HZZO upozorava: mailovi sa status@dostava.hr su prevara, ne unosite OIB ni karticu

Hrvatski zavod za zdravstveno osiguranje (HZZO) u srijedu, 17. rujna 2026., upozorio je građane na phishing kampanju u kojoj se lažnim e-mailovima traže uplate i osobni podaci. Poruke se šalju s adresa „Zdravstveno osiguranje“ status@dostava.hr i „Zdravstveno osiguranje“ status-hzzo@dostava.hr, koje nisu službene adrese HZZO-a, izvijestio je Večernji.hr. Zavod ističe da informacijski sustav HZZO-a nije ugrožen: napadi su usmjereni na građane, ne na bazu podataka.

Shema je poznata. Prevaranti se pretvaraju da su institucija kojoj građani vjeruju, traže klik na poveznicu, pa unos OIB-a, MBO-a, broja kartice, CVV-a ili lozinke. Tko upadne, gubi novac i osobne podatke. Tko prepozna laž, treba obrisati poruku, ne odgovarati i ne otvarati linkove. U doba digitalnih usluga zdravstva i e-Građana, napad na povjerenje u HZZO nije sitnica: dira gotovo svako kućanstvo.

Kako prepoznati lažni mail

Službene adrese HZZO-a ne završavaju na dostava.hr. Već sama domena „dostava“ u kombinaciji s riječima o zdravstvenom osiguranju signal je upozorenja. Predmet poruke često žuri: navodni dug, hitna uplata, blokada kartice ili obnova podataka. Jezik može biti nespretan, ali sve češće izgleda uvjerljivo. Zato pravilo nije „izgleda li kao HZZO“, nego „jesam li to sam pokrenuo i znam li točnu službenu adresu“.

HZZO savjetuje da se ne otvaraju poveznice iz takvih poruka i da se ne upisuju osobni podaci: ime i prezime, MBO, OIB, brojevi bankovne kartice, CVV te osobne i poslovne lozinke. Sumnjive e-mailove treba obrisati i na njih ne odgovarati. Ako je već došlo do štete, događaj treba prijaviti policiji i nacionalnom CERT-u. Jedan klik manje često znači tisuće eura sačuvanih.

Zašto baš HZZO

Zdravstveno osiguranje dirne gotovo svakog građanina. Prevaranti biraju brendove kojima se vjeruje: banke, dostavu, poreznu, zdravstvo. Kad u sandučiću piše „Zdravstveno osiguranje“, refleks mnogih je kliknuti. Upravo zato institucije javno upozoravaju čim kampanja krene. HZZO navodi da nakon saznanja o takvim kampanjama javno upozorava građane i slučajeve prijavljuje policiji.

Važno je razlikovati: ugroženost sustava HZZO-a i ugroženost građana nisu isto. Zavod kaže da podaci koje HZZO obrađuje nisu kompromitirani jer napadi ciljaju e-mail sandučiće ljudi. To ne smanjuje štetu ako netko ipak upiše broj kartice na lažnu stranicu. Odgovornost ostaje na oprezu korisnika, ali i na jasnoj komunikaciji institucija. Javno imenovanje adresa status@dostava.hr i status-hzzo@dostava.hr upravo je ta komunikacija.

Što učiniti ako ste već kliknuli

Ako ste otvorili poveznicu, ali niste unosili podatke, zatvorite stranicu, ne vraćajte se i razmislite o skeniranju uređaja. Ako ste unijeli lozinku, odmah je promijenite na pravoj stranici institucije ili banke, nikad preko linka iz maila. Ako ste unijeli podatke kartice, kontaktirajte banku i zatražite blokadu ili nadzor transakcija. Prijavu policiji i CERT-u ne odgađajte jer nije velika šteta: obrasci pomažu gašenju kampanje.

Pravilo za ubuduće: službene stranice tipkajte sami ili ih otvarajte iz spremljenih, provjerenih oznaka. Ne odgovarajte na mailove koji traže OIB, MBO ili CVV. HZZO, banke i državne institucije ne traže takve podatke e-mailom u hitnim porukama s domene dostava.hr. Ako sumnjate, nazovite službeni broj s web stranice koju ste sami otipkali, ne broj iz sumnjivog maila.

Javno upozorenje nije panika

Phishing nije egzotika. To je industrijska prijevara koja se ponavlja svaki tjedan pod drugim imenom. Razlika je u tome što je HZZO ovaj put imenovao konkretne adrese. Građani koji dobiju mail s status@dostava.hr ili status-hzzo@dostava.hr ne trebaju provjeravati klikom. Trebaju obrisati. Tko živi od tuđe nepažnje, računa na žurbu i strah. Mirna, tvrda procedura štedi novac i živce. U zemlji gdje su zdravstveni podaci i kartice svakodnevni alat, oprez nije paranoja: oprez je elementarna higijena.

Izvor: Večernji.hr / Hina, HZZO