Europska referenca · ažurirano 2026-08-17

Vaše su vjerodajnice iscurile.
Pravo je pitanje drugdje.

Znati da se adresa pojavila u curenju ne stoji ništa i ne mijenja ništa: vrijedi za gotovo svakoga. Pitanje koje dotiče vašu odgovornost dvojako je: otvara li to curenje kod vas još uvijek vrata i koga morate obavijestiti te u kojem roku.

Iznesite svoju situaciju →
72 hza prijavu nadležnom tijelu OUZP, članak 33.
30zemalja, svako tijelo provjereno pojedinačno službeni popis EOZP-a
15 000 000 000zapisa u javnom referentnom skupu podatak objavio Have I Been Pwned
0iscurjelih vjerodajnica koje čuvamone može nam se ukrasti ono što nikada nismo vidjeli

Što znači « iscurjeti », a što ne znači

Curenje vjerodajnica nije izdvojen događaj kod vas: to je svjetski tok. Za red veličine: javna referenca u ovom području indeksirala je u studenome 2025. u jednoj jedinoj operaciji 1 957 476 021 jedinstvenih adresa (podatak objavio Have I Been Pwned).

Praktičan zaključak: prisutnost vašeg naziva domene u curenju vjerojatna je i sama po sebi nije upotrebljiva informacija. Važno je ono što slijedi.

Tri pitanja koja doista nešto mijenjaju

  • Postoji li račun još uvijek i je li aktivan?
  • Je li lozinka promijenjena nakon datuma curenja ili prije njega?
  • Pokriva li taj račun snažna autentifikacija i je li riječ o povlaštenom računu?

Nijedan od ova tri odgovora ne nalazi se u bazi curenja. Čitaju se unutar vašeg imenika ili najmoprimca, uz vaš pristanak.

Ako je curenje potvrđeno: postupak, redom

  1. Utvrdite i datirajte. Zabilježite točan trenutak u kojem ste saznali za činjenice: on pokreće rok od 72 sata, a ne datum samog curenja.
  2. Ograničite. Poništite zahvaćene pristupe, opozovite tekuće sjednice i tokene. Promijenjena lozinka ne zatvara već otvorenu sjednicu.
  3. Izmjerite doseg. Koje osobe, koje kategorije podataka, koji opseg. Upravo će to mjerenje tijelo tražiti od vas, a ne vaš dojam.
  4. Prijavite nadležnom tijelu ako povreda vjerojatno predstavlja rizik za osobe. Tablica u nastavku navodi tijelo vaše zemlje.
  5. Obavijestite osobe na koje se odnosi kada je rizik za njih visok.
  6. Dokumentirajte. Svaka se povreda evidentira, pa i ona koju ste odlučili ne prijaviti, zajedno s razlogom te odluke.

Ovaj postupak slijedi OUZP, članke 33. i 34. Službeni tekst. Ne zamjenjuje pravno mišljenje: mi smo revizori, a ne odvjetnici. Službeni izvori: Uredba (EU) 2016/679, članci 33. i 34. (EUR-Lex) ; smjernice 9/2022 EOZP-a ; CNIL: povrede osobnih podataka ; CNIL: prijava povrede ; Direktiva (EU) 2022/2555, članak 23. (EUR-Lex).

Koga obavijestiti, zemlju po zemlju

Nadležno tijelo za zaštitu podataka za 30 zemalja Europskoga gospodarskog prostora. Dvadeset i sedam redaka provjereno je pojedinačno prema službenom popisu članova Europskog odbora za zaštitu podataka i nosi poveznicu na taj izvor; za Lihtenštajn izvor je web-mjesto samog tijela; za Island i Luksemburg provjera nije objavljena: prije prijave provjerite tijelo na popisu Odbora.

ZemljaTijelo za zaštitu podatakaProvjera
AustrijaOsterreichische Datenschutzbehorde (DSB)izvor
BelgijaAutorite de la protection des donnees - Gegevensbeschermingsautoriteit (APD-GBA)izvor
BugarskaCommission for Personal Data Protection (CPDP)izvor
CiparOffice of the Commissioner for Personal Data Protection (Cyprus Data Protection Authority)izvor
ČeškaUrad pro ochranu osobnich udaju (UOOU) - Office for Personal Data Protectionizvor
NjemačkaBfDI - Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheitizvor
DanskaDatatilsynetizvor
EstonijaEstonian Data Protection Inspectorate (Andmekaitse Inspektsioon)izvor
ŠpanjolskaAgencia Espanola de Proteccion de Datos (AEPD)izvor
FinskaOffice of the Data Protection Ombudsman (Tietosuojavaltuutetun toimisto)izvor
FrancuskaCNIL (Commission Nationale de l'Informatique et des Libertes)izvor
GrčkaHellenic Data Protection Authority (HDPA) - Arkhi Prostasias Dedomenon Prosopikou Kharaktiraizvor
HrvatskaAgencija za zastitu osobnih podataka (AZOP) - Croatian Personal Data Protection Agencyizvor
MađarskaNemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH) - Hungarian National Authority for Data Protection and Freedom of Informationizvor
IrskaData Protection Commission (DPC)izvor
IslandPersonuvernd (Icelandic Data Protection Authority)nije objavljena
ItalijaGarante per la protezione dei dati personaliizvor
LihtenštajnDatenschutzstelle Fürstentum Liechtensteinizvor
LitvaState Data Protection Inspectorate (Valstybine duomenu apsaugos inspekcija - VDAI)izvor
LuksemburgCommission Nationale pour la Protection des Données (CNPD)nije objavljena
LatvijaData State Inspectorate (Datu valsts inspekcija)izvor
MaltaOffice of the Information and Data Protection Commissioner (IDPC)izvor
NizozemskaAutoriteit Persoonsgegevens (AP)izvor
NorveškaDatatilsynetizvor
PoljskaUrząd Ochrony Danych Osobowych (UODO)izvor
PortugalComissão Nacional de Proteção de Dados (CNPD)izvor
RumunjskaANSPDCP - Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (National Supervisory Authority for Personal Data Processing)izvor
ŠvedskaIntegritetsskyddsmyndigheten (IMY) - Swedish Authority for Privacy Protectionizvor
SlovenijaInformation Commissioner of the Republic of Slovenia (Informacijski pooblascenec)izvor
SlovačkaUrad na ochranu osobnych udajov Slovenskej republikyizvor

Redak koji nedostaje znači da ga nismo mogli provjeriti, a ne da tijelo ne postoji. Radije ćemo kraću tablicu nego lažniju.

Što znamo raditi, a što ne radimo

Znamo gledati izvana

8 javnih izvora opisuje što napadač vidi o vama prije nego uđe: zapisnici certifikata, DNS i poštanski zapisi, izloženi servisi, nazivi domena dvojnici, objave koda, indeksirani dokumenti.

  • Bez ikakve instalacije kod vas
  • Bez posjedovanja ukradenih podataka

A prije svega gledati iznutra

Ondje se nalaze tri odgovora koja se broje. Revidiramo Microsoft 365 i Active Directory s vašeg radnog mjesta, samo za čitanje, i uspoređujemo ono što curenje najavljuje sa stvarnim stanjem vaših računa.

  • Izvješće na jeziku svakog čitatelja
  • Plan rada poredan prema naporu i učinku

Gdje smo, rečeno otvoreno

Mehanizam koji ispituje tih 8 izvora napisan je i radi, ali još nije pokrenut kod klijenta. Ovdje stoga ne prodajemo samoposlužnu dijagnozu: provodimo je sami, s vama, i upozoreni ste da biste bili među prvima. Radije to kažemo nego da to sami otkrijete.

Revizija Microsofta 365 i revizija Active Directoryja, naprotiv, već rade kod stvarnih klijenata.

  Iznesite svoju situaciju   Pogledajte ostala vrata