Lažni broj banke, e-mail partnera, SMS institucije: Stručnjak objašnjava kako funkcioniše spoofing

Na ekranu telefona pojavi se broj banke. U inbox stigne poruka poslovnog partnera. SMS izgleda kao da ga je poslala institucija kojoj vjerujete. Sve djeluje poznato i legitimno, osim što iza druge strane zapravo može stajati cyber prevarant. 

Upravo na tome počiva spoofing, tehnika kojom napadači lažiraju identitet izvora komunikacije kako bi žrtvu naveli da povjeruje da razgovara s osobom, kompanijom ili institucijom kojoj vjeruje. Za razliku od klasičnih cyber napada, u kojima je cilj često kompromitovati uređaj, korisnički račun ili određeni sistem, kod spoofinga je u prvom planu čovjek.

O svemu je za portal Radiosarajevo.ba govorio cyber stručnjak Nedim Gvožđar, menadžer projekta Cyber Security Summita.

Trending

Dizel u BiH sve skuplji: U nekim gradovima cijena sve bliže 4 KM po litru

"Spoofing nije toliko posebna vrsta hakovanja koliko je tehnika lažnog predstavljanja koja se koristi u različitim vrstama prevara", objašnjava Gvožđar. 

Napadač može lažirati telefonski broj, e-mail adresu, identitet SMS pošiljaoca ili napraviti web stranicu koja gotovo identično izgleda kao legitimna. Česta je i upotreba domena koje se tek neznatno razlikuju od originalnih, pa korisnik na prvi pogled teško može primijetiti da nešto nije u redu.

Zbog toga spoofing često ne izgleda kao "hakerski napad" u klasičnom smislu. Nema nužno virusa, zaključanog računara ili poruke koja upozorava da je sistem kompromitovan. Umjesto toga, napadač pokušava navesti korisnika da sam uradi ono što mu je potrebno, uplati novac, unese podatke za prijavu, potvrdi transakciju ili dostavi jednokratni kod.

"Meta nije podatak, nego odluka", kaže Gvožđar.

Napadač, drugim riječima, pokušava pogoditi trenutak u kojem je osoba spremna nekome vjerovati. To može biti zahtjev za uplatu, promjena bankovnog računa dobavljača, prijava na određeni servis ili komunikacija s bankom. Posebno su ranjivi zaposleni koji svakodnevno obrađuju finansijske transakcije, poput računovodstva, nabavke i uprave kompanija. No, meta mogu biti i građani koji dobiju poruku ili poziv navodno od banke, telekom operatera ili javne institucije.

Kada lažni e-mail postane ozbiljan poslovni problem

Jedan od najopasnijih oblika ovakvih prevara u poslovnom okruženju su tzv. Business Email Compromise (BEC) prevare. Napadač može koristiti lažni e-mail, domenu koja veoma liči na stvarnu ili čak prethodno kompromitovani račun legitimnog korisnika. Takav napad može proći gotovo neprimjetno jer se ne oslanja nužno na sofisticirani malware. Dovoljno je da poruka stigne u pravom trenutku i da izgleda dovoljno uvjerljivo da zaposlenik povjeruje da je zahtjev autentičan.

Koliko posljedice mogu biti ozbiljne pokazuje i slučaj kompanije Igman d.d. Konjic. Krajem jula  kompanija je prijavila prevaru vrijednu oko 780.000 eura, odnosno više od 1,5 miliona KM, povezanu s elektronskom poslovnom komunikacijom.

30.07.26. 10:16

Prevara putem e-maila: Sa računa kompanije Igman d.d. Konjic otuđeno 780.000 eura!

Prema javno dostupnim informacijama, napadači su koristili e-mail adresu gotovo identičnu adresi stvarnog turskog poslovnog partnera i dostavili izmijenjene podatke za uplatu. Za Gvožđara je ovaj slučaj dobar primjer zašto nije dovoljno sve ovakve incidente jednostavno nazvati "spoofingom". U pitanju mogu biti različite tehnike, od lažiranja pošiljaoca do korištenja sličnih domena i kompromitovanih legitimnih naloga, koje se mogu kombinovati u jednoj prevari. Kompanija je naknadno saopćila da je veći dio sredstava blokiran i da očekuje njihov povrat, dok se slučajem bave nadležni policijski i pravosudni organi.

Problem, međutim, nije ograničen na velike kompanije. Banke u Bosni i Hercegovini tokom 2026. godine upozoravale su građane na lažne SMS i e-mail poruke, kao i na pokušaje prevare u kojima se od korisnika traže osjetljivi podaci.

Istovremeno, stvarne razmjere problema teško je precizno utvrditi. Bosna i Hercegovina još nema operativan CERT na državnom nivou koji bi sistematski prikupljao, obrađivao i analizirao prijave cyber incidenata. Zbog toga ne postoji ni potpuna javna statistika koja bi pokazala koliko je ovakvih prevara zaista bilo i kolika je ukupna šteta.

Kako prepoznati da nešto nije u redu?

Za građane je najvažnije pravilo jednostavno: ako vas neko kontaktira i traži novac, podatke za pristup ili autorizacijski kod, komunikaciju treba prekinuti i instituciju kontaktirati samostalno, putem broja ili kanala koji su već ranije korišteni. To znači da ne treba pozivati broj telefona koji je naveden u sumnjivoj poruci, niti klikati na link koji je stigao zajedno s njom.

15.06.26. 12:17

Ispovijest Hane kojoj su hakeri ukrali identitet: "Moje podatke su koristili za milionske prevare"

Za građane je važno znati da banke ne traže PIN, CVV/CVC broj kartice, lozinke ili jednokratne autorizacijske kodove putem SMS-a, e-maila, telefonskih poziva ili društvenih mreža. Gvožđar, menadžer projekta Cyber Security Summita, upozorava i da broj koji se pojavi na ekranu telefona nije dovoljan dokaz identiteta pozivaoca.

"Tehnički je moguće lažirati prikaz broja, pa poziv može izgledati kao da dolazi sa legitimnog broja banke ili druge institucije", kaže cyber stručnjak Gvožđar za portal Radiosarajevo.ba.

Kada je riječ o kompanijama, zaštita često počinje jednostavnom procedurom, a ne skupom tehnologijom. Svaku promjenu bankovnog računa dobavljača potrebno je provjeriti drugim, ranije poznatim komunikacijskim kanalom.

"Ako e-mailom stigne obavijest da je poslovni partner promijenio račun, zaposlenik bi trebao nazvati kontakt osobu koristeći broj koji već postoji u poslovnoj evidenciji, a ne broj naveden u novom e-mailu", ističe Gvožđar.

Za veće transakcije preporučuje princip dvije osobe, odnosno dodatnu autorizaciju plaćanja. Kompanije bi, uz to, trebale pravilno konfigurirati SPF, DKIM i DMARC zaštitu vlastitih e-mail domena. Ipak, ni tehničke mjere nisu dovoljne same po sebi.

"DMARC nije potpuna zaštita. Ne sprečava registraciju slične domene, kompromitovanje stvarnog e-mail računa ili druge oblike socijalnog inženjeringa", upozorava Gvožđar, naglašavajući da tehnologiju moraju pratiti jasne procedure i edukacija zaposlenih.

Problem koji nije samo individualni

Zaštita od spoofinga, smatra Gvožđar, mora biti i sistemska. Potrebni su bolja razmjena informacija o incidentima, saradnja banaka, telekom operatera i sigurnosnih institucija, kao i efikasnije otkrivanje i blokiranje zloupotreba komunikacijske infrastrukture.

"Najvažnije je da se ovakvi incidenti ne posmatraju samo kao pojedinačne prevare. Kada napadači istu tehniku mogu koristiti protiv velikog broja građana ili kompanija, govorimo o sistemskom cyber riziku, a ne samo o problemu pojedinca koji je povjerovao poruci", kaže Gvožđar.