Phishing u eri AI-ja: kako prepoznati prevaru koja zvuči i izgleda uverljivo

Phishing (fišing) više nije prevara koju je lako prepoznati po lošem prevodu, pogrešnom logotipu i poruci napisanoj velikim slovima. Generativna veštačka inteligencija (Generative AI) omogućila je napadačima da za nekoliko minuta napišu poruke koje zvuče profesionalno, lokalizovano i lično – na srpskom, engleskom ili bilo kom drugom jeziku.

Najvažnija poruka ovog teksta je jednostavna: danas nije dovoljno proveriti pravopis. Pravu zaštitu donose zastajanje pre reakcije, provera pošiljaoca i zahteva, potvrda preko drugog kanala komunikacije i organizovane bezbednosne mere unutar kompanije. U nastavku objašnjavamo kako AI menja phishing, koje su najopasnije vrste napada, kako prepoznati uverljivu prevaru i šta pojedinci i firme treba da urade kada sumnjiva poruka već stigne.

Ključne poruke

AI je uklonio jedan od starih, ali nepouzdanih znakova prevare: lošu gramatiku i očigledno loš prevod.
Najopasniji phishing napadi koriste kontekst: ime direktora, stvaran projekat, podatak sa LinkedIna, fakturu koju firma zaista očekuje ili vest koja je upravo objavljena.
Hitnost, strah, autoritet i radoznalost ostaju osnovni mehanizmi socijalnog inženjeringa, bez obzira na to koliko poruka izgleda profesionalno.
Link, domen, zahtev i način plaćanja moraju se proveravati nezavisno od same poruke.
Za firme, obuka zaposlenih bez tehničkih zaštita nije dovoljna: potrebni su MFA, e-mail autentifikacija, procedure potvrde plaćanja i plan reagovanja na incident.
U narednim godinama phishing će sve manje biti samo problem e-maila, a sve više kombinacija poruka, SMS-a, lažnih poziva, kloniranih glasova i deepfake videa.

Phishing više ne izgleda kao nekada

Godinama se korisnicima govorilo da je phishing lako prepoznati: poruka je puna gramatičkih grešaka, pošiljalac ima čudnu adresu, logo je mutan, a neko iz daleke zemlje obećava nasledstvo. Takvi napadi i dalje postoje, ali su postali samo najniži sloj problema.

Savremeni napadači rade drugačije. Oni više ne moraju da znaju dobro srpski jezik, poslovnu terminologiju ili stil komunikacije vaše kompanije. Dovoljno je da imaju pristup AI alatu, nekoliko javno dostupnih podataka i osnovno razumevanje toga šta kod ljudi izaziva brzu reakciju.

Zato danas poruka može izgledati ovako:

„Zdravo, Saša, dobili smo poslednju verziju specifikacije za mobilnu aplikaciju. Klijent traži da pregledamo izmenu ugovornih obaveza do 15 časova, pre nego što pošalje finalno odobrenje. Dokument je u prilogu.”

Na prvi pogled, poruka može delovati sasvim normalno. Pominje projekat, rok, dokument i klijenta. Ako napadač zna da firma razvija mobilne aplikacije ili da zaposleni radi sa određenim klijentom, poruka postaje još opasnija. U prilogu, međutim, može biti fajl koji vodi ka krađi korisničkih podataka, instalaciji malvera ili preuzimanju poslovnog naloga.

Upravo je to suština problema: AI nije izmislio phishing. On ga je učinio jeftinijim, bržim, jezički boljim i lakšim za prilagođavanje pojedinačnim žrtvama. Nacionalni CERT centri upozoravaju da su tradicionalni pokazatelji, poput pravopisnih i gramatičkih grešaka, sve manje pouzdani i da pažnju treba prebaciti na sadržaj, kontekst i nezavisnu proveru zahteva.

Drugim rečima, pitanje više nije: „Da li ova poruka zvuči čudno?” Pitanje je: „Da li je ova poruka stvarna, očekivana i proverena?”

Šta AI menja u phishing napadima

Generativni AI napadačima daje tri velike prednosti: brzinu, personalizaciju i uverljivost.

Ranije je phishing kampanja često bila masovna i generička. Jedna poruka slala se na desetine hiljada adresa, uz nadu da će neko kliknuti. Danas je moguće napraviti desetine ili stotine različitih verzija iste prevare, prilagođenih poslovnoj ulozi, industriji, gradu, jeziku i javno dostupnim podacima o meti.

AI može da pomogne napadaču da:

napiše poruku bez očiglednih gramatičkih grešaka;
prilagodi ton komunikacije banci, dostavnoj službi, državnoj instituciji, kolegi ili direktoru;
prevede sadržaj na lokalni jezik bez tipičnih tragova lošeg automatskog prevoda;
generiše realistične poslovne dokumente, ponude, fakture ili pozive na sastanak;
pripremi više varijanti naslova poruke (subject line) za testiranje;
sastavi poruku na osnovu informacija sa društvenih mreža, javnih sajtova i procurelih podataka;
kreira tekstualni sadržaj za SMS, WhatsApp, Viber, LinkedIn ili druge kanale;
pomogne u imitiranju tona osobe čije su objave, poruke ili javni nastupi dostupni na internetu.

To ne znači da je svaka dobro napisana poruka sumnjiva. Problem je u tome što „dobro napisano” više nije dokaz legitimnosti.

Napadači posebno koriste ono što se naziva hyper-personalization (izuzetno detaljna personalizacija). Poruka ne mora da sadrži mnogo ličnih podataka da bi bila opasna. Dovoljno je da pogodi nekoliko elemenata: ime primaoca, naziv firme, poziciju, projekat, tip softvera koji koristi ili aktuelnu poslovnu situaciju.

Ako je firma javno objavila da uvodi novi CRM sistem, zaposleni može dobiti lažni e-mail navodnog dobavljača sa zahtevom da resetuje pristup. Ako je direktor na LinkedInu objavio da putuje na konferenciju, finansijski tim može dobiti poruku da hitno izvrši uplatu jer je direktor „u avionu i nedostupan”. Ako je kompanija upravo objavila konkurs za posao, HR tim može dobiti desetine lažnih biografija sa zlonamernim prilozima.

AI u tim scenarijima ne probija zaštitu sam od sebe. On čini obmanu dovoljno uverljivom da neko dobrovoljno otvori vrata.

Socijalni inženjering ostaje pravi problem

Phishing je pre svega oblik socijalnog inženjeringa (social engineering). To znači da napadač ne pokušava nužno da „hakuje računar” složenim tehničkim postupkom. Često pokušava da navede osobu da sama uradi ono što ne bi smela: klikne, prijavi se, podeli kod, otvori prilog, promeni broj računa za uplatu ili pošalje poverljiv dokument.

Napadači ciljaju ljudske reakcije, ne samo tehničke propuste. Najčešće koriste četiri psihološka okidača:

Hitnost: „Ako ne reagujete odmah, nalog će biti blokiran.”
Strah: „Detektovana je sumnjiva aktivnost na vašem računu.”
Autoritet: „Direktor zahteva hitnu uplatu.”
Radoznalost: „Pogledajte fotografije sa sastanka” ili „Pogledajte ko je pregledao vaš profil.”

Postoje i dodatni mehanizmi: osećaj krivice, obećanje popusta, najava nagrade, poslovna odgovornost, strah od kašnjenja projekta ili osećaj da je poruka namenjena samo vama.

AI je opasan upravo zato što može vrlo brzo da upakuje takvu manipulaciju u normalan, poslovno prihvatljiv i jezički korektan format. E-mail može imati dobar raspored, ispravno napisano ime kompanije, poznat termin, odgovarajući ton i link koji na prvi pogled izgleda legitimno.

Zato više ne treba tražiti samo „tragove lošeg phishinga”. Potrebno je prepoznati pritisak da se odluka donese bez provere. Ако poruka traži da odmah reagujete – posebno ako traži novac, šifru, pristupni kod, dokument, promenu bankovnog računa ili prijavu na nalog – to nije trenutak za brzinu. To je trenutak za proveru.

Najčešći oblici phishinga danas

Phishing nije samo e-mail. Napadači biraju kanal na kojem je žrtva najmanje oprezna i na kojem je najteže brzo proveriti sve detalje.

E-mail phishing

Klasičan e-mail i dalje je veoma rasprostranjen. Napadi se predstavljaju kao poruke banaka, kurirskih službi, klaud provajdera, Microsoft 365 ili Google Workspace administratora, platformi za naplatu, poreskih institucija, klijenata i poslovnih partnera.

Čest cilj je krađa pristupnih podataka (credentials). Korisnik dobija link ka lažnoj stranici za prijavu koja izgleda kao Microsoft, Google, banka ili interna poslovna aplikacija. Kada unese e-mail i lozinku, podaci odlaze napadaču.

Posebno opasna varijanta je Adversary-in-the-Middle (AiTM), odnosno napad „posrednika”, koji može pokušati da preuzme i kolačić sesije (session cookie). U takvom scenariju, samo korišćenje MFA nije uvek dovoljno ako korisnik unese podatke na veoma uverljivu lažnu prijavnu stranicu i odobri zahtev koji nije pokrenuo.

Spear phishing

Ciljani phishing (spear phishing) nije masovna prevara. Napadač bira konkretnu osobu ili mali broj ljudi. Poruka može biti zasnovana na javno dostupnim podacima, ranijoj komunikaciji ili informacijama koje su procurele u prethodnim incidentima.

Ovo je jedan od oblika u kojima AI ima najveću praktičnu vrednost za kriminalce. Umesto da ručno sastavljaju poruku za svaku metu, mogu automatski da pripreme realistične varijante prema ulozi primaoca: developer, finansijski direktor, menadžer projekta, direktor, HR, marketing ili prodaja.

Business Email Compromise (BEC)

Kompromitovanje poslovne e-mail komunikacije (Business Email Compromise – BEC) odnosi se na prevare u kojima se napadač predstavlja kao direktor, finansijski rukovodilac, dobavljač ili partner kako bi izdejstvovao uplatu ili promenu podataka za plaćanje.

Najskuplje prevare često nisu tehnički spektakularne. One izgledaju kao običan poslovni e-mail: „Molim vas da sledeću uplatu izvršite na novi račun.” Ako firma nema strogu proceduru potvrde promene bankovnog računa preko drugog kanala, jedna poruka može proizvesti ozbiljan finansijski gubitak.

Smishing

Smishing je phishing preko SMS-a. Poruke najčešće imitiraju dostavne službe, banke, mobilne operatere ili državne institucije. Na telefonu je teže videti puni URL, korisnici često žure, a kratka poruka lakše deluje hitno.

Tipične poruke glase: „Vaša pošiljka nije isporučena”, „Imate neplaćenu putarinu”, „Kartica će biti blokirana” ili „Potvrdite podatke za dostavu”. Veza vodi ka lažnoj stranici za unos kartice, ličnih podataka ili pristupnih podataka.

Vishing i kloniranje glasa

Vishing je phishing putem telefonskog poziva. U eri AI-ja postaje ozbiljniji zbog kloniranja glasa (voice cloning). Ako napadač dođe do dovoljno kvalitetnog uzorka nečijeg glasa – kroz javni video, vebinar, intervju, glasovnu poruku ili društvene mreže – može pokušati da imitira tu osobu.

Zamislite poziv zaposlenom u finansijama: glas zvuči kao direktor, osoba je „na sastanku”, hitno traži uplatu i insistira da se ne gubi vreme na proceduru. Napad ne mora biti savršeno izveden – dovoljno je da zaposleni poveruje u trenutku pritiska.

Zato je za organizacije korisno imati jednostavno pravilo: telefonski zahtev za plaćanje, promenu računa ili slanje poverljivih podataka nikada nije dovoljan sam po sebi. Potvrda mora postojati kroz unapred definisan, nezavisan kanal.

QR phishing

QR phishing ili quishing koristi QR kod kao ulaznu tačku. QR kod može biti u e-mailu, na lažnom računu, plakatu, letku ili čak zalepljen preko legitimnog koda na javnom mestu.

Korisnik skenira kod telefonom, otvara lažnu stranicu i ne vidi odmah puni URL. Napadači računaju na to da ljudi QR kodove doživljavaju kao neutralne i bezopasne, iako su oni samo drugačiji oblik linka.

Deepfake video prevare

Deepfake video može biti korišćen za imitiranje rukovodilaca, kolega ili javnih ličnosti. U praksi, savršen deepfake nije ni potreban. Dovoljna je kratka video-poruka, loš kvalitet prenosa, problem sa vezom i insistiranje na hitnosti.

Zato uverenje „video sam osobu, znači stvarno je ona” više nije bezbednosna provera. Video je dokaz koji treba proveriti, a ne automatski prihvatiti.

Zašto pravopis više nije pouzdan pokazatelj

Mnogi korisnici su naučili da traže greške u porukama. To je i dalje korisno, ali više nije dovoljno.

AI može da napiše pristojan poslovni e-mail bez velikih gramatičkih propusta. Može da koristi formalni ton, lokalne izraze i strukturu poruke koju bi koristila banka, IT podrška ili poslovni partner. Napadi danas mogu izgledati čak i previše uredno.

Zato greška nije jedini alarm, ali odsustvo greške svakako nije dokaz da je poruka bezbedna. Pažnju treba usmeriti na sledeća pitanja:

Da li ste ovu poruku očekivali?
Da li zahtev ima smisla u poslovnom i vremenskom kontekstu?
Da li se pošiljalac obraća na način na koji se inače obraća?
Da li se traži neuobičajena radnja?
Da li se od vas traži da zaobiđete standardnu proceduru?
Da li poruka kreira osećaj hitnosti ili tajnosti?
Da li link vodi na stvarni domen kompanije?
Da li prilog ima smisla i da li ste ga očekivali?
Da li je zahtev moguće potvrditi kroz drugi kanal?

Nacionalni CERT centri posebno savetuju da se, kada sumnjiva poruka navodno dolazi od poznate osobe, zahtev proveri alternativnim kanalom komunikacije.

Praktično pravilo glasi: ne odgovarajte na sumnjivu poruku pitanjem da li je stvarna. Ako je napadač kompromitovao nalog ili se lažno predstavlja, dobićete uverljiv odgovor. Umesto toga, pozovite osobu na broj koji već imate, pošaljite novu poruku na poznati kontakt ili koristite interni kanal koji napadač nije inicirao.

Kako proveriti sumnjivu poruku

Kada primite poruku koja traži akciju, nemojte krenuti od pitanja „Da li deluje profesionalno?” Krenite od provere.

Proverite adresu pošiljaoca

Ime pošiljaoca nije dovoljno. „Microsoft Support”, „Pošta Srbije”, „Vaša banka” ili ime kolege mogu biti samo prikazano ime. Otvorite detalje poruke i pogledajte punu e-mail adresu.

Napadači koriste domene koji liče na stvarne:

firma-support.com umesto stvarnog domena kompanije;
micros0ft.com sa nulom umesto slova „o”;
paypaI.com sa velikim slovom „I” umesto malog slova „l”;
domen koji ima pravi naziv brenda, ali se stvarni domen nalazi na kraju, na primer microsoft.login-provera.example.

Obratite pažnju na poslednji, glavni deo domena. Kod adrese [https://banka.prijava.sigurnost-neki-domen.rs](https://banka.prijava.sigurnost-neki-domen.rs), domen nije „banka”, već sigurnost-neki-domen.rs.

Ne klikćite odmah na link

Na stonom računaru pređite mišem preko linka i pogledajte odredišnu adresu. Na mobilnom telefonu zadržite prst na linku (ako aplikacija to omogućava) ili jednostavno ne otvarajte link dok ne proverite poruku drugim putem.

Ako ste dobili obaveštenje navodne banke, dostavne službe ili klaud provajdera, ne koristite link iz poruke. Otvorite veb-pregledač, ručno unesite poznatu adresu ili koristite zvaničnu aplikaciju.

Ovo je jednostavno, ali izuzetno važno pravilo: ne prijavljujte se na servis kroz link iz neočekivane poruke.

Budite oprezni sa prilozima

Prilog može biti PDF, Word dokument, Excel tabela, ZIP arhiva ili fajl koji izgleda kao faktura, biografija, ugovor ili izveštaj. Neki zlonamerni fajlovi ne zahtevaju da odmah instalirate program – dovoljno je da aktivirate makro (macro), omogućite sadržaj (enable content) ili unesete podatke na lažni portal koji dokument otvara.

Poseban oprez zaslužuju:

neočekivani .zip fajlovi;
dokumenti koji traže aktiviranje makro opcije;
izvršni fajlovi prikazani kao dokumenti;
fajlovi sa duplom ekstenzijom, poput faktura.pdf.exe;
linkovi unutar dokumenata koji vode na prijavu;
„zaštićeni” dokumenti koji traže Microsoft ili Google prijavu pre pregleda.

Ako niste očekivali dokument, proverite ga kod pošiljaoca drugim kanalom. Ako ste ga očekivali, ali format, naziv ili zahtev deluju neuobičajeno, uradite isto.

Proverite zahtev, ne samo identitet

Neko može zaista koristiti legitiman nalog kolege ili partnera koji je kompromitovan. Zato nije dovoljno potvrditi da poruka dolazi sa poznate adrese.

Proverite da li zahtev ima poslovnog smisla. Ako dobavljač iznenada menja bankovni račun, potvrda mora ići preko poznatog telefonskog broja ili ugovorenog kontakta. Ako direktor traži kupovinu poklon-kartica (gift cards), uplatu kriptovalute ili slanje MFA koda, to je alarm. Ako IT podrška traži lozinku, to je alarm. Ako banka traži PIN ili jednokratni kod preko e-maila, SMS-a ili poziva, to je alarm.

Legitimne organizacije ne bi trebalo da traže lozinke, PIN kodove ili jednokratne autentifikacione kodove putem poruke. Stručnjaci za bezbednost savetuju da se ne klikće na sumnjive linkove i da se osetljivi podaci ne dostavljaju kroz neočekivane poruke.

Prevara često počinje van e-maila

Jedna od najopasnijih promena jeste prelazak napada na više kanala. Napadač može prvo poslati e-mail, zatim SMS, a onda pozvati telefonom. Svaki sledeći kontakt stvara utisak da se radi o stvarnom procesu.

Na primer:

Stigne e-mail o sumnjivoj prijavi na poslovni nalog.
Nekoliko minuta kasnije stigne SMS: „IT podrška će vas uskoro pozvati.”
Zatim sledi poziv osobe koja zna vaše ime, naziv firme i tvrdi da treba da „zaštiti nalog”.
Od vas se traži da pročitate kod iz autentifikacione aplikacije ili odobrite zahtev za prijavu (login request).

Ovo nije tehnički napad koji je teško razumeti. To je pažljivo režirana prevara u kojoj se korisnik navodi da sam odobri pristup.

Zaposleni ne bi trebalo da odobravaju MFA zahtev koji nisu sami pokrenuli. Ako telefon iznenada traži potvrdu prijave, a vi se niste prijavljivali, pretpostavka mora biti da neko pokušava da pristupi nalogu.

Šta pojedinci treba da urade

Pojedinac ne može zaustaviti sve phishing kampanje, ali može značajno smanjiti šansu da postane žrtva.

Uvedite pravilo pauze

Ako poruka traži novac, prijavu, kod, dokument ili hitnu odluku – stanite. Dovoljno je 30 sekundi da se prekine automatizam koji napadač pokušava da izazove. Nemojte donositi odluku u brzini koju je nametnuo nepoznati pošiljalac.

Koristite menadžer lozinki

Menadžer lozinki (password manager) nije samo alat za pamćenje lozinki. On može biti signal upozorenja. Ako se nalazite na lažnoj stranici koja imitira servis, menadžer lozinki često neće ponuditi sačuvane podatke jer domen nije isti kao originalni.

Koristite jedinstvene, duge lozinke za svaki servis. Ako se jedna lozinka kompromituje, napadač neće automatski dobiti pristup svim ostalim nalozima.

Uključite MFA, ali ga koristite pravilno

Višefaktorska autentifikacija (MFA) je važna, ali ne predstavlja magični štit. Najbolje je koristiti autentifikacionu aplikaciju, pristupni ključ (passkey) ili hardverski sigurnosni ključ kada servis to podržava, umesto SMS-a kao jedinog mehanizma.

Nikada ne delite jednokratni kod. Nikada ne odobravajte neočekivani zahtev za prijavu. Ako vam neko telefonom kaže da mu izdiktirate kod radi provere identiteta, gotovo sigurno pokušava da preuzme nalog.

Ažurirajte uređaje i aplikacije

Phishing često služi kao početna tačka, ali napadač može pokušati da iskoristi i poznate ranjivosti. Redovna ažuriranja operativnog sistema, veb-pregledača, e-mail klijenta i bezbednosnih alata smanjuju posledice ako korisnik ipak otvori sumnjiv sadržaj.

Prijavite prevaru

Sumnjivu poruku nemojte samo obrisati ako se radi o poslovnom nalogu. Prijavite je IT timu, bezbednosnom kontaktu ili administratoru. U privatnom slučaju, prijavite je platformi ili instituciji koju napadač imitira. Prijava može sprečiti da ista kampanja pogodi kolege, porodicu ili druge korisnike.

Šta firme moraju da urade

Najteža istina je da phishing nije problem nepažljivog zaposlenog. Ako je cela bezbednosna strategija kompanije zasnovana na tome da nijedan čovek nikada ne pogreši, kompanija već ima problem.

Ljudi rade pod pritiskom, prekidaju ih sastanci, stižu rokovi, menjaju se prioriteti i raste broj poruka. Napadači to znaju. Bezbednosni sistem mora biti projektovan tako da jedna greška ne postane potpuni kompromis.

Uvedite jasnu proceduru za plaćanja

Svaka promena bankovnog računa dobavljača, hitan zahtev za uplatu ili neuobičajena finansijska instrukcija mora biti potvrđena preko nezavisnog, unapred poznatog kontakta.

Potvrda ne sme koristiti broj telefona iz sumnjivog e-maila niti odgovor na istu konverzaciju. Koristite broj iz ugovora, CRM sistema ili internog imenika. Za veća plaćanja uvedite dvostruko odobravanje (dual approval) – jedna osoba priprema uplatu, druga proverava zahtev i potvrđuje ga.

Zaštitite identitete, ne samo uređaje

Većina modernih napada cilja identitete: e-mail naloge, klaud naloge, administrativne pristupe i poslovne aplikacije.

Zato su važni:

MFA za sve poslovne naloge, posebno administratore;
uslovni pristup (Conditional Access) gde je moguće;
princip najmanjih privilegija (least privilege);
odvojeni administrativni nalozi;
redovna provera sumnjivih prijava i neobičnih lokacija;
brzo ukidanje pristupa zaposlenima koji menjaju poziciju ili napuštaju firmu;
upotreba MFA rešenja otpornih na phishing, kao što su FIDO2 sigurnosni ključevi ili passkeys, kada je to moguće.

Podesite e-mail autentifikaciju

Kompanije koje koriste sopstveni domen treba da pravilno podese SPF, DKIM i DMARC. Ovi mehanizmi ne rešavaju svaki phishing problem, ali otežavaju napadačima da se lažno predstavljaju kao vaš domen:

SPF određuje koji e-mail serveri smeju da šalju poruke u ime domena.
DKIM dodaje kriptografski potpis poruci.
DMARC definiše politiku postupanja kada provera ne uspe i daje izveštaje o zloupotrebama domena.

Važno je naglasiti da loše podešen DMARC može dati lažan osećaj bezbednosti. Potrebno je pratiti izveštaje, proveriti legitimne servise koji šalju e-mail u ime firme i postepeno pooštravati politiku.

Obuke moraju ličiti na stvarnost

Jednom godišnje poslati prezentaciju o phishingu nije dovoljno. Obuka mora biti kratka, redovna, praktična i vezana za realne scenarije koje zaposleni zaista viđaju.

Dobra bezbednosna kultura ne ponižava zaposlenog koji prijavi sumnjivu poruku. Naprotiv, nagrađuje prijavljivanje. Ako se ljudi plaše da će biti okrivljeni, oni će grešku sakriti – a to može biti mnogo opasnije od samog klika. Korisno je organizovati simulacije, ali bez pretvaranja bezbednosti u takmičenje u kažnjavanju. Cilj nije „uhvatiti” zaposlenog, već naučiti ga da prepozna obrazac napada i da zna šta treba da uradi.

Pripremite plan za incident

Kada phishing uspe, prvih nekoliko minuta i sati mogu biti presudni. Firma treba da zna:

ko prima prijavu incidenta;
ko može da resetuje lozinku i poništi aktivne sesije;
ko proverava e-mail pravila, prosleđivanja i sumnjive prijave;
ko kontaktira banku ako je ugrožena uplata;
ko komunicira sa klijentima, partnerima i zaposlenima;
ko čuva dokaze i tehničke zapise (logs);
kada je potrebno obavestiti nadležni organ, regulatora ili pogođene osobe.

Plan koji postoji samo u PDF dokumentu koji niko nije otvorio nije plan. Postupak treba testirati kroz praktičnu vežbu.

Šta uraditi ako ste kliknuli

Panika je razumljiva, ali vreme je važnije od neprijatnosti. Što pre prijavite incident, veća je šansa da se šteta ograniči.

Ako ste kliknuli na sumnjiv link, uneli lozinku, odobrili MFA zahtev ili otvorili prilog:

Odmah prekinite dalju interakciju sa porukom ili pozivom.
Promenite lozinku sa drugog, pouzdanog uređaja ako postoji sumnja da je uređaj kompromitovan.
Odjavite aktivne sesije naloga, gde servis to omogućava.
Proverite da li su dodata pravila za automatsko prosleđivanje e-maila.
Proverite da li su promenjeni podaci za oporavak naloga, broj telefona ili sekundarna e-mail adresa.
Prijavite incident IT timu ili administratoru.
Ako su ugroženi bankovni podaci, odmah kontaktirajte banku preko zvaničnog kanala.
Ako ste uneli poslovne podatke, pretpostavite da je nalog kompromitovan dok se ne proveri suprotno.
Sačuvajte poruku, link, adresu pošiljaoca i vreme događaja; nemojte ih brisati pre prijave.
Obavestite kolege ako postoji mogućnost da je napadač preuzeo vaš nalog i šalje poruke u vaše ime.

Najgora reakcija je ćutanje. Napadač računa na to da će se osoba stideti greške i kasno prijaviti incident. Bezbednosni tim tada gubi dragoceno vreme.

Budućnost phishinga biće još ličnija

U skorijoj budućnosti možemo očekivati da phishing bude sve manje zasnovan na jednoj poruci, a sve više na kombinovanom napadu kroz više kanala. E-mail će najaviti problem, SMS će pojačati hitnost, glasovni poziv će potvrditi identitet, a deepfake video može poslužiti kao dodatna uverljivost.

Napadi će sve češće koristiti javne informacije koje ljudi i kompanije ostavljaju na internetu. Objave o novim projektima, partnerstvima, putovanjima, zapošljavanju, konferencijama, tehnologijama koje firma koristi i promenama u timu mogu pomoći napadaču da sastavi bolji scenario.

To ne znači da kompanije treba da nestanu sa interneta. Znači da treba pažljivije procenjivati koliko operativnih detalja javno objavljuju i ko može da ih poveže u širu sliku.

Istovremeno, AI će biti važan i u odbrani. Bezbednosni sistemi već koriste mašinsko učenje (machine learning) za otkrivanje anomalija: neuobičajenih prijava, neobičnog ponašanja naloga, novih obrazaca poruka, sumnjivih domena i pokušaja krađe identiteta.

Međutim, automatizovana odbrana neće ukinuti potrebu za ljudskim prosuđivanjem. Napadači će prilagođavati poruke, menjati kanale i koristiti informacije koje bezbednosni filteri ne mogu uvek pravilno razumeti: odnos direktora i zaposlenog, aktuelan projekat, lokalni kontekst ili interni poslovni pritisak.

Najotpornije organizacije neće biti one koje veruju da imaju savršen filter. Biće to organizacije u kojima zaposleni mogu da zaustave proces, postave pitanje i provere zahtev bez straha da će biti optuženi da usporavaju posao.

Nema više bezbedne pretpostavke

U eri AI-ja, prevara ne mora da izgleda loše da bi bila prevara. Može biti jezički besprekorna, vizuelno profesionalna, personalizovana i poslata u trenutku kada ste najzauzetiji.

To je razlog zbog kojeg se zaštita ne sme zasnivati na intuiciji i starim pravilima poput „ako nema grešaka, verovatno je pravo”. Prava pitanja su drugačija: da li sam ovo očekivao, zašto je hitno, ko ima korist od moje brze reakcije i mogu li zahtev da proverim bez korišćenja kanala koji mi je poslat?

Phishing nije problem drugih ljudi, drugih firmi ili neopreznih korisnika. To je problem svakoga ko ima e-mail, telefon, bankovni račun, poslovni nalog ili pristup poverljivim informacijama.

Napadaču je dovoljan jedan trenutak žurbe. Odbrani je dovoljan jedan trenutak provere.

Povezani sadržaji za ITNetwork.rs

Pre objave preporučuje se da se u tekst dodaju direktni interni linkovi ka konkretnim postojećim člancima na ITNetwork.rs portalu. Relevantne teme za povezivanje su:

vodiči o sajber bezbednosti i zaštiti poslovnih naloga;
tekstovi o veštačkoj inteligenciji i primeni u industriji;
članci o zaštiti podataka, privatnosti i digitalnom identitetu;
vodiči za mala i srednja preduzeća o klaud servisima i bezbednoj komunikaciji;
analize o digitalnoj transformaciji i rizicima automatizacije.

Izvori i dodatno čitanje

CERT.hr: Kako umjetna inteligencija mijenja phishing – pregled promena koje AI donosi u phishing i preporuke za nezavisnu proveru.
Malwarebytes: How to recognize AI-generated phishing mails – praktični znaci za proveru tona, formata, potpisa, priloga i neočekivanih poruka.
Trend Micro: How to spot and protect yourself from AI text fraud – smernice za proveru pošiljaoca, hitnih zahteva i linkova.
HP Tech Takes: How to identify phishing emails – objašnjenje rizika od AI phishinga, lažnih domena i priloga.
Google: Safer with Google – Phishing protection – osnovne preporuke za zaštitu naloga.
CISA: Avoiding social engineering and phishing attacks – smernice za prepoznavanje socijalnog inženjeringa.