# Curenje podataka putem web-stranice? Nazovite. Pomažemo.

> Sumnja na curenje podataka putem Vaše web-stranice? Rok za prijavu teče. Nazovite ili pišite putem WhatsAppa. Na daljinu razjašnjavamo što se dogodilo.

Izvor: https://phpsos.de/hr/soforthilfe/datenleck-ueber-website/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Ako sumnjate da su podaci iscurili putem Vaše web-stranice, vrijeme je presudan čimbenik. Ako ste pogođeni, javite se odmah. Na daljinu osiguravamo tragove, tehnički razjašnjavamo koji podaci mogu biti pogođeni, zatvaramo pristup i isporučujemo pouzdanu dokumentaciju za službenika za zaštitu podataka, odvjetnika i osiguratelja.

> **Djelujte odmah:**
> **Sada ništa ne brisati i ništa ne postavljati iznova.** Zapisnici, baza podataka i datoteke jedini su dokazi o tome što je iscurilo, a što nije. Tko ih prepiše, kasnije ne može ništa dokazati. [Prijavite hitni slučaj](https://phpsos.de/hr/notfall/) i preuzimamo od prve poruke.

## Jeste li pogođeni? Po čemu se prepoznaje curenje podataka putem web-stranice

Curenje podataka često prođe neprimijećeno. Naznake uglavnom proizlaze iz popratnih pojava:

- Klijenti javljaju da se podaci koje ste imali samo Vi pojavljuju na drugom mjestu ili da primaju phishing poruke s točnim pojedinostima narudžbe.
- Baza podataka je upadljivo jako opterećena ili izvozi i dumpovi leže na mjestima na kojima ih niste izradili.
- U zapisnicima se vide masovni upiti na popise klijenata, narudžbe ili korisničke profile, često u ujednačenom taktu.
- Vaš poslužitelj uspostavlja odlazne veze prema adresama koje ne poznajete ili prenosi neobično mnogo podataka.
- Postoje novi administratorski računi, promijenjene lozinke ili prijave u neuobičajeno vrijeme.
- Istraživač sigurnosti, novinar ili tijelo upozorava Vas na javno dostupne podatke.
- Na Vašem poslužitelju nalaze se nezaštićene sigurnosne kopije, datoteke `.env` ili direktoriji koje svatko može otvoriti.

Posljednja točka je curenje bez napada: tko sigurnosnu kopiju ostavi u web-direktoriju, čini podatke dostupnima bez ikakvog hakiranja. I to može biti obvezno za prijavu.

## Što učiniti odmah

1. **Zabilježiti vrijeme:** Zapišite kada i kako ste saznali za sumnju. To je vrijeme važno za rokove.
2. **Ograničiti pristup:** Pogođena područja, primjerice korisnički račun ili funkcije izvoza, privremeno odspojite s mreže ili stavite u način održavanja ako podaci i dalje mogu curiti.
3. **Osigurati tragove:** Zapisnike poslužitelja, bazu podataka i datotečni sustav ne mijenjati. Zamolite pružatelja hostinga da sačuva zapisnike.
4. **Uključiti službenika za zaštitu podataka:** Interno obavijestite nadležnu osobu ili vanjskog službenika za zaštitu podataka kako bi se rok za prijavu držao na oku.
5. **Razjasniti pogođene vrste podataka:** Što se nalazi na sustavu? Matični podaci klijenata, narudžbe, zdravstveni podaci ili podaci o plaćanju, prijave za posao?
6. **Pristupe mijenjati usklađeno:** Lozinke i ključeve mijenjati tek nakon dogovora i s čistog uređaja.
7. **Obavijestiti osiguratelja i odvjetnika:** Mnoge police traže ranu prijavu.

## Kako PHP SOS konkretno pomaže?

1. **Procijeniti situaciju:** S Vama razjašnjavamo koji sustavi i vrste podataka mogu biti pogođeni i kada je nastala sumnja.
2. **Osigurati i zatvoriti:** Zapisnike, bazu podataka i datoteke osiguravamo nepromijenjene, blokiramo napadačev pristup i zatvaramo otvorene putove, primjerice nezaštićene sigurnosne kopije.
3. **Provjeriti i očistiti:** Analiziramo pristupe, upite bazi podataka i veze, tražimo web shellove i stražnja vrata te ih uklanjamo. Gdje je potrebno, uključujemo partnere za [IT forenziku](https://phpsos.de/hr/leistungen/it-forensik/) prihvatljivu na sudu.
4. **Ojačati i izvijestiti:** Dobivate vremensku crtu, izjavu o vjerojatno pogođenim podacima, jasno razdvojenu na dokazano, vjerojatno i nepoznato, te preporuke za trajnu zaštitu.

Radimo na daljinu, bez dolaska, u cijeloj Njemačkoj i Europi.

## Rok za prijavu: što zahtijeva GDPR i što mi doprinosimo

Prema čl. 33. GDPR-a povreda zaštite osobnih podataka u pravilu se nadzornom tijelu prijavljuje bez nepotrebnog odgađanja, ako je moguće u roku od 72 sata od saznanja, ako vjerojatno znači rizik za pogođene osobe. To je opća informacija, a ne pravni savjet. Morate li što prijaviti i što, odlučujete sa svojim službenikom za zaštitu podataka ili odvjetnikom.

Naš doprinos je tehnička strana: što se dogodilo, koji su sustavi bili pogođeni, koje su se vrste podataka tamo nalazile, koliko je dugo pristup bio otvoren, što je poduzeto? Prijava koja se temelji na dokazanim činjenicama, a ne na pretpostavkama, lakše se zastupa. Pregled obveza daje stranica o [obvezi prijave prema GDPR-u u 72 sata](https://phpsos.de/hr/compliance/dsgvo-meldepflicht-72-stunden/). Incident s vremenom ne postaje manji; tko se rano prijavi i uredno dokumentira, u prednosti je.

## Osigurati dokaze i ispravno se obratiti pogođenima

Najveća opasnost nakon curenja je refleks da se sve brzo popravi. Tek postavljen poslužitelj lijepo izgleda, ali više ništa ne dokazuje. Kako postupiti a da se ne unište tragovi, opisuje stranica [Osiguranje dokaza prije ponovne instalacije](https://phpsos.de/hr/blog/beweise-sichern-vor-neuinstallation/). Redoslijed događaja potom se može zabilježiti u [vremenskoj crti incidenta](https://phpsos.de/hr/blog/zeitleiste-eines-vorfalls/).

Ako se klijenti ili partneri moraju obavijestiti, važne su jasne, stvarne riječi. Poticaje daju stranice [Informiranje kupaca nakon incidenta](https://phpsos.de/hr/blog/kunden-nach-vorfall-informieren/) i [Krizna komunikacija](https://phpsos.de/hr/compliance/krisenkommunikation/). Je li kaznena prijava smislena, razjasnite sa svojim odvjetnikom; napomene o kontaktnim točkama pronaći ćete na stranici [Prijava policiji](https://phpsos.de/hr/compliance/anzeige-polizei-zac/). Ako se incident proširi na više sustava, zajedno prelazimo na strukturirani [odgovor na incident](https://phpsos.de/hr/leistungen/incident-response/).

## Što nam trebate poslati

- kratak opis: kada Vam je nešto upalo u oči, tko je to uočio, po čemu?
- vrste podataka koje se nalaze na web-stranici ili poslužitelju
- pristupe poslužitelju ili dopuštenje da izravno razgovaramo s Vašim pružateljem hostinga
- napomene o sigurnosnim kopijama, izvozima i sučeljima prema drugim sustavima
- imena agencije i programera koji poznaju sustav
- ime službenika za zaštitu podataka, ako postoji

## Zašto PHP SOS

Radimo Made in Germany i više od 25 godina s našom mrežom partnera stručnjaka za kibernetičku sigurnost specijalizirani smo za IT sigurnost. Imate jednu kontakt osobu, sve se dokumentira i otvoreno kažemo što se može dokazati, a što ne. Ne obećavamo rekonstrukciju ako zapisnici nedostaju niti pružamo pravni savjet. Isporučujemo tehničke činjenice s kojima Vi i Vaši savjetnici možete odlučivati.

## Jeste li pogođeni? Nazovite. Pomažemo.

Kod mogućeg curenja podataka teče rok, a tragovi nestaju svakim danom. Javite se odmah: nazovite ili pišite putem WhatsAppa. Preuzimamo od prve poruke i ostajemo uz Vas dok incident nije zaključen i dokumentiran. [Prijavite hitni slučaj odmah](https://phpsos.de/hr/notfall/)


## Česta pitanja

**Koliko brzo moram prijaviti curenje podataka?**  
Prema čl. 33. GDPR-a povreda podataka s rizikom za pogođene osobe u pravilu se nadzornom tijelu prijavljuje bez nepotrebnog odgađanja i, ako je moguće, u roku od 72 sata od saznanja. Odnosi li se to na Vas, razjasnite sa svojim službenikom za zaštitu podataka ili odvjetnikom.

**Kako znam jesu li podaci doista iscurili?**  
Često samo analizom zapisnika poslužitelja, pristupa bazi podataka i odlaznih veza. Ako tih tragova nema, curenje se ne može ni dokazati ni isključiti. To u izvješću otvoreno navodimo kao nepoznato.

**Moram li obavijestiti svoje klijente?**  
To ovisi o riziku za pogođene osobe. Ako je visok, prema GDPR-u i njih treba obavijestiti. Pravna procjena pripada službeniku za zaštitu podataka ili odvjetniku; mi za to isporučujemo tehničku osnovu.

**Što ako tek kasnije primijetim da podataka nema?**  
Mjerodavno je kada ste saznali za povredu. Zabilježite kada i kako je sumnja nastala te od tog trenutka osigurajte tragove.

**Možete li pomoći i ako su se podaci nalazili kod pružatelja usluga?**  
Provjeravamo što možemo razjasniti s pristupima i informacijama koje dobijete. S agencijom ili pružateljem hostinga usklađujemo se nakon Vašeg odobrenja.

## Izvori

- [GDPR čl. 33.: prijava nadzornom tijelu](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI: Savezni ured za informacijsku sigurnost](https://www.bsi.bund.de/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)