Ako primijetite nepoznatu transakciju, preuzeti korisnički račun ili ugovor sklopljen u vaše ime, ne čekajte da utvrdite cijeli tijek prijevare. Zaustavite financijsku štetu, zaštitite račune, sačuvajte dokaze i prijavite slučaj pravoj instituciji. Jedna prijava ne zamjenjuje sve ostale jer banka, policija, pružatelj usluge, CERT.hr i AZOP imaju različite uloge.
Ključne činjenice o krađi identiteta
- Krađa identiteta praktičan je naziv za pribavljanje ili uporabu tuđih podataka radi lažnog predstavljanja ili prijevare; pravna kvalifikacija ovisi o konkretnim radnjama.
- Poznavanje imena, OIB-a, adrese ili drugog osobnog podatka nije dokaz da je osoba legitimna. Takve podatke ne treba koristiti kao jedini faktor provjere identiteta.
- MFA znatno otežava preuzimanje računa, ali kod važnih računa prednost treba dati autentikaciji otpornoj na phishing gdje je dostupna.
- Rok od 72 sata iz GDPR-a obveza je voditelja obrade za određene povrede osobnih podataka; nije rok u kojem građanin mora podnijeti pritužbu AZOP-u.
- Kod financijske prijevare prvo se odmah javite banci, a zatim policiji. Kibernetički dio incidenta prijavljuje se CERT.hr-u kada je u njegovoj nadležnosti.
Što se smatra krađom identiteta
Identitet može biti zloupotrijebljen kada netko bez ovlasti koristi vaše identifikacijske, financijske ili pristupne podatke kako bi se predstavio kao vi, preuzeo račun, sklopio ugovor, naručio robu, zatražio kredit ili počinio drugo djelo.
| Scenarij | Primjer | Prvi rizik |
|---|---|---|
| Preuzimanje računa | Napadač se prijavljuje u e-poštu, društvenu mrežu ili uslugu u oblaku | Daljnje lažno predstavljanje i resetiranje drugih računa |
| Financijska prijevara | Neovlaštena kartična transakcija ili nalog za plaćanje | Izravni gubitak i novi pokušaji naplate |
| Zlouporaba dokumenta | Ugovor ili račun otvoren uz podatke ili presliku dokumenta žrtve | Dug, administrativni i dokazni problem |
| SIM zamjena | Broj se prenosi na karticu pod kontrolom napadača | Presretanje poziva i jednokratnih kodova |
| Sintetički identitet | Stvarni podaci kombiniraju se s izmišljenima | Prijevara se može otkriti tek nakon duljeg vremena |
| Poslovno lažno predstavljanje | Poruka „direktora” ili dobavljača traži hitnu uplatu | Financijska prijevara i kompromitacija poslovnih podataka |
Krađa podataka i krađa identiteta nisu isto. Povreda podataka može izložiti podatke bez dokazane zlouporabe, a krađa identiteta može nastati i bez povrede sustava, primjerice obmanom žrtve ili zlouporabom fizičkog dokumenta.
Kako napadači dolaze do podataka
Phishing, smishing i vishing
Lažna e-poruka, SMS ili poziv može tražiti lozinku, broj kartice, jednokratni kod, instaliranje aplikacije za udaljeni pristup ili „potvrdu” hitne transakcije. Policija u upozorenju o smishingu savjetuje da se ne otvaraju poveznice i ne dijele osobni, financijski ili sigurnosni podaci te da se moguća žrtva odmah javi banci i policiji.
Ponovna uporaba ukradenih vjerodajnica
Lozinka iz jednog incidenta iskušava se na drugim servisima. Jedinstvene lozinke i upravitelj lozinki ograničavaju lančano preuzimanje. Nakon promjene lozinke treba opozvati aktivne sesije, provjeriti metode oporavka i ukloniti nepoznate uređaje, ključeve ili pravila prosljeđivanja e-pošte.
Curenje podataka i uvjerljiviji izgovor
Podaci iz curenja često se koriste kako bi poziv ili poruka zvučali vjerodostojno. Nacionalni CERT upozorava da napadač može navesti stvarne osobne informacije, a zatim tražiti lozinku, financijske podatke ili drugu radnju. To što pozivatelj nešto zna o vama ne potvrđuje njegov identitet.
Deepfake i generativni sadržaj
Sintetički glas, video ili gramatički uredna poruka uklanjaju neke tradicionalne znakove prijevare. Ne postoji pouzdan „test pogleda” za svaki deepfake. Za isplatu, promjenu računa dobavljača ili resetiranje visokorizičnog pristupa koristite drugi, unaprijed poznat kanal i postupak s dvije ovlaštene osobe.
Znakovi da je identitet možda zloupotrijebljen
- transakcija, račun, dug ili ugovor koji ne prepoznajete;
- upozorenje o prijavi, promjeni lozinke ili MFA metode koju niste pokrenuli;
- prestanak rada SIM kartice bez objašnjenja;
- poruke poslane s vašeg računa bez vašeg znanja;
- novo pravilo prosljeđivanja e-pošte ili izmijenjeni podaci za oporavak;
- odbijanje legitimne usluge zbog aktivnosti ili obveze koju niste stvorili;
- poznanici ili poslovni partneri primaju neuobičajene zahtjeve „od vas”.
Jedan znak nije uvijek dokaz prijevare, ali je razlog za provjeru službenim kanalom.
Što građanin treba učiniti
1. Zaustavite neposrednu štetu
Ako su pogođeni kartica, račun ili mobilno bankarstvo, odmah nazovite banku na broj iz službene aplikacije, kartice ili mrežne stranice. Zatražite blokadu odgovarajućeg instrumenta, provjeru transakcija i upute za osporavanje. Ako je nestao mobilni signal ili sumnjate na SIM zamjenu, istodobno kontaktirajte operatora.
2. Zaštitite digitalne račune
S poznato čistog uređaja promijenite kompromitiranu lozinku, zatim sve račune na kojima je ista lozinka ponovljena. Odjavite druge sesije, uključite MFA, provjerite oporavak računa, povezane aplikacije, filtre e-pošte i nedavne aktivnosti. Za poslovni račun odmah uključite IT ili sigurnosni tim.
3. Sačuvajte dokaze
Sačuvajte izvornu poruku sa zaglavljima, telefonski broj, URL, potvrde transakcija, vrijeme događaja, snimke zaslona i komunikaciju s pružateljima usluga. Ne šaljite osjetljive dokaze javno i ne uređujte izvorne datoteke ako mogu biti važne istrazi.
4. Prijavite prema vrsti slučaja
| Kome | Kada se obratiti | Što očekivati |
|---|---|---|
| Banka ili pružatelj plaćanja | Financijski podaci ili transakcija su ugroženi | Blokada, provjera i postupak osporavanja prema uvjetima usluge |
| Policija | Sumnjate na prijevaru, neovlaštenu uporabu podataka, prijetnju ili drugo kazneno djelo | Zaprimanje prijave i procjena daljnjeg postupanja |
| Izdavatelj dokumenta / MUP | Dokument je izgubljen, ukraden ili zloupotrijebljen | Postupak prema aktualnim pravilima za dokument i certifikate |
| Pružatelj računa ili operator | Preuzet je račun, broj ili usluga | Opoziv pristupa, povrat računa i čuvanje relevantnih zapisa |
| CERT.hr | Incident ulazi u nadležnost Nacionalnog CERT-a, primjerice phishing povezan s hrvatskim internetskim prostorom | Koordinacija tehničkog incidenta; prijava treba sadržavati izvorne tehničke podatke |
| AZOP | Smatrate da je organizacija povrijedila vaše pravo na zaštitu osobnih podataka | Zahtjev za utvrđivanje povrede prava; to nije isto što i prijava kaznenog djela |
5. Pratite posljedice
Provjeravajte izvode i sigurnosne obavijesti, evidentirajte nove pokušaje, upozorite relevantne kontakte ako se napadač predstavlja kao vi te čuvajte kronologiju poduzetih radnji. Trajanje oporavka ovisi o vrsti prijevare; nije moguće unaprijed obećati jedinstven rok.
Zaštita za građane
- Koristite jedinstvenu lozinku za svaki važan račun i pouzdan upravitelj lozinki.
- Uključite MFA; za e-poštu, administraciju i financijske procese birajte phishing-otpornu metodu kada je usluga podržava.
- Ne odobravajte neočekivani MFA zahtjev i nikome ne diktirajte jednokratni kod.
- Plaćanja i hitne zahtjeve provjerite pozivom na ranije poznat broj, ne broj iz poruke.
- Ograničite javnu objavu podataka koji napadaču olakšavaju uvjerljiv izgovor.
- Redovito ažurirajte podržane uređaje i aplikacije.
- Uključite obavijesti o transakcijama i novim prijavama.
- Presliku dokumenta dajte samo kada postoji opravdana svrha i siguran kanal; zabilježite kome i zašto je dana.
Obveze i kontrole za organizacije
Organizacija treba smanjiti količinu podataka koji se mogu zloupotrijebiti i otežati da jedan kompromitirani račun postane potpuna kompromitacija identiteta.
- Minimizacija i rokovi čuvanja: ne prikupljajte identifikacijske podatke „za svaki slučaj” i brišite ih prema utvrđenom roku.
- Pouzdana provjera identiteta: osobni podaci koje korisnik navede nisu sami po sebi autentikacija. Posebno zaštitite oporavak računa i promjene kontakata.
- Upravljanje pristupom: najmanje privilegije, odvojeni administratorski računi, redoviti pregled ovlasti i brzo ukidanje pristupa.
- Snažna autentikacija: MFA za udaljeni i privilegirani pristup, uz phishing-otporne autentikatore za visokorizične račune gdje je izvedivo.
- Detekcija zlouporabe: nadzor neuobičajenih prijava, promjena MFA metode, masovnog izvoza i pravila e-pošte.
- Otporni poslovni procesi: dvostruka potvrda promjene računa za uplatu, isplate i resetiranja važnog pristupa.
- Plan odgovora: unaprijed odredite tko opoziva sesije, čuva zapise, procjenjuje povredu osobnih podataka i komunicira s pogođenim osobama.
Za procjenu zaštite osobnih podataka, procesa prijave i tehničko-organizacijskih mjera pogledajte usluge zaštite podataka.
GDPR i NIS2: različiti pragovi
Prema članku 33. GDPR-a, voditelj obrade prijavljuje povredu osobnih podataka nadzornom tijelu bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja, osim ako nije vjerojatno da će povreda prouzročiti rizik za prava i slobode pojedinaca. Izvršitelj obrade obavještava voditelja bez nepotrebnog odgađanja. Prema članku 34., pogođene osobe obavještavaju se bez nepotrebnog odgađanja kada je vjerojatan visok rizik, uz zakonske iznimke.
Ti zahtjevi ne znače da se svaka krađa identiteta automatski prijavljuje AZOP-u od strane tvrtke. Potrebno je utvrditi je li nastala povreda osobnih podataka i procijeniti rizik. Organizacija mora dokumentirati i povrede koje nakon procjene ne prijavi.
NIS2/Zakon o kibernetičkoj sigurnosti ima drugi predmet i prag. Ako je organizacija ključni ili važni subjekt i incident je značajan, mogu se primjenjivati rano upozorenje u 24 sata, početna obavijest u 72 sata i završno izvješće u 30 dana od početne obavijesti. Isti događaj može aktivirati oba režima, ali jedna prijava u pravilu ne zamjenjuje drugu.
Česta pitanja
Trebam li promijeniti sve lozinke?
Odmah promijenite kompromitiranu lozinku i sve račune na kojima je ponovljena. Masovna promjena svih lozinki bez prioriteta može otežati odgovor. Prvo zaštitite e-poštu, financije, upravitelja lozinki i račune za oporavak drugih usluga.
Je li dovoljno uključiti SMS kod?
Bolje je od same lozinke, ali nije otporno na svaku vrstu phishinga ili SIM zamjene. Za visokorizične račune koristite FIDO/WebAuthn autentikator ili drugu phishing-otpornu metodu ako je dostupna.
Prijavljuje li građanin povredu podataka AZOP-u u 72 sata?
Ne. Rok iz članka 33. GDPR-a odnosi se na voditelja obrade. Građanin koji smatra da mu je povrijeđeno pravo može AZOP-u podnijeti zahtjev za utvrđivanje povrede prava, neovisno o tom operativnom roku za voditelja.
Trebam li vjerovati pozivatelju koji zna moj OIB i adresu?
Ne samo na toj osnovi. Prekinite kontakt i sami nazovite instituciju na broj sa službene stranice ili dokumenta. Ne koristite kontakt koji vam je pozivatelj upravo dao.
Povezani vodiči
- Phishing napadi: prepoznavanje i zaštita
- Kibernetički napadi: vrste i zaštita
- Upravljanje kibernetičkim incidentima
Izvori i pregled
Sadržaj je stručno pregledan 8. kolovoza 2026. prema sljedećim primarnim i službenim izvorima:
- Nacionalni CERT — savjeti nakon curenja podataka
- Ravnateljstvo policije — postupanje kod smishinga i krađe osjetljivih podataka
- AZOP — izvješćivanje o povredi osobnih podataka
- gov.hr — zahtjev za utvrđivanje povrede prava na zaštitu osobnih podataka
- Opća uredba o zaštiti podataka — članci 33. i 34.
- NIST SP 800-63B-4 — Authentication and Authenticator Management
Ovaj vodič daje opće sigurnosne i regulatorne informacije. Bankovni, kazneni, potrošački i podatkovni postupci ovise o činjenicama pojedinog slučaja.
Robert Lozo, mag. iur., partner je u Vision Complianceu specijaliziran za usklađenost s EU regulativom. Savjetuje organizacije o GDPR-u, NIS2, AI Actu i financijskoj regulativi te izrađuje dokumentaciju spremnu za reviziju i planove usklađenosti u reguliranim industrijama.