Ranjivost institucionalnih sistema: Slučaj navodnog curenja podataka iz baze MUP-a i širi kontekst sajber bezbednosti u Srbiji

Pitanje digitalne bezbednosti i zaštite podataka o ličnosti u javnim institucijama postalo je jedna od ključnih tema u domenu nacionalne bezbednosti i digitalne higijene društva. Sredinom maja 2026. godine, javnost i stručnu zajednicu u Srbiji uznemirila je vest o potencijalno masovnom curenju osetljivih podataka iz baza Ministarstva unutrašnjih poslova (MUP) Republike Srbije. Prema tvrdnjama koje su se pojavile na specijalizovanim forumima „mračnog interneta“ (dark web), nepoznati hakerski akteri navodno su došli u posed baze podataka Kancelarije za strance i sistema za regulisanje boravka, koja sadrži oko 180.000 unosa.

Ovaj incident otvara duboka pitanja o infrastrukturi zaštite državnih informacionih sistema, metodologijama koje hakeri koriste za iznudu, kao i o sistemskom odgovoru nadležnih organa u trenucima kada su ugroženi podaci kako domaćih, tako i stranih državljana.

Anatomija napada: Šta tvrde hakeri?

Sredinom maja 2026. godine, obaveštajne platforme koje prate aktivnosti na dark vebu (poput Dark Web Intelligence) registrovale su objavu na podzemnom hakerskom forumu u kojoj se tvrdi da je uspešno kompromitovan deo baze podataka MUP-a Srbije.

Struktura navodno ukradenih podataka obuhvata period od 2024. do 2026. godine i deli se na sledeći način:

Ukupan broj zapisa: Približno 180.000 unosa.

Strani državljani: Oko 150.000 unosa koji se odnose na proceduru prijave boravka i vizni režim.

Državljani Srbije: Oko 30.000 unosa, najčešće povezanih sa povezanim licima ili specifičnim procesima unutar Kancelarije za strance.

Prema specifikaciji koju su napadači javno priložili kako bi dokazali autentičnost, baza podataka sadrži izuzetno osetljive lične i administrativne informacije:

Lični identifikacioni podaci: Imena i prezimena, datumi i mesta rođenja.

Državni identifikatori: Jedinstveni matični brojevi građana (JMBG) i brojevi socijalnog osiguranja.

Putne isprave: Brojevi pasoša, podaci o izdatim vizama i statusi podnetih zahteva.

Osetljiv kontekst: Detalji zahteva za privremeni ili stalni boravak, kao i zvanično zavedeni razlozi boravka stranaca u zemlji.

Metodologija iznude i „otvoreni pregovori“

Ono što ovaj slučaj izdvaja od uobičajenih hakerskih akcija, gde se podaci odmah stavljaju na aukciju ili javno objavljuju (tzv. data dump), jeste specifičan rečnik iznude koji je upućen direktno srpskim vlastima. Napadači su eksplicitno ponudili pregovore MUP-u i Vladi Republike Srbije pre nego što bazu ponude trećim licima.

U svojoj objavi, akteri su naveli da su spremni da trajno unište podatke ukoliko se postigne finansijski ili neki drugi dogovor, ostavljajući bezbedne kanale komunikacije preko ProtonMail platforme i privatnih poruka na forumu. Ukoliko odgovor izostane, hakeri su naglasili da će baza biti prodata zainteresovanim kupcima, eksplicitno pozivajući medijske organizacije, strane državne agencije i druge zainteresovane entitete da otkupe podatke.

Ovakav pristup ukazuje na promenu strategije hakerskih grupa koje deluju na Balkanu — umesto brze monetizacije na crnom tržištu, sve češće se koristi taktika direktne ucene institucija, jer kompromitacija podataka o stranim državljanima može izazvati i ozbiljne diplomatske neprijatnosti.

Institucionalni muk i zakonski rokovi

Jedan od ključnih problema u kriznom menadžmentu ovakvih incidenata u Srbiji jeste nedostatak brze i transparentne komunikacije sa javnošću. MUP se danima nakon objave na dark vebu nije zvanično oglasio kako bi potvrdio ili demantovao autentičnost tvrdnji hakerske grupe.

Nakon što su medijske kuće, predvođene redakcijom portala “Nova”, uputile zvanične Zahteve za pristup informacijama od javnog značaja, MUP je iskoristio zakonsku mogućnost da zatraži produženje roka za odgovor. Umesto standardnih 15 dana, Ministarstvo je navelo da im je potrebno dodatnih 40 dana kako bi izvršili detaljne provere u više organizacionih jedinica.

Iako je ovakav potez pravno utemeljen zbog kompleksnosti provere informacionih sistema, u javnosti se stvara bezbednosni vakuum. Građani i strani rezidenti ostaju neobavešteni o tome da li su njihovi lični podaci, uključujući JMBG i brojeve pasoša, bezbedni ili su već postali predmet trgovine na ilegalnim forumima.

Hronika curenja podataka: Crni niz srpskog sajber prostora

Incident sa MUP-om nije izolovan slučaj, već predstavlja kulminaciju višemesečnog trenda u kom su kompromitovane baze podataka nekih od najvećih državnih i infrastrukturnih sistema u zemlji. Prema analizama Share fondacije i istraživačkih portala, u kratkom periodu zabeleženo je više kritičkih proboja:

Pored ovih direktnih napada na domaće baze, MUP je ranije upozorio građane i na masovne fišing (phishing) kampanje koje zloupotrebljavaju eksterne platforme poput Booking.com-a, gde su ciljanim napadima kompromitovani podaci o rezervacijama karticama i identitetima građana Srbije. Do danas, uprkos učestalim incidentima, javnosti nije poznato da je ijedan od ključnih aktera ovih napada identifikovan, lociran ili pravosudno procesuiran u zemlji.

Dugoročne posledice i bezbednosni rizici

Curenje podataka ove prirode nosi višeslojne opasnosti koje prevazilaze trenutnu administrativnu neprijatnost:

Krađa identiteta (Identity Theft): Kombinacija imena, JMBG-a i broja pasoša pruža zlonamernim akterima sve što je potrebno za otvaranje lažnih naloga, podizanje prevarnih kredita ili vršenje drugih krivičnih dela u ime žrtve.

Ciljani fišing i društveni inženjering: Poznavanje tačnog razloga boravka stranca u zemlji ili statusa njegove vize omogućava hakerima da kreiraju visoko uverljive, personalizovane prevarne poruke. Na primer, žrtva može dobiti imejl koji izgleda kao zvanični dopis MUP-a u kom se traži hitna uplata takse za produženje boravka, što drastično povećava stopu uspešnosti prevare.

Urušavanje međunarodnog ugleda: Kada baza podataka koja sadrži informacije o 150.000 stranih državljana (investitora, radnika, diplomata, turista) dospe na crno tržište, to šalje signal stranim partnerima da institucionalni aparat nije u stanju da garantuje elementarnu diskreciju i bezbednost.

Sve dok se bezbednosti informacionih sistema ne pristupi sa nivoa kritične infrastrukture — uz rigorozne eksterne revizije, implementaciju naprednih sistema za detekciju upada i transparentno obaveštavanje javnosti — građani i njihovi podaci ostaće prva linija štete u globalnom sajber ratu.