Nekad se phishing prepoznavao po lošem hrvatskom i čudnim formulacijama. Ta vremena su prošla. Današnje prijevarne poruke piše umjetna inteligencija, gramatički besprijekorno, na tečnom hrvatskom, često s detaljima o vašoj tvrtki pokupljenima s weba i društvenih mreža. Tehnologija se promijenila. Psihologija nije.
Trikovi ostaju isti
Svaka phishing poruka, koliko god uvjerljiva, pokušava izazvati jednu od ovih reakcija:
Hitnost. "Vaš račun bit će blokiran u roku 24 sata." Panika isključuje razmišljanje, i upravo na to napadač računa.
Autoritet. Poruka "od direktora" s terena: hitno platite ovaj račun, na sastanku sam, ne zovite me. Prijevare s lažnim nalozima za plaćanje među najskupljima su za male tvrtke. Jedan klik računovođe može odnijeti tisuće eura.
Znatiželja ili strah. "Otkriven je problem s vašom dostavom", "netko se prijavio na vaš račun". Klik na poveznicu vodi na stranicu za prijavu koja izgleda identično pravoj, samo što lozinku šalje napadaču.
Tri provjere koje hvataju većinu prijevara
Prvo, adresa pošiljatelja: ne ime, nego stvarna adresa. "Ime Prezime" može pisati bilo tko; domena iza znaka @ teže se lažira. Razlika od jednog slova je klasika.
Drugo, poveznica prije klika. Držite pokazivač iznad nje (na mobitelu dugi pritisak) i pogledajte kamo stvarno vodi. Ako "vaša banka" vodi na čudnu domenu, odgovor je jasan.
Treće, i najvažnije. Provjera drugim kanalom. Svaki zahtjev za plaćanjem, promjenom IBAN-a ili dostavom podataka provjerava se telefonski, na broj koji već imate, ne na onaj iz poruke. Ovo jedno pravilo, dosljedno provedeno, zaustavlja praktički sve prijevare s lažnim računima.
Zaposlenici: najslabija karika ili najbolji senzor?
Tehnička zaštita (filtri, MFA, provjera poveznica) hvata velik dio napada, ali nikad sve. Razliku radi kultura: zaposlenik koji bez srama može reći "ovo mi je sumnjivo, provjerite" vrijedi više od skupog softvera. Zato edukacija ne smije biti jednokratno predavanje, nego kratke, redovite vježbe: uključujući simulirane phishing kampanje koje pokazuju stvarno stanje, bez prozivanja pojedinaca.
Cilj nije da zaposlenici žive u strahu od svake poruke. Cilj je refleks: zastani, provjeri, pa tek onda klikni.