HZMO potvrdio kibernetički napad na aplikaciju HZMO Live

Hrvatski zavod za mirovinsko osiguranje potvrdio je da je 19. kolovoza 2026. zabilježen kibernetički napad na aplikaciju HZMO Live, korisnički centar koji služi za zaprimanje i odgovaranje na upite korisnika. Time je prvi put službeno potvrđeno da je u informacijskom okruženju Zavoda doista zabilježena aktivnost koju HZMO kvalificira kao kibernetički napad. Istodobno, još nema potvrde da su osobni podaci 105.000 hrvatskih građana, koje je skupina INF Grupa objavila tvrdeći da potječu iz HZMO-a, doista preuzeti upravo tijekom tog incidenta.

HZMO navodi da je nakon otkrivanja aktivnosti tipičnih za kibernetički napad odmah aktivirao propisane sigurnosne i forenzičke procedure. U tijeku je detaljna analiza incidenta, a paralelno se provode sigurnosne mjere kojima bi trebalo utvrditi sve okolnosti napada i omogućiti sigurnu ponovnu uspostavu rada aplikacije HZMO Live.

Prema dosadašnjim nalazima Zavoda, napad nije zahvatio njegov temeljni informacijski sustav. To je posebno važna informacija jer HZMO preko svojih informacijskih sustava obrađuje podatke potrebne za ostvarivanje prava iz mirovinskog osiguranja i isplatu mirovina. Zavod tvrdi da se poslovni procesi odvijaju bez prekida te da isplata mirovina i ostvarivanje prava osiguranika i korisnika nisu dovedeni u pitanje.

Potvrda napada, međutim, još ne daje odgovor na ključno pitanje – jesu li napadači uspjeli doći do osobnih podataka korisnika aplikacije i, ako jesu, u kojem opsegu. HZMO u objavljenoj obavijesti nije potvrdio curenje podataka niti je povezao incident s bazom od 105.000 zapisa koju je INF Grupa objavila na internetu. Upravo bi forenzička analiza trebala pokazati kojim su dijelovima aplikacije napadači eventualno pristupili, koliko su dugo imali pristup, jesu li podatke preuzimali te postoji li tehnička poveznica između napada i javno objavljene baze.

Slučaj je u međuvremenu dobio i regulatornu dimenziju. Agencija za zaštitu osobnih podataka pokrenula je po službenoj dužnosti nadzorno postupanje nad HZMO-om kako bi utvrdila činjenice povezane s informacijama o mogućem hakerskom napadu i javnoj objavi osobnih podataka hrvatskih građana.

Kako su za ICTbusiness Media – ICTbusiness.info potvrdili iz AZOP-a, nadzor je pokrenut zbog navoda koji su se pojavili u medijima i na internetu, a povezuju kompromitirane podatke s HZMO-om kao voditeljem obrade.

„Agencija za zaštitu osobnih podataka pokrenula je nadzorno postupanje po službenoj dužnosti nad HZMO-om, kako bi se utvrdile sve relevantne informacije glede iskazanog u medijima i Internet prostoru o navodnom hakerskom napadu i posljedičnoj javnoj objavi osobnih podataka hrvatskih građana, a koje se povezuje s HZMO-om kao voditeljem obrade“, naveli su iz AZOP-a.

Agencija je u odgovoru ICTbusiness Media – ICTbusiness.info navela i da do tog trenutka nije zaprimila izvješće HZMO-a ili nekog drugog tijela o predmetnoj povredi osobnih podataka. To samo po sebi još ne znači da je prekršen GDPR jer se rok za prijavu ne računa od trenutka kada je informacija o mogućem incidentu objavljena u medijima, nego od trenutka kada voditelj obrade utvrdi da je došlo do povrede osobnih podataka.

Prema članku 33. Opće uredbe o zaštiti podataka, voditelj obrade mora bez nepotrebnog odgađanja, a gdje je izvedivo najkasnije 72 sata nakon saznanja za povredu, o njoj izvijestiti nadzorno tijelo, osim ako nije vjerojatno da će povreda predstavljati rizik za prava i slobode pojedinaca. Ako povreda može izazvati visok rizik za građane, članak 34. GDPR-a predviđa i njihovo izravno obavještavanje.

Zato će za daljnji razvoj slučaja biti presudno utvrditi ne samo je li napad na HZMO Live doveo do kompromitacije osobnih podataka nego i kada je Zavod raspolagao s dovoljno informacija da bi incident mogao kvalificirati kao povredu osobnih podataka.

Cijeli slučaj počeo je nakon što je INF Grupa objavila da raspolaže bazom od približno 105.000 zapisa hrvatskih građana za koje tvrdi da potječu iz HZMO-a. Prema informacijama koje je skupina objavila, zapisi uključuju imena i prezimena, OIB-e, brojeve telefona i adrese elektroničke pošte. Napadači su tvrdili da su podatke javno objavili bez zahtjeva za otkupninom.

U trenutku prvih medijskih objava HZMO nije potvrđivao sigurnosni incident. Situacija se sada promijenila: Zavod službeno potvrđuje da je 19. kolovoza zabilježen kibernetički napad, ali ga zasad precizno ograničava na aplikaciju HZMO Live i naglašava da temeljni informacijski sustav prema dosadašnjim nalazima nije zahvaćen.

Sama činjenica da je na internetu objavljena baza koja sadrži stvarne osobne podatke ne može biti dokaz da je ona preuzeta iz HZMO-a niti da je nastala upravo ovim napadom. Potrebno je usporediti objavljene zapise s podacima kojima raspolaže Zavod, utvrditi njihov izvor i starost te analizirati tehničke tragove napada. Moguće je tek nakon takve provjere zaključiti je li riječ o novoj eksfiltraciji, kombinaciji podataka iz različitih izvora ili ponovnoj objavi starijih baza.

Ako se, međutim, potvrdi da su iz aplikacije ili drugih sustava HZMO-a doista izneseni OIB-i, telefonski brojevi, e-mail adrese i druga identifikacijska dokumentacija, posljedice incidenta neće završiti tehničkom sanacijom sustava. Kombinacija takvih podataka može biti vrijedna za ciljane phishing i vishing prijevare, pokušaje krađe identiteta i druge oblike socijalnog inženjeringa.

Posebnu pozornost privlači i činjenica da se INF Grupa posljednjih mjeseci povezuje s više tvrdnji o napadima na hrvatska tijela državne uprave. Skupina je ranije tvrdila da raspolaže podacima iz hrvatskog pravosudnog sustava, dok se tijekom svibnja povezivala i s napadom na mrežne stranice Ministarstva rada, mirovinskoga sustava, obitelji i socijalne politike. U tim slučajevima hrvatske institucije nisu potvrdile kompromitaciju baza podataka u opsegu kakav su tvrdili napadači.

Potvrda napada na HZMO Live zato predstavlja važan pomak u odnosu na početnu fazu slučaja, ali još ne potvrđuje najteži dio tvrdnji napadača. Sada je službeno poznato da se kibernetički incident dogodio i da je zahvatio konkretnu aplikaciju. Tek rezultati forenzičke analize i AZOP-ova nadzora trebali bi odgovoriti na mnogo važnije pitanje: jesu li tijekom tog napada kompromitirani osobni podaci građana i je li javno objavljena baza od 105.000 zapisa doista povezana s HZMO-om.