Kibernetski napad na državno upravo: menjava gesel

Napadalec pridobil več kot 15.000 uporabniških zapisov državne uprave

V Sloveniji je prišlo do kibernetskega vdora v informacijski sistem državne uprave. Napadalec je pridobil več kot 15.000 uporabniških zapisov, med njimi 7.216 zapisov z zgoščenimi gesli. URSIV zahteva takojšnje varnostne ukrepe.

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je 1. novembra 2026 objavil nujno opozorilo o kibernetskem incidentu, pri katerem je napadalec prek kompromitiranega spletnega strežnika enega državnega organa nepooblaščeno pridobil podatke o uporabniških računih državne uprave. Zaradi nevarnosti njihove zlorabe je potrebna takojšnja ponastavitev gesel prizadetih računov.

Po dosedanjih ugotovitvah je napadalec pridobil več kot 15.000 uporabniških zapisov iz sistema Domino, pri čemer je 7.216 zapisov vsebovalo zgoščene vrednosti gesel. Ker je iz takšnih podatkov v določenih okoliščinah mogoče ugotoviti izvirna gesla, incident predstavlja resno tveganje za varnost uporabniških računov.

URSIV pristojne upravljavce informacijskih sistemov poziva, naj nemudoma zagotovijo ponastavitev gesel vseh prizadetih računov. Uporabnikom, ki so enaka ali podobna gesla uporabljali tudi drugje, priporoča menjavo gesel v vseh takšnih storitvah.

Posodobitev 2. novembra 2026: Menjava gesel ne velja za vse državljane

Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) je 2. novembra objavil dodatno pojasnilo glede kibernetskega incidenta v državni upravi. Po dosedanjih ugotovitvah so bili prizadeti uporabniški računi državnih organov, ne pa računi državljanov za dostop do javnih elektronskih storitev. Poziv k menjavi gesel zato ne velja za vse državljane.

SIGOV-CERT je na podlagi analize dnevniških zapisov ugotovil, da je do nepooblaščenega dostopa do podatkov na spletnem strežniku enega državnih organov prišlo konec oktobra 2026. Napadalec je pridobil podatke o uporabniških računih in zgoščene vrednosti gesel, ne pa gesel v neposredno berljivi obliki.

Pristojni upravljavci informacijskih sistemov so bili pozvani k takojšnji ponastavitvi gesel prizadetih računov. Prizadetim uporabnikom URSIV priporoča tudi menjavo enakih gesel v drugih sistemih in previdnost pri sumljivih sporočilih. SIGOV-CERT nadaljuje analizo okoliščin in morebitnih posledic incidenta.

Kaj morajo prizadeti uporabniki storiti takoj?

Prizadeti uporabniki morajo pri ponastavitvi gesel upoštevati navodila pristojnih upravljavcev informacijskih sistemov. Ukrep je nujen, saj bi lahko napadalec pridobljene podatke uporabil za poskuse nepooblaščenih prijav. Menjava gesla v prizadetem sistemu pa ni zadostna, če uporabnik isto ali podobno geslo uporablja tudi v drugih službenih oziroma zasebnih storitvah.

Takojšnja ponastavitev prizadetih gesel v skladu z uradnimi navodili upravljavcev informacijskih sistemov.
Menjava enakih ali podobnih gesel v drugih službenih in zasebnih računih, kjer so bila uporabljena.
Vključitev večfaktorske avtentikacije (MFA) povsod, kjer je to mogoče, zlasti pri elektronski pošti, oddaljenem dostopu in poslovnih aplikacijah.
Preverjanje pristnosti obvestil o menjavi gesel, saj bi lahko napadalci incident izkoristili za pošiljanje lažnih varnostnih opozoril.

Pri izbiri novih gesel je pomembno, da so dolga, edinstvena in nepredvidljiva. Uporabniki se morajo izogibati zgolj manjšim spremembam starih gesel, kot je dodajanje številke ali sprememba enega znaka. Več o varni uporabi gesel pojasnjujemo v prispevku gesel ne reciklirajte.

Pomembna dodatna zaščita je tudi večfaktorska avtentikacija, ki poleg gesla zahteva še dodatno preverjanje identitete. Ta lahko bistveno zmanjša tveganje nepooblaščenega dostopa, tudi kadar napadalec že pozna uporabnikovo geslo.

Kako je napadalec prišel do podatkov?

Po uradnih informacijah je napadalec za dostop do uporabniških zapisov izkoristil kompromitirani spletni strežnik enega državnega organa. URSIV za zdaj ni razkril, kako je bil strežnik prvotno kompromitiran, katere ranljivosti so bile morebiti izkoriščene ali kako dolgo je imel napadalec dostop do sistema. Prav tako ni javno navedeno, kateri državni organ je bil neposredno prizadet.

Napadalec je pridobil podatke iz sistema Domino, med katerimi so bili tudi zapisi z zgoščenimi vrednostmi gesel. Pomembno je razlikovati med številom pridobljenih zapisov in številom dejansko razkritih gesel. Podatek o 7.216 zgoščenih vrednostih ne pomeni, da je napadalec že pridobil prav toliko izvirnih gesel.

Zgoščena vrednost oziroma hash je matematična predstavitev gesla, ki se lahko uporablja za njegovo preverjanje brez neposrednega shranjevanja v berljivi obliki. Vendar takšna zaščita ni absolutna. Odvisno od uporabljenega algoritma, načina shranjevanja in kompleksnosti gesla lahko napadalec s preizkušanjem kandidatov v določenih primerih ugotovi izvirno geslo.

URSIV ni sporočil, koliko gesel je bilo dejansko razkritih oziroma ali je napadalec pridobljene podatke že uporabil za nadaljnje vdore. Natančen obseg posledic tako ostaja predmet preiskave.

Zakaj lahko vdor ogrozi tudi druge informacijske sisteme?

Največje tveganje nastane, kadar uporabniki enaka gesla uporabljajo za dostop do več nepovezanih storitev. Če napadalec ugotovi geslo posameznega računa, lahko z istimi prijavnimi podatki poskuša dostopati do drugih sistemov. Takšni poskusi lahko vključujejo elektronsko pošto, poslovne aplikacije, storitve v oblaku in oddaljeni dostop do organizacijskega omrežja.

Ena od znanih tehnik je credential stuffing, pri kateri napadalci samodejno preizkušajo že pridobljene kombinacije uporabniških imen in gesel v drugih spletnih storitvah. Nevarnost je še posebej velika pri računih brez dodatnega preverjanja identitete.

Kompromitirani uporabniški račun lahko napadalcu omogoči dostop do informacij in funkcij, za katere ima uporabnik dovoljenje. Pri računih s širšimi dostopnimi pravicami so lahko potencialne posledice še resnejše. Zato so pomembni tudi ustrezno upravljanje identitet, omejevanje uporabniških pravic in spremljanje sumljivih prijav.

To so možna varnostna tveganja, ne pa že potrjene posledice obravnavanega incidenta. Uradno obvestilo ne potrjuje, da bi napadalec s pridobljenimi podatki že uspešno vdrl v druge informacijske sisteme.

Prizadeti strežnik izoliran, SIGOV-CERT nadaljuje preiskavo

Pristojne službe so po zaznavi kibernetskega incidenta kompromitirani strežnik državnega organa izolirale iz omrežja. S tem so izvedle pomemben ukrep za omejevanje morebitnih nadaljnjih dejavnosti napadalca. Izolacija prizadetega strežnika pa še ne pomeni, da so odpravljena vsa tveganja, povezana s predhodno pridobljenimi uporabniškimi podatki.

SIGOV-CERT v sodelovanju s pristojnimi tehničnimi službami nadaljuje analizo incidenta. Po navedbah URSIV se izvajajo ukrepi za omejevanje posledic, zaščito uporabniških računov in preprečevanje morebitnih nadaljnjih zlorab.

Pri takšnih incidentih so z vidika strokovnega odzivanja pomembni tudi pregled prijavnih dnevnikov, iskanje neobičajnih dostopov, preverjanje privilegiranih računov in ugotavljanje morebitnih znakov nadaljnjega nepooblaščenega dostopa. Ti ukrepi so splošna varnostna priporočila in ne pomenijo, da je URSIV potrdil njihovo izvedbo v konkretnem primeru.

Za zdaj niso javno znani identiteta napadalca, natančen čas začetnega vdora ali celoten obseg kompromitacije. Prav tako ni potrjeno, da bi incident povzročil izpad državnih storitev ali razkritje drugih vrst podatkov.

URSIV je napovedal, da bo javnost o pomembnih novih ugotovitvah in morebitnih dodatnih potrebnih ukrepih obveščal prek uradnih komunikacijskih kanalov.

Nevarnost lažnih obvestil o ponastavitvi gesel

Kibernetski incident bi lahko napadalci izkoristili tudi za širjenje lažnih obvestil o nujni menjavi gesel. Takšna sporočila lahko posnemajo uradna opozorila državnih organov ali tehnične podpore in uporabnike preusmerjajo na ponarejene prijavne strani. Namen teh napadov je običajno pridobiti veljavna uporabniška imena, gesla ali druge podatke za prijavo.

Za zdaj ni potrjenih informacij, da bi bila s tem incidentom povezana posebna kampanja spletnega ribarjenja. Kljub temu morajo biti uporabniki pri prejemanju varnostnih obvestil posebej previdni, predvsem kadar vsebujejo povezave do neznanih spletnih strani ali zahtevajo takojšen vnos prijavnih podatkov.

Uporabniki naj zato menjavo gesel opravijo prek preverjenih službenih kanalov in skladno z navodili pristojnih upravljavcev. Za dodatno zaščito priporočamo tudi upoštevanje nasvetov za prepoznavanje phishinga.

Incident opozarja na pomen zaščite digitalnih identitet

Kibernetski napad na informacijski sistem državne uprave opozarja na tveganja, ki nastanejo ob kompromitaciji uporabniških podatkov. Tudi če napadalec neposredno ne pridobi izvirnih gesel, lahko razkritje njihovih zgoščenih vrednosti ustvari podlago za nadaljnje napade. Zato je pravočasno ukrepanje pomembnejše od čakanja na dokončne rezultate forenzične preiskave.

Organizacije morajo pri upravljanju uporabniških računov zagotavljati ustrezno zaščito gesel, omejevanje dostopnih pravic in učinkovito zaznavanje neobičajnih aktivnosti. Posebej pomembna je zaščita privilegiranih računov, saj lahko njihova kompromitacija napadalcu omogoči obsežnejši dostop do informacijskih virov.

Za prizadete uporabnike ostaja najpomembnejše sporočilo URSIV: gesla je treba nemudoma ponastaviti, enaka ali podobna gesla zamenjati tudi v drugih storitvah ter po možnosti vključiti večfaktorsko avtentikacijo.

Pri nadaljnjih ukrepih je treba upoštevati uradna obvestila pristojnih upravljavcev informacijskih sistemov in URSIV.