REPUBLIKA HRVATSKA

OPĆINSKI RADNI SUD U ZAGREBU

Ulica grada Vukovara 84

Pr-1141/2023-32

U  I M E  R E P U B L I K E  H R V A T S K E

P R E S U D A

I

R J E Š E N J E

Općinski radni sud u Zagrebu po sutkinji Vesni Horvath, u pravnoj stvari tužitelja EveryMatrix Zagreb d.o.o., [adresa], OIB: 39821269208, kojeg zastupaju punomoćnice Sandra Lisac i Vedrana Vučković, odvjetnice iz Odvjetničkog društva Bardek, Lisac, Mušec, Skoko i partneri d.o.o. iz Zagreba, Ilica 1, protiv tuženika CČ iz [adresa], OIB: [osobni identifikacijski broj], kojeg zastupaju punomoćnici Boris Trgovec i Domagoj Valenčak, odvjetnicima u odvjetničkom društvu Trgovec&Valenčak d.o.o. iz [adresa], radi isplate, nakon održane glavne i javne rasprave zaključene dana 28. siječnja 2026. u prisutnosti zamjenika punomoćnika tužitelja Lovre Moharić, odvjetnika i punomoćnika tuženika Domagoja Valenčak, odvjetnika, te presude javno objavljene dana 16. veljače 2026.,

p r e s u d i o  j e

I Odbija se tužbeni zahtjev koji glasi:

"I. Nalaže se Tuženiku CČ, s prebivalištem na adresi [adresa], OIB: [osobni identifikacijski broj], isplatiti Tužitelju EveryMatrix Zagreb d.o.o., sa sjedištem na adresi [adresa] Zagreb, OIB: 39821269208, iznos od 800.612,24 eura, zajedno sa zateznim kamatama prema stopi zatezne kamate čija se visina određuje, za svako polugodište, uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja koje je obavila prije prvog kalendarskog dana tekućeg polugodišta za tri postotna poena, tekućim od 15.02.2023. do isplate, sve u roku 15 dana.

II. Nalaže se Tuženiku CČ, s prebivalištem na adresi [adresa], OIB: [osobni identifikacijski broj], nadoknaditi Tužitelju EveryMatrix Zagreb d.o.o., sa sjedištem na adresi [adresa] Zagreb, OIB: 39821269208, parnični trošak zajedno sa zateznim kamatama prema stopi zatezne kamate čija se visina određuje, za svako polugodište, uvećanjem kamatne stope koju je Europska središnja banka primijenila na svoje posljednje glavne operacije refinanciranja koje je obavila prije prvog kalendarskog dana tekućeg polugodišta za tri postotna poena, tekućim od presuđenja do isplate, sve u roku od 15 dana.".

II. Nalaže se tužitelju naknaditi tuženiku trošak parničnog postupka u iznosu od 137.700,00 eura, u roku od 15 dana.

r i j e š i o  j e:

III. Odbija se prijedlog za izdavanje privremene mjere koja glasi:

„I. Radi osiguranja novčane tražbine predlagatelja osiguranja CČ iz [adresa], OIB: [osobni identifikacijski broj] prema protivniku osiguranja i to EVERYMATRIX ZAGREB d.o.o. sa sjedištem u [adresa], OIB: 39821269208 u iznosu od 55.080,00 EUR (pedeset i pet tisuća osamdeset Eura i nula centa)

određuje se privremena mjera

kojom se zabranjuje svim bankama kod kojih se vodi račun ili nalaze novčana sredstva protivnika osiguranja EVERYMATRIX ZAGREB d.o.o. sa sjedištem u [adresa], OIB: 39821269208, a prema njegovom osobnom identifikacijskom broju, da neposredno protivniku osiguranja ili trećoj osobi po nalogu protivnika osiguranja isplate sa njegovih računa novčani iznos za koji je određena privremena mjera, odnosno iznos od 55.080,00 EUR (pedeset i pet tisuća osamdeset Eura i nula centa)

tako što se nalaže Financijskoj agenciji („FINA“) da dade nalog bankama za izvršenje ovog rješenja o privremenoj mjeri, i to na novčanim sredstvima po svim računima protivnika osiguranja, kao i da se provede osiguranje na eventualno oročenim sredstvima protivnika osiguranja uključujući i kamate.

II. Iznos novčanih sredstava protivnika osiguranja za koji je određena zabrana isplate ne smije se prenijeti s navedenih računa dok zabrana traje, osim radi namirenja osigurane tražbine i troškova ovog postupka.

III. Ova privremena mjera trajat će do isplate novčanog iznosa za koji je određena ovrha, odnosno do pravomoćne presude kojom je prihvaćen tužbeni zahtjev u sporu.

IV. Ovo rješenje će se dostaviti Financijskoj agenciji na provedbu.

V. Nalaže se protivniku osiguranja da predlagatelju osiguranja isplati troškove ovog postupka osiguranja, u roku od 8 (osam) dana od dana donošenja rješenja, uvećano za kamate od dana donošenja rješenja pa do isplate po stopi određenoj za svako polugodište, uvećanjem prosječne kamatne stope na stanja kredita odobrenih na razdoblje dulje od godine dana nefinancijskim trgovačkim društvima izračunate za referentno razdoblje koje prethodi tekućem polugodištu za tri postotna poena.“

Obrazloženje

1. Tužitelj u tužbi i tijekom postupka navodi da je sa tuženikom 19. rujna 2018. sklopio Ugovor o radu na neodređeno vrijeme za obavljanje poslova radnog mjesta izvršnog direktora koji je trajao do 1. ožujka 2023. kada je zbog teške povrede obveza iz radnog odnosa, tuženiku otkazan odlukom o izvanrednom otkazu. Tužitelj je dio EveryMatrix grupe društava koja se, između ostaloga, bavi platformama za igre na sreću, odnosno pruža usluge i softver klijentima u vezi platformi za igre na sreću. Dana 13. veljače 2023. došlo je do napada (točnije socijalnog inženjeringa) na način da je Tuženik kontaktiran na svojem poslovnom uređaju putem programa Skype od strane nepoznate osobe koja se lažno predstavila kao UČ. Tužitelj ukazuje da je gospodin UČ direktor i stvarni vlasnik EveryMatrix grupe kojoj Tužitelj pripada, kao i direktor povezanog društva EveryMatrix N.V., sa sjedištem na adresi Dr. M.J. Hugenholtzweg Z/N, Curaçao, reg. broj: 108354 (dalje u tekstu: „EveryMatrix NV“). Napadač je zatražio od Tuženika da za e- mail [adresa elektroničke pošte] stvori vanjski (eksterni) račun u EveryMatrix „back office“ sustavu u odnosu na „Jojobet“, internetsku stranicu klijenta EveryMatrix NV - društva Coinbar N.V., sa sjedištem na adresi [adresa], E-Commerce Park, Curaçao, reg. broj: 148533 (dalje u tekstu: „Coinbar“) te da omogući korištenje postojećih funkcija u informacijskom sustavu. Navodi da je upravo Tuženik osoba s kojom je napadač komunicirao i koja je omogućila napadaču pristup informacijskom sustavu uslijed čega je došlo do napada, vidljivo je iz preslike komunikacije koju je Tuženik putem Skype-a vodio s napadačem koji se lažno predstavljao kao g. UČ. Navedeno je vidljivo i iz preslike evidencija Tužitelja iz koje proizlazi da je pristup napadaču putem e- maila [adresa elektroničke pošte] omogućen upravo s e- maila [adresa elektroničke pošte], odnosno sa službene adrese elektroničke pošte koju je koristio isključivo Tuženik. Nadalje tužitelj ukazuje da EveryMatrix NV ima sklopljen ugovor („Software Service Agreement“) s društvom Coinbar, a koji ugovor se odnosi, između ostaloga, na Coinbarovu internetsku stranicu www.jojobet.com („Jojobet“) (u daljnjem tekstu: „Ugovor“), te je EveryMatrix NV je, sukladno Ugovoru, Coinbaru pružao usluge („Gaming Services“) vezano uz softver (Sportsbook, GamMatrix Gaming Management itd.), a u odnosu na Jojobet.

Zbog mogućnosti nastanka situacija u kojima je potrebno ručno uplatiti ili isplatiti novčana sredstva, EveryMatrix NV ima opciju ručnog depozita i povlačenja (uplate i isplate) sredstava unutar EveryMatrix „back office“ sustava.

U konkretnom slučaju, napad se odvio na način da je napadač stvorio prividnu uplatu u EveryMatrix „back office“ sustavu u odnosu na stranicu Jojobet. Nakon toga je putem računa jednog (fingiranog) igrača (na stranici Jojobet), a koji račun je bio kontroliran od strane napadača, podnio zahtjeve za isplatom. Potom je napadač sam odobrio navedene transakcije (u EveryMatrix „back office“ sustavu), odnosno zahtjeve za isplatom te je na taj način otuđio 800.612,65 eura. Sve prethodno je napadač mogao napraviti jer mu je Tuženik dao pristup sustavu.

Navodi da je tuženik postupio po zahtjevu napadača bez ikakvih dodatnih provjera i postupajući suprotno internim obvezujućim pravilima i uputama EveryMatrix grupe odnosno Tužitelja. Davanjem navedenih ovlaštenja, Tuženik je napadaču izravno omogućio da pristupi i manipulira informacijskim sustavom Jojobeta unutar EveryMatrix „back office“ što je rezultiralo time da je napadač neovlašteno prenio novčana sredstva u iznosu od 800.612,65 eura.

Dana 7. lipnja 2022. glavni sigurnosni stručnjak („Chief Information Security Officer“ (CISO)) EveryMatrix grupe uputio je svim radnicima EveryMatrix grupe, uključujući Tuženika, cirkularni e-mail naslova „SIGURNOSNA OBAVIJEST – lažni Skype Ebbea“ u kojem je svima unutar EveryMatrix grupe skrenuo pažnju na pokušaj treće osobe da se lažno predstavlja kao g. UČ i zahtijeva da joj se omogući pristup EveryMatrix „back office“ sustavu. U navedenom e-mailu je izričito bilo navedeno da se Skype ne bi trebao koristiti za komuniciranje na poslu, odnosno u vezi s poslom, da pravi UČ nikada ne bi komunicirao putem Skypa sa svojim suradnicima, da se treba držati utvrđenih procedura i dodanih provjera i/ili potvrda od strane nadređenog, pri čemu bi takve dodatne provjere trebale biti provedene putem zasebnih komunikacijskih kanala (poput e-maila, telefona, Microsoft Teamsa), a dana 15. lipnja 2022. svim radnicima EveryMatrix grupe poslan je e-mail u kojem im se, u svrhu sprječavanja prijevara putem Skype-a, daje uputa te ih se moli da u Skype postavkama isključe postavku prema kojoj njihov Skype profil može pronaći (i kontaktirati ih) bilo tko, odnosno osobe s kojima do sada nisu komunicirali putem Skype-a. Nadalje, Tuženik je, kao i svi ostali radnici EveryMatrix grupe 1. kolovoza 2022. pozvan da pristupi online sigurnosnoj IT edukaciji radi jačanja svijesti o potencijalnim kibernetičkim napadima te sprječavanja istih. Iako je u pozivu bilo navedeno da je edukacija u pitanju obavezna te da ju se treba odslušati u primjerenom roku od 30 dana uz polaganje odgovarajućeg kviza, Tuženik nikada nije pristupio predmetnoj sigurnosnoj edukaciji.

Ističe da tuženik nije smio stvoriti vanjski (eksterni) pristup/ račun u EveryMatrix „back office“ sustavu, već se takav pristup/ račun odobravao/ stvarao samo od strane određenih kategorija zaposlenika (pr. Account Manager, Integration Manager), među koje Tuženik nije spadao.

Tužitelj je poduzeo sve moguće mjere kako bi educirao svoje zaposlenike o informatičkoj sigurnosti, upozorio ih o mogućim napadima te je implementirao interne procedure s ciljem onemogućavanja napada. Unatoč tome, Tuženik je zanemario sav trud Tužitelja da se izbjegnu napadi i svjesno djelovao protivno internim procedurama i uputama.

Tuženik je u ovom slučaju postupao s namjerom, točnije s eventualnom namjerom (dolus eventualis). Naime, kod tuženika je postojala svijest o mogućnosti nastupanja štetnih posljedica, ali ga ista nije spriječila da nastavi s aktivnostima (omogući pristup napadaču), već je pristao na nastupanje štetne posljedice. Navedeno se ogleda u činjenici da je Tuženik sukladno e-mailovima Tužitelja u kojima se upozorava na opasnost od napada (a pogotovo e-maila u kojem se ukazuje da se osobe lažno predstavljaju kao g. UČ), morao biti svjestan da postoji rizik da mu se preko Skype-a ne obraća g. UČ, već da postoji realna mogućnost da se radi o napadu. Bez obzira na navedeno, Tuženik je omogućio napadaču pristup informacijskom sustavu Jojobeta.

Kada je Tuženik postupio po zahtjevu napadača i u njegovu korist stvorio vanjski (eksterni) račun u EveryMatrix „back office“ sustavu u odnosu na internetsku stranicu Jojobet klijenta Coinbar, napadaču je u konačnici izravno omogućio da neovlašteno prenese novčana sredstva u iznosu od 800.612,65 eura.

Novčana sredstva su prenesena na način da je napadač stvorio prividnu uplatu u EveryMatrix back office sustavu u odnosu na internetsku stranicu Jojobet klijenta Coinbar, nakon čega je putem računa fingiranog igrača kojeg je za te potrebe kreirao podnio zahtjeve za isplatom spornog iznosa. Takve zahtjeve napadač je potom sam sebi i odobrio koristeći pristup back office sustavu koji mu je Tuženik omogućio.

Klijent Coinbar čija je novčana sredstva napadač neovlašteno prenio, klijent je društva EveryMatrix NV temeljem ugovora („Software Service Agreement“) koji su ta dva društva sklopila. Prema navedenom Ugovoru EveryMatrix NV Coinabru pruža, između ostalog, usluge vezane uz internetsku stranicu (Jojobet) Coinbara. Budući da je do prijenosa novčanih sredstava neovlaštenom manipulacijom informacijskog sustava internetske stranice Coinbara došlo korištenjem EveryMatrixovog back office pristupa, EveryMatrix NV naknadio je svojem klijentu Coinbaru štetu koja mu je nastala. Šteta je naknađena kroz izdavanje knjižnog odobrenja br. EMNVCN020190952 od 15. veljače 2023.

EveryMatrix NV povezano je društvo Tužitelja i dio EveryMatrix grupe kojoj Tužitelj pripada. Tužitelj u okviru svojeg poslovanja u svojstvu pružatelja usluga radi isključivo za EveryMatrix NV temeljem ugovora („IT Software Development“) kojeg su ta dva društva sklopila. Tužitelj je naknadio nastalu štetu uplatom odgovarajućeg iznosa od 800.612,24 eura na račun EveryMatrix NV-a.

Predlaže usvojiti tužbeni zahtjev uz naknadu parničnih troškova.

2. Tuženik u odgovoru na tužbu osporava Tužbu i tužbeni zahtjev u cijelosti i to kako u osnovi tako i u visini te ističe kako je Tužba u potpunosti činjenično i pravno neosnovana, odnosno neutemeljena. Nadalje, tuženik osporava nastanak bilo kakvog štetnog događaja koji mu se ovom Tužbom stavljaju na teret, kao i postojanje bilo kakve odgovornosti tuženika i/ili uzročno-posljedične veze između navodne štete i radnji opisanih Tužbom, konkretno osporava svaku odgovornost za nastanak bilo kojeg oblika štete u potpunosti kao i svaku navodnu protupravnost u svojem djelovanju.

Ističe prigovor promašene aktivne legitimacije jer iz navoda Tužbe nigdje ne proizlazi da bi tužitelj na bilo koji način bio oštećen kakvom radnjom ili propustom tuženika. Naime, sve i da je tuženik kakvom radnjom ili propustom uzrokovao nastanak nekakve navodne štete kojem od društava unutar EveryMatrix grupacije, a što osporava, iz navoda Tužbe ne proizlazi da bi tužitelj bio izravno ili neizravno oštećen kakvom radnjom ili propustom tuženika. Naime, iz navoda Tužbe, proizlazi da bi navodno oštećeno bilo neko drugo društvo u okviru EveryMatrix grupacije ili možebitno klijent iste, te bi utoliko to društvo ili klijent, a ne ovdje tužitelj mogli biti aktivno legitimirani za vođenje ovog postupka.

Nadalje ističe prigovor promašene pasivne legitimacije, jer nije počinio nikakvu štetnu radnju, već ukoliko je i navodna šteta nastala nekoj trećoj pravnoj ili fizičkoj osobi (a ne i tužitelju) za istu je odgovorna treća osoba, a ne i tuženik. Naime, tuženik nije učinio baš nikakvu štetnu radnju, a tužitelj je, ukoliko je smatrao da je i došlo do navodnog informatičkog incidenta koji je za posljedicu imao navodno umanjenje nečije imovine, trebao uložiti kaznenu prijavu protiv nepoznatog počinitelja te sukladno rezultatima istrage uložiti i odštetni zahtjev protiv takve osobe, a ne i tuženika. Tuženiku je uistinu nepoznato iz kojeg je točno razloga tužitelj, ukoliko je žrtva napada na infrastrukturu, propustio poduzeti adekvatne mjere prema ispravnom adresatu navodnog počinitelja, a što sve smatra indikativnim kao pokušaj onemogućavanja tuženika u naplati potraživanja kojeg tuženik ima prema društvu majci tužitelja, a koje potraživanje proizlazi iz različite pravne osove – konkretno, ugovora o prijenosu i prodaji udjela u društvu Leapbit d.o.o., sada tužitelja. Osporava navode iz tužbe u cijelosti, naročito da bi tuženik bio odgovoran za bilo kakav napad – socijalni inženjering. Tuženik ne osporava kako je dana 13.02.2023. godine doista na svojem poslovnom uređaju kontaktiran od strane nepoznate osobe koja se tuženiku lažno predstavila kao UČ, koji je nesporno osoba koja vodi i stvarni je vlasnik EveryMatrix grupacije, kojoj tužitelj pripada (o formalnom statusno pravnom položaju g. VČ ovdje tuženik ne nalazi smislenim raspravljati, no nesporno se radi o osobi koju se percipira kao svima nadređenom u EveryMatrix grupaciji, tuženiku jest svakako bio nadređen).Ističe kako mu nije bilo poznato da osoba koja mu se predstavlja kao UČ nije doista UČ, štoviše imao je osnove smatrati kako je kontaktiran upravo od strane nadređene mu osobe, a sve stoga što je i sam tužitelj žrtva elaborirane prevare koja datira još u vrijeme postupka preuzimanja udjela u Društvu tužitelju od strane trgovačkog društva koje je dio EveryMatrix grupacije.

Naime, kako tužitelju nije moglo ostati nepoznato, tuženik je u danima koji su uslijedili neposredno nakon zaključenja ugovora o prijenosu poslovnih udjela na podlozi kojeg je kako tuženik tako i preostali dotadašnji imatelji poslovnih udjela u tužitelju prenio poslovne udjele u društvu tužitelju na trgovačko društvo koje je dijelom EveryMatrix grupacije, čime je i samo društvo tužitelj postalo dijelom iste grupacije, putem servisa Skype zaprimio poziv (tzv. „invite“) od, kako je tužitelj smatrao i nije imao razloga sumnjati, g. VČ u to vrijeme predsjednika uprave grupacije EveryMatrix, te ujedno i predsjednika uprave trgovačkog društva EveryMatrix Software ltd. sa sjedištem na Malti, na koje su udjeli u tuženiku preneseni, te je prihvatom istog poziva tuženik pridružen u grupu na servisu Skype predstavljenu mu kao grupu za komunikaciju između vodećeg osoblja EveryMatrix grupacije. Tuženik nije imao razloga sumnjati u istinitost i valjanost poziva na pridruživanje u spomenutu grupu, te nije imao razloga sumnjati u legitimitet kako osobe koja se predstavila kao UČ, tako i legitimitet i istinitost iste grupe i istinitost navoda kako su osobe članovi te grupe doista i vodeće osoblje EveryMatrix grupacije.

Nadalje se ističe kako je nakon kraće inicijalne komunikacije putem servisa Skype, za koju je tuženik vjerovao da je legitimna i vjerodostojna, daljnja komunikacija unutar EveryMatrix grupacije (uključujući i komunikaciju tuženika), nastavljena putem servisa Microsoft Teams, te se tuženik nije upuštao u daljnje provjere istinitosti navoda putem servisa Skype, već je valjanost iste komunikacije smatrao nespornom, a budući da je daljnja komunikacija nastavljena korištenjem alternativnog servisa, tuženik se više na komunikaciju putem servisa Skype nije niti vraćao.

Nadalje navodi da tužitelj izuzev nekakvog internog izvješća o napadu ne nudi nikakvog dokaza da je do napada na koji se poziva doista i došlo, kao i da je taj napad prijavljen kakvim službenim instancama (primjerice policiji, što bi bio logičan slijed događaja da je tuženik uistinu bio žrtva kaznenog djela) utoliko tuženik osporava tvrdnju tužitelja da je do napada i došlo, a ako i jest došlo do kakvog napada (pri osporavanju koje tvrdnje tuženik ostaje) da je polučio kakav rezultat – dakle da je nastala bilo kakva šteta kako za bilo koje društvo člana EveryMatrix grupacije pa konkretno i za tužitelja, tako i bilo kojeg klijenta iste grupacije. Tuženik ističe da u trenutku komunikacije s g. SČ nije znao niti je morao znati da je treća osoba koja se predstavlja kao g. UČ preuzela identitet g. VČ, a niti je prethodno upozoren od strane društva majke tužitelja da se treće osobe predstavljaju imenom i prezimenom UČ. Nije sporno da je tuženik kontaktiran od strane nepoznate osobe – napadača (u to vrijeme je okolnost da je riječ o napadaču tuženiku bila nepoznata), no ističe kako je primivši poruku od navodnog (no u očima tuženika stvarnog) g. VČ, tuženik pokušao stvarnog g. VČ kontaktirati na različite načine, uključujući kako telefonski na telefonski broj g. VČ kojim redovito komunicira, tako i putem aplikacije WhatsApp na isti taj broj, no nije ga uspijevao dobiti, unatoč čemu je putem servisa Skype napadač koji se predstavljao kao g. UČ, u nastavku svoje elaborirane prevare, nastavio komunicirati s tuženikom te inzistirati na brzoj reakciji istoga, a što je ujedno i bio redovan način rada kod tužitelja.

Iz načina komunikacije navodnog g. VČ putem servisa Skype, kao i poznavanja načina na koji funkcionira EveryMatrix back office sustav, tuženik unatoč inicijalnom oprezu i dužnoj pažnji, više nije imao razloga sumnjati da komunicira upravo s g. SČ, tim više što je kontakt g. VČ bio isti onaj iz vremena neposredno nakon gore opisanog prijenosa udjela u društvu tužitelju na EveryMatrix grupaciju, te je posljedično opisanom, te uslijed snažnog pritiska u konačnici njemu nadređene osobe, tuženik zaključio kako doista komunicira sa sebi nadređenom osobom, g. SČ i da postupa u interesu EveryMatrix grupacije, te je oko 16:00 sati po lokalnom vremenu načinio tzv. „invite“ na e- mail [adresa elektroničke pošte], čime je navodno omogućen pristup back officeu EveryMatrix grupacije.

Tuženik ističe kako mu je bilo poznato da je g. UČ upravo u vrijeme kada se odvio napad na sastancima s predstavnicima klijenta EveryMatrix grupacije Jojobet, što je dodatno uvjerilo tuženika da postupa u skladu nalogom nadređene mu osobe, budući da je napadač tražio pristup upravo C. Napadaču je ista okolnost boravka g. VČ morala biti poznata, te je navedenu okolnost nedvojbeno iskoristio kako bi kod tuženika dodatno stvorio privid vjerodostojnosti.

Tuženik jest uložio dužnu pažnju, te je udovoljio zahtjevima u njegovim očima nadređene mu osobe, ne znajući da se de facto radi o napadaču, koji je svoj napad otpočeo još u vremenu samog početka uključivanja društva tužitelja u EveryMatrix grupaciju, te je tek nakon što je smatrao kako se radi o autentičnoj osobi udovoljio traženju iste. S time u svezi tuženik ističe da ostaje nejasno kako je to točno treća osoba – napadač znala i mogla znati sve navedene detalje, no svakako je indikativno da ih je znala i iskoristila.Navodi da je tuženik nedvojbeno bio žrtvom elaborirane prevare, čiji početak seže u vrijeme kada je tek otpočinjala suradnja formirana opisanim prijenosom udjela u trgovačkom društvu tuženika, kada tuženiku još nisu bile poznate sve činjenice i načini funkcioniranja i komunikacije unutar EveryMatrix grupacije, gdje je nepoznata osoba, koja nedvojbeno raspolaže značajnom količinom internih informacija, iskoristila povjerenje i manjak informacija kojima je tuženik raspolagao u samim začecima suradnje s EveryMatrix grupacijom kako bi si omogućila pristup istome te iskoristila uspostavljeni odnos u pogodnom trenutku. S time u svezi ističe se da je evidentno da je EveryMatrix grupacija znala za slabosti svojeg računalnog sustava te da, ukoliko je i došlo do kakve štete, za istu je isključivo odgovoran EveryMatrix uslijed propuštanja dužne pažnje.

Nadalje, tuženik ističe kako je iz istih razvidno da tužitelj ne stoji u nikakvom poslovnom odnosu sa nekim klijentom EveryMatrix grupacije, već da je trgovačko društvo EveryMatrix NV imalo sklopljen ugovor sa klijentom trgovačkim društvom Coinbar, te se time samo dodatno potvrđuje okolnost nedostatka aktivne legitimacije za vođenje ovog postupka na strani tužitelja.

Tuženik ističe kako tužitelj ne dostavlja nikakav dokaz da su u napadu na koji se tužitelj poziva doista otuđena bilo kakva sredstva kako klijenta EveryMatrix grupacije, tako i bilo kojeg trgovačkog društva koje je dio iste grupacije već dostavlja sliku ekrana (tzv. screenshot) koji prikazuje tablicu iz koje nije razvidno čak niti postojanje napada, a niti bilo kakvih isplata, no sve i da jest, ovdje se ne radi o prikazu stanja po računima izdanima od kakve banke ili druge financijske institucije, već o neslužbenom interno generiranom dokumentu, čiju se vjerodostojnost osporava u cijelosti, kako u sadržaju tako i u svojstvu - činjenici da se uopće radi o dokumentu, naime kako smo istaknuli radi se o prikazu ekrana u slici, suštinski ispisu, dakle kopiji, ekrana, te je kao takav predloženi dokaz nepodoban da bude dokazom u sudskom postupku uslijed nedostatka bilo kakve vjerodostojnosti, budući da se dokazi dostavljaju u izvorniku ili ovjerenom prijepisu.

Stoga osporava vjerodostojnost sadržaja dokaza , kao i vjerodostojnost same isprave, budući da se radi o kopiji ekrana, a ne kakvom (službenom) dokumentu, te kao takav nema baš nikakvu dokaznu snagu.

Navodi kako EveryMatrix grupacija evidentno nema uspostavljene adekvatne sigurnosne protokole koji bi onemogućavali hakerske upade i postupanje napadača poput gore opisanog, koji za rezultat imaju fiktivno povećavanje iznosa na računima igrača, a potom i isplatu tih iznosa, kakve drugi pružatelji istih usluga na tržištu imaju, čime je upravo EveryMatrix grupacija, koje je tužitelj nedvojbeno dio propustila uložiti dužnu pažnju, a time i osigurati zaštitu kako svojih klijenata tako i zaposlenika trgovačkih društava članova EveryMatrix grupacije.

Naime, tuženiku, koji dugi niz godina radi upravo na izradi softverskih rješenja za industriju igara na sreću je poznato kako svi pružatelji usluga kakve pruža EveryMatrix grupacija imaju uspostavljene sigurnosne sustave koji onemogućavaju uplate i isplate većih iznosa novaca bez dodatnih provjera identiteta igrača koji polažu/isplaćuju sredstva (među inim i KYC procedura – postupak provjere identiteta), a u danom slučaju su napadači, sudeći po navodima Tužbe, ne samo uspješno fiktivno položili velike iznose novaca, već su i bez da su ta sredstva korištena kao ulog u igrama na sreću, napadači ta sredstva navodno isplatili kao pravi novac, čime je zakazao i sustav sprečavanja pranja novca EveryMatrix grupacije, koji je trebao reagirati tom prilikom, te je evidentno EveryMatrix grupacija, po vlastitim navodima, odgovorna i za sprečavanje pranja novca, a ne samo za manjak dužne pažnje.

EveryMatrix grupacija također zakazala je i u daljnjem postupanju nakon opisanog događaja, jer naime tuženiku nisu omogućili pristup informacijama o daljnjem postupanju u vezi otkrivanja počinitelja hakerskog napada, a niti je, prema najboljem saznanju tuženika, provedena kakva interna istraga koja bi ukazala na stvarne počinitelje hakerskog napada, niti je EveryMatrix grupacija podnijela bilo kakve prijave nadležnim tijelima, unatoč očekivanjima tuženika, štoviše, EveryMatrix grupacija olako je, prema vlastitim navodima, prihvatila odgovornost kako grupacije tako i tuženika osobno za nastali događaj, bez poduzimanja radnji kojima bi se umanjili učinci istoga, čime sve i da na strani tuženika leži kakva odgovornost, što tuženik osporava, na strani EveryMatrix grupacije nedvojbeno odgovornost postoji, i to ne samo za nastanak štetnog događaja već i za propust umanjenja nastale štete. Unatoč činjenici da tuženik ovdje iznosi kao da se napad opisan Tužbom zbio i kao da je kakva šteta nastala, radi se o osvrtu na navode tužitelja radi ukazivanja na manjak dužne pažnje na strani EveryMatrix grupacije koje je tužitelj dio, budući da ista nije imala implementirane nikakve sustave zaštite od opisanog napada, a kakve je morala imati, dok tuženik i nadalje osporava nastanak bilo kakve štete kako za tužitelja, tako i za bilo koje društvo koje jest ili je bilo dijelom EveryMatrix grupacije, odnosno kojeg klijenta, no ističe i ukazuje kako bi za kakvu štetu, da je i nastala, primarno bila odgovorna EveryMatrix grupacija, budući da nema sustave provjera ili zaštite od napada opisanih Tužbom koje bi prema redovnom tijeku stvari trebala imati.

Tužitelj nije dakle dostavio nikakav dokaz o nastaloj šteti kako tuženiku tako i bilo kojem od trgovačkih društava članica EveryMatrix grupacija ili njihovim klijentima, a tuženik osporava da je istima bilo kakva šteta i nastala, bilo radnjom ili propustom tuženika.

Nadalje tuženik ističe kako u hipotetskoj situaciji nastanka štete u tijeku događaja opisanih Tužbom (čiji se nastanak, baš kao i navodni štetni događaj i nadalje osporava), dakle sve i da je kakva šteta nastala bilo kojem od trgovačkih društava članica EveryMatrix grupacije ili njihovim klijentima, iz navoda Tužbe nije razvidno kako je to baš tužitelj pretrpio bilo kakvu štetu budući da se Tužbom ne navodi da je bilo koje od trgovačkih društava članica EveryMatrix grupacije čak i nadoknadilo kakvu štetu kojem klijentu iste grupacije, niti da je tu štetu dakle na bilo koji način naknadio tužitelj, već se isključivo iznosi ničime dokazana tvrdnja da je klijent EveryMatrix grupacije, posljedično postupcima tuženika, pretrpio štetu u paušalnom i ničime dokazanom iznosu od EUR 800.612,65, dok se ne navodi niti tužitelj dokazuje kako je tu oštećen baš tužitelj i to upravo za utuženi iznos. U odnosu na tvrdnje tužitelja o nedostatku dužne pažnje na strani tuženika, ističe se kako je nedostatak dužne pažnje ovdje prisutan isključivo na strani tužitelja, odnosno, primarno EveryMatrix grupacije, jer naime, tuženiku je, kako to iz tvrdnji tužitelja proizlazi, omogućen rad i pristup osjetljivim internim servisima tužitelja odnosno EveryMatrix grupacije unatoč činjenici da, kako to tužitelj navodi, tuženik nije pohađao obavezne edukacije o sigurnosnim procedurama, što ukazuje na nemar na strani tužitelja odnosno EveryMatrix grupacije, budući da isti svojim zaposlenicima de facto daju na volju da li će pohađati edukacije o sigurnosnim protokolima ili ne, jer kako to iz navoda Tužbe proizlazi, propust zaposlenika da pohađaju takvu edukaciju nema nikakve posljedice za iste, te je ostavljeno zaposlenicima na volju da li će i kada ikakvu dodatnu edukaciju pohađati, budući da ih se niti kontrolira niti propust ima kakve posljedice. Pojednostavljeno, EveryMatrix grupacija ne mari za posljedice propusta zaposlenika da pohađaju edukacije o sigurnosti, što je dakle definicija nemara i pomanjkanja dužne pažnje na strani EveryMatrix grupacije, koje je tužitelj dio.

Nadalje, tužitelj, odnosno, EveryMatrix grupacija, unatoč svijesti o višekratnim pokušajima prevara i zloporabama servisa Skype i nadalje omogućavaju korištenje Skype servisa, štoviše niti ne brane njegovu instalaciju i/ili korištenje na svojim službenim platformama (računala, mobilni telefoni i tableti). Da su tužitelj i EveryMatrix grupacija postupali s dužnom pažnjom svakako bi onemogućili korištenje servisa Skype svojim zaposlenicima, a sve kako bi osigurali da isti niti slučajno ne koriste taj servis na službenoj opremi i u službene svrhe, te na taj način bi zapravo otklonili mogućnost zloporabe istog servisa od strane trećih osoba, no isti su iz samo njima znanih razloga ostavili tu mogućnost otvorenom.

U konačnici kako je naprijed istaknuto tužitelj, odnosno, EveryMatrix grupacija i njihov navodno oštećeni klijent nisu u vrijeme navodnog napada, kako to iz navoda Tužbe proizlazi, imali sigurnosne sustave koji onemogućavaju uplate i isplate većih iznosa novaca bez dodatnih provjera, a osobito takve uplate i isplate bez dodatnih provjera identiteta igrača koji polažu/isplaćuju sredstva (među inim i KYC procedura kako bi se utvrdio identitet igrača), a u danom slučaju su napadači po navodima Tužbe ne samo uspješno fiktivno položili velike iznose novaca na račune klijenta, već su i bez da su ta sredstva korištena kao ulog u igrama na sreću (što je u uobičajenoj poslovnoj praksi propisani uvjet da bi se ista sredstva uopće moglo isplatiti, sve kao dio AML i KYC procedure), napadači ta sredstva navodno isplatili kao pravi novac, čime je evidentno zakazao i sustav sprečavanja pranja novca EveryMatrix grupacije i njihovog klijenta, koji je trebao reagirati tom prilikom.

Ističe kako je nepoznati počinitelj bio uspješan u prevari tuženika po pitanju identiteta g. IČ, sustav internih kontrola tužitelja i društva majke tužitelja, konkretno AML i KYC, te drugi sustavi zaštite koji se redovno koriste i onemogućavaju postupanje napadača opisano Tužbom, trebale su spriječiti bilo kakav transfer novca. No, kako evidentno te procedure nisu postojale, ako je do transfera novca i došlo, jasno je da je do istog došlo radnjom ili propustom na strani Everymatrix grupacije i/ili tužitelja, a nikako tuženika, budući da isti nije imao baš nikakav utjecaj na navedene procedure.

Predlaže odbiti tužbeni zahtjev u cijelosti uz naknadu parničnih troškova.

3. Sud je u tijeku dokaznog postupka izvršio uvid u Ugovor o radu na neodređeno vrijeme od 19.9.2018., Odluku o izvanrednom otkazu ugovora o radu od 1.3.2023., Interno izvješće o napadu, Presliku Skye komunikacije tuženika i napadača, preslika evidencije tužitelja, Ugovor "Software Service Agreement, prikaz transakcija kojima je napadač otuđio novčana sredstva, Ugovor "ITSoftware Development, e-mail sigurnosnog stručnjaka, e-mail s uputama za isključenje postavke za pojavljivanje u pretragama, e-mail sigurnosnog stručnjaka, evidencija tužitelja iz koje je vidljivo da tuženik nije prošao edukaciju, interna pravila, ovjerene prijevode (računa, Izvješće o incidentu u vezi sa sigurnošću informacija, e-mail poruka, sažetak odabranih filtera, transakcije, pristup vanjskih korisnika, sporazum o nagodbi, Izjava od 6.3.2024., odgovornost, ograničenja odgovornosti, e-mail poruke), saslušao je zz tužitelja UČ i tuženika, te izvršio uvid u svu ostalu dokumentaciju koja prileži spisu.

4. Na temelju savjesne i brižljive ocjene svakog dokaza zasebno i svih dokaza zajedno primjenom članka 8. Zakona o parničnom postupku ("Narodne novine" broj 53/91, 91/92, 88/01, 117/03, 88/05, 2/07, 84/08, 96/08, 123/08, 57/11, 148/11 - pročišćeni tekst, 25/13, 89/14, 70/19, 80/22, 114/22 i 155/23, dalje u tekstu: ZPP), sud je utvrdio da je tužbeni zahtjev neosnovan.

5. Između stranaka je nesporno da je tuženik bio zaposlen kod tužitelja na radnom mjestu izvršni direktor temeljem Ugovora o radu od 19.09.2019. do 01.03.2023.

6. Sporno je između stranaka da li je tuženik odgovoran za napad-socijalni inženjering, da li je tužitelju nastala šteta, u kojem iznosu. Sporna je aktivna i pasivna legitimacija.

7. Aktivna legitimacije tužitelja proizlazi iz Ugovora o radu sklopljenog između stranaka , a temeljem kojeg tužitelj kao poslodavac zahtjeva naknadu štete zbog navodno teške povrede iz radnog odnosa koju je počinio tuženik, a tuženik je pasivno legitimiran upravo temeljem navoda iz tužbe, kao radnik tužitelja. Slijedom navedenog odbijen je prigovor tuženika s tih osnova.

8. Uvidom u izvješće o incidentu u vezi sa sigurnošću informacija utvrđeno je da je dana 13.03.2023. u 16,26 sati GMT2 koristeći lažan Skype račun „Ebbe Groes“ prevarant zatražio od CČ, OM CTO da kreira UBO račune zas povlaštenim ulogama za „Jojobet“, te je prevarant uspio isplatiti si 16.100.000TRY ( 800.612 EUR), a u 18.30 GMT2, Jojobetov operater je blokirao prevarantov UBO račun, nakon čega se u 18.41 prevarant opet obratio CČ da kreira još jedan račun što je ovaj i učinio, ali je GMT2, Jojobetov account manager obavijestio tužitelja o prijevari te su svi računi, pa tako i tuženikov blokirani.

9. Tijekom postupka sud je proveo dokaz saslušanjem zz tužitelja i tuženika. Zakonski zastupnik tužitelja UČ je u svom iskazu naveo da smatra da je tuženik svojom nepažnjom doveo do ove do štete koju je tužitelj pretrpio obzirom da je on bio visoko pozicioniran na svom radnom mjestu i bio je jedan od onih koji su sami kreirali sva pravila obzirom da je sam osnovao firmu koju je tužitelj preuzeo. Tuženik je dozvolio novom korisniku, što je inače uobičajeno, pristup njihovom sustavu, no neuobičajeno je to što je tu dozvolu dao temeljem lažnog predstavljanja njega na skypu, a to je kod tužitelja strogo zabranjeno. Jasno je formulirano da on komunicira isključivo putem e-maila i microsoft teamsa. Obzirom na to da nije bilo njegovog odobrenja za tog klijenta jer on nikada ne bi dao odobrenje putem skypa. Nadalje je naveo, kako je moguće i da su česte prijevare putem takvog načina komuniciranja, to je tuženik svojom nepažnjom, a ne neznanjem doveo do toga da je tužitelj izgubio veliki iznos. Iznos su utvrdili tako što njihov sistem odmah pokazuje koji je točan iznos, koji je klijent izgubio. Naveo je da je to prvi i jedinu put u njihovom poslovanju da su doživjeli takav incident. Napominje da tuženik nije uobičajeni zaposlenik već u visoko pozicionirani.

Naveo je da su dane upute stroge zabrane korištenja skypa i to prilikom obuke svih zaposlenika u pogledu sigurnosti poslovanja te stalnim obavijestima o pokušajima prijevare putem skypa. Obzirom da su u to vrijeme imali 800 zaposlenika trudili su se da stalno iste obavještavaju o zabrani i pokušajima prijevare. Naveo je da je tuženik primio te upute, da je on nakon ovog incidenta provjeravao e-mailove i vidio da je sve takve upute dobio. Pojasnio je da obzirom da je bio na tako visokoj poziciji, glavnog tehničkog službenika, ne bi niti trebao biti obavještavan o tim zabranama jer ih je sam već propisao, ali naravno da je primio sve te upute.

Naveo je da nije nikada davao bilo kakve naredbe tuženiku putem skypa, slične naredbe koje dobio na dan incidenta, jer da nije niti u uobičajenoj komunikaciji razgovarao sa tuženikom putem skypa, a niti je davao naredbe.

Spomenuo je da postoje alternativne sredstva komunikacije, da su ta sredstva bila poželjnije sredstva komunikacije u odnosu na skyp zbog sigurnosti jer nije u mogućnosti lažno se predstavljati putem microsoft teamsa. Naime, račun unutar microsoft teamsa se kontrolira unutar tvrtke i ne postoji mogućnosti otvoriti račun i komunicirati s korisnicima. Nakon kupnje kompanije su sve zaposlenike prebacili na microstoft teams i svima je otvoren račun unutar toga, a svi su obaviješteni da komuniciraju na taj način, a tuženik je kao direktor zagrebačke tvrtke bio zadužen za implantaciju sustava komuniciranja.

Naveo je da je bilo sličnih situacija u kojima su i drugi zaposlenici bili pokušani prevareni putem skypa, ali na svu sreću nisu imali odobrenje za pristup novim klijentima pa do prijevare nije došlo jer su morali tražiti dodatnu autorizaciju. Ljudska je grešaka ako zaposlenici, ukoliko su obučeni da ne smije komunicirati putem skypa, komuniciraju na taj način.

Naveo je da tužitelj EveryMatrix nije prijavio vlastima incident i to iz razloga jer su sumnjali da bi dobili naknadu za ovu nastalu štetu, a sama prijava bi značila dodatnu štetu u poslovnim pogledu zbog ugleda. Obzirom da imaju sigurnosti IT koji su analizirali cijelu situaciju i poslali mu izvješće, utvrdili su da nema kaznene namjere od strane tuženika za ovakvo postupanje, a i ne bi mogli utvrditi tko je osoba koja se lažno predstavljala i koja je osoba koja je došla do ovog iznosa. Naveo je da je imao veliko povjerenje u tuženika jer je provjerio njegove kvalifikacije i prije nego što je kupio tvrtku, a i obzirom na sve što je od podataka o njemu prikupio stavio ga je na tako visoku poziciju i to baš zbog povjerenja. Naveo je da on nemam sva ta odobrenja koje je tuženik imao.

Navodi da su pretrpjeli štetu od cca. 800 tisuća eura i to su nadoknadili svom klijentu. Imali su i štetu zbog ugleda, a on osobno je morao ići do klijenta, ispričati se i raditi na ponovno zadobivanju povjerenja.

Naveo je da je da tuženik može isplatiti tako velik iznos koji se traži u ovom postupku jer mu nedugo prije ovoga isplatio puno veći iznos na ime tužiteljevih udjela u tvrtki i to govori o udjelima u kompaniji koju je tuženik osnovao zajedno sa zaposlenicima.

Naveo je da je kupio tvrtku tuženika Leapbit zato što su imali naprednu tehnologiju, izgradili sličan sustav koji sada ima i tužitelj, a radili su sa različitim klijentima. Uloga tuženika je bila da bude generalni direktor, a nakon akvizicije je bio unaprijeđen u tužiteljevoj kompaniji. Bio je promoviran u glavnog tehničkog direktora unutar sportske divizije, ali ne znam točno kada. Tuženik je imao više uloga na toj poziciji, ali bitno je da je radio na unapređenju tehničkog napretka, osiguravanja zapošljavanja članova tehničkog osoblja koji su bili adekvatni, kvalificirani, zatim da osigurava sigurnosne značajke poslovanja i prati tijek razvoja proizvoda. Vrlo rijetko je bio tuženikov posao da daje odobrenja ulaska novim korisnicima, ali je to odobrenje morao imati zbog davanja odobrenja drugim zaposlenicima odnosno razvojnim inženjerima, a misli da je to odobrenje imao i prije.

Naveo je da je ta ovlast bila potrebna u svim stupnjevima razvoja proizvoda i posebno u dijelu aktivne prodaje i posebno je to odobrenje dao tuženiku jer je imao u njega veliko povjerenje. On je ustvari predstavljao "čuvara ulaza", a jako je malo osoba kojima se takvo odobrenje daje.

Naveo je da postoji procedura provjere za nove igrače, da to ovisi o službeniku, odnosno sama procedura provjere ovisi o različitim pravilima pojedinih država. Klijent koji je "navodno" pretrpio štetu je klijent kompanija koja je osnovana u [adresa]. Tuženik je kompanija koja pruža usluge igara na sreću u Turskoj i koliko je tužitelju poznato u Turskoj je klađenje dozvoljeno. I u Turskoj se mora prolaziti ovakva vrsta provjere, ali tužitelj je samo pružatelj usluga softvera, a njegova tvrtka je isključivo softverska i nije KYCE stručnjak.

Naveo je da operator poslovanja, a to je klijent tužitelja, može dati novac da bi se kompenzirala nekakva greška, ali može biti kao bonus. Osoblje tužitelja prati sve poduzete radnje i transakcije te radi reviziju istih, međutim ne može dodjeljivati iznose osvojenog novca, već je to isključivo pravo operatera. U odnosu su na limite naveo je da neki igrači mogu imati niske limite, a neki visoke, a to određuje operator. Sve je odluka operatora i to u pogledu visine limita, a oni samo odlučuju o pristupu pojedinom operatoru, odnosno klijentu u njihov sistem, a koji je u ovom slučaju dan. Pojednostavljeno, tužitelj daje pristup njegovoj kući, a odlučujemo i moraju biti pažljivi tko će u nju ući. U ovom slučaju je to bio napadač koji je dobio pristup, a koji tužitelj nije odobrio i nije niti bio operater koji bi mogao dobiti pristup. To je razlog zašto su morali nadoknaditi štetu jer su oni dali pristup i ovlast tom napadaču kao operateru. U ovom slučaju operater koji je bio napadač je imao sve ovlasti operatera pa tako i na isplatu novaca.

Njihova tvrtka nema mogućnosti nakon ulaska operatera uopće utvrđivati da li je i kome isplaćen novac. Navodi da je utvrđen točan iznos koji se potražuje u ovoj šteti, objašnjava da se svaka transakcija koja je isplaćena u bilo kojoj valuti pa tako i kripto valuti, vezuje uz euro i to u onom trenutku kada je isplaćeno, pa tako i ovaj iznos.

Na upit suda da li je ova prijevara utvrđena u trenutku transakcije odgovara da je utvrđena kasnije i to kada me sam tuženik nazvao, i objasnio mi situaciju, da misli da je prevaren, pa je odmah zvao i kontaktirao sve klijente i tražio zabranu pristupa i tražio sam IT stručnjake da blokiraju sve moguće račune koji bi mogli donijeti štetu. Nisu pratili trag novca jer se kripto valuta ne može pratiti.

Na daljnje pitanje pun. tuženika da li je svjestan da je Hrvatska tvrtka limitirana iznosom isplate štete u slučaju prijevare, kao i da prethodni limit tvrtke nema mogućnosti isplate štete u prijevarama odgovaram da sam ja toga bio svjestan ali je moja odluka isplatimo sve pa da je bio i puno veći iznos, a sve zbog zaštite ugleda. To je bila poslovna potreba a ne pravna.

10. Tuženik CČ je u svom iskazu naveo da je u trenutku kada se desio kibernetički napad bio potpuno uvjeren da razgovara sa SČ, nije imao nikakvu sumnju budući je cijela priča sa komunikacijom preko skypa počela puno prije odnosno u trenutku pregovaranja oko preuzimanja, jer se ta komunikacija odvija kako putem poziva sa skypa tako i činjenice da ga je UČ dodao u grupu gdje ga je predstavio kao suradnika, a prije potpisivanja kupoprodaje, pa je još jače bilo njegovo uvjerenje da razgovara upravo sa U. Nadalje je naveo da neposredno prije toga su bili na sajmu u Londonu i tada je bio upoznat sa činjenicom da će upravo sa tim klijentom putovati na sastanak, pa kako je zahtjev bio usmjeren da se njima napravi račun kako bi se dodao izvještaju, a iz njegovog dotadašnjeg iskustava nije bilo moguće da bi ta njegova akcija dovela do štete koja je navodno nastala, jer za to potrebno da postoje podaci ili unutar firme ili od strane klijenata, odnosno transakcije tog tipa zahtijevaju sudjelovanje više osoba upravo da bi se izbjeglo da jedna osobna može napraviti takvu transakciju. Nadalje je naveo da je višekratno tražio objašnjenje što se dogodilo, no isto nije nikada dobio, a na sastanku je UČ rekao da je šteta nastala i da želi raskinuti suradnju sa njim. Pojašnjava da je UČ bio njemu nadređeni i da su surađivali u tom spajanju dviju firmi, kao što su pokušavali i dobiti dva velika natječaja. Navodi da je bilo jako puno stvari za odraditi, a UČ je od njega tražio izvještaje s time da je vršio neku vrstu pritiska na način da ne traži često ali kada traži da je to odmah.

Naveo je da se zbog proteka vremena ne može sjetiti točnog slijeda tijeka komunikacije koji se desio, no da je dostavio svu dokumentaciju tužitelju i to se nalazi u spisu. Nadalje je naveo da nije upoznat sa internim pravilima tužitelja o zabrani korištenja komunikacije putem skypa. Ne sjeća se niti da li je primio interne mailove i materijale koji se odnose na uputu o mogućnostima prijevare putem skypa. Sjeća se e-maila g. ČČ od 15.6.2022. i po njemu je postupio. Naveo je da se ne sjeća da li je primio e-mail g. ČČ od 7.6.2022., kojim se upozorava da je bilo pokušaja napada kao osobe UČ, kao lažnog predstavljanja, te da se ne koristi skyp za poslovne svrhe. Zbog proteka vremena ne može potvrditi da li je zaprimio e- mail gđe. Busuioc od 1.8.2022., vezan za tečaj za podizanje razine svijesti o IT sigurnosti. Napomenuo je da je bilo striktno propisano da se svi zaposleni upozoravaju u svakom slučaju ukoliko nisu nešto napravili ili postupili po nalogu, a ukoliko nisu primili e-mail onda se je trebalo na to upozoriti. Naveo je da on takvo upozorenje nije dobio, niti mu je uskraćen pristup obzirom da je poštivao sva pravila tužitelja. Naveo je da on nije bio zadužen za sigurnost u IT te da ne zna kako to je onda imalo pristup, iako nije odslušali IT edukaciju o jačanju svijesti na koju se pozvani e-mailom gđe V, navodi da je to treba pitati tužitelja, i ako je to tako da je to onda propust tužitelja. On se nastavio koristi skyp jer nije dobio upozorenje. Prije napada razgovarao je s g. SČ putem skypa. On je pokušao provjeriti identitet osobe koja mu se obratila putem skypa, a u konačnici o svemu sam se očitovao u tijeku postupka. Naveo je da se o svemu očitovao i točno naveo, a zbog proteka vremena ne može sada točno reproducirati koje je korake poduzeo da bi se uvjerio o identitetu osobe, te da sada ne može nabrojati na koji način i kada je prije postupanja po zahtjevu pokušao komunicirati putem drugih mrežnih komunikacija da bi provjerio odgovaram.

Naveo je i da nije znao da su drugi zaposlenici prijavili pokušaje napada i da nisu postupili. Privi put je saznao kada je dostavio cjelokupnu dokumentaciju, te da je tada obaviješten da je i prije došlo do pokušaja napada.

Na pitanje pun. tužitelja što je u trenutku incidenta smatrao kao ispravnim postupkom za omogućavanje pristupa back-officu, odgovara da mu nikada nije bilo uopće prezentirana i nije bio upoznat sa takvom procedurom, te napominje da je i njemu bez poštivanja bilo kakve procedure otvoren račun uz jedan usputni poziv. Naveo je da je upoznat sa internim propisima o procedurama politike upravljanja pristupom korisnika tek kada su dostavljeni u spis.

Naveo je da on ne zna da li je napadač iskoristio ovlasti koje su mu dodijeljene. Ne zna niti da napad dogodio, pa ne zna niti da li je napad nanio štetu njegovom klijentu. Naveo je da je za kupoprodaju firme od tužitelja dobio cca. u gotovini manje od 400.000,00 eura.

11. Predmet ovog postupka je naknada štete koju radnik počini na radu prema poslodavcu.

12. Sukladno odredbama članka 107. Zakona o radu ("Narodne novine" broj 93/14, 127/17, 98/19, 151/22 i 64/23; u daljnjem tekstu ZR) radnik je dužan naknaditi štetu poslodavcu ako je štetu počinio namjerno ili zbog krajnje nepažnje tijekom rada ili u svezi sa radom. Odgovornost radnika temelji se na principu dokazane krivnje, pri čemu se namjera definira kao znanje i hotimično prouzročenje štete, a krajnja nepažnja kao neupotreba pažnje koju bi upotrijebio prosječno pažljiv radnik.

13. Pretpostavke odgovornosti za štetu: subjekti odgovornosti za štetu, štetna radnja, šteta, uzročna veza između štetne radnje i štete te protupravnost, a koje pretpostavke moraju biti ispunjene kumulativno.

14. Iz dokaza provedenih u postupku proizlazi, a tužitelj niti ne spori, da nije u svezi napada -socijalnog inženjeringa, podnio ikakva kaznena ili druga prijava nadležnim tijelima.

15. Tužitelj kao dokaz da je izvršen napad dostavlja interno izvješće, te dnevnik događaja tijekom incidenta ( list 106-109 spisa), te tablicu vremenskih događaja. Iz iskaza zz tužitelja koji je naveo da tužitelj EveryMatrix nije prijavio vlastima incident i to iz razloga jer su sumnjali da bi dobili naknadu za ovu nastalu štetu, a sama prijava bi značila dodatnu štetu u poslovnim pogledu zbog ugleda, te da su štetni događaj utvrdili temeljem analize IT koji su analizirali cijelu situaciju i poslali izvješće, a nisu utvrdili kaznene namjere od strane tuženika za ovakvo postupanje, te da ne bi mogli utvrditi tko je osoba koja se lažno predstavljala i koja je osoba koja je došla do ovog iznosa, sud je utvrdio da je tužitelj isključivo internom provjerom utvrdio i nastanak štetnog događaja i visinu štete, bez sudjelovanja prijave nadležnim tijelima i bez sudjelovanja tuženika kojega tereti za omogućavanje napada.

16. Tužitelj je tek u tijeku postupka predlagao multidisciplinarno vještačenje informacijske (informacijsko sigurnosne/ kibernetičke)/ softverske/ financijske struke, na temelju dostavljenih poveznica tako i odgovarajućeg dijela sustava tužitelja (u prostorijama Tužitelja) te dokumentacije u spisu, dakle godinu dana nakon napada, a što je sud odbio kao nesvrsishodno, obzirom na dokaze koje je priložio u spis i obzirom na vremenski odmak kad se događaj desio. Naime, tužitelj je mogao i trebao navedeno vještačenje provesti odmah po incidentu kako bi se incident i službeno utvrdio, a kako bi dokazao da je štetna radnja nastala. Sve navedeno se odnosi i na nastanak štete, koju tužitelj po stavu ovog suda nije dokazao. Naime tužitelj se poziva na isplatu klijentu Coinbar u iznosu od 800.612,24 eura, kao umanjenje imovine koju je isplatio radi zaštite poslovnog ugleda. Nesporno je da je tužitelj dobrovoljno isplatio navedeni iznos klijentu, radi zaštite svog ugleda, no nije dokazao u čemu se sastoji povreda njegovog ugleda i to upravo u navedenom iznosu.

17. Tužitelj tek paušalno navodi da nije bio u mogućnosti pratiti tijek otuđenog iznosa, no isto tako nije dokazao da je poduzeo bilo kakve druge radnje u cilju pronalaska počinitelja, niti u cilju sprečavanja ne samo nastanka štete već i njenog umanjenja ili potpunog otklanjanja.

18. U odnosu na tvrdnje tužitelja da je tuženiku opetovano ukazivano na postojanje opasnosti od ovakvih napada te načina na koje se zaštititi, a koje se sastoje od mailova koje se dostavljaju svim zaposlenicima, ( mail od 7.06.2022. 15.06.2022. i 01.08.2022.) koje upućuje na nekorištenje servisa Skypa, te da se koriste odvojeni komunikacijski kanali valja istaknuti da je u postupku utvrđeno da se u komunikaciji ipak dozvoljavalo korištenje Skypa, a navedeni mail koji je navodno dostavljen svim zaposlenicima, njih 800, po stavu ovog suda ne predstavlja dovoljne sigurnosne protokole i zaštitu od kibernetičkih napada.

19. Po stavu ovog suda tužitelj je omogućio rad i pristup internim servisima tužitelja odnosno EveryMatrix grupacije, a pri tome ne spori da tuženik nije pohađao obavezne edukacije o sigurnosnim procedurama, pa je samim time propustio dodatno zaštititi svoje poslovanje koje je vrlo specifično, te podložno svim mogućim kibernetičkim napadima i manipulacijama, olako dozvolivši da sami zaposlenici navedenu edukaciju provedu ili ne provede.

20. Slijedom svega navedenog tužitelj nije dokazao kumulativne pretpostavke za naknadu štete, a prvenstveno uzročnu vezu između postupanja tuženika i štetnog događaja, štetu nastalu za tužitelja, jer samo pozivanje na poslovni ugled nije dokaz nastale štete, a naročito u navedenom iznosu, te namjeru odnosno nepažnju tuženika kao pretpostavku za protupravnost, a što po objektivnom kriteriju nije također dokazano, jer sama činjenica da je netko postupao sa nepažnjom ne dovodi nesporno do zaključka da je postupao protupravno.

21. Stoga po stavu ovog suda, samo pozivanje tužitelja da je tuženik prekršio zabranu korištenja Skypa, pa da je time omogućio napad i nedozvoljene transakcije, nije dokaz da bi tuženik bio odgovoran za protupravno postupanje napadača. Sud je utvrdio da tužitelj nije dokazao da je da je upravo radnjom tuženika izveden napad , kao što nije dokazao niti na koji je način posljedično takvom napadu nastala bilo kakva šteta, a osobito u utuženom iznosu i to kako tužitelju, tako i bilo kojem trgovačkom društvu članu EveryMatrix grupacije.

Tužitelj nije dokazao svoju tvrdnju da su novčana sredstva prenesena na način da je napadač stvorio prividnu uplatu u EveryMatrix back office sustavu u odnosu na internetsku stranicu Jojobet klijenta Coinbar, nakon čega je putem računa fingiranog igrača kojeg je za te potrebe kreirao podnio zahtjeve za isplatom spornog iznosa. Tako tužitelj nije niti dokazao da je klijent Coinbar za čija novčana sredstva tvrdi da ih je napadač neovlašteno prenio, a koji je klijent je društva EveryMatrix NV temeljem ugovora („Software Service Agreement“) koji su ta dva društva sklopila. Prema navedenom Ugovoru EveryMatrix NV Coinabru pruža, između ostalog, usluge vezane uz internetsku stranicu (Jojobet) Coinbara, međutim nije dokazao da je nastalu štetu morao nadoknaditi, osim što zz tuženika navodi da je to njegova dobrovoljna odluka, a o čemu se sa tuženikom nije konzultirao iako regresno potražuje istu.

22. Slijedom utvrđenja suda u dokaznom postupku da tužitelj nije kumulativno dokazao pretpostavke za naknadu štete valjalo je odbiti tužbeni zahtjev u cijelosti, kao i zatraženu privremenu mjeru.

23. Sud nije provodio predloženo vještačenje kako je već gore obrazloženo, niti je saslušavao svjedoka ČČ, obzirom da je isti predložen na okolnost korespondencije navedenog sa radnicima tužitelja, jer nije sporna činjenica da je isti slao navedene mailove, pa je kao dokaz kao takav nepotreban.

24. Sud nije u ovom postupku cijenio odredbe Ugovora između tužitelja (društvo koje je prethodno poslovalo pod tvrtkom Leapbit) i njegovog društva majke EveryMatrix NV od 30.09.2022. o pružanju usluga razvoja softvera i IP licenca (dalje u tekstu: „Ugovor društva majke i Tužitelja“), te Ugovor između društva EveryMatrix NV i njegovog klijenta koji je ujedno i oštećenik, društva Coinbar N.V. od 01.04.2020. o pružanju usluga vezanih za igre (dalje u tekstu: , obzirom da isti nisu relevantni za ovaj postupak.

25. Odluka o parničnom trošku temelji se na članku 154. stavak 1. ZPP-a. Tuženiku je priznat trošak parničnog postupka temeljem čl. 154. st. 1. i 155. ZPP-a, a koji trošak se odnosi na zastupanje tuženika po punomoćniku u osobi odvjetnika i odmjeren je primjenom Tarife o nagradama i naknadi troškova za rad odvjetnika prema vrijednosti predmeta spora u vrijeme poduzimanja svake parnične radnje.

Tuženiku je sukladno priznat trošak postupka odgovor na tužbu od 5.508 bodova, ročišta od 11.11.2024., 23.01.2025., 13.05.2025., 14.07.2025., 28.01.2025. sve po 5.508 bodova, podneska od 02.04.2024., 19.09.2024.,16.01.2025. 26.09.2025. sve po 5.508 bodova(primjenom Tbr. 7/1, 8/1 i 9/1 OT), ukupno 55.080 bodova (vrijednost 1 boda = 2,00 eura), ili 110.160,00 eura, na koji iznos je pridodano 25 % PDV-a sveukupno 137.700,00 eura.

26. Slijedom navedenog je odlučeno kao u izreci presude i rješenja.

U Zagrebu 16. veljače 2026.

Sutkinja:

Vesna Horvath

UPUTA O PRAVNOM LIJEKU:

Protiv ove presude stranke mogu podnijeti žalbu u pisanom obliku putem ovog suda u pet (5) istovjetnih primjeraka u roku od petnaest (15) dana, a o žalbi odlučuje nadležan županijski sud.

DNA:

1. tužitelju po punomoćniku

2. tuženiku po punomoćniku