Hakerski upad u hrvatske institucije vodi u Novi Sad
Hrvatska policija tereti 33-godišnjeg državljanina Srbije za neovlašćene upade u sisteme MUP-a, Ministarstva finansija, HZZO-a i HZMO-a, a trag vodi do novosadske firme za sajber bezbednost.
Hakerski upad u hrvatske institucije, zbog kojeg je krajem jula uhapšen jedan državljanin Srbije, od danas ima ime i poslovnu adresu koja vodi u Novi Sad. Zagrebački Index objavio je 6. avgusta da je reč o Georgiju V. (33), vlasniku novosadske firme Elite Security Systems, registrovane 2022. godine za delatnost računarskog programiranja. Za Srbiju ovo nije udaljena crna hronika iz susedstva: osumnjičeni je naš državljanin, njegova firma posluje ovde, a krivična prijava je već na stolu Županijskog državnog odvjetništva u Zagrebu.
Šta je policija saopštila
Zvanično je o slučaju objavljeno malo. Ravnateljstvo policije saopštilo je da su policijski službenici Službe kibernetičke sigurnosti Uprave kriminalističke policije završili kriminalističko istraživanje nad punoletnim državljaninom Republike Srbije, koji se tereti za teška krivična dela protiv računarskih sistema, programa i podataka, kao i za nedozvoljenu upotrebu ličnih podataka.
“Osnovano se sumnja da je osumnjičenik neovlašteno pristupao računalnim sustavima više pravnih osoba i tijela javne vlasti. Na temelju sudskih naloga provedene su pretrage prostora, vozila i elektroničkih uređaja te su izuzeti predmeti i digitalni podaci koji se dovode u vezu s počinjenjem kaznenih djela”, navedeno je u policijskom saopštenju.
Osumnjičeni je 29. jula u zakonskom roku predan pritvorskom nadzorniku. Policija je saopštila i da se istraživanje nastavlja radi utvrđivanja svih okolnosti slučaja, što znači da spisak meta i obim odnetih podataka još nisu zaključeni.
Šest sistema i trag preko Švedske i Belizea
Prema onome što je objavljeno, upadi su počeli početkom aprila 2026. godine, a hrvatski MUP je tek sredinom aprila otkrio da mu je neko ušao u računarski sistem. Do sada je kao pogođeno navedeno šest institucija:
- MUP Republike Hrvatske
- Ministarstvo finansija
- HZZO, hrvatski zavod za zdravstveno osiguranje
- HZMO, zavod za penzijsko osiguranje
- HAKOM, regulator za telekomunikacije
- REGOS, registar osiguranika
Rekonstruisano je da je korisnik koji je pristupao tim sistemima išao preko servera u Švedskoj i Belizeu, uz internet adrese u Srbiji. Da li je prikupljene podatke nekome prosledio ili prodao, još nije potvrđeno, kao ni javno iznesena nagađanja da je iza upada stajala neka služba. Sve dok istraga to ne utvrdi, to su nagađanja i tako ih treba čitati.
Skup pogođenih institucija je ono što ovaj slučaj čini ozbiljnijim od uobičajenog defejsa sajta. HZZO i HZMO drže zdravstvene i penzijske evidencije praktično celog stanovništva, REGOS vodi podatke o osiguranicima drugog stuba, a MUP-ova baza je najosetljivija koju jedna država ima. Kvalifikacija nedozvoljene upotrebe ličnih podataka u prijavi upravo na to i upućuje.
Gde prestaje etičko hakovanje?
Firma iz Novog Sada, prema sopstvenoj prezentaciji, bavi se penetracionim testiranjem i pronalaženjem sigurnosnih propusta u veb i mobilnim aplikacijama, API sistemima, računarskom oblaku i sistemima veštačke inteligencije, kao i takozvanim red-tim operacijama kojima se simuliraju stvarni sajber napadi. Njegov rad ima i trag u međunarodnim evidencijama ranjivosti: Red Hat ga je naveo među istraživačima koji su otkrili i odgovorno prijavili ranjivost CVE-2026-4366 u platformi Keycloak, koja se koristi za upravljanje identitetima i pristupom. Bila je to ranjivost tipa SSRF, koja je u određenim okolnostima mogla omogućiti da kompromitovani server dođe do internih mrežnih resursa.
Testiranje probojnosti tuđeg sistema nije nezakonito samo po sebi, ali je zakonito jedino kada ga naruči institucija ili firma koja želi da proveri sopstvenu odbranu. Ceo spor u ovom predmetu staje u tu jednu razliku: postoji li nalog, ili ga nema.
Raniji talas i ono što se s njim ne sme spojiti
Krajem maja i početkom juna Hrvatsku je pogodio niz manjih incidenata. Sajt Ministarstva rada, mirovinskoga sustava, obitelji i socijalne politike bio je nakratko preuzet i na njemu je osvanula političko-nacionalistička poruka, koju je ostavila grupa predstavljena kao INF Grupa, a ta grupa je navodno uzela i bazu članova GNK Dinama. Portal Bug navodi da se uhapšeni sumnjiči za neke od tih slučajeva, ali to ostaje sumnja, a ne stavka iz policijskog saopštenja. Zvanično potvrđena lista meta je onih šest institucija.
Za Beograd i Zagreb ovo je test saradnje u oblasti u kojoj je do sada bilo malo zajedničkog rada. Hrvatski postupak vodi se protiv čoveka koji živi i posluje u Srbiji, pa svaka sledeća faza, od dokaza sa oduzetih uređaja do eventualnog suđenja, traži pravnu pomoć preko granice. Do pravosnažne presude Georgije V. je osumnjičeni i ništa više, a naredni korak je odluka zagrebačkog tužilaštva o tome hoće li podići optužnicu.
