RFZO i podaci osiguranika: šta se zna, a šta ne
Fond kaže da proverava sisteme i da još ne može da potvrdi navode. Na forumu je objavljen uzorak od 342.732 zapisa sa imenima izabranih lekara.
Da li je baza osiguranika RFZO stvarno probijena? Republički fond za zdravstveno osiguranje kaže da to u ovom trenutku ne može da potvrdi, ali je proveru već pokrenuo.
Fond je 18. avgusta 2026. saopštio da je preduzeo preventivne mere i da sprovodi detaljnu proveru informacionih sistema i bezbednosti podataka, u saradnji sa nadležnim institucijama i stručnim službama. Povod su informacije koje su se pojavile na pojedinim internet forumima, o navodnom kompromitovanju informacionog sistema i podataka osiguranika.
U saopštenju Fond ostavlja otvoreno pitanje koliko je od objavljenog tačno:
“U ovom trenutku nije moguće potvrditi navode o obimu i sadržaju eventualnog incidenta, niti o autentičnosti materijala koji se objavljuju na internetu.”
Dakle, Fond ne tvrdi ni da se upad dogodio ni da se nije dogodio. Provera je u toku.
Šta je objavljeno na forumu
Na forumu posvećenom sajber bezbednosti objavljeno je da je nepoznati akter ušao kroz propust tipa SQL injection na jednoj stranici za proveru podataka na sajtu rfzo.rs i tako stigao do baze.
Isti akter tvrdi sledeće:
- da baze prijavljuju oko 8 miliona zapisa, a da posle uklanjanja duplikata i čišćenja ostaje oko 5 miliona validnih
- da nije tražio otkup, nego podatke nudi na prodaju proverenim kupcima
- da je o propustu obavestio sam Fond
Objavljen je i uzorak, kao dokaz pristupa. Reč je o izvodu iz tabele pod nazivom izjave, sa 342.732 zapisa, odnosno izjava o izabranom lekaru.
Ništa od ovoga za sada nije potvrđeno iz Fonda, i tu stoji razlika između dve strane priče. Forum govori o konkretnim tabelama i brojkama, Fond govori o proveri koja tek treba da pokaže šta se desilo.
Koji podaci se pominju u uzorku?
Prema onome što je objavljeno, u kolonama uzorka vide se lični broj osiguranika, jedinstveni matični broj građana, naziv specijalizacije lekara, naziv zdravstvene ustanove i ime i prezime izabranog lekara.
To je kombinacija koja se ne menja kao lozinka. Matični broj čovek nosi ceo život, a podatak o izabranom lekaru i njegovoj specijalizaciji govori i o tome gde se osiguranik leči.
U isto vreme, sajt rfzo.rs i portal javnih nabavki javnenabavke.rfzo.rs prikazivali su poruku da su privremeno nedostupni.
Revizori su na ovo upozorili još 2024.
Ovo nije prvi put da se pominje bezbednost sistema Fonda. Državna revizorska institucija je u izveštaju objavljenom 9. februara 2024. utvrdila da Republički fond za zdravstveno osiguranje nije u potpunosti uspostavio upravljanje informacionom bezbednošću, i navela manjak ljudi, neprepoznavanje IT rizika i upravljanje podacima.
Predsednik Državne revizorske institucije Duško Pejović tada je konkretno naveo šta je revizija našla:
“I bez elektronske knjižice se može prići bazi na osnovu jedinstvenog matičnog broja što je nedopustivo, jer bi se na bazi uvođenja novog sistema trebala obezbediti sigurnost podataka.”
Fond je tada dobio devet preporuka. Najduži rok ostavljen je upravo za onu koja traži da pristup ličnim podacima bude moguć samo uz fizičko prisustvo osiguranika.
Državni revizor Radovan Ratković objasnio je šta se od Fonda tražilo:
“Treba osmisliti ili novi pristup ili redefinisati postojeće, a ostale preporuke su vezane za poboljšanje IT bezbednosti i efektivnije IT upravljanje.”
Zakon o Državnoj revizorskoj instituciji obavezuje korisnike javnih sredstava da otklone utvrđene nepravilnosti. Kada se to ne uradi, generalni revizor može da zatraži i smenu odgovornih.
Ono što sada ostaje jeste ishod provere koju Fond sprovodi sa nadležnim institucijama. Do tada je jedino zvanično potvrđeno da su mere preduzete i da autentičnost objavljenog materijala nije utvrđena.
