U ovom tekstu prolazimo kroz to kako prepoznati i sprečiti phishing, i zašto je on najjeftiniji način da neko upadne u vašu firmu. U Delu 2, koji stiže sledećeg petka, prelazimo na ono što radite kada — ne ako, nego kada — nešto ipak prođe kroz sve odbrane: pravljenje disaster recovery plana koji se nadovezuje na našu 3-2-1 backup strategiju.
Zašto je phishing i dalje broj jedan
Firme troše novac na firewall-e, antivirus, sigurnosne politike — a napadači i dalje najčešće biraju najjednostavniji put: pošalju mejl i sačekaju da neko klikne. Zašto? Zato što radi. Ne treba probijati enkripciju ili tražiti rupu u softveru kada je najslabija tačka svake firme čovek koji žuri, umoran je ili samo nije obučen da prepozna sumnjiv mejl.
U praksi vidimo da phishing mejlovi danas retko liče na one iz 2015. godine sa lošim prevodom i očiglednim greškama. Napadi su sve češće:
- Personalizovani — koriste ime firme, ime zaposlenog, čak i ime poslovnog partnera
- Vremenski pritisak — "vaš nalog će biti blokiran za 24h", "hitno, faktura dospeva danas"
- Maskirani u svakodnevnu komunikaciju — lažna Microsoft 365 prijava, lažna faktura od "dobavljača", lažni zahtev od "direktora" za hitnu uplatu
Najčešći tipovi phishing napada na koje nailazimo
Email phishing — klasičan lažni mejl koji imitira poznatu firmu (banka, Microsoft, kurirska služba) i traži da kliknete na link ili otvorite prilog.
Spear phishing — ciljani napad na konkretnu osobu u firmi, obično nekoga sa pristupom finansijama ili administraciji. Napadač prethodno istraži firmu (LinkedIn, sajt firme, javno dostupne informacije) da bi mejl delovao verodostojno.
CEO fraud / BEC (Business Email Compromise) — napadač se predstavlja kao direktor ili vlasnik firme i traži od računovođe ili administratora hitnu uplatu ili promenu podataka za plaćanje. Ovo je posebno opasno jer se oslanja na hijerarhiju — zaposleni se plaši da propituje "šefa".
Lažne prijave (credential phishing) — stranica koja izgleda identično kao Microsoft 365, Google ili neki drugi servis, sa ciljem da ukrade korisničko ime i lozinku.
Kako prepoznati phishing — na šta obratite pažnju
Nema univerzalnog trika, ali postoji nekoliko signala koje vredi proveriti pre nego što kliknete bilo šta:
- Proverite pravu adresu pošiljaoca, ne samo prikazano ime. "Microsoft Support" može stajati iznad adrese koja nema nikakve veze sa microsoft.com.
- Pređite mišem preko linka pre klika i pogledajte gde zapravo vodi (donji levi ugao browsera obično prikazuje pravu adresu).
- Sumnjajte u hitnost. Legitimne firme retko traže da nešto uradite "u naredna 2 sata" pod pretnjom blokade naloga.
- Proverite neobične zahteve za uplatu ili promenu podataka direktnim pozivom osobi koja navodno šalje zahtev — ne odgovorom na isti mejl.
- Pazite na priloge koje niste očekivali, posebno .zip, .exe fajlove ili Office dokumente koji traže da "omogućite makroe".
- Loš dizajn i logotipi niske rezolucije i dalje postoje kod manje sofisticiranih napada, ali se sve ređe oslanjajte samo na to.
Kako zaštititi firmu — konkretni koraci
Tehnička zaštita i obuka zaposlenih moraju ići zajedno. Jedno bez drugog ne funkcioniše dovoljno dobro.
- Uvedite dvofaktorsku autentifikaciju (2FA/MFA) svuda gde je moguće. Čak i ako neko ukrade lozinku, bez drugog faktora ne može da uđe u nalog. Ovo je verovatno pojedinačno najefikasnija mera koju firma može da uvede — i često je besplatna ili jeftina u okviru postojeće Microsoft 365 pretplate.
- Filtrirajte mejlove na nivou servera. Microsoft 365 i slični servisi imaju ugrađene alate za filtriranje spama i phishing pokušaja, ali oni često nisu podešeni optimalno po difoltu — o ovome smo pisali i u tekstu o najčešćim greškama sa Microsoft 365.
- Uvedite jasnu proceduru za finansijske transakcije. Svaka hitna uplata ili promena bankovnih podataka treba da prolazi kroz drugi kanal potvrde (telefonski poziv, lično) pre izvršenja — bez izuzetka, čak i kada zahtev "izgleda" da dolazi od direktora.
- Obučite zaposlene — redovno, ne jednom. Kratka obuka jednom godišnje se zaboravi za mesec dana. Povremeni simulirani phishing testovi (bezopasni lažni mejlovi koje šalje IT tim) drže ljude budnim i pokazuju gde su realne slabe tačke.
- Ograničite pristup po principu "minimalno potrebnog". Ako neko u marketingu nema razlog da pristupa finansijskim sistemima, ne treba ni da ima taj pristup. Tako, čak i ako njegov nalog bude kompromitovan, šteta je ograničena.
- Imajte jasnu proceduru prijave sumnjivog mejla. Zaposleni treba da zna kome da se javi (IT timu ili provajderu podrške) čim posumnja u nešto, bez straha da će biti ismejan ili okrivljen ako se ispostavi da je lažna uzbuna.
Zaključak — i šta sledi u Delu 2
Dobra obuka i tehnička zaštita znatno smanjuju šansu da phishing napad uspe. Ali realnost je da nijedna zaštita nije stopostotna — čak i firme sa odličnom obukom povremeno imaju nekoga ko u žurbi klikne pogrešan link.
Zato pravo pitanje nije samo "kako sprečiti phishing", nego i "šta radimo kada on ipak uspe". U Delu 2, koji objavljujemo sledećeg petka, prelazimo tačno na to: razliku između backupa i pravog disaster recovery plana, zašto 3-2-1 backup strategija sama po sebi nije dovoljna, i korak-po-korak šta treba da se desi u prvih sat vremena posle sumnje na napad.