Ova računalna prijevara u Požegi razotkrila je slabosti sustava. Saznajte kako je 700.000 eura javnog novca nestalo u samo jednom BEC napadu.
Republika Hrvatska, kao država članica Europske unije snažno integrirana u jedinstveno digitalno tržište, posljednjih godina bilježi dramatičan porast kibernetičkih sigurnosnih incidenata. Prema službenim podacima Nacionalnog CERT-a, kibernetički napadi usmjereni na financijsku eksploataciju u stalnom su porastu. Samo do jeseni 2026. godine, u Hrvatskoj je evidentirano više od 1.203 kibernetička incidenta, pri čemu phishing kampanje i BEC (Business Email Compromise) prijevare kontinuirano dominiraju statistikom. Ono što je nekada bio isključivo tehnički problem IT odjela, danas je prvorazredni rizik za korporativno upravljanje, likvidnost i stabilnost javnih financija. Svaka nova, uspješno izvedena računalna prijevara iznova dokazuje nespremnost javnih tijela da se odupru visoko ciljanim prijetnjama.
Računalna prijevara koja je odnijela 700.000 eura iz riznice
Slučaj koji se odigrao u Požeško-slavonskoj županiji u lipnju 2026. godine predstavlja udžbenički primjer realizacije napada na instituciju javnog sektora. Iako su službena tijela štetu prvotno komunicirala terminom “više stotina tisuća eura” pozivajući se na tajnost istrage, neovisni izvori precizirali su da je iz županijske riznice nestao basnoslovan iznos od približno 700.000 eura.
Kontekst ove goleme isplate je ključan. Riječ je o sredstvima izravno vezanim uz izgradnju Logističko-distributivnog centra za voće i povrće u Požegi, kapitalnog projekta vrijednog 15,6 milijuna eura. Ono što ovoj katastrofi daje međunarodnu pravnu dimenziju jest činjenica da se čak 10 milijuna eura sufinancira iz Nacionalnog plana oporavka i otpornosti (NPOO). Gubitak europskog novca uslijed pada na osnovnoj kibernetičkoj higijeni otvara izravna pitanja nadležnosti Ureda europskog javnog tužitelja (EPPO) i OLAF-a, dok će teret povrata vjerojatno pasti na leđa lokalnih poreznih obveznika.
Rekonstrukcija događaja ukazuje na savršenu oluju tehničke manipulacije i sloma internih kontrola. Napadač je e-mailom dostavio obavijest o promjeni IBAN-a, lažno se predstavljajući kao dobavljač. U kritičnom trenutku, pročelnik Upravnog odjela za javne financije, Damir Jakoubek, nalazio se na godišnjem odmoru. Sustav je ostao bez ključnog filtra. U utorak, 9. lipnja, službenici unose nalog za isplatu, a prema medijskim informacijama, osobno ga odobrava županica Antonija Jozić. Transakcija je izvršena izravno na inozemni račun “naslijepo” – bez obvezne telefonske (Out-of-Band) provjere. Slučaj je otkriven tek tri dana kasnije, kada su prevaranti već imali dovoljno vremena da novac operu kroz račune “financijskih mula” i kriptovalute, ostavljajući permanentnu rupu u proračunu.
Politički potresi i zid šutnje
Incident ovih razmjera brzo je prerastao u političku krizu. Oporbeni klub vijećnika, predvođen saborskom zastupnicom SDP-a Martinom Vlašić Iljkić, iskoristio je događaj za propitivanje cjelokupnog sustava, tražeći političku odgovornost županice Jozić te prozvavši premijera Plenkovića da osobno štiti županicu od posljedica.
Županica je pak snažno odbacila prozivke, skrivajući se iza odredbi Zakona o kaznenom postupku (ZKP) i tajnosti policijskih izvida. Iako pravno utemeljena, takva strategija kriznog komuniciranja pokazala se duboko promašenom prema javnosti jer nije adresirala upravljačke propuste koji su prijevaru uopće omogućili.
Od Viktora Lenca do Rijeke: Epidemija nebrige
Da problem nije izoliran, pokazuje komparativna analiza napada diljem Hrvatske. U ožujku 2026. godine, brodogradilište Viktor Lenac iz Kostrene oštećeno je za nevjerojatnih 8,9 milijuna eura. Kroz presretnutu komunikaciju, financijski sektor brodogradilišta izvršio je čak sedam uzastopnih uplata na lažne račune bez ikakvih dodatnih provjera, što je rezultiralo brzopoteznom ostavkom predsjednice Uprave Sandre Uzelac i istragom USKOK-a.
Gotovo istovremeno s Požegom, na udaru su se našla i riječka komunalna društva. Dok je Rijeka sport postala žrtvom identične prijevare (uz sličan zavjet šutnje gradonačelnice Ive Rinčić), referenti riječke Čistoće na vrijeme su prepoznali sumnjivu poruku i spriječili štetu, dokazujući da svjesnost zaposlenika donosi prevagu.
Pozitivna paradigma stiže iz Brodsko-posavske županije. Kada je tamošnji odjel primio e-mail s nalogom za hitnu milijunsku isplatu u ime župana, tadašnji pročelnik dr. sc. Ivan Lukić odmah je prepoznao prijevaru. Njihov sustav oslanjao se na četiri razine potpisa i takozvanu “obranu u dubinu”, eliminirajući mogućnost da jedna osoba pod pritiskom izvrši štetnu radnju.
Novi zakon i milijunske kazne: Kraj izgovorima
S implementacijom NIS2 direktive i novog Zakona o kibernetičkoj sigurnosti (ZKS), koji je stupio na snagu, dokida se prebacivanje krivnje na informatičare. Kibernetička sigurnost sada je prvenstveno upravljačka i poslovna odgovornost. Tijela državne i lokalne uprave neosporno spadaju u obveznike zakona.
Kaznene odredbe drakonske su: za ključne subjekte kazne idu i do 10 milijuna eura, dok važni subjekti mogu biti kažnjeni do 7 milijuna eura. ZKS uvodi i direktnu odgovornost pojedinaca u upravljačkim tijelima te rigorozne protokole prijave incidenata Nacionalnom CERT-u unutar 24 sata – čime se zataškavanje napada zbog političke štete trajno onemogućuje.
Moderne organizacije više se ne smiju oslanjati isključivo na prosudbu umornog ili zaplašenog referenta. Kultura “nultog povjerenja”, stroga izvanpojasna telefonska autentifikacija svake promjene IBAN-a, dvostruki kanali odobrenja (načelo četiri oka) te obvezna primjena DMARC i MFA tehnologija, moraju postati standard. Dok god javne institucije milijunske iznose isplaćuju na temelju jednog sumnjivog e-maila, državni proračun ostat će najunosniji bankomat za globalni kibernetički kriminal.