Lažna mojaRBA stranica traži aktivacione kodove mobilnog bankarstva

Šta se desilo?

Centar za sigurniji internet (CSI) u Hrvatskoj objavio je 23. oktobra 2026. upozorenje na lažnu stranicu koja imitira reaktivaciju mojaRBA aplikacije. Istraživač Ivan Anić prijavio je nalaz dan ranije. Prevara navodi korisnika da zatraži kodove u pravoj aplikaciji, pa ih preda lažnoj stranici.

Koga pogađa?

Opisani slučaj cilja korisnike mojaRBA aplikacije RBA banke u Hrvatskoj. CSI navodi i ostatke koda ranije stranice za m-zaba, ali taj nalaz ne utvrđuje obim posebne kampanje. Nije objavljen broj oštećenih korisnika niti potvrđena softverska ranjivost ovih aplikacija.

Kako se zaštititi?

• Aktivacione kodove za mojaRBA unosite samo direktno u zvaničnu mojaRBA aplikaciju.
• Ne pokrećite reaktivaciju ili promenu uređaja na zahtev iz neočekivane poruke ili poziva.
• Ne prepisujte kodove na stranicu otvorenu kroz browser, čak ni ako liči na sajt banke.
• Zahtev proverite pozivom na poznati zvanični broj banke, a ne broj iz sumnjive poruke.
• Ako ste već predali kodove, odmah tražite od banke blokadu neovlašćenog pristupa i proveru transakcija.
• Sačuvajte poruku i druge dokaze i prijavite prevaru nadležnim organima.

Tehnički detalji

RBA dokumentacija potvrđuje da se pri reaktivaciji kroz aplikaciju jedan deo novog koda prikazuje u aplikaciji, a drugi stiže SMS-om. Ti kodovi služe aktivaciji; njihovo predavanje drugome može omogućiti neovlašćeno povezivanje aplikacije na njegovom uređaju. CSI je zabeležio mobilni prikaz lažne stranice i prazan prikaz na računaru, što je otežalo početne provere pojedinih servisa. To ne znači da je stranica nevidljiva svim bezbednosnim alatima.

Zašto je važno?

Rad u pravoj bankarskoj aplikaciji ne čini naknadno predavanje kodova bezbednim. Isto važi za automatski ponuđen unos SMS koda: pogodnost unosa nije potvrda identiteta sajta koji kod traži.