Državno pravosuđe, brojne institucije izvršne vlasti i ustanove koje upravljaju kritičnom infrastrukturom u BiH koriste verzije Majkrosoftovih (Microsoft) servisa za pristup e-pošti kojima je podrška istekla, otkriva Detektor.

Ista zastarjela verzija pronađena je na sistemu Službe za poslove sa strancima, nakon što je objavljeno da je njen sistem e-pošte hakovan.

Javno dostupni podaci pokazuju da server koristi verziju iz aprila 2024. godine, nakon koje je Majkrosoft objavio još deset nadogradnji. Posljednja je objavljena u avgustu 2026, otkriva Detektor.

Profesor Elektrotehničkog fakulteta u Sarajevu Saša Mrdović upozorava da korišćenje softvera kojem je istekla podrška predstavlja ozbiljan propust.

„Ako je toliko star da je već istekla podrška za njega, onda je to baš priličan propust“, kazao je Mrdović.

Detektor navodi da ne objavljuje imena institucija koje koriste zastarjele verzije iz bezbjednosnih razloga. Analizirano je 129 mejl domena institucija, a 44 su vratile verzije za koje je podrška istekla. Budući da neke domene koristi više institucija, riječ je o više od stotinu institucija koje rade na nepodržanim verzijama servera.

Služba za poslove sa strancima hakovana

Portal Istraga objavio je da je sistem e-pošte Službe za poslove sa strancima hakovan te da je zaražen zlonamjernim softverom (malware) za krađu korisničkih podataka. Služba je potvrdila da je od bezbjednosnih agencija dobila upozorenje o napadu, tokom kojeg napadač pokušava da ukrade korisničke akreditive.

Iz Službe nisu odgovorili da li su napadnuti i drugi sistemi, uključujući eStranac, koji sadrži osjetljive podatke o strancima koji borave i rade u BiH.Služba je saopštila da je pokrenula internu istragu zbog sumnje da, usljed nesavesnog rada pojedinih zaposlenih, mjere zaštite informacionog sistema nisu pravovremeno sprovedene.

Mrdović objašnjava da zastarjeli softver napadačima može omogućiti iskorišćavanje već poznatih bezbjednosnih propusta ili krađu lozinki.

„Ako imate star, neažuriran softver, neko može iskoristiti poznati napadački kod i upasti u sistem. Drugi način je da se pogode ili ukradu lozinke“, kazao je.

Problem nije ograničen samo na jednu instituciju. Identične ili takođe nepodržane verzije koriste i druge državne institucije, kao i veliki broj pravosudnih institucija koje se oslanjaju na centralizovani sistem e-pošte. Javno dostupni podaci pokazuju da je taj sistem posljednji put ažuriran još u oktobru 2023. godine.

Nadležna institucija nije željela da potvrdi tačnu verziju servera, navodeći bezbjednosne razloge, ali tvrdi da pravosudni informacioni sistem ima napredne mehanizme zaštite i da do sada nije bilo incidenata koji bi ugrozili podatke.

Milioni potrošeni na licence, ali sistemi nisu ažurni

Podaci s Portala javnih nabavki pokazuju da su institucije BiH prošle godine, putem Ministarstva transporta i komunikacija, kupile licence, među kojima i za Exchange servere, vrijedne 24 miliona KM.

Mrdović, međutim, upozorava da problem nastaje nakon same kupovine softvera jer institucije često zanemaruju njegovo održavanje.

„Ako kupujete softver na pet godina, koliko potrošite za inicijalnu nabavku, toliko ćete minimalno imati troškova u naredne tri do pet godina za njegovo održavanje“, rekao je.

BiH i dalje bez državnog CERT-a

BiH ima i širi problem nedostatka stručnjaka za sajber bezbjednost. Mrdović smatra da nije realno očekivati da svaka institucija ima vlastiti tim stručnjaka, već predlaže formiranje specijalizovanih timova koji bi održavali određene sisteme u više institucija.

Kao dodatni problem navodi činjenicu da BiH i dalje nema funkcionalan državni CERT tim, koji bi koordinisao odgovor na sajber napade. Takav tim godinama se najavljuje, ali nisu stvoreni svi uslovi za njegovo uspostavljanje, dok je Republika Srpska formirala vlastiti tim.

Na ozbiljnost problema podsjeća i raniji napad na Parlament BiH, zbog kojeg poslanici nisu imali pristup e-pošti, kao i nedavni slučaj kompanije „Igman“ iz Konjica, koja je zbog prevare greškom uplatila oko 1,5 miliona KM na račun prevaranata.

(Detektor.ba)