Uhićenje srpskog državljanina Georgija V. u Hrvatskoj otvorilo je jedno od najosjetljivijih pitanja domaće sigurnosti: koliko su zaštićeni podaci u državnim institucijama i može li kibernetički napad prerasti u obavještajni slučaj.
Prema dostupnim medijskim informacijama, 33-godišnji poduzetnik iz Novog Sada uhićen je krajem srpnja dok je s obitelji boravio na odmoru u Hrvatskoj. Sumnjiči ga se za neovlaštene upade u računalne sustave više hrvatskih državnih institucija i javnih agencija.
Slučaj je dodatno osjetljiv jer se istražuje njegova moguća povezanost sa srpskom Sigurnosno-informativnom agencijom, BIA-om. Ta veza zasad nije službeno dokazana i treba je tretirati kao sumnju, ne kao utvrđenu činjenicu.
Popis institucija pokazuje zašto je slučaj ozbiljan
Medijski navodi spominju niz važnih hrvatskih sustava: Ministarstvo unutarnjih poslova, REGOS, HAKOM, Hrvatski zavod za zdravstveno osiguranje, Hrvatski zavod za mirovinsko osiguranje, Poreznu upravu, Hrvatski autoklub i sustav e-Građani.
Ako se potvrdi da je osumnjičeni doista pristupao takvim sustavima, riječ je o vrlo ozbiljnom sigurnosnom problemu. Ti sustavi ne sadrže samo tehničke podatke, nego i osjetljive osobne, financijske, zdravstvene i administrativne informacije građana i tvrtki.
Za Hrvatsku je posebno važno pitanje je li netko samo neovlašteno ulazio u sustave, je li preuzimao podatke, je li ih prosljeđivao trećoj strani i je li time ugrožena nacionalna sigurnost.
Zasad javnost ne zna odgovore na ta pitanja.
Vlasti šute jer je istraga tajna
Hrvatske institucije o slučaju govore vrlo oprezno. Ministar branitelja Tomo Medved pohvalio je sigurnosno-obavještajni sustav zbog, kako je rekao, odgovornog praćenja i zaštite interesa Republike Hrvatske, ali nije iznosio detalje.
Takva suzdržanost nije neobična u predmetima koji uključuju istragu, digitalne dokaze i moguću nacionalnu sigurnost. No istodobno stvara prostor za nagađanja, političke interpretacije i zabrinutost građana.
U kibernetičkim slučajevima tišina vlasti može biti razumljiva, ali ne smije trajno zamijeniti javnu odgovornost. Kada se istraga pomakne dovoljno daleko, građani će morati dobiti barem osnovne odgovore: koji su sustavi bili pogođeni, jesu li podaci kompromitirani i koje su mjere poduzete.
Uhićenje na odmoru i zapljena uređaja
Prema medijskim informacijama, Georgije V. stigao je u Hrvatsku s obitelji nekoliko dana prije uhićenja. Nakon privođenja, policija je pod sudskim nalozima pretražila njegove elektroničke uređaje, vozilo i smještaj.
Navodno su zaplijenjena dva mobitela i prijenosno računalo s velikom količinom podataka. Upravo će digitalna forenzika biti ključna za daljnji tijek istrage.
U ovakvim predmetima nije dovoljno dokazati da je osoba tehnički sposobna za hakiranje ili da posjeduje podatke. Istražitelji moraju utvrditi kako je do podataka došla, je li pristup bio neovlašten, preko kojih poslužitelja su upadi izvedeni, je li postojala komunikacija s drugim osobama i kamo su podaci eventualno slani.
Istražni zatvor umjesto jamčevine
Sud je osumnjičenom odredio jednomjesečni istražni zatvor, iako je ponudio 20.000 eura jamčevine i obiteljsku kuću u Novom Sadu kao dodatno osiguranje.
To pokazuje da je sud procijenio kako postoje rizici koje jamčevina ne može ukloniti. U ovakvim predmetima mogući razlozi uključuju opasnost od bijega, utjecaja na dokaze, brisanja digitalnih tragova ili ponavljanja kaznenog djela.
Obrana osporava odluku o istražnom zatvoru i tvrdi da nisu ispunjeni svi zakonski uvjeti. Budući da je postupak u fazi tajne istrage, detalji obrane nisu poznati.
I tu treba biti oprezan: osumnjičeni ima pravo na presumpciju nevinosti, a javni interes ne smije zamijeniti dokazni postupak.
Ključno pitanje: običan haker ili obavještajna operacija?
Najvažnija razlika u ovom slučaju je između kibernetičkog kriminala i kibernetičke špijunaže.
Ako je riječ o pojedincu koji je samostalno ulazio u sustave radi osobne koristi, dokazivanja sposobnosti ili prodaje podataka, to je ozbiljan kriminalistički slučaj. Ali ako se potvrdi veza s obavještajnom službom druge države, tada slučaj prelazi u područje hibridnih prijetnji i državnog neprijateljskog djelovanja.
U tom scenariju napad na baze državnih institucija nije samo tehnički incident. To postaje pitanje nacionalne sigurnosti, diplomatskih odnosa i sposobnosti države da zaštiti vlastite digitalne sustave.
Zato je navodna veza s BIA-om politički najeksplozivniji dio priče. No upravo zato ju treba dokazati, a ne samo pretpostaviti.
Hrvatska mora gledati širu sliku
Hrvatska već godinama digitalizira javne usluge. Sustav e-Građani, porezne usluge, zdravstveno osiguranje, mirovinski podaci, registri i elektroničke potvrde postali su dio svakodnevnog odnosa građana s državom.
To donosi brzinu i praktičnost, ali i novu ranjivost. Što više usluga prelazi online, to su državne baze privlačniji cilj za kriminalce, strane službe i politički motivirane hakere.
Ako netko može pristupiti podacima iz više institucija, problem nije samo u jednom sustavu. Problem može biti u međusobnoj povezanosti baza, slaboj kontroli pristupa, lošim lozinkama, kompromitiranim korisničkim računima ili nedovoljno brzoj detekciji upada.
e-Građani su posebno osjetljiva točka
Navod da je osumnjičeni ulazio i u sustav e-Građani posebno je važan. Taj sustav građanima omogućuje pristup brojnim uslugama i podacima. Ako se pristup ostvario preko privatnih vjerodajnica osobe iz Hrvatske, kako navode mediji, to bi otvorilo drugo pitanje: tko je dao pristupne podatke i zašto?
Kibernetička sigurnost nije samo pitanje vatrozida i servera. Često je najslabija točka čovjek. Ukradene lozinke, prodane vjerodajnice, phishing, nepažnja zaposlenika ili kompromitirani korisnički računi mogu otvoriti vrata sustavima koji su tehnički dobro zaštićeni.
Zato ovaj slučaj, čak i prije završetka istrage, pokazuje koliko je važno stalno educirati korisnike, ograničiti pristupe, pratiti neuobičajene aktivnosti i brzo reagirati na sumnjive prijave.
Srbija zasad šuti
Prema dostupnim informacijama, srpske vlasti nisu službeno komentirale uhićenje. To dodatno pojačava nejasnoće, ali ne znači automatski priznanje ili krivnju.
Ako hrvatska istraga utvrdi stvarnu vezu s BIA-om, Zagreb će se morati odlučiti hoće li slučaj ostaviti u kaznenopravnom okviru ili otvoriti i diplomatsku dimenziju. Ako se veza ne potvrdi, predmet će ostati ozbiljan slučaj kibernetičkog kriminala, ali bez državnog elementa.
U oba scenarija šteta za povjerenje u digitalnu sigurnost već je učinjena.
Što bi Hrvatska morala objasniti javnosti?
Javnost ne mora znati sve operativne detalje istrage. No mora znati je li došlo do kompromitacije osobnih podataka, jesu li građani ili tvrtke izravno pogođeni i trebaju li poduzeti bilo kakve mjere.
Ako su podaci preuzimani, treba jasno reći o kakvim je vrstama podataka riječ. Ako nisu, treba objasniti kako je to utvrđeno. Ako je napad otkriven tek nakon određenog vremena, treba reći što se mijenja kako bi se slični upadi ubuduće brže prepoznali.
Transparentnost ne mora ugroziti istragu. Ali potpuna šutnja može ugroziti povjerenje.
