Zdravstveni fond Srbije uložio milione u sajber-zaštitu: Kako su procureli podaci građana?

Državni fond zdravstvenog osiguranja Srbije potrošio je tokom prethodne tri i po godine najmanje 2,7 miliona evra javnog novca na zaštitu svoje baze koja sadrži različite lične podatke građana, pokazuje analiza Radija Slobodna Evropa (RSE).

Uprkos ovim ulaganjima, podaci su uspeli da procure.

Tokom avgusta 2026. dve hakerske grupe preuzele su podatke Fonda, nakon čega su se na dark webu, delu interneta koji nije dostupan putem uobičajenih pretraživača, mogli kupiti setovi podataka koji sadrže lične podatke pacijenata, ali i imena njihovih izabranih lekara.

Policija je krajem avgusta uhapsila tri pripadnika hakerske grupe "INF" iz Beograda i Zaječara koji se dovode u vezu sa velikim brojem takozvanih "ucenjivačkih" napada u regionu.

Istragu vodi Tužilaštvo za visokotehnološki kriminal, koje nije odgovorilo na pitanja RSE o ovom slučaju.

Na pitanja o curenju podataka, ali i o načinu zaštite baza podataka, nije odgovorio ni Fond za zdravstveno osiguranje.

Dve hakerske grupe, u dva navrata tokom avgusta 2026. godine, oglasile su prodaju velikih količina ličnih podataka građana Srbije na forumima na dark netu.

Koji su podaci procureli?

Informacije o "curenju" podataka Republičkog fonda zdravstvenog osiguranja pojavile su se sredinom avgusta 2026. godine na internetu.

Fond, čiji sajt nije dostupan od 18. avgusta i u međuvremenu je zamenjen novom platformom, se tog dana oglasio saopštenjem u kojem je naveo kako "preduzima preventivne mere i detaljnu proveru informacionih sistema".

Dodali su da nije moguće potvrditi navode o obimu i sadržaju eventualnog incidenta, ali ni autentičnosti materijala koji se objavljuju na internetu.

"Prioritet je zaštita podataka osiguranika i nesmetano funkcionisanje sistema. Javnost i medije molimo da, do okončanja provera, ne iznose neproverene informacije kao činjenice", naveo je Fond 18. avgusta.

Međutim, već narednog dana, 19. avgusta, Fond je u obaveštenju koje je uputio Povereniku za zaštitu podataka o ličnosti, a u koje je RSE imao uvid, potvrdio detalje o curenju ličnih podataka.

"Nepoznati počinilac neovlašćeno je pristupio web serveru Republičkog fonda za zdravstveno osiguranje i preuzeo deo baze podataka RIL (registracija izabranog lekara)", navodi se u dopisu koji potpisuje direktorka Fonda Sanja Radojević-Škodrić.

Prijava incidenta koju je Fond za zdravstveno osiguranje prosledio Povereniku za zaštitu podataka o ličnosti 19. avgusta 2026.

Među podacima koji su procureli su podaci o pacijentima, njihovi matični i LBO (lični broj zdravstvenog osiguranika) brojevi, kao i imena i prezimena izabranih lekara i njihove specijalizacije, navodi se u dopisu do kojeg je RSE došao po slobodnom pristupu informacijama od javnog značaja.

Obaveštenje o povredi podataka o ličnosti je procedura koju predviđa Zakon o zaštiti podataka o ličnosti i podrazumeva obaveštavanje Poverenika o tome koji su sve lični podaci "proceruli" u javnost, kao i koje su moguće posledice.

Iz Fonda u dopisu navode da je do povrede podatka došlo 13. avgusta, a da je primećena nakon četiri dana – 17. avgusta.

Kao moguće posledice napada, Fond navodi "rizik od krađe identiteta i neovlašćenog pristupa ličnim nalozima".

Navodi se i da kompromitovanje podataka o specijalizaciji lekara "otvara visok rizik od zloupotrebe profesionalnog identiteta i prevarnog izdavanja medicinskih dokumenata/recepata".

Prijavu Povereniku potpisala je direktorka Fonda Sanja Radojević-Škodrić.

Poverenik je u vezi sa ovim slučajem pokrenuo vanredni inspekcijski nadzor koji je, kako navodi, u toku.

Iz Nacionalnog CERT-a, centralnog tela koje se bavi prevencijom, zaštitom i odgovorima na bezbednosne rizike u informacionim sistemima, za RSE navode da je Fond i njima 18. avgusta prijavio incident.

Detalje, međutim, nisu otkrili jer su, kako su naveli, oni su zaštićeni internim protokolima.

Fond je u dopisu Povereniku naveo da je deo podataka procureo iz njihove evidencije "Registracija izabranog lekara".

Drugi napad, koji je usledio nakon nekoliko dana, Fond nije prijavio, pa nema zvaničnih potvrda o tome koja baza je bila na meti napadača.

Podatke o ovom, kao i o prethodnom napadu prvi su objavili na portalu "Bezbedan Balkan", gde korisnici prate različite digitalne bezbednosne rizike u regionu.

Podatke o oba napada prvo je objavljen na portalu "Bezbedan Balkan".

Ko je uhapšen?

Ubrzo nakon navoda o drugom napadu, Ministarstvo unutrašnjih poslova (MUP) saopštilo je 27. avgusta da su uhapšena tri pripadnika hakerske grupe "INF".

Uhapšena su dva mladića u ranim dvadesetim godinama iz Beograda i Zaječara na istoku Srbije i jedan maloletnik iz Beograda.

Sumnja se da su od kompanija i državnih institucija preuzimali velike količine podataka, među kojima su lične i osetlјivi podaci građana, a zatim za neobjavlјivanje ukradenih podataka od pojedinih žrtava zahtevali isplatu otkupa u kriptovalutama, saopštio je MUP.

Među najznačajnijim metama, kako se navodi, bili su Republički fond za zdravstveno osiguranje, baza javnih izvršitelјa, evidencije Uprave za strance MUP-a Srbije, Fudbalski savez Srbije, Ministarstvo rada Hrvatske, pravosudni sistem Hrvatske, sistemi javnog prevoza u Beogradu, kao i informacioni sistemi i baze podataka više velikih kompanija i organizacija u regionu.

Čitajte:

Posle 'Telekoma': Svi hakerski napadi u Srbiji

Novinari Radija Slobodna Evropa zatražili su više detalja od Ministarstva pravde, kao i Ministarstva rada Hrvatske, ali odgovori do objavljivanja ovog teksta nisu dostavljeni.

Jednom od uhapšenih je nakon saslušanja određen pritvor zbog sumnji da je počinio više krivičnih dela koja se odnose na računarsku sabotažu i pristup zaštićenom računaru, saopštilo je 28. avgusta Više javno tužilaštvo u Beogradu.

Tužilaštvo za visokotehnološki kriminal, koje u okviru Višeg javnog tužilaštva vodi ovaj predmet, nije odgovorilo na pitanja RSE o detaljima slučaja.

Bojan Perkov iz nevladine Share Fondacije koja se bavi bezbednošću online podataka, objašnjava da se malo toga zna o "INF" hakerskoj grupi, kao i da nije poznato ima li još članova osim onih koji su uhapšeni krajem avgusta.

"Ne znamo da li su oni u Srbiji i da li međusobno sarađuju", rekao je Perkov za RSE i dodao da su grupe koje se bave sajber kriminalom međunarodno isprepletene i da ima aktera iz raznih zemalja koji sarađuju u zajedničkom interesu da zarade novac.

Ko štiti baze državnog fonda?

Zaštita baza podataka Fonda za zdravstveno osiguranje poverena je firmi Oktacron iz Beograda, kao nosiocu posla.

Na poslovima proširenja softverskog rešenja za zaštitu baza podataka firma je angažovana tokom marta 2026.

Ovaj posao vredan je nešto više od 244 hiljada evra.

A tokom poslednje tri godine frima Oktacron je, što samostalno, što u grupi ponuđača, angažovana na poslovima zaštite sistema Fonda vredim više od 2,7 miliona evra.

Novinari RSE zatražili su od ove firme detalje napada, ali i objašnjenja kako je moguće da postoji sistem zaštite, a da je napadač uspeo da pristupi mreži Fonda i preuzme veliku količinu podataka.

"Postupci vezani za ovaj slučaj su u toku pa nisam u mogućnosti da odgovaram na bilo koja pitanja do okončanja pred nadležnim organima", naveo je suvlasnik i direktor firme Oktracron Luka Vasić u pisanom odgovoru za RSE.

Bojan Perkov iz Fondacije Share objašnjava da postoji nekoliko razloga zašto podaci mogu da procure, poput onih da nisu bili održavani na adekvatan način i da su dovoljno uporni akteri bez puno tehničkih znanja mogli da iskoriste ranjivosti sistema.

Perkov ističe da je potrebna kontinuirana zaštita, da se infrastruktura, mreža i baze podataka konstantno prate kako bi se incidenti predupredili.

Čitajte:

Ucenjivači objavili navodna dokumenta Elektroprivrede Srbije na dark vebu

Koliko je novca uloženo u 'unapređenje'?

"Registracija izabranog lekara" iz koje su procureli podaci jedna je od mnogobrojih evidenacija koje je Fond za zdravstveno osiguranje digitalizovao tokom poslednjih godina.

Ona objedinjuje sve pacijente i ovlašćenja kojima biraju izabrane lekare u različitim zdravstvenim ustanovama.

Kako pokazuju podaci sa portala javnih nabavki, ovaj sistem je tokom 2025. godine prošao "unapređenje i proširenje".

Ključni zadatak bio je da se baza izabranih lekara centralizuje i, između ostalog, uskladi sa propisima o zaštiti podataka o ličnosti.

Ovaj posao, vredan 195 hiljada evra, dodeljen je grupi ponuđača među kojima je poznata beogradska firma Heliant, koja je specijalizovana za softverske sisteme.

Posao je završen krajem 2025. godine.

Čitajte:

Elektroprivreda Srbija pod ucenom hakeraHakovani podaci više hiljada korisnika privatne klinike u BeograduSrpsko Tužilaštvo i Povernik pokrenuli postupke o krađi podataka korisnika Telekoma

Iz firme Heliant navode kako "povezivanje baze sa infrastrukturom naručioca nije bilo predmet ugovorenih poslova", zbog čega nemaju saznanja o ugrožavanju bezbednosti baze na čijoj su izradi bili angažovani.

"Izazovi u oblasti informacione bezbednosti zajednički su svim zemljama koje sprovode digitalizaciju javnih sistema, te se ulažu značajni napori kako bi proces digitalizacije pratile odgovarajuće mere zaštite", navode iz Heliant-a u pisanom odgovoru za RSE.

Što samostalno, što u grupi ponuđača, firma Heliant samo sa Fondom za zdravstveno osiguranje ima ugovore vredne 9,2 miliona evra u periodu od početka 2021. godine do danas.

U pitanju je preko četrdeset različitih ugovora.

Među sistemima na kojima su radili su eBolovanje, elektronsko fakturisanje lekova, aplikacija za kontrolu lekova sa C liste (poseban režim izdavanja) i mnogi drugi digitalni sistemi u okviru Fonda.

Podaci sa portala javnih nabavki pokazuju da je Fond tokom poslednjih pet godina raspisao preko 145 nabavki koje se odnose na različite softvereske usluge.

"Značajnu ulogu u celokupnoj zaštiti informacionih sistema pored adekvatne softverske zaštite ima i obuka zaposlenih", ističe Bojan Perkov iz Fondacije Share.

"Kada imate ogroman broj ljudi koji imaju pristup nekim osetljivim podacima treba konstantno razvijati svest i obučavati te ljude kako da se nose sa tim izazovima i šta da rade u određenim situacijama", dodaje.

Državna revizorska institucija (DRI), nezavisno državno telo zaduženo za kontrolu finansija, je tokom novembra 2023. godine tokom revizije informacionog sistema Matične evidencije i ostvarivanja prava, koji Fond koristi za administraciju zdravstvenog osiguranja, utvrdila niz sistemskih propusta u oblasti informacione bezbednosti i zaštite podataka o ličnosti.

DRI je tada, između ostalog, upozorio da Fond nema strategiju razvoja Informacionoih sistema i adekvatne kadrovske kapacitete da adekvatno štiti sisteme koji sadrže velike količine ličnih podataka građana.

U kasnijem postrevizionom izveštaju iz aprila 2024. godine DRI je naveo da je Fond "otklonio sve utvrđene nedostatke".

Napadi na informacione sisteme institucija u Srbiji su sve češći tokom poslednjih godina.

Tako se tokom marta 2026. godine meti napadača našla državna telekomunikaciona kompanija "Telekom Srbija" kada su hakeri na internetu objavili ukupno blizu 600.000 ličnih podataka građana.

Na meti hakera bili su i Elektroprivreda Srbije, Katastar, ali i službe u Novom Sadu, drugom po veličini gradu u Srbiji.