Šta se desilo?

Početkom aprila 2026. godine Fudbalski savez Srbije primio je poruku u kojoj su napadači tvrdili da su došli do baze sa ličnim podacima i zahtevali novac kako je ne bi objavili. Nakon što otkup nije plaćen, napadači su pokušali da podatke prodaju, a više od mesec dana kasnije baza je objavljena na forumu na dark vebu.

BBC na srpskom imao je uvid u bazu sa skoro 47.000 unosa i više od 11.400 jedinstvenih identifikatora, uključujući JMBG, brojeve pasoša i viza. Među osobama čiji su podaci pronađeni u bazi nalaze se poznati fudbaleri, košarkaši, selektori i treneri koji su tokom godina boravili u hotelu „Srbija Luks“, u okviru Sportskog centra FSS u Staroj Pazovi.

Koga pogađa?

Incident potencijalno pogađa više od 11.400 osoba iz Srbije i inostranstva čiji su podaci evidentirani tokom boravka u hotelu „Srbija Luks“.

Među njima nisu samo profesionalni sportisti i članovi reprezentacija. Hotel je bio dostupan i drugim gostima, pa baza može sadržati podatke osoba koje su u njemu boravile privatno ili poslovno.

Poseban rizik predstavlja činjenica da su među objavljenim informacijama identifikacioni podaci koji se ne mogu jednostavno promeniti, poput JMBG-a ili broja pasoša. Takvi podaci mogu biti iskorišćeni za ciljane phishing prevare, lažno predstavljanje i druge oblike zloupotrebe identiteta.

Kako se zaštititi?

  • Ako ste boravili u hotelu „Srbija Luks“, budite posebno oprezni prema neočekivanim pozivima, email i SMS porukama koje koriste vaše lične podatke kako bi delovale legitimno.
  • Ne dostavljajte dodatne lične podatke, fotografije dokumenata, pristupne kodove ili lozinke na osnovu neočekivanog zahteva.
  • Omogućite višefaktorsku autentifikaciju na važnim online nalozima gde god je dostupna.
  • Budite oprezni sa porukama koje se predstavljaju kao komunikacija FSS-a, hotela, državnih institucija, banaka ili drugih organizacija.
  • U slučaju sumnje na zloupotrebu identiteta, obratite se nadležnoj instituciji i organizaciji čiji se identitet koristi u pokušaju prevare.

Tehnički detalji

Tačno mesto na kojem je prvobitno došlo do kompromitovanja podataka još nije potpuno razjašnjeno. Fudbalski savez Srbije naveo je da serveri FSS-a i Sportskog centra nisu bili izvor kompromitovanja.

Prema informacijama Poverenika za informacije od javnog značaja i zaštitu podataka o ličnosti, iz izjašnjenja Sportskog centra FSS proizlaze indicije da je do kompromitovanja moglo doći preko državnog sistema eTurista. Ministarstvo turizma i omladine, međutim, navelo je da nema saznanja o narušavanju bezbednosti podataka u tom sistemu.

Više javno tužilaštvo u Beogradu saopštilo je da je 27. avgusta 2026. godine uhapšen L.D. zbog sumnje da je, između aprila i avgusta, neovlašćeno pristupao računarskim mrežama Sportskog centra FSS i Republičkog fonda za zdravstveno osiguranje i preuzeo veliku količinu podataka.

Osumnjičeni se tereti za više krivičnih dela povezanih sa neovlašćenim pristupom računarskim sistemima i računarskom sabotažom, dok je postupak pred Posebnim odeljenjem za borbu protiv visokotehnološkog kriminala u toku.

Problem sa prijavom incidenta

Prema informacijama koje je kancelarija Poverenika dostavila BBC-ju, do 11. juna 2026. ni FSS ni hotel „Srbija Luks“ nisu prijavili povredu podataka Povereniku.

Nakon što je Poverenik saznao za slučaj, zatraženo je izjašnjenje FSS-a i Sportskog centra. Postupak prema Sportskom centru kasnije je završen, a dalje postupanje usmereno je ka Ministarstvu turizma i omladine zbog indicija da je kompromitovanje moglo biti povezano sa sistemom eTurista.

Preporuka Sajber Radara

Ako ste boravili u hotelu „Srbija Luks“, računajte na mogućnost da vaši identifikacioni podaci mogu biti iskorišćeni za uverljive phishing poruke i pokušaje lažnog predstavljanja. Budite posebno oprezni kada neko već zna vaše ime, JMBG ili druge lične podatke – poznavanje tih informacija nije dokaz da je osoba ili poruka legitimna.

Ne šaljite dodatne podatke ili pristupne kodove bez nezavisne provere zahteva i pratite zvanična obaveštenja nadležnih institucija o daljem razvoju incidenta.