neuspjeha, koji ne spava, ne ide na godišnji, ne traži povišicu. Obrana ima čovjeka koji u petak popodne mora zatvoriti pet ticketа prije nego što ode doma.

Zamislite tu asimetriju u fizičkom svijetu. Zamislite da lopov ima ključ koji sam sebe kopira, koji se prilagođava svakoj bravi, koji ne ostavlja trag i koji radi u tisuću stanova istovremeno. A vi imate susjeda koji je prošli tjedan kupio novi lokot i misli da je siguran. To je stanje kibernetičke sigurnosti 2025. Sve ostalo je marketing.

I tu je ono što bi svaki IT direktor u Hrvatskoj trebao pročitati dva puta. Ne zato što je DIVD nizozemski, nego zato što je DIVD institut koji radi upravo ono što bi svaka ozbiljna firma trebala raditi interno — kontinuirano tražiti rupe u vlastitom sustavu. Ako oni nisu imali pokriveno, koji kurac mislite da ima vaša firma u Rijeci koja još vrti Windows Server 2012 jer "radi, ne diraj"? Ako su oni pali preko open source ticketing sustava koji je netko trebao auditat, što mislite koliko je ljudi uopće pogledalo kod onog plugina za WordPress koji ste instalirali prošli mjesec jer je bio besplatan?

Odgovor je: nitko. Nitko ga nije pogledao. Vi niste, vaš IT dečko nije, a developer koji ga je napravio je vjerojatno prestao održavati projekt 2022. I to je u redu dok ne pukne. Onda nije u redu.

Postoji i treći sloj, onaj koji će se tek otvoriti u sljedećih godinu-dvije. Ako AI može pronaći lance ranjivosti u softveru, onda AI može i generirati lance ranjivosti u softveru. Ne u smislu da će neki chatbot sutra hakirati banku, nego u smislu da je prag ulaska za ozbiljno kriminalno hakiranje pao s "trebaš biti genijalac i imati deset godina iskustva" na "trebaš znati koristiti alat i imati strpljenja". To je demokratizacija napada. I to je loša vijest za sve koji su mislili da su premali da bi bili meta.

Nisi premali. Nikad nisi bio. Samo si bio nedovoljno zanimljiv. A kad alat postane jeftin, granica zanimljivosti pada. Ono što je jučer bilo ispod radara, sutra je na popisu. Ono što je jučer bilo "ne isplati se", sutra se isplati jer je trošak napada pao na nulu.

DIVD je platio cijenu te tranzicije prvi. Ne zato što su bili nemarni, nego zato što su bili vidljivi. Institut koji objavljuje ranjivosti je meta jer ima podatke, jer ima reputaciju, jer ima pristup zatvorenim kanalima s proizvođačima. Ako dobiješ njihov mail, dobio si adresar ljudi koji znaju stvari. To je vrijedno. To je vrijednije od novca, jer se ne može kupiti.

I zato je jedina ispravna reakcija na ovu vijest ne "strašno, nadam se da se neće ponoviti", nego "kad ću ja biti na redu". Ne ako. Kad. Jer nitko nije imun, a pogotovo nije imun onaj koji misli da je imun. Sigurnost nije stanje, sigurnost je proces. I proces koji ne uključuje pretpostavku da ćeš pasti nije proces, to je molitva.

DIVD je pao, objavio je, i sutra će opet raditi ono što radi. To je jedini način. Ne zato što su heroji, nego zato što je alternativa da prestanu — a to bi bila pobjeda napadača bez ispaljenog metka. Oni su izgubili bitku, ali nisu izgubili rat. Za sada.

A vi, s tom Windows Server 2012 mašinom u kutu ureda, razmislite o jednom. Ako je institut specijaliziran za ranjivosti pao preko dvije nulte ranjivosti u alatu koji je trebao biti siguran, kolika je vjerojatnost da vaš backup ikad testiran — jer, priznajmo, nikad nije — radi onog dana kad vam zatreba? Nije nula. Ali nije ni blizu stotke.

Utrka je izgubljena na način na koji se utrke gube u stvarnom životu: ne jednim velikim porazom, nego nizom malih odgađanja. Svaki "to ćemo sljedeći kvartal", svaki "nije prioritet sada", svaki "pa nismo mi banka" — to je jedan metar staze koji si prepustio protivniku. A protivnik ovaj put ne trči sam. Ima pomoć.

I tako smo dobili svijet u kojem najbolji obrambeni igrači padaju preko vlastitih alata, a najgori napadači dobivaju besplatnu inteligenciju na svakom kutu. Nije to kraj svijeta. Ali je početak svijeta u kojem "mi smo premali da bi nas netko napao" prestaje biti rečenica koju izgovaraš bez da te netko ozbiljno pogleda.

Izvor: bleepingcomputer.com