Krađa identiteta i podataka: što učiniti i kome prijaviti

Krađa identiteta je neovlašteno pribavljanje i korištenje tuđih osobnih podataka (imena, OIB-a, osobne iskaznice, podataka s kartice ili pristupnih podataka za internetsko bankarstvo) radi lažnog predstavljanja, prijevare ili stjecanja koristi. Hrvatski Kazneni zakon nema posebno kazneno djelo pod tim nazivom. Ovisno o tome što je počinitelj učinio, primjenjuju se odredbe o nedozvoljenoj uporabi osobnih podataka, prijevari, računalnoj prijevari, neovlaštenom pristupu i krivotvorenju isprave.

Ako ste žrtva, prvo nazovite banku i blokirajte kartice i internetsko bankarstvo, zatim prijavite događaj policiji na 192 ili u policijskoj postaji. Ovaj vodič prikazuje stanje na 4. studenoga 2026.

Ukratko

• U 2025. policija je evidentirala 2.161 kazneno djelo kibernetičkog kriminaliteta, od toga 1.656 računalnih prijevara (Statistički pregled MUP-a za 2025.).
• Šteta od kibernetičkih kaznenih djela u 2025. iznosila je 20.840.868 eura, 22,78 % više nego 2024. (Izvješće o radu policije za 2025.).
• Nacionalni CERT obradio je 2025. 1.513 incidenata, od toga 478 phishing napada.
• Za neautoriziranu transakciju platitelj odgovara najviše do 50 eura, osim kod prijevarnog postupanja ili krajnje nepažnje. Banci se javljate bez odgađanja, a najkasnije u roku od 13 mjeseci (Zakon o platnom prometu).
• Nestanak osobne iskaznice prijavljujete policiji bez odgode. Iskaznica se tada vodi kao nevažeća, a certifikati se opozivaju. Oglas u Narodnim novinama više nije propisan.
• Tvrtka kojoj procure osobni podaci prijavljuje povredu AZOP-u u roku od 72 sata (čl. 33. GDPR-a).

Što je krađa identiteta i krađa podataka

Krađa podataka znači da je netko neovlašteno došao do vaših podataka: preko lažne poruke, zaraženog uređaja, provale u sustav tvrtke ili ukradenog dokumenta. Krađa identiteta znači da te podatke koristi: predstavlja se kao vi, plaća vašom karticom, prijavljuje se u vaše račune ili sklapa ugovore u vaše ime.

GDPR krađu identiteta izričito navodi kao jednu od posljedica povrede osobnih podataka (uvodne izjave 75 i 85). Policija u izvješću za 2025. navodi da su računalne prijevare "često povezane s phishingom, lažnim investicijama ili krađom identiteta".

Najčešći oblici

Policija upozorava da počinitelji nakon što dobiju podatke o kartici ili internetskom bankarstvu "u vrlo kratkom vremenu" prisvajaju novac s računa i "u njihovo ime ugovaraju brzi gotovinski kredit". Prema policiji, građani u takvim slučajevima mogu izgubiti i više od 100.000 eura.

Financijska krađa identiteta

Najčešći oblik. Počinitelj koristi podatke s kartice, pristupne podatke za internetsko bankarstvo ili jednokratne kodove kako bi prebacio novac, platio na internetu ili podigao kredit. Računalne prijevare, u koje policija ubraja i takve slučajeve, bile su 2025. najčešće kibernetičko kazneno djelo u Hrvatskoj: 1.656 od 2.161.

Preuzimanje računa

Napadač koji dođe do vaše e-pošte dobiva ključ za ostale račune: preko opcije "zaboravljena lozinka" mijenja lozinke za bankarstvo, društvene mreže i trgovine. S preuzetog profila zatim šalje poruke vašim kontaktima, najčešće s molbom za hitnu uplatu ili kod. Zato e-poštu treba zaštititi najbolje od svih računa.

Ugovori i dugovi na vaše ime

Uz presliku osobne iskaznice i nekoliko osnovnih podataka počinitelj može sklopiti ugovor na daljinu: mobilnu pretplatu, kupnju na rate ili brzi kredit. AZOP upozorava da se preslika osobne iskaznice "često zloupotrebljava za sklapanje različitih ugovora na daljinu". Žrtva o tome najčešće sazna tek kada stigne opomena ili poziv agencije za naplatu.

Preuzimanje broja mobitela

Prevarant uvjeri operatora da mu izda novu SIM karticu s vašim brojem. Od tog trenutka prima vaše pozive i SMS kodove za bankarstvo. Prvi znak je mobitel koji bez razloga ostane bez signala. Tada odmah nazovite operatora s drugog telefona i blokirajte bankarstvo.

Sintetički identitet

Pravi podaci jedne osobe, na primjer OIB ili datum rođenja, kombiniraju se s izmišljenim podacima u novi identitet. Takav se identitet otkriva teško jer ne odgovara u potpunosti nijednoj stvarnoj osobi. Zato banke i drugi obveznici provjeravaju identitet iz pouzdanog i neovisnog izvora.

Krađa identiteta djece

Podaci djece zloupotrebljavaju se dugo neopaženo jer dijete nema račune ni kredite koje bi netko pratio. Ne objavljujte OIB, datum rođenja, fotografije dokumenata ni podatke o školi djeteta. Za objavu fotografija djece AZOP u pravilu traži privolu roditelja.

Krađa medicinskog identiteta

Podaci o zdravstvenom osiguranju i zdravstveni podaci mogu se zloupotrijebiti za preglede, lijekove ili pomagala na tuđe ime. Takva zlouporaba ne nanosi samo financijsku štetu: u zdravstvenu dokumentaciju žrtve mogu ući tuđe dijagnoze. Ako u nalazima, receptima ili obavijestima osiguranja vidite pregled koji niste obavili, javite se svom liječniku i osiguravatelju.

Zlouporaba identiteta kod policije ili suda

Počinitelj koji je uhvaćen može dati tuđe podatke umjesto svojih. Žrtva tada dobije poziv, prekršajni nalog ili presudu za djelo koje nije počinila. U tom slučaju odmah se javite policiji ili sudu koji je poslao pismeno, priložite dokaz o identitetu i zatražite ispravak evidencije.

Lažno predstavljanje u tvrtkama

Napadač se predstavlja kao direktor, kolega ili dobavljač i traži hitnu uplatu ili promjenu broja računa za plaćanje. Poruka često dolazi s preuzetog računa stvarnog partnera. Nacionalni CERT 2025. bilježi 38 poslovnih prijevara. Zaštita je postupak: svaku promjenu podataka za plaćanje provjerite na drugom, unaprijed poznatom kanalu.

Kako prevaranti dolaze do podataka

Socijalni inženjering

Većina prijevara ne počinje tehničkim napadom, nego manipulacijom. Prevarant stvara osjećaj hitnosti ("račun će biti blokiran za sat vremena"), poziva se na autoritet (banka, policija, direktor) ili izaziva strah. Cilj je da žrtva reagira prije nego što razmisli. Pravilo koje štiti: nijedna institucija ne traži hitan prijenos novca ni kodove telefonom ili porukom.

Zlonamjerni softver koji krade podatke

Posebna vrsta zlonamjernog softvera skuplja lozinke spremljene u pregledniku, podatke s kartica i podatke o prijavama sa zaraženog računala. Najčešće dolazi s piratskim programima, lažnim ažuriranjima ili privitcima. Ukradeni podaci zatim se prodaju na kriminalnim forumima i koriste za preuzimanje računa. Zaštita: programi samo iz službenih izvora, ažuriran sustav, upravitelj lozinki i dvofaktorska prijava.

Povrede podataka u tvrtkama

Vaši podaci mogu procuriti i kada sami ništa niste pogriješili: iz baze trgovine, operatora, poslodavca ili zdravstvene ustanove. AZOP je 2025. zaprimio 95 prijava povreda osobnih podataka, a najčešći uzroci bili su:

Ako vas tvrtka obavijesti o povredi, napravite ono što obavijest preporučuje: promijenite lozinku, pratite račune i budite oprezni s porukama koje se pozivaju na tu tvrtku.

Ukradene lozinke

Kada procuri lozinka s jedne stranice, napadači je isprobavaju na drugim stranicama. Zato ista lozinka na više mjesta znači da jedna povreda otvara sve račune. Nacionalni CERT 2025. bilježi 23 incidenta krađe pristupnih podataka, uz phishing kampanje koje traže i MFA podatke za digitalno bankarstvo.

Nacionalni CERT upozorava i na pozive u kojima prevaranti tvrde da je vaša osobna iskaznica "korištena u kriminalnim radnjama". Cilj je navesti vas da otkrijete podatke ili prebacite novac. Policija u izvješću za 2025. bilježi porast deepfake prijevara u stvarnom vremenu, poput kloniranog glasa i lažnih video poziva.

Pravila koja vrijede uvijek:

• policija kao znak prijevare navodi traženje pristupnih podataka za internetsko bankarstvo, jednokratnih kodova, PIN-a, broja kartice i CVV koda;
• za uplatu na vaš račun dovoljan je samo IBAN (HNB);
• ne instalirajte aplikacije za udaljeni pristup i ne dijelite zaslon na zahtjev pozivatelja;
• ne šaljite fotografiju osobne iskaznice ni kartice nepoznatim osobama.

Znakovi da su vaši podaci zloupotrijebljeni

• transakcije koje niste napravili ili SMS potvrde plaćanja koje niste pokrenuli;
• obavijest o novom uređaju, promjeni lozinke ili prijavi iz druge države;
• pismo ili poziv o kreditu, ugovoru ili dugu za koji ne znate;
• mobitel odjednom ostane bez signala bez vidljivog razloga;
• vaši kontakti dobivaju poruke s vašeg profila koje niste poslali;
• prestanu stizati računi ili izvodi na koje ste navikli.

Što učiniti odmah: osam koraka

1. Nazovite banku. Blokirajte kartice, internetsko i mobilno bankarstvo i zatražite provjeru sumnjivih transakcija. Banka mora omogućiti primitak takve obavijesti u svakom trenutku i ne smije je naplatiti (čl. 40. Zakona o platnom prometu).
2. Zaštitite račune. Promijenite lozinke za e-poštu i bankarstvo, uključite dvofaktorsku prijavu i odjavite nepoznate uređaje. Počnite od e-pošte jer preko nje napadač resetira ostale račune.
3. Sačuvajte dokaze. Poruke, e-poštu, brojeve telefona, snimke zaslona, potvrde uplata, podatke o transakcijama i adrese kriptonovčanika.
4. Prijavite policiji. Na broj 192, osobno u bilo kojoj policijskoj postaji, pisano ili e-poštom. Dokaze ne morate priložiti. Na vaš zahtjev policija mora izdati pisanu potvrdu o prijavi.
5. Prijavite nestanak osobne iskaznice bez odgode najbližoj policijskoj upravi ili postaji (čl. 17. Zakona o osobnoj iskaznici). Iskaznica se evidentira kao nevažeća i automatski se pokreće opoziv certifikata. Ako je u roku od 8 dana pronađete i osobno prijavite, certifikati ponovno vrijede.
6. Prijavite lažnu stranicu ili poruku Nacionalnom CERT-u, kako bi se upozorili drugi građani.
7. Obratite se operatoru i drugim davateljima usluga ako je na vaše ime sklopljen ugovor ili izdana SIM kartica. Uložite pisani prigovor i priložite potvrdu o prijavi policiji.
8. Obratite se AZOP-u ako tvrtka nezakonito obrađuje ili nije zaštitila vaše podatke. Kaznena djela, uključujući krađu identiteta, istražuje policija, a AZOP postupa po povredi prava na zaštitu podataka.

Ugovor sklopljen na vaše ime

Ako je na vaše ime sklopljen ugovor s operatorom, kreditna kartica ili kupnja na rate, postupite odmah:

1. Prijavite kazneno djelo policiji i zatražite pisanu potvrdu o prijavi.
2. Pisano obavijestite tvrtku da ugovor niste sklopili, priložite potvrdu o prijavi i zatražite kopiju ugovora i podatke o tome kako je identitet provjeren.
3. Zatražite od tvrtke pristup svojim osobnim podacima (čl. 15. GDPR-a) i brisanje podataka koji su prikupljeni zlouporabom.
4. Sačuvajte svu korespondenciju i opomene.

Za operatore elektroničkih komunikacija vrijedi poseban postupak (čl. 153. i 154. Zakona o elektroničkim komunikacijama):

Dok spor traje pred HAKOM-om, operator ne smije pokrenuti prisilnu naplatu ni ustupiti osporeno potraživanje.

Vaša prava prema banci

Iznimka od brzog povrata postoji kada banka opravdano sumnja u prijevaru i o tome pisano obavijesti HNB (čl. 43. st. 3.).

Kazneni zakon

Osobna iskaznica je elektronička javna isprava, pa se njezino krivotvorenje kažnjava kao teži oblik (čl. 278. st. 3.). Kazneni zakon zadnji je put izmijenjen u NN 136/2025.

Krađa identiteta u brojkama

Prema AZOP-u, oko 80 % osoba zahvaćenih povredama u 2025. pogodile su povrede nastale zlonamjernim softverom, iskorištavanjem ranjivosti ili drugim kibernetičkim napadima. Policija navodi da se najveći broj počinitelja nalazi u inozemstvu i koristi VoIP, VPN i Tor.

Kome se obratiti

Krađa identiteta i deepfake

Prevaranti sve češće koriste umjetnu inteligenciju. Policija je u travnju 2025. upozorila na lažni video u kojem bivši ministar financija Zdravko Marić poziva na ulaganja putem aplikacije, za koji se sumnja da je izrađen ili izmijenjen AI tehnologijom. U izvješću o radu za 2025. policija bilježi porast deepfake prijevara u stvarnom vremenu, poput kloniranog glasa i lažnih video poziva.

Kako se zaštititi:

• dogovorite s obitelji i kolegama kontrolno pitanje ili riječ za hitne zahtjeve za novac;
• prekinite poziv i nazovite osobu na broj koji već imate;
• ne vjerujte oglasima za ulaganja s poznatim osobama, ni kada izgledaju kao novinski članak;
• u tvrtki uvedite pravilo da se nijedna hitna uplata ne odobrava samo na temelju poziva, poruke ili videa.

Kako se zaštititi

1. Dvofaktorska prijava za e-poštu, bankarstvo i društvene mreže, po mogućnosti aplikacijom, a ne SMS-om.
2. Različita lozinka za svaki račun i upravitelj lozinki.
3. Obavijesti banke za svaku transakciju i ograničenja za plaćanja karticom na internetu.
4. Provjera na drugom kanalu: kada vas "banka" zove, prekinite i sami nazovite broj s poleđine kartice.
5. Bez fotografija dokumenata nepoznatim osobama i na stranicama koje niste sami otvorili.
6. Ažuriran uređaj i aplikacije samo iz službenih trgovina.
7. Oprez s javnim podacima: OIB, datum rođenja i adresa na društvenim mrežama olakšavaju lažno predstavljanje.
8. Redovita provjera izvoda i ugovora s operatorima.

Za tvrtke koje traže presliku osobne iskaznice AZOP je jasan: preslika je zakonita samo ako za nju postoji pravni temelj iz čl. 6. GDPR-a. Često je dovoljan uvid u dokument. Banke smiju kopirati iskaznicu zbog zakonskih obveza, a hotel i apartman za prijavu gosta trebaju samo uvid. AZOP upozorava da se preslika osobne iskaznice "često zloupotrebljava za sklapanje različitih ugovora na daljinu".

Mjere zaštite za tvrtke

Tvrtke koje obrađuju podatke klijenata i zaposlenika najčešći su izvor procurjelih podataka. Mjere koje smanjuju rizik:

1. dvofaktorska prijava za e-poštu, udaljeni pristup i sve administratorske račune;
2. pristup podacima samo za one kojima je potreban za posao;
3. šifriranje prijenosnih računala i mobitela;
4. zapisi o pristupu bazama s osobnim podacima;
5. redovita ažuriranja sustava i aplikacija;
6. edukacija zaposlenika o lažnim porukama i pozivima;
7. presliku osobne iskaznice samo kada postoji pravni temelj, inače samo uvid;
8. ugovori s izvršiteljima obrade iz čl. 28. GDPR-a;
9. postupak za povredu podataka s rokom od 72 sata;
10. provjera svake promjene podataka za plaćanje na drugom kanalu.

AZOP-ove kazne zbog nedovoljne zaštite podataka

AZOP je 2025. izrekao 13 upravnih novčanih kazni u ukupnom iznosu od 6.725.500 eura. Među njima su kazne zbog nedostatnih sigurnosnih mjera (čl. 32. GDPR-a):

Najveće kazne u 2025. izrečene su operatoru elektroničkih komunikacija (4.500.000 eura), zbog prijenosa podataka izvan EU-a, zakonitosti i transparentnosti, te banci (1.500.000 eura), zbog zakonitosti, transparentnosti i prikupljanja više podataka nego što je potrebno.

Obveze tvrtke kada procure podaci

Povreda se AZOP-u prijavljuje AZOP-ovim obrascem: izvornik s potpisom odgovorne osobe šalje se na adresu Agencije, a skenirana verzija na incidenti@azop.hr. AZOP kao primjer povrede koju treba prijaviti navodi ukradeno prijenosno računalo zaštićeno lozinkom, ali bez šifriranja, s podacima zaposlenika i klijenata.

Kada procure podaci koji omogućuju krađu identiteta (preslike iskaznica, OIB uz datum rođenja, podaci o karticama, pristupni podaci), rizik za pogođene osobe u pravilu je visok. Obavijest pogođenim osobama tada treba objasniti što se dogodilo i što trebaju učiniti: blokirati kartice, promijeniti lozinke, pratiti račune.

Obveznici Zakona o kibernetičkoj sigurnosti uz to prijavljuju značajne incidente nadležnom CSIRT-u: rano upozorenje u 24 sata, obavijest u 72 sata i završno izvješće u roku od mjesec dana.

Česta pitanja

Sljedeći korak

Tvrtkama pomažemo spriječiti krađu podataka i odgovoriti kada se dogodi: procjena rizika, sigurnosne mjere, postupak za povredu podataka i komunikacija s AZOP-om u sklopu GDPR savjetovanja. Kada je incident u tijeku, pogledajte uslugu odgovora na incidente. Zaposlenike učimo prepoznati lažne poruke i pozive kroz phishing edukaciju.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim primarnim izvorima:

• Kazneni zakon, pročišćeni tekst (NN 125/11 do 136/25)
• Zakon o platnom prometu (NN 66/18, 114/22, 136/24)
• Zakon o osobnoj iskaznici (NN 62/15 do 18/24)
• Zakon o elektroničkim komunikacijama, NN 76/2022, članci 153. i 154.
• Policija: lažni video poziv na financijska ulaganja, 17. travnja 2025.
• MUP: Statistički pregled temeljnih sigurnosnih pokazatelja za 2025.
• Izvješće o radu policije u 2025. godini
• Nacionalni CERT: Godišnji izvještaj za 2025.
• AZOP: Godišnje izvješće o radu za 2025.
• AZOP: skeniranje i fotokopiranje osobne iskaznice
• AZOP: izvješćivanje o povredi osobnih podataka
• AZOP: upravne novčane kazne
• Policija: upozorenje o prijevarama s povratom novca i kriptovalutama, 5. ožujka 2026.
• MUP: nestanak osobne iskaznice
• HNB: prijevare povezane s elektroničkim plaćanjem

Vodič daje opće informacije prema stanju na datum pregleda. Za konkretan slučaj obratite se policiji, banci ili pravnom savjetniku.