Račun pod slojevitom zaštitom

1. Dvofaktorska i višefaktorska prijava

Dvofaktorska autentikacija (2FA) dostupna je svakom korisniku, a podržava aplikacije za jednokratne kodove na vašem uređaju. Preporučamo da je uključite odmah nakon registracije jer samu lozinku čini nedovoljnom za pristup računu. Višefaktorska potvrda (MFA) koristi se i interno: osoblje podrške prijavljuje se u administrativne sustave isključivo s dodatnim faktorom.

Ako izgubite uređaj s autentifikatorom, oporavak se provjerava putem odjela podrške uz dokaz identiteta, opisanim u točki 6. Isti se postupak primjenjuje i kada želite zamijeniti uređaj, pa stari kodovi prestaju vrijediti čim se novi poveže.

2. Šifriranje podataka

Sav promet između vašeg preglednika i platforme šifriran je suvremenim TLS protokolom, što sprječava presretanje podataka pri prijenosu. Osobni podatci i konfiguracija računa šifrirani su i u pohrani, u sustavima čiji je pristup ograničen na ovlaštene administratore i zabilježen u zapisniku pristupa.

Lozinke se nikada ne čuvaju u čitljivom obliku: sustav pohranjuje samo njihovu nepovratnu izvedenicu. Područje primjene šifriranja obuhvaća baze korisničkih podataka, komunikacijske sustave i sigurnosne kopije, a odgovorni sustavi redovito prolaze interne provjere konfiguracije.

3. Zaštita od prijevare i phishinga

Službene poruke šaljemo isključivo s domena dobitron-ulagora.org i nikada od vas ne tražimo lozinku niti jednokratni kod. U profilu računa možete postaviti sigurnosni kod koji navodimo u svakoj službenoj poruci, pa na prvi pogled razlikujete pravu poruku od lažne.

Sumnjive poruke koje se predstavljaju našim imenom prijavljujte na adresu podrške; postupak opisuje i stranica Upozorenje na prijevare. Nakon prijave provjeravamo navode, upozoravamo ostale korisnike i po potrebi prijavljujemo lažnu domenu registraturi.

4. Obavijesti o prijavi

Svaka nova prijava s neprepoznatog uređaja pokreće obavijest na vašu adresu e-pošte, a ako ste omogućili push obavijesti, i na mobilni uređaj. Obavijest sadrži vrijeme, vrstu uređaja i približnu lokaciju prijave, bez prilaganja osjetljivih podataka.

Kada primite obavijest o prijavi koju niste vi izvršili, odmah promijenite lozinku, pregledajte aktivne sesije u postavkama računa i javite se podršci. Sumnjiva aktivnost automatski se označava sigurnosnom timu koji može privremeno ograničiti radnje na računu dok se ne potvrdi vaš identitet.

5. Upravljanje uređajima i sesijama

U postavkama računa vidi se popis aktivnih sesija: preglednik, aplikacija i vrijeme posljednje aktivnosti. Svaku sesiju možete pojedinačno odjaviti, čime se prekida pristup s tog uređaja bez promjene lozinke. Moguće je i odjaviti sve sesije odjednom, što preporučamo nakon gubitka uređaja.

Sesije se automatski zatvaraju nakon duljeg razdoblja neaktivnosti, a osjetljive radnje poput promjene podataka za isplatu uvijek traže ponovnu potvrdu lozinkom. Na taj način ostavljena otvorena kartica ne omogućuje nikome promjenu ključnih postavki.

6. Oporavak računa

Oporavak pristupa provodi se isključivo uz provjeru identiteta: od vas se traži podatak iz registracije i dokument kojim potvrđujete osobu, a zatim vas vodi službenik podrške. Nikada ne vraćamo pristup na temelju jedne poruke bez provjere, i to je namjerno.

Zbog provjere oporavak može potrajati do dva radna dana. Tijekom postupka radnje isplate na računu su ograničene, jer je zaštita sredstava važnija od brzine. Nakon oporavka sustav traži novu lozinku i ponovno povezivanje autentifikatora.

7. Prava pristupnih ključeva

Ključeve za povezivanje vanjskih alata s računom možete ograničiti po pravima: samo čitanje podataka, čitanje i trgovanje, ili puni pristup s pravom pokretanja isplate. Preporučujemo najuže pravo koje alat zaista treba i redovit pregled aktivnih ključeva.

Svaki ključ može se opozvati odmah, a sustav pamti kada je i s koje adrese posljednji put korišten. Ključ s pravom isplate dodatno se širi potvrdom e-poštom prije prvog korištenja, pa slučajno generiran ključ ne otvara izlaz sredstava.

8. Povijest audita

Račun vodi zapisnik događaja: prijave, promjene lozinke, izmjene postavki strategija, povezivanja i opozivanja ključeva i zahtjeve za isplatu. Zapisnik je dostupan vama u sučelju, pa možete sami provjeriti je li se na računu dogodilo nešto što niste učinili vi.

Isti zapisnik služi internim provjerama: pristup osoblja korisničkim podacima također se bilježi i razmatra u redovitim pregledima. Zapisnici se čuvaju u šifriranom obliku i koriste se samo u sigurnosne i usklaživačke svrhe.

9. Podrška pri sigurnosnim incidentima

Za sigurnosne upite koristite istu adresu e-pošte podrške, uz oznaku hitno u predmetu poruke. Prvo što podrška može učiniti je blokirati prijave i isplate na vašem računu dok se situacija ne razjasni; sredstva na računu time ostaju zaštićena od daljnjih radnji.

Nakon blokade slijedi provjera identiteta, pregled zapisnika događaja i zajednički dogovor o sljedećim koracima, u pravilu unutar jednog radnog dana. O načinu komunikacije dogovaramo se s vama: e-poštom ili telefonom, na hrvatskom jeziku, bez traženja lozinki ili kodova.

Prijavljeni incidenti sažimaju se u interne izvještaje kojima se poboljšavaju pravila nadzora, pa jedna prijava štiti i ostale korisnike platforme.