Modul 1 · 1.2
Phishing, prijevara s izvršnim direktorom i prijevara s fakturama
Modul 1: Zašto ste Vi meta · Vrijeme čitanja: 10 minuta
Cilj lekcije: Nakon ove lekcije moći ćete prepoznati način rada phishinga, prijevare s izvršnim direktorom i prijevare s fakturama (BEC) te uspostaviti postupak plaćanja s telefonskom provjerom povratnim pozivom.
Ključni pojmovi: phishing, spear phishing, prijevara s izvršnim direktorom (CEO fraud), prijevara s fakturama, Business Email Compromise, načelo četiri oka, povratni poziv na poznati broj
Tri oblika iste prijevare
Sva tri napada u ovoj lekciji djeluju putem obmane. Nitko ne provaljuje u računalo; netko Vas nagovara da sami nešto učinite: kliknete poveznicu, upišete lozinku, izvršite uplatu. To se naziva socijalni inženjering. Djeluje jer se oslanja na obične ljudske reakcije: želite pomoći šefu, platiti dobavljača na vrijeme, brzo riješiti problem.
| Oblik | Što napadač želi | Tipična poruka |
|---|---|---|
| Phishing | Podatke za prijavu, podatke za plaćanje ili klik na zlonamjerni softver | "Vaš je poštanski sandučić pun, prijavite se kako biste zadržali poruke" |
| Prijevara s izvršnim direktorom | Hitnu uplatu | "Na sastanku sam, možete li ovo danas još uplatiti? Ne razgovarajte o tome s drugima" |
| Prijevara s fakturama | Plaćanje prave fakture na pogrešan račun | "Pažnja: naš je broj računa promijenjen" |
Prijevara s izvršnim direktorom i prijevara s fakturama zajedno spadaju pod englesku zbirnu kraticu Business Email Compromise (BEC): prijevaru u kojoj se zlorabi poslovna e-pošta, a prevarant se predstavlja kao netko drugi.
Phishing i spear phishing
Phishing je poruka koja se predstavlja kao pouzdan pošiljatelj, kako biste Vi učinili nešto što inače ne biste. Najčešće je riječ o poveznici na lažiranu stranicu za prijavu, primjerice rnijnbank.example (s "rn" umjesto "m"), ili o privitku sa zlonamjernim softverom. Obični phishing šalje se velikom broju ljudi odjednom, s općenitom pričom.
Spear phishing je, s druge strane, prilagođen baš Vama. Napadač koristi Vaše ime, Vašu funkciju, ime pravog kolege ili dobavljača, projekt na kojem radite. Te podatke pronalazi na Vašoj web stranici, LinkedInu, u sudskom registru ili u ranije procurjelom poštanskom sandučiću. Budući da se poruka podudara s onim što očekujete, puno je manje upadljiva.
Pravopisne pogreške više nisu pouzdan znak prijevare. Uz prevoditeljske alate i AI generatore teksta, prevarant piše besprijekornim hrvatskim jezikom. U modulu 3 naučit ćete prepoznati phishing po stvarima koje prevarant ne može oponašati: stvarnoj domeni poveznice i tehničkom pošiljatelju e-poruke.
Prijevara s izvršnim direktorom
Kod prijevare s izvršnim direktorom osoba koja izvršava plaćanja dobiva poruku koja kao da dolazi od direktora ili vlasnika. Policija i Nacionalni CERT opisuju stalna obilježja takvih prijevara:
- Autoritet: to je naredba, a ne pitanje.
- Tajnost: "o ovome još ne razgovarajte s drugima, riječ je o preuzimanju."
- Vremenski pritisak: mora biti danas, prije zatvaranja banke.
- Pošiljatelj koji gotovo odgovara pravom: primjerice
directie@example-com.example, koji na prvi pogled nalikuje vlastitoj domeni, ili privatna adresa "jer sam na putu".
Ponekad se uključuje i „odvjetnik” ili „knjigovođa” koji potvrđuje nalog; oni pripadaju prevarantima. Udruge i mala poduzeća također se ovako kontaktiraju: blagajnik dobije poruku od „predsjednika”.
Zašto to djeluje? Jer se u malom poduzeću svi poznaju i vjeruju jedni drugima. Zaposlenik želi pomoći, a tajnost sprječava da provjeri kod kolege. Tajnost je upravo ono što prevarant želi postići.
Prijevara s fakturama: razlikuje se samo IBAN
Prijevaru s fakturama teže je prepoznati, jer je faktura često prava. Iznos, broj narudžbe, logotip, izgled: sve se podudara. Promijenjen je samo broj računa. Prema podacima policije i Nacionalnog CERT-a, to se događa na razne načine: faktura se presretne i izmijeni, stigne zaseban dopis s porukom „naš broj računa je promijenjen”, ili je samo poduzeće hakirano, pa prevarant šalje poruku iz pravog poštanskog sandučića.
Ovo posljednje važno je razumjeti. Ako je poštanski sandučić Vašeg dobavljača leverancier.example preuzet, poruka stvarno dolazi s prave adrese. Sve tehničke provjere (SPF, DKIM, DMARC iz modula 4) prolaze uspješno. Prevarant je ponekad tjednima čitao sandučić, zna koje su fakture otvorene i šalje svoju poruku upravo u pravom trenutku, u istom nizu dopisivanja. Provjera adrese pošiljatelja ovdje stoga ne pomaže.
Bolna pojedinost: ako ste platili prevarantu, pravom dobavljaču u pravilu i dalje dugujete taj iznos.
Primjer
Pekarnica Example naručuje novu peć kod leverancier.example. Ponuda, potvrda narudžbe i faktura stižu uredno. Dva dana kasnije, u istom nizu poruka, stiže:
Poštovana Petra, zbog prelaska na drugu banku naš je broj računa odmah promijenjen. Možete li fakturu za peć uplatiti na novi broj? Stari broj bit će ukinut sljedeći tjedan. Srdačan pozdrav, Joost
Adresa je ispravna, ime Joosta je ispravno, broj narudžbe se podudara. Jedino što odaje prijevaru jest sam zahtjev: promjena broja računa. To je uvijek trenutak za provjeru, nikad trenutak u kojem se treba osloniti isključivo na e-poštu.
Postupak plaćanja koji to sprječava
Ne možete prepoznati svaku lažnu poruku. Ali možete osigurati da lažna poruka sama po sebi ne bude dovoljna za izvršenje uplate. To postižete s nekoliko stalnih dogovora.
- Povratni poziv na poznati broj. Kod svake promjene broja računa i svakog neuobičajenog zahtjeva za plaćanje, nazovite pošiljatelja. Ne na broj naveden u poruci ili fakturi, jer i taj može biti lažan, nego na broj koji ste već imali: iz vlastite administracije, ugovora ili službene web stranice koju sami upišete.
- Ne odgovarajte na poruku. Želite li provjeriti putem e-pošte, sami upišite adresu. Pritiskom na „odgovori” možete završiti kod prevaranta, primjerice putem polja Reply-To koje upućuje na drugu adresu (lekcija 3.3).
- Načelo četiri oka. Plaćanja iznad određenog iznosa, nove primatelje i promijenjene brojeve računa provjeravaju dvije osobe. Kod obrta to znači: stalno razdoblje čekanja i povratni poziv prije plaćanja.
- Nema iznimki putem e-pošte ili chata. Direktor nikada ne traži putem e-pošte ili WhatsAppa da se preskoči postupak. Dogovorite to, baš i s direktorom osobno. Tada svi znaju: poruka s „samo ovaj put izvan uobičajenog postupka” po definiciji je sumnjiva.
- Zabilježite podatke. Broj računa dobavljača nalazi se u Vašem knjigovodstvu. Usporedite broj na svakoj fakturi s onim koji već imate. Banke u europodručju od listopada 2025. prilikom prijenosa provjeravaju odgovara li ime koje unosite broju računa (na engleskom Verification of Payee). Upozorenje iz te provjere shvatite ozbiljno. No pozitivan rezultat govori samo da ime i račun odgovaraju jedno drugome, a ne da je primatelj pošten.
| Situacija | Radnja |
|---|---|
| Novi broj računa postojećeg dobavljača | Povratni poziv na poznati broj, odobrenje druge osobe |
| Hitna uplata na zahtjev uprave | Nazvati ili osobno provjeriti, jednostavno slijediti postupak |
| Novi dobavljač, prva faktura | Provjeriti podatke iz službenog izvora, odobrenje druge osobe |
| Faktura koja izgleda drukčije nego inače | Provjeriti prije plaćanja |
Ako ipak pođe po zlu
Jeste li već platili i više nemate povjerenja? Tada je svaki sat bitan.
- Nazovite odmah svoju banku i pitajte može li se uplata zaustaviti ili povući.
- Prijavite to policiji (https://policija.gov.hr/) i Nacionalnom CERT-u (https://www.cert.hr/) te podnesite kaznenu prijavu.
- Upozorite dobavljača: ako je njegov poštanski sandučić preuzet, i drugi klijenti primaju lažne poruke.
- Ako je poruka stigla iz Vašeg vlastitog sandučića ili sandučića kolege, moguće je da je on preuzet. Promijenite lozinku, poništite sesije i provjerite pravila za prosljeđivanje (lekcija 2.5 i 3.5).
Sažetak
- Phishing, prijevara s izvršnim direktorom i prijevara s fakturama oblici su socijalnog inženjeringa: Vas se nagovara da sami nešto učinite.
- Spear phishing je prilagođen baš Vama i stoga puno uvjerljiviji; pravopisne pogreške više nisu pouzdan znak.
- Prijevara s izvršnim direktorom oslanja se na autoritet, tajnost i vremenski pritisak.
- Kod prijevare s fakturama često se razlikuje samo IBAN, ponekad čak i iz stvarno hakiranog poštanskog sandučića dobavljača.
- Postupak plaćanja s povratnim pozivom na poznati broj i načelom četiri oka zaustavlja većinu prijevara, čak i ako ne prepoznate lažnu poruku.
Kviz
Zadatak
Zadatak A1.2: Prepoznajte prijevaru. Dobivate šest kratkih poruka. Za svaku poruku navedite je li vjerojatno riječ o phishingu, prijevari s izvršnim direktorom, prijevari s fakturama ili uobičajenoj poruci, te koju radnju poduzimate. Program provjerava odgovore i za svaku poruku prikazuje obilježja koja ste mogli primijetiti.
Zadatak D1.2: Vaš vlastiti postupak za plaćanja. Napišite postupak plaćanja Vašeg poduzeća na jednom listu A4: kada se nazivlje povratno, na koji broj, tko obavlja drugu provjeru i od kojeg iznosa. Razgovarajte o njemu sa svima koji izvršavaju plaćanja.
Zadatak D1.2: Vaš vlastiti postupak za plaćanja
Pristup koraka: (1) Na jednoj stranici A4 formata zapišite kada plaćanje zahtijeva dodatnu provjeru: promijenjen broj računa, novi primatelj, iznos iznad granice koju sami odredite, hitan zahtjev izvan uobičajenog postupka. (2) Zapišite kako provjeravate povratnim pozivom: isključivo na broj iz vlastite evidencije, ugovora ili službene web stranice koju sami upišete. (3) Odredite drugu osobu koja provjerava zajedno s Vama (kod obrta s jednim vlasnikom: fiksno vrijeme čekanja, na primjer jednu noć). (4) Dogovorite s upravom da se postupak nikada ne preskače putem e-pošte ili chata. (5) Prođite stranicu A4 sa svima koji obavljaju plaćanja i objesite je na vidljivo mjesto.
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatna literatura
Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.
- Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
- E-poruke od ICANN-a ili registra o Vašoj domeni: prave ili lažne, i što trebate učiniti?
- Policija, prijave prijevara: https://policija.gov.hr/
- Nacionalni CERT, informacije i prijave: https://www.cert.hr/
- ENISA, Europska agencija za kibernetičku sigurnost: https://www.enisa.europa.eu/