Kako funkcionira phishing poruka

Modul 3: Prepoznavanje phishinga · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete prepoznati psihološke trikove i stalne značajke phishing poruke, čak i kada je tekst bez ikakvih pogrešaka, te ćete reagirati refleksom zaustavi se, provjeri, pitaj.
Ključni pojmovi: urgentnost, autoritet, strah, znatiželja, nagrada, pretext, phishing napisan pomoću AI-ja, refleks "zaustavi se, provjeri, pitaj"

Phishing je priča, a ne tehnika

Phishing je poruka koja Vas navodi da učinite nešto što je dobro za pošiljatelja, a loše za Vas: kliknete na poveznicu, prijavite se na lažiranu stranicu, otvorite privitak, izvršite plaćanje ili odate kod. Tehnika u pozadini obično je jednostavna. Ono što obavlja posao jest priča.

Ta priča se naziva pretext: vjerodostojan povod. "Vaš paket nije mogao biti dostavljen." "Vaš poštanski sandučić je pun." "Imate neplaćeni račun." "Vaš račun će biti blokiran." Dobar pretext odgovara Vašoj situaciji. Pekarnica dobiva e-poruku o dobavljaču brašna, odvjetnički ured o sudskom pozivu, internetska trgovina o blokiranom plaćanju.

Cilj je gotovo uvijek jedan od ova četiri:

Kod posljednje vrste u tom se trenutku ne događa ništa loše. "Tko kod vas obavlja plaćanja?" djeluje kao obično pitanje. No s odgovorom napadač može kasnije poslati mnogo uvjerljiviju poruku, usmjerenu točno na tu osobu. To se naziva spear phishing (lekcija 1.2).

Pet gumba na koje phishing pritišće

Phishing djeluje jer Vas navodi da djelujete prije nego što razmislite. Zbog toga pritišće nekoliko stalnih gumba u našoj glavi. Gotovo svaka phishing poruka koristi barem dva.

1. Urgentnost. "U roku od 24 sata", "još danas", "zadnja opomena". Vremenski pritisak je najvažniji trik, jer onda ne odvajate vrijeme za provjeru.
2. Autoritet. Poruka navodno dolazi od nekoga tko Vas ozbiljno shvaća: banke, Porezne uprave, direktora, policije, Vašeg hosting pružatelja, odvjetnika.
3. Strah. Vaš račun će biti blokiran, dobit ćete kaznu, Vaši podaci su procurili, Vaša domena istječe, dogodila se provala na Vaš račun.
4. Znatiželja. "Pogledajte fotografije s događaja", "primili ste podijeljeni dokument", "imate govornu poruku", "pregled plaće 2026.pdf".
5. Nagrada. Povrat novca, poklon bon, osvojena nagrada, besplatni nadogradnja, velika narudžba novog kupca.

Imajte na umu: ovi gumbi pojavljuju se i u stvarnim porukama. Pravi račun ima rok plaćanja, prava banka ponekad šalje upozorenje. Jedan trik dakle ne čini poruku lažnom. Postaje sumnjiva kad je pritisak visok i poruka traži nešto što inače ne biste tako učinili.

Stalne značajke, neovisno o tekstu

Osim trikova, phishing poruke imaju nekoliko značajki koje se gotovo uvijek ponavljaju:

• Nalog da nešto odmah učinite (poziv na akciju): gumb, poveznica, privitak, telefonski broj koji treba nazvati.
• Kanal koji ne odgovara. Vaša banka Vas e-poštom traži da se prijavite, Vaš dobavljač preko WhatsAppa traži plaćanje, Vaš kolega preko SMS-a traži poklon bonove.
• Zahtjev koji ne odgovara. Odati lozinku ili kod za prijavu, promijeniti IBAN, izvršiti plaćanje izvan uobičajenog postupka, instalirati softver na zahtjev pozivatelja.
• Odstupanje u pošiljatelju ili poveznici. Adresa ili poveznica ne pripadaju baš organizaciji koju očekujete. Kako to točno pročitati, naučit ćete u lekciji 3.2 i 3.3.
• Tajnost ili zaobilaženje postupka. "Nemojte to još govoriti ostalima", "na sastanku sam, ne zovite me", "riješite to mimo sustava".

Posljednja značajka najjači je signal kod prijevara s lažnim direktorom i lažnim računima: pravi direktor nema interes da Vi preskočite uobičajenu kontrolu.

Zašto pravopisne pogreške više nisu dobar pokazatelj

Nekada ste phishing prepoznavali po lošem jeziku, čudnom oslovljavanju i ružnom izgledu. To više ne funkcionira. Uz jezične modele (AI), napadač u nekoliko sekundi napiše besprijekornu, prijateljsku poruku na bilo kojem jeziku, u stilu organizacije koju oponaša. Nizozemski Nacionalni CERT (NCSC) također upozorava da phishing postaje teže prepoznatljiv zbog AI-ja: manje jezičnih pogrešaka i stranice za prijavu koje izgledaju sve uvjerljivije.

Uz to, phishing ponekad dolazi iz stvarnog poštanskog sandučića. Ako je poštanski sandučić dobavljača preuzet, napadač jednostavno odgovara unutar postojeće komunikacije, s potpisom, tonom i prethodnim porukama. To se naziva otmica niti razgovora (thread hijacking). Pošiljatelj, format i jezik tada su svi pravi. Jedino zahtjev nije u redu: "Imamo novi bankovni račun, možete li neplaćeni račun platiti na njega?"

Zato ne gledate kako poruka izgleda, nego što od Vas traži. Phishing rijetko prepoznajete po jednoj značajki, nego po cjelokupnoj slici.

Refleks: zaustavi se, provjeri, pitaj

Ne morate poznavati svaki trik. Potreban Vam je jedan refleks koji koristite svaki put kad poruka nešto traži od Vas.

Zaustavi se. Osjećate li žurbu, strah, znatiželju ili radost? To je upravo trenutak da ne kliknete. Ostavite poruku na trenutak po strani. Prave organizacije Vam gotovo uvijek daju dovoljno vremena da to provjerite.

Provjerite vlastitim putem. Ne nastavljajte preko same poruke. Ne klikajte na poveznicu, ne zovite broj iz poruke i ne odgovarajte na e-poruku. Sami idite na stranicu putem svoje zabilješke (bookmarka) ili upisivanjem adrese, ili nazovite broj koji ste već imali (vlastitu administraciju, poleđinu Vaše bankovne kartice, službenu stranicu). Je li račun stvarno izdan? Je li paket stvarno na putu?

Pitajte. Ako i dalje sumnjate, pitajte kolegu ili osobu koja navodno šalje poruku, putem drugog kanala. Dogovorite se u timu da takvo pitanje nikada nije suvišno. Bolje deset puta nepotrebno pitati nego jednom platiti.

Ovaj refleks djeluje i kod savršene e-poruke iz hakiranog poštanskog sandučića. Provjera vlastitim putem u potpunosti zaobilazi napadača, jer on nije u Vašoj zabilješci niti na telefonu Vašeg dobavljača.

U praksi: ovako to izgleda

Tri simulirane poruke koje Pekarnica Example (info@example.com) prima u jednom jutru. Sva imena su izmišljena.

Poruka 1: paket

Od: Dostavna služba <service@koeriersdienst-track.example>
Predmet: Dostava nije uspjela: potrebna je akcija
Poštovani kupče, danas smo pokušali dostaviti paket. Adresa je bila nepotpuna. Zakažite novu dostavu u roku od 48 sati i platite troškove ponovne dostave od 1,95 eura, inače se paket vraća pošiljatelju.

Trikovi: urgentnost (48 sati), strah (vraćanje paketa), mali iznos kako ne biste razmišljali. Cilj su podaci Vaše kartice. Provjera: očekujete li paket? Potražite pošiljku putem stranice ili aplikacije same dostavne tvrtke.

Poruka 2: dobavljač

Od: Dobavljač brašna <administratie@leverancier.example>
Predmet: RE: račun 2026-0412
Pozdrav, kako je dogovoreno, u prilogu je račun. Napomena: zbog promjene banke, molimo ubuduće plaćanje na naš novi broj računa. Možete li to učiniti još danas? Tada možemo zakazati dostavu za petak.

Trikovi: autoritet (poznati dobavljač, postojeća komunikacija), urgentnost, nagrada (dostava). Pošiljatelj može biti stvaran: poštanski sandučić dobavljača mogao je biti preuzet. Provjera: nazovite dobavljača na broj iz Vaše vlastite administracije, ne iz ove poruke.

Poruka 3: knjigovodstveni paket

Od: Knjigovodstveni paket <noreply@boekhoudpakket.example>
Predmet: Vaša pretplata se obustavlja
Nismo uspjeli obraditi Vašu posljednju uplatu. Prijavite se u roku od 24 sata kako biste ažurirali podatke za plaćanje, inače gubite pristup svojoj administraciji.
[Prijava]

Trikovi: strah, urgentnost, autoritet. Odgovara li pošiljatelj stvarnosti, saznat ćete u lekciji 3.3; kamo vodi gumb, u lekciji 3.2. Provjera: sami otvorite aplikaciju ili zabilješku knjigovodstvenog paketa. Ako tamo nema obavijesti, poruka je lažna.

Sažetak

• Phishing djeluje putem priče (pretext) koja Vam odgovara, s ciljem dobivanja podataka za prijavu, novca, pristupa Vašem uređaju ili informacija.
• Pet gumba: urgentnost, autoritet, strah, znatiželja i nagrada. Obično ih je dva ili više istovremeno.
• Pravopisne pogreške više nisu pouzdan pokazatelj: AI piše besprijekorne poruke, a hakirani poštanski sandučići šalju prave poruke.
• Gledajte što poruka od Vas traži i putem kojeg kanala, a ne kako izgleda.
• Refleks: zaustavi se, provjeri vlastitim putem, pitaj ako sumnjate.

Kviz

Zadatak

Zadatak A3.1: Prepoznavanje trikova. Dobivate šest simuliranih poruka. Odaberite za svaku poruku koji se trikovi u njoj nalaze (urgentnost, autoritet, strah, znatiželja, nagrada) i što ćete učiniti: jednostavno postupiti po njoj, ili prvo provjeriti vlastitim putem. Program provjerava Vaše odgovore i za svaku poruku objašnjava što ste propustili.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
• Nacionalni CERT, Kako prepoznati phishing e-poruku (nizozemski izvor): https://www.cert.hr/
• Nacionalni CERT, Phishing: https://www.cert.hr/
• Policija, za prijavu prijevare i phishinga: https://policija.gov.hr/