Zaštita i sigurnost osobnih podataka

OBAVIJEST O POVREDI OSOBNIH PODATAKA

Sustav za upravljanje rezervacijama izvršitelja obrade Phobs d.o.o. - dan saznanja 04.06.2026

Nastavno na obavijesti koje su naši gosti već zaprimili, ovim putem želimo pružiti dodatne informacije te transparentno informirati sve zainteresirane strane o predmetnom događaju kako slijedi:

PRIRODA POVREDE OSOBNIH PODATAKA

Kada?

Prve dojave gostiju koji su rezervirali smještaj u Valamarovim objektima zaprimljene su 4. lipnja 2026. u jutarnjim satima, kada su djelatnici Valamar rezervacijskog centra (VRC) prilikom obrade zaprimljene korespondencije evidentirali upite i poruke gostiju o navedenom događaju. Navedeni trenutak ujedno predstavlja i vrijeme prvog saznanja Valamara o mogućem sigurnosnom incidentu uslijed kojeg je došlo i do povrede osobnih podataka. Tijekom istog dana Valamar je dodatne informacije o incidentu zaprimio prvo usmenim putem, a onda i pisanim putem od društva PHOBS d.o.o. za informatičke usluge sa sjedištem u Dubrovniku, Vukovarska 19, OIB: 09221756952 (dalje: Phobs)

Kako?

Naime, Valamar Riviera kao voditelj obrade osobnih podataka osoba koje su izvršile rezervaciju smještaja u Valamarovim objektima koristi sustav za obradu rezervacija izvršitelja obrade Phobs, temeljem ugovora o poslovnoj suradnji i ugovora o obradi osobnih podataka. Izvršitelj obrade pruža uslugu većem broju voditelja obrade (hotelijera) te u sustavu obrađuje rezervacije više neovisnih voditelja obrade.

Prema obavijesti Phobsa, incident je nastao uslijed kompromitacije korisničkih vjerodajnica (jednog korisničkog računa koji nije Valamarov) te zlouporabom postojeće funkcionalnosti IT sustava Phobsa na maliciozan način, s ciljem krađe podataka o rezervacijama.

Koji gosti?

U ovom trenutku nije moguće utvrditi koje su konkretne rezervacije pogođene incidentom, pa slijedom toga nije poznato ni na koje se goste niti na koje podatke isti odnosi. S obzirom na sadržaj dostavljenih poruka možemo jedino pretpostaviti da se radi o gostima koji su izvršili rezervacije smještaja u Valamarovim objektima u ovoj godini.

Koji podatci?

Od strane Phobsa zaprimili smo i informacije o vrstama podataka koje su potencijalno mogle biti obuhvaćene incidentom:

• identifikacijski i kontaktni podaci nositelja rezervacije i gostiju (ime i prezime, adresa, poštanski broj, grad, država, e-mail adresa, telefonski broj i broj mobilnog telefona);
• podaci o rezervaciji i smještaju (šifra i izvor rezervacije, objekt, datumi dolaska i odlaska, broj noćenja, vrsta usluge, posebni zahtjevi, broj odraslih i djece te imena gostiju navedena u rezervaciji);
• financijski podaci vezani uz rezervacije (valuta, popusti, dodatne naknade i ukupni iznos);
• transakcijski podaci i određeni podaci povezani s platnim karticama.

Podaci vezani uz platne kartice uključuju tip kartice, zadnje četiri znamenke kreditne kartice, datum isteka i ime vlasnika kartice. Puni broj kartice (PAN) i sigurnosni kod (CVV) nisu bili izloženi.

Važno je naglasiti da, prema dostupnim informacijama, ne postoji izravan rizik od zlouporabe kartice na temelju ovih podataka. Upravo zbog toga što napadači nisu imali pristup potpunim podacima o karticama, pokušavaju doći do istih putem lažnih poruka (tzv. smishing / phishing) u kojem navode goste da pristupe lažnom linku koji potom traži unos svih podataka platnih kartica.

VJEROJATNE POSLJEDICE POVREDE OSOBNIH PODATAKA

Vjerojatne posljedice su mogućnost primanja lažnih poruka (tzv. smishing / phishing poruka) koje na prvi pogled mogu djelovati vjerodostojno i povećati mogućnost prijevare. Dodatno, ne može se u potpunosti isključiti rizik neovlaštene uporabe osobnih podataka koje nužno ne moraju biti izravno povezane s inicijalnim incidentom.

MJERE KOJE JE VODITELJ OBRADE PODUZEO ILI PREDLOŽIO PODUZETI ZA RJEŠAVANJE PROBLEMA POVREDE OSOBNIH PODATAKA, UKLJUČUJUĆI PREMA POTREBI MJERE UMANJIVANJA NJEZINIH MOGUĆIH ŠTETNIH POSLJEDICA.

Valamar je poduzeo niz mjera radi smanjenja rizika i zaštite gostiju. Uz individualne odgovore na zaprimljene upite, gostima s potencijalno obuhvaćenim rezervacijama upućena su upozorenja i obavijesti s ciljem sprječavanja i smanjenja rizika od nasjedanja na lažne poruke.

Interni IT odjel, u suradnji s vanjskim IT partnerima, provodi dodatne provjere i analizu IT infrastrukture, pri čemu nisu utvrđene nepravilnosti niti indikacije kompromitacije internih sustava Valamara. Istodobno, Valamar je u stalnom kontaktu s izvršiteljem obrade te prati mjere koje isti poduzima.

Prema zaprimljenim informacijama izvršitelj obrade, Phobs je neposredno nakon utvrđivanja incidenta poduzeo mjere radi sprječavanja daljnjeg neovlaštenog pristupa, uključujući identifikaciju kompromitiranog korisničkog računa, resetiranje pristupnih vjerodajnica, blokiranje IP adresa s kojih su dolazili zlonamjerni zahtjevi te onemogućavanje funkcionalnosti izvoza podataka. Dodatno su implementirane tehničke zaštitne mjere, uključujući ograničavanje učestalosti zahtjeva (rate limiting) na relevantnim skriptama te primjenu dodatnih sigurnosnih mehanizama autentifikacije. Istodobno se provodi detaljna analiza sustava radi utvrđivanja opsega incidenta, uz uključivanje vanjskih stručnjaka za kibernetičku sigurnost.