# Incident — kristina.holec@lusar.hr: prijavljena neisporuka mailova na računovodstvo

**Datum provjere:** 30. rujna 2026.
**Status:** 🟡 OTVORENO — čeka se obavijest o neisporuci (bounce) od korisnika
**Server:** server.mellon-dev.eu (157.90.18.28)
**Račun:** kristina.holec@lusar.hr
**Prijava:** Ivan Holec (Outlook za Android) — mailovi koje je Kristina slala na računovodstvo "nisu prošli", dobivena je obavijest o neisporuci

---

## Opseg dostupnih logova

| Log | Pokriva razdoblje |
|---|---|
| `/var/log/maillog-20260927` + `/var/log/maillog` (Postfix, SMTP) | 20.9. – 30.9.2026. |
| `/var/log/dovecot-info.log` (IMAP) | od 30.8.2026. |
| `/var/log/dovecot.log` (auth) | od 4.5.2026. |

Postfix logovi prije 20.9. su rotirani i nisu dostupni.

---

## Nalazi

### 1. S računa nije poslan nijedan mail preko ovog servera

| Provjera | Rezultat |
|---|---|
| Poruke s `from=<kristina.holec@lusar.hr>` (20.–30.9.) | **0** |
| Uspješne SMTP prijave (SASL) | **0** |
| Uspješne IMAP prijave (`Login: user=`) | **0** |

Preko ovog servera u razdoblju pokrivenom logovima nije poslan nijedan mail s ovog računa, niti se itko uspješno prijavio na njega. Ako su mailovi na računovodstvo vraćeni, nisu prošli kroz naš SMTP s ove adrese. Moguće je da Kristina šalje s druge adrese ili preko drugog poslužitelja (npr. drugi račun u Outlooku) ili da joj je klijent krivo postavljen.

### 2. Dolazna pošta radi

| Datum | Relay | Status |
|---|---|---|
| 21.9. 08:48 | dovecot-lmtp (lokalni sandučić) | ✅ sent |
| 22.9. 08:34 | dovecot-lmtp (lokalni sandučić) | ✅ sent |

Sandučić `/var/vmail/lusar.hr/kristina.holec` postoji (3,8 MB) i prima poštu.

### 3. Brute-force napad na račun (sporedni nalaz)

| Metrika | Vrijednost |
|---|---|
| Neuspjele SMTP prijave (20.–30.9.) | **1003** (~90 dnevno) |
| Različitih IP adresa | **812** (distribuirani botnet, najviše 7 pokušaja po IP-u) |
| Varijante korisničkog imena | `kristina.holec@lusar.hr` (549), `kristina.holec` (454) |
| Neuspjele IMAP prijave (od 30.8.) | 47 |
| Uspješni napadi | **0** — svi pokušaji odbijeni |
| fail2ban | ❌ nije instaliran |

Nema znakova kompromitacije. Napad je uporan i distribuiran, a pogađa baš ovaj račun. Adresa je očito na nekoj listi.

---

## Što nedostaje za zatvaranje

1. **Obavijest o neisporuci (bounce)** koju je Kristina dobila, kao privitak ili screenshot. Iz nje se vidi:
   - s koje adrese i kojeg poslužitelja je mail stvarno poslan,
   - adresa primatelja (računovodstvo),
   - kod greške (npr. `550`, `554`, `5.7.x`) i tko je odbio mail.
2. **Postavke mail klijenta** na Kristininom uređaju: koji račun i koji SMTP poslužitelj koristi za slanje.

---

## Action Items

| Prioritet | Task | Status |
|---|---|---|
| 1 | Dobiti bounce poruku od Ivana/Kristine | ⏳ TODO |
| 2 | Provjeriti postavke mail klijenta na Kristininom uređaju | ⏳ TODO |
| 3 | Promjena lozinke za kristina.holec@lusar.hr (jaka, 16+ znakova) | ⏳ Preporuka |
| 4 | Instalirati fail2ban (postfix-sasl + dovecot jail) za cijeli server | 💡 Preporuka |

---

## Korištene naredbe (copy/paste)

```bash
L="/var/log/maillog-20260927 /var/log/maillog"
sudo grep -h "from=<kristina.holec@lusar.hr>" $L | wc -l
sudo grep -h "sasl_username=kristina.holec" $L | grep -vc failed
sudo grep -h "authentication failed.*sasl_username=kristina.holec" $L | wc -l
sudo grep -h "to=<kristina.holec@lusar.hr>" $L
sudo grep -h "kristina.holec" /var/log/dovecot.log /var/log/dovecot-info.log | grep -c "Login: user"
```

## Povezani dokumenti

- `incident-rijeka-hr-ers-qil-2026-07-08.md` — raniji incident s reputacijom IP-a
- `blacklist-status-2026-07-08.md` — stanje blacklisti
- `lusar-mail-audit.md` — travanjski audit