Najveći problem više nije samo ukradena lozinka
Napadači u 2026. sve češće ulaze kroz ranjiv softver prije nego kroz ukradenu lozinku. Verizonov Data Breach Investigations Report za 2026. navodi da 31% potvrđenih proboja počinje iskorištavanjem softverske ranjivosti, što je prvi put u 19 godina izvještaja da je taj način pristupa prestigao ukradene pristupne podatke.
To je važna promjena za vlasnika poslovne web stranice. SSL certifikat može biti potpuno ispravan, lozinka administratora može biti jaka, a sustav i dalje može biti ranjiv zbog zastarjele biblioteke, nezaštićenog API-ja, pogrešno konfiguriranog servera ili vanjske komponente koja se više ne održava.
Verizon istodobno navodi da je ransomware prisutan u 48% analiziranih proboja, dok se generativna umjetna inteligencija već koristi za ubrzavanje različitih tehnika napada.
Siguran web u 2026. nije web s lokotom u pregledniku, nego sustav koji ograničava što napadač može pronaći, iskoristiti i napraviti ako jedna komponenta zakaže.
Zbog toga sigurnost treba biti dio arhitekture tijekom izrade web stranice, a ne dodatna provjera nekoliko dana prije objave.
AI je napadačima smanjio vrijeme potrebno za napad
Umjetna inteligencija ubrzava napade i povećava njihov opseg. IBM-ov Cost of a Data Breach Report 2026. procjenjuje prosječan globalni trošak povrede podataka na 4,99 milijuna američkih dolara, što je 12% više nego godinu ranije i najviša vrijednost koju je IBM zabilježio u tom izvještaju.
Još je zanimljiviji podatak da je IBM utvrdio kako je jedan od četiri zlonamjerna proboja bio potpomognut umjetnom inteligencijom. Broj AI-potpomognutih napada povećao se 56%, a prosječan trošak takvog incidenta iznosio je oko 6 milijuna dolara. Najčešće su se pojavljivali AI-generirano lažno predstavljanje i zlonamjerni softver izrađen ili poboljšan uz pomoć AI-ja.
To ne znači da će prosječna hrvatska tvrtka izgubiti milijune dolara. IBM-ovi podaci obuhvaćaju velike organizacije širom svijeta i ne predstavljaju procjenu troška za malo poduzeće u Hrvatskoj. Brojke ipak jasno pokazuju smjer: automatizacija više nije samo obrambeni alat.
Poseban problem predstavlja nekontrolirana upotreba AI alata unutar tvrtke. Verizon je u izvještaju za 2026. zabilježio da se korištenje neodobrenog „shadow AI-ja” među zaposlenicima utrostručilo i došlo do 45% u njihovu promatranom skupu. Kada zaposlenici u javne AI alate kopiraju ponude, podatke klijenata, izvorni kod ili interne dokumente, sigurnosni problem više nije samo web server.
O tome kako AI mijenja samu infrastrukturu detaljnije pišemo u članku o AI autonomiji i sigurnosti web infrastrukture.
Deset stvari koje treba provjeriti na poslovnom webu
Tvrtka treba provjeravati cijeli put podataka, a ne samo javni dio stranice. Kontakt forma, administratorsko sučelje, baza podataka, API, cloud servis i email mogu biti dijelovi istog poslovnog sustava, iako ih korisnik vidi kao jednu web stranicu.
Sigurnosna provjera za 2026.
- Ažuriranja i ovisnosti – provjerite framework, biblioteke, server i pakete koji imaju poznate ranjivosti.
- Administratorski pristup – koristite višefaktorsku autentifikaciju i odvojene korisničke račune umjesto zajedničke admin lozinke.
- Korisničke ovlasti – osoba koja uređuje blog ne treba imati pristup konfiguraciji, korisnicima ili cijeloj bazi.
- API endpointi – svaki endpoint treba provjeravati autentifikaciju, autorizaciju, unos podataka i ograničenje broja zahtjeva.
- Forme i unos podataka – korisnički unos nikada se ne smije automatski smatrati sigurnim.
- Backup – sigurnosna kopija mora postojati odvojeno od produkcijskog sustava i mora se moći stvarno vratiti.
- Tajni ključevi – API ključevi, tokeni i lozinke ne smiju završiti u frontend kodu ili javnom repozitoriju.
- Logovi i upozorenja – sustav treba omogućiti otkrivanje neuobičajenih prijava, pogrešaka i pokušaja zloupotrebe.
- Vanjske integracije – treba znati koji servisi imaju pristup podacima i što se događa ako jedan od njih bude kompromitiran.
- Plan incidenta – mora biti poznato tko reagira, što se prvo izolira i iz kojeg se backupa sustav vraća.
| Kriterij | Slaba praksa | Sigurniji pristup | | -------- | ----------------------------- | ---------------------------------------- | | Admin | Jedna zajednička lozinka | Individualni računi i 2FA | | API | Endpoint je javno dostupan | Autorizacija i rate limiting | | Backup | Kopija na istom serveru | Odvojeni i testirani backup | | Ovlasti | Svi imaju puni pristup | Najmanje potrebne ovlasti | | Ključevi | Spremljeni u frontend kodu | Serverske varijable i secrets management | | Nadzor | Problem se vidi kad web padne | Logovi, monitoring i upozorenja |
Ranjivost dobavljača može postati vaša ranjivost
Vanjske komponente proširuju površinu napada čak i kada je vlastiti kod dobro napravljen. Verizon navodi da su proboji povezani s dobavljačima i drugim trećim stranama porasli 60% te su u njihovom skupu za 2026. bili uključeni u 48% proboja.
Poslovni web danas može koristiti payment gateway, CRM, email servis, analitiku, cloud storage, booking sustav, CDN, captcha servis, vanjski API i AI model. Svaka nova integracija rješava određeni problem, ali istodobno uvodi novu ovisnost.
Zbog toga pitanje nije samo „je li MID-ov kod siguran?”, nego i „što se događa ako kompromitiran bude servis s kojim sustav komunicira?”.
Dobra arhitektura ograničava posljedice. API token treba imati samo ovlasti koje su mu potrebne. Development okruženje ne treba imati pristup cijeloj produkcijskoj bazi. Integracija za slanje emaila ne treba automatski dobiti pristup podacima koji joj nisu potrebni.
Kod složenijih projekata unaprjeđenje poslovanja zato uključuje i pregled načina na koji web, administracija i vanjski servisi razmjenjuju informacije.
DDoS napadi postaju toliko veliki da ih običan server ne može zaustaviti
DDoS zaštita zahtijeva infrastrukturu izvan samog web servera. Cloudflare je u prvih šest mjeseci 2026. zaustavio 935 mrežnih DDoS napada većih od 1 Tbps, a između prvog i drugog kvartala broj takvih napada povećao se 519%.
ENISA je u svojem posljednjem Threat Landscape izvještaju analizirala 4.875 incidenata u EU te utvrdila da je DDoS činio približno 76,7% evidentiranih incidenata. Velik dio tog broja povezan je s haktivizmom i nije svaki takav napad imao ozbiljne posljedice, ali podatak pokazuje koliko su napadi na dostupnost postali uobičajeni.
To ne znači da svaki mali poslovni web treba skupu enterprise DDoS infrastrukturu. Znači da DNS, CDN, hosting i zaštitu od prevelikog broja zahtjeva treba planirati prije nego što nastane problem.
Za web shop, rezervacijski sustav ili aplikaciju koja je dio svakodnevnog poslovanja nedostupnost weba više nije samo estetski problem. Ona može zaustaviti prodaju, rezervacije ili rad zaposlenika.
Phishing i dalje ostaje najjednostavniji put do sustava
Ljudi ostaju važna meta čak i dok raste iskorištavanje tehničkih ranjivosti. ENISA navodi da je phishing, uključujući vishing, malspam i malvertising, činio oko 60% identificiranih početnih vektora kompromitacije u njihovom europskom skupu, dok je iskorištavanje ranjivosti činilo 21,3%.
Verizon i ENISA pritom ne proturječe jedan drugome. Izvještaji koriste različite skupove podataka i metodologije: Verizon analizira potvrđene proboje iz svojeg DBIR skupa, dok ENISA analizira širi europski krajolik incidenata. Upravo je zato korisno gledati oba podatka.
Napadači se također sele na telefon. Verizon za 2026. navodi da napadi društvenim inženjeringom preko mobilnih kanala, primjerice lažnim SMS porukama i telefonskim pozivima, postižu oko 40% veću stopu uspjeha od tradicionalnog email phishinga u njihovim podacima.
Za tvrtku to znači da sigurnost administratora ne završava jakom lozinkom. 2FA, kontrola sesija, jasne procedure i edukacija zaposlenika mogu biti jednako važni kao sigurnost koda.
Hrvatska je NIS2 već prenijela u svoje zakonodavstvo
Hrvatski Zakon o kibernetičkoj sigurnosti prenosi europsku NIS2 direktivu u nacionalno zakonodavstvo. Zakon je donesen 2024. i za ključne i važne subjekte propisuje upravljanje kibernetičkim rizicima te obveze povezane s prijavljivanjem značajnih incidenata.
To ne znači da je svaka mala tvrtka automatski obveznik NIS2 zahtjeva. Primjena ovisi o sektoru, veličini i drugim kriterijima propisanim Zakonom i Uredbom.
Promjena je ipak važna jer pokazuje kako kibernetička sigurnost prelazi iz čisto IT teme u temu upravljanja poslovnim rizikom. Tvrtke sve više moraju znati koje sustave koriste, tko im pristupa, gdje se nalaze podaci i što se događa nakon incidenta.
Kod modernog poslovnog weba u 2026. sigurnost zato treba promatrati zajedno s administracijom, integracijama, automatizacijama i infrastrukturom.
Sigurnost treba projektirati prije prvog napada
Tvrtka smanjuje rizik kada unaprijed pretpostavi da će se neka komponenta jednog dana pokvariti ili biti kompromitirana. Cilj nije izraditi matematički „neprobojan” sustav, jer takvo jamstvo ne postoji, nego ograničiti mogućnost napada i njegov potencijalni učinak.
Najvažnije pitanje zato nije ima li web SSL. Treba pitati koliko brzo se mogu zakrpati ranjivosti, može li kompromitirani račun pristupiti cijelom sustavu, postoje li upotrebljivi backupi, kako se štite API ključevi i može li se neuobičajeno ponašanje otkriti prije nego što korisnici prijave da nešto ne radi.
Na MID projektima arhitektura se može prilagoditi količini podataka, integracijama i stvarnim poslovnim rizicima pojedinog sustava. Jednostavna prezentacijska stranica i web aplikacija koja obrađuje klijente, rezervacije ili poslovne podatke ne trebaju isti sigurnosni model.