Račun za plaćanje, zahtjev direktora ili obavijest Microsofta mogu izgledati kao uobičajena poslovna poruka. Dovoljna je jedna neprovjerena poveznica, prijava na lažnu stranicu ili otvoreni privitak da napadač preuzme korisnički račun, pristupi osjetljivim podacima ili pokrene financijsku prijevaru. Zato pet znakova phishing napada treba prepoznati prije nego što poruka dođe do osobe koja može donijeti pogrešnu odluku.
Phishing više nije problem ograničen na očite poruke s pravopisnim pogreškama. Napadači danas koriste javno dostupne podatke o tvrtkama, stvarna imena zaposlenika, logotipe dobavljača i poruke prilagođene konkretnim poslovnim procesima. Posebno su izložene organizacije u kojima se računi, dokumenti i odobrenja svakodnevno razmjenjuju e-poštom.
Pet znakova phishing napada u poslovnoj e-pošti
1. Pošiljatelj izgleda poznato, ali adresa otkriva odstupanje
Najopasnija phishing poruka često ne dolazi s potpuno nepoznate adrese. Napadač može upotrijebiti naziv stvarnog dobavljača, ime člana uprave ili domenu koja se razlikuje samo u jednom znaku. Primjerice, slovo „l” može zamijeniti veliko „I”, a službena domena može dobiti dodatnu riječ ili neuobičajenu domensku ekstenziju.
Prikazano ime pošiljatelja nije dokaz identiteta. Zaposlenici trebaju provjeriti punu e-mail adresu, posebno kada poruka traži uplatu, promjenu bankovnih podataka, dijeljenje dokumenata ili prijavu u poslovni sustav. Ako poruka dolazi od poznatog kontakta, ali zahtjev odstupa od dosadašnje komunikacije, potvrda drugim kanalom je opravdan poslovni korak, a ne nepotrebno usporavanje procesa.
2. Poruka stvara hitnost, strah ili pritisak na tajnost
„Platite odmah.” „Račun će biti blokiran.” „Ne prosljeđujte nikome.” Takve formulacije ciljaju na reakciju, ne na promišljanje. Napadači znaju da se u poslovanju odluke često donose pod rokovima pa nastoje stvoriti osjećaj da provjera nije moguća ili nije poželjna.
Legitimne sigurnosne obavijesti mogu sadržavati rok, ali neće od zaposlenika tražiti zaobilaženje uobičajene procedure. Iznimno je rizično kada navodni direktor traži hitan prijenos sredstava, kupnju bonova ili izmjenu podataka za plaćanje izvan standardnog tijeka odobravanja. Pravilo mora biti jasno: hitnost nikada ne smije ukinuti provjeru identiteta i ovlasti.
3. Poveznica vodi na adresu koja nije službena
Lažna stranica za prijavu može vizualno gotovo savršeno kopirati Microsoft 365, banku, dostavnu službu ili internu aplikaciju. Razlika se najčešće vidi tek u adresi odredišta. Prije klika potrebno je pregledati puni URL, a na mobilnim uređajima posebno pažljivo jer je adresa često skraćena ili skrivena.
Sigurna navika je jednostavna: kada poruka traži prijavu u sustav, zaposlenik ne bi trebao koristiti poveznicu iz e-maila. Umjesto toga, neka samostalno otvori poznatu službenu adresu ili aplikaciju. HTTPS lokot u pregledniku nije potvrda da je stranica pouzdana. On samo govori da je komunikacija s tom stranicom šifrirana, ne i da stranicu vodi legitimna organizacija.
4. Privitak ne odgovara sadržaju ili traži uključivanje makronaredbi
Dokumenti s nazivima poput „račun”, „ponuda”, „otpremnica” ili „ažurirani ugovor” redovito se koriste za prikrivanje zlonamjernog sadržaja. Poseban oprez potreban je kod ZIP arhiva, izvršnih datoteka te Office dokumenata koji nakon otvaranja traže opcije poput „Enable Content” ili „Omogući uređivanje”.
Stvarni partner može poslati dokument, ali kontekst mora imati smisla. Je li tvrtka očekivala račun? Odgovara li naziv projekta, kontakt i vrsta datoteke dosadašnjoj suradnji? Ako dokument zahtijeva aktiviranje makronaredbi kako bi se navodno prikazao sadržaj, treba ga tretirati kao sigurnosni incident dok se ne potvrdi njegova vjerodostojnost.
5. Zahtjev odstupa od uobičajenog poslovnog procesa
Phishing nije uvijek tehnički sofisticiran. Ponekad je dovoljno da napadač zatraži kopiju osobnih podataka zaposlenika, izvoz baze klijenata, podatke za prijavu ili promjenu IBAN-a na računu dobavljača. Poruka može biti jezično ispravna, poslati je stvarni kompromitirani kontakt, pa čak i sadržavati dio ranije poslovne korespondencije.
Ključno pitanje nije samo „izgleda li poruka sumnjivo?”, nego „je li zahtjev usklađen s našim postupkom?”. Promjena podataka za plaćanje mora se potvrditi poznatim telefonskim brojem kontakta, a zahtjevi za osjetljive podatke trebaju imati jasnu poslovnu svrhu i odobrenje. Kontrola procesa smanjuje rizik i onda kada tehnička provjera ne može odmah otkriti prijevaru.
Što učiniti kada zaposlenik prepozna sumnjivu poruku
Najbolja reakcija nije brisanje poruke bez traga, nego brzo i kontrolirano postupanje. Zaposlenik ne smije klikati poveznice, otvarati privitke ni odgovarati pošiljatelju. Poruku treba prijaviti IT odgovornoj osobi ili sigurnosnom partneru, uz zadržavanje izvornog e-maila i svih zaglavlja poruke ako ih sustav omogućuje pregledati.
Ako je poveznica već otvorena, važno je odmah prijaviti događaj. Prešućivanje zbog straha od pogreške napadaču daje više vremena. IT tim tada može provjeriti je li korisnik unio lozinku, postoji li neuobičajena prijava, treba li promijeniti vjerodajnice, opozvati aktivne sesije ili dodatno pregledati radnu stanicu.
Kada je kompromitiran račun e-pošte, posljedice se mogu proširiti na cijelu organizaciju. Napadač može postaviti pravila za automatsko prosljeđivanje poruka, pratiti komunikaciju s kupcima i dobavljačima ili poslati prijevarne zahtjeve s vjerodostojnog računa. Zato odgovor mora obuhvatiti i pregled pravila sandučića, zapisa prijava te komunikacije koja je uslijedila nakon incidenta.
Tehnologija pomaže, ali proces i ljudi odlučuju
Filtar neželjene pošte, zaštita e-pošte, višefaktorska autentifikacija i redovito ažurirani uređaji čine temelj obrane. Međutim, nijedna kontrola ne zaustavlja svaki napad. Dio poruka proći će tehničke filtre, osobito kada se šalju s legitimnog, ali kompromitiranog računa poslovnog partnera.
Višefaktorska autentifikacija značajno smanjuje štetu ukradene lozinke, ali nije potpuna zaštita ako korisnik odobri lažni zahtjev za prijavu ili napadaču preda jednokratni kod. Zato zaposlenici moraju znati da se zaporke, kodovi i zahtjevi za potvrdu prijave ne dijele e-poštom, telefonom ni putem poruka, bez obzira na to tko se navodno javlja.
Učinkovit program zaštite kombinira tehnologiju, jasne procedure i redovitu edukaciju koja koristi realne poslovne scenarije. Financije trebaju znati kako provjeriti promjenu računa dobavljača, uprava kako prepoznati lažno predstavljanje, a svi zaposlenici kome se i kako prijavljuje sumnjiva poruka. Povremena simulacija phishinga može biti korisna, ali samo ako služi učenju i poboljšanju procesa, a ne kažnjavanju zaposlenika.
Phishing zaštita kao dio kontinuiteta poslovanja
Phishing napad ne ugrožava samo jedan korisnički račun. Može zaustaviti pristup sustavima, izložiti podatke klijenata, pokrenuti ransomware ili narušiti povjerenje partnera. Za organizacije koje ovise o digitalnim procesima, zaštita e-pošte mora biti povezana s upravljanjem identitetima, sigurnosnim kopijama, nadzorom infrastrukture i planom oporavka.
CarPen Rebuild pristupa sigurnosti kao operativnoj odgovornosti: cilj nije samo blokirati sumnjivu poruku, nego osigurati da tvrtka može prepoznati incident, ograničiti njegov učinak i nastaviti rad bez nepotrebnog zastoja. Najsigurnija organizacija nije ona koja pretpostavlja da se napad neće dogoditi, već ona u kojoj svaka osoba zna zastati, provjeriti i prijaviti sumnjiv zahtjev.