Slučaj kibernetičkog napada na aplikaciju HZMO Live dobio je novu institucionalnu potvrdu i važan regulatorni okvir. Nacionalni centar za kibernetičku sigurnost (NCSC-HR) u odgovoru na upit ICTbusiness Media – ICTbusiness.info potvrđuje da je Hrvatski zavod za mirovinsko osiguranje obveznik Zakona o kibernetičkoj sigurnosti te da je incident prijavio kao značajan, u zakonski predviđenom roku i putem PiXi platforme. Time je potvrđeno da se incident obrađuje unutar formalnog nacionalnog sustava kibernetičke sigurnosti.
NCSC-HR pritom ne ulazi u tehničke detalje napada niti zasad odgovara na pitanje postoji li povezanost s drugim incidentima koji su posljednjih mjeseci pogađali hrvatske institucije, jer istraga još traje. U njihovu odgovoru stoji:
„Hrvatski zavod za mirovinsko osiguranje (HZMO), kao obveznik ZKS-a, prijavio značajan kibernetički incident u zakonski predviđenom roku putem PiXi platforme. Odmah po prijavi značajnog incidenta ostvarena je bliska suradnja između nadležnih tijela i samog subjekta te je pokrenuta opsežna analiza incidenta. S obzirom na to da je istraga u tijeku, u ovome trenutku nije moguće podijeliti više informacija o samom incidentu niti njegovoj eventualnoj povezanosti s drugim incidentima.“
Ta potvrda nadovezuje se na objavu HZMO-a da je 19. kolovoza 2026. zabilježen kibernetički napad na aplikaciju HZMO Live – korisnički centar za zaprimanje i odgovaranje na upite korisnika. HZMO je objavio da je aktivirao sigurnosne i forenzičke procedure te da je u tijeku detaljna forenzička analiza. Prema dosadašnjim nalazima Zavoda, temeljni informacijski sustav nije zahvaćen, poslovni procesi odvijaju se nesmetano, a isplata mirovina i ostvarivanje prava nisu dovedeni u pitanje.
Incident je u javnost dospio nakon tvrdnji INF Grupe da raspolaže bazom s približno 105.000 zapisa hrvatskih građana, navodno povezanih s HZMO-om. Prema tvrdnjama napadača, među podacima su imena i prezimena, OIB-i, telefonski brojevi i adrese elektroničke pošte. Ni HZMO ni NCSC-HR zasad nisu potvrdili da javno objavljena baza doista potječe iz napadnute aplikacije ili drugih sustava Zavoda.
Odgovor NCSC-HR-a razjašnjava i pitanje nadležnosti. Nacionalni CERT ranije je za ICTbusiness Media – ICTbusiness.info naveo da nije nadležan za obradu kibernetičkih incidenata u informacijskim sustavima tijela javne vlasti te je za takve slučajeve uputio na NCSC-HR. Nacionalni centar sada pojašnjava zakonski okvir:
„Zakonom o kibernetičkoj sigurnosti (ZKS) propisani su zahtjevi za postizanje visoke razine kibernetičke sigurnosti za kategorizirane subjekte iz sektora visoke kritičnosti i drugih kritičnih sektora. Kategorizirani subjekti obvezni su provoditi odgovarajuću razinu mjera upravljanja kibernetičkim sigurnosnim rizicima i prijavljivati značajne kibernetičke incidente.“
„Prilogom III. ZKS-a utvrđene su nadležnosti u pojedinim sektorima. Za subjekte iz javnog sektora nadležno tijelo za provedbu zahtjeva kibernetičke sigurnosti je Ured Vijeća za nacionalnu sigurnost (UVNS), dok je nadležno CSIRT tijelo Nacionalni centar za kibernetičku sigurnost (NCSC-HR).“
Paralelno s kibernetičkom istragom, Agencija za zaštitu osobnih podataka pokrenula je po službenoj dužnosti nadzorno postupanje nad HZMO-om zbog informacija o mogućoj javnoj objavi osobnih podataka. AZOP je za ICTbusiness Media – ICTbusiness.info naveo da u trenutku odgovora nije zaprimio izvješće o predmetnoj povredi od HZMO-a ili drugog tijela. GDPR obvezu prijave veže uz trenutak kada voditelj obrade sazna da je došlo do povrede osobnih podataka, pa će forenzički nalazi biti važni i za regulatorni dio slučaja.
Nacionalni CERT, iako nije nadležan za sam incident, upozorio je i na posljedice ako se potvrdi objava osobnih podataka. Kombinacija OIB-a, telefonskog broja, e-mail adrese i drugih identifikacijskih podataka može povećati uvjerljivost phishinga, smishinga, telefonskih prijevara i drugih oblika socijalnog inženjeringa.
NCSC-HR u odgovoru širi fokus s konkretnog incidenta na stanje kibernetičke sigurnosti u Hrvatskoj i mjere koje provodi prema obveznicima Zakona, ali i subjektima koji njime nisu obuhvaćeni:
„Općenito, NCSC-HR, sa središnjom ulogom u sustavu upravljanja kibernetičkom sigurnošću u Republici Hrvatskoj, kontinuirano potiče primjenu mjera kibernetičke zaštite i za subjekte koji nisu obveznici ZKS-a. U tu svrhu objavljuje Prioritetne preporuke za zaštitu od kibernetičkih napada, izdaje sigurnosna upozorenja o ranjivostima i prijetnjama te u svojim Kvartalnim pregledima implementacije Zakona o kibernetičkoj sigurnosti analizira aktualne trendove.“
Centar iz najnovijih analiza izvodi i širu sigurnosnu poruku. Broj prijetnji i napada raste, a uz ransomware kao trajno ozbiljan problem posebno se izdvajaju državno-sponzorirani napadi i napadi putem lanca opskrbe:
„U kvartalnim pregledima, NCSC-HR upozorava na porast broja kibernetičkih prijetnji i napada. U najnovijim kvartalnim pregledima iz prvog i drugog kvartala 2026. godine istaknuto je kako analize aktualnih incidenata pokazuju da ransomware (ucjenjivački) napadi i dalje predstavljaju značajnu prijetnju kritičnim sektorima, ali je zabilježen i porast ukupnog broja napada, a posebno državno-sponzoriranih kibernetičkih napada i napada putem lanca opskrbe usmjerenih prema subjektima iz Republike Hrvatske. Također, istaknuto je kako je tek manji broj zabilježenih kibernetičkih napada više razine sofisticiranosti, dok je većina ostalih napada oportunističke prirode u kojima su iskorištene pogreške i propusti u konfiguraciji i održavanju mrežnih i informacijskih sustava.“
Važno je pritom ne poistovjetiti tu opću procjenu s uzrokom napada na HZMO. NCSC-HR nije objavio podatak o vektoru kompromitacije HZMO Livea niti je ovaj incident kvalificirao kao oportunistički, državno-sponzoriran ili napad putem lanca opskrbe.
NCSC-HR dodatno navodi:
„Također, NCSC-HR redovito šalje upozorenja o ranjivostima, kompromitiranim lozinkama i infrastrukturi te drugim kibernetičkim prijetnjama. Ovisno o konkretnoj prijetnji, upozorenja se šalju izravno subjektima kojima je to relevantno ili se, uz to, objavljuju i na mrežnim stranicama.“
Posebno snažna poruka odnosi se na osnovne sigurnosne mjere. Centar upozorava da velik dio uspješnih oportunističkih napada koristi propuste u konfiguraciji i održavanju koji se mogu ukloniti osnovnom razinom zaštite:
„NCSC-HR, također, neprekidno naglašava da se čak i provedbom osnovne razine mjera kibernetičke zaštite ili prioritetnih preporuka za zaštitu od kibernetičkih napada, može spriječiti ili značajno ublažiti učinak većine napada. Analize prijavljenih incidenata pokazuju kako gotovo niti jedan oportunistički kibernetički napad ne bi bio uspješan da je bila provedena osnovna razina mjera kibernetičke sigurnosti.“
Pravodobna prijava incidenta drugi je ključni dio obrane. U slučaju HZMO-a NCSC-HR je potvrdio da je prijava stigla u zakonski predviđenom roku, a u širem kontekstu poručuje:
„Provedba mjera kibernetičke sigurnosti prvi je korak kako bi se kibernetički incidenti izbjegli ili kako bi se umanjio njihov učinak, no ako ipak dođe do incidenta, od iznimne važnosti je isti na vrijeme prijaviti nadležnim tijelima. Prijava incidenata je obvezna za obveznike ZKS-a, no i ostale pravne i fizičke osobe pozvane su činiti isto. Stoga je pokrenuta i informacijska kampanja podizanja svijesti o važnosti prijave kibernetičkih incidenata.“
Više informacija o kampanji dostupno je na poveznici: https://prijavi-incident.carnet.hr/
Odgovor donosi i dodatne informacije o sustavu SK@UT, jednom od nacionalnih mehanizama za otkrivanje prijetnji i izravnu suradnju subjekata s nadležnim CSIRT-om:
„Što se tiče sustava SK@UT, on je prema ZKS-u jedan od dobrovoljnih mehanizama kibernetičke zaštite koji subjektima omogućava izravnu suradnju sa CSIRT-om. Sustav SK@UT je nacionalni sustav za otkrivanje kibernetičkih prijetnji i zaštitu kibernetičkog prostora putem distribuirane mreže senzora i alata za kibernetičku zaštitu. Sustav SK@UT predstavlja nacionalni „kibernetički kišobran“ koji trenutno štiti više od 120 državnih tijela, operatora kritične infrastrukture i pravnih osoba od posebnog interesa za Republiku Hrvatsku.“
Podatak da SK@UT štiti više od 120 državnih tijela, operatora kritične infrastrukture i pravnih osoba od posebnog interesa pokazuje razmjere nacionalnog sustava zaštite. Istodobno, podaci prikupljeni tijekom 2026. upućuju na rast dijela najozbiljnijih prijetnji. NCSC-HR navodi:
„Neovisno o ovom konkretnom napadu, u najnovijem Kvartalnom pregledu implementacije ZKS-a navedeno je kako je sustavom SK@UT u 2026. godini zabilježen značajan porast broja državno-sponzoriranih kibernetičkih napada prema ciljevima u Republici Hrvatskoj.“
Ni taj podatak ne znači da je napad na HZMO pripisan državno sponzoriranom akteru. NCSC-HR takvu povezanost nije potvrdio, niti je potvrdio da INF Grupa, koja je objavila tvrdnje o 105.000 zapisa, doista stoji iza tehničkog prodora u HZMO Live.
Trenutačno se mogu razdvojiti tri potvrđene razine slučaja. HZMO je potvrdio kibernetički napad na HZMO Live i tvrdi da temeljni informacijski sustav nije zahvaćen. NCSC-HR potvrđuje da je HZMO kao obveznik ZKS-a incident prijavio kao značajan i u zakonskom roku te da je pokrenuta opsežna analiza uz blisku suradnju nadležnih tijela i Zavoda. AZOP je zasebno otvorio nadzor zbog moguće povrede osobnih podataka.
Najvažnije pitanje još nema službeni odgovor: jesu li tijekom napada izneseni osobni podaci i može li se baza od približno 105.000 zapisa koju je objavila INF Grupa forenzički povezati s HZMO-om. Dok istraga traje, NCSC-HR ne objavljuje tehničke detalje ni moguću povezanost s drugim incidentima. Rezultati analize trebali bi pokazati stvarni opseg kompromitacije.
To ne znači da je napad na HZMO pripisan državno-sponzoriranom akteru. NCSC-HR nije potvrdio tko je izveo napad niti je INF Grupu, koja tvrdi da je objavila oko 105.000 zapisa, tehnički povezao s prodorom u HZMO Live. Bez forenzičkih tragova takvu atribuciju nije moguće pouzdano napraviti.
Širi kontekst dodatno pojačava ozbiljnost slučaja. INF Grupa ranije je tvrdila da raspolaže podacima približno 86.000 osoba iz hrvatskog pravosudnog sustava, a tijekom svibnja povezivala se i s napadom na mrežne stranice Ministarstva rada, mirovinskoga sustava, obitelji i socijalne politike. U tim slučajevima nije potvrđena kompromitacija baza u opsegu koji su tvrdili napadači.
Policija je 30. srpnja izvijestila i o dovršenom kriminalističkom istraživanju nad punoljetnim državljaninom Srbije zbog sumnje u teška kaznena djela protiv računalnih sustava i nedozvoljenu uporabu osobnih podataka. Kako pogođene institucije nisu imenovane, taj slučaj nije moguće službeno povezati s INF Grupom ni s HZMO-om.
Potvrđene su tako tri razine slučaja: HZMO je potvrdio napad na HZMO Live i navodi da temeljni sustav nije zahvaćen; NCSC-HR potvrđuje pravodobnu prijavu značajnog incidenta i opsežnu analizu; AZOP je otvorio nadzor zbog moguće povrede osobnih podataka. Ključno otvoreno pitanje ostaje jesu li podaci izneseni i može li se objavljena baza forenzički povezati s HZMO-om.
