Phishing odavno nije zanat pojedinca koji noću sastavlja lažne e-mailove. Postao je industrija s pretplatom, korisničkom podrškom i mjesečnom naplatom. Nedavno gašenje jednog takvog servisa pokazalo je koliko je ta industrija narasla.
Njemačka i američka policija ugasile su platformu Kratos, servis na kojem se phishing iznajmljivao kao bilo koja druga internetska usluga.
U operaciji nazvanoj Olympus Blade oboreno je više od 200 poslužitelja, a FBI je preuzeo domene platforme. Osoba osumnjičena da je razvijala i tehnički održavala Kratos uhićena je u Indoneziji.
Ono što Kratos čini poučnim nije njegova veličina, nego njegov poslovni model.
Phishing s korisničkim računom i mjesečnom pretplatom
Kratos je radio kao posrednik. Servis je kreirao vrlo uvjerljive Microsoftove stranice za prijavu, a kada bi žrtva na njih unijela svoje podatke, platforma bi ih u stvarnom vremenu proslijedila pravom Microsoftu.
Zatim bi pričekala da korisnik potvrdi drugi faktor autentifikacije, i u tom trenutku ukrala kolačić otvorene sesije.
Taj detalj je ključan. “Korisnik” Kratosa nije morao probijati višefaktorsku autentifikaciju, koja se godinama preporučuje kao glavna obrana.
Servis je jednostavno preuzimao već potvrđenu prijavu žrtve. Čekao je da sama žrtva prođe sigurnosnu provjeru, a onda joj preoteo otključana vrata.
Ta se tehnika naziva napadom “protivnik u sredini” (adversary-in-the-middle) i ona je razlog zašto MFA više nije jamstvo sigurnosti kakvim se dugo smatrao.
Brojke oko Kratosa pokazuju razmjer. Istražitelji procjenjuju da je servis imao oko 1.800 korisnika koji su kroz platformu upravljali s 15.000 kampanja mjesečno.
Od 2024. naovamo, pretplate su tvorcu donijele najmanje 300.000 eura. Neposredno je identificirano oko 850 žrtava iz 35 zemalja, pretežno u Europi i SAD-u, no procjenjuje se da ih je ukupno na stotine tisuća.
Drugim riječima, jedna osoba s tehničkim znanjem izgradila je alat, a 1.800 drugih ljudi (bez posebnog znanja) kroz njega je napadalo cijeli svijet. Model struka naziva phishing-as-a-service, phishing kao usluga.
“Kao usluga” je opasnije klasičnog napada
Da bismo razumjeli zašto je ovo prekretnica, vrijedi razmisliti što se promijenilo.
Klasičan phishing zahtijevao je da napadač sam izradi lažnu stranicu, postavi poslužitelj, sastavi uvjerljivu poruku i nekako zaobiđe sigurnosne mehanizme. Svaki od tih koraka bio je prepreka koja je odbijala manje vješte kriminalce.
Model “kao usluga” uklanja sve te prepreke odjednom. Napadač plati pretplatu i dobije gotov alat. Dobije lažne stranice, infrastrukturu, zaobilaženje MFA i, u pravilu, tehničku podršku.
Ne treba mu nikakvo posebno znanje. Barijera za ulazak u kriminal spustila se gotovo na nulu.
Posljedica je jednostavna: kad nešto postane lakše, događa se češće. Zato phishing danas raste, a ne pada, unatoč tomu što o njemu znamo više nego ikad.
Brojke koje pokazuju razmjer
Anti-Phishing Working Group, međunarodna organizacija koja prati ovu vrstu napada, zabilježila je u prvom tromjesečju 2026. godine 971.181 phishing napada.
Vidimo porast od 13,8 posto u odnosu na prethodno tromjesečje. Kroz cijelu 2025. godinu zabilježeno je oko 3,9 milijuna napada, pri čemu treba imati na umu da su to samo prijavljeni slučajevi; stvarni broj procjenjuje se na dva do tri puta veći.
Phishing je pritom postao dominantan oblik kibernetičkog kriminala.
Prema podacima američkog FBI-jeva centra za prijavu internetskog kriminala, phishing i krađa identiteta bili su najprijavljenija vrsta zločina u 2025. s više prijava nego iznuda i investicijske prijevare zajedno.
Mijenja se i tko je na meti. Dugo su to bile banke i platni servisi, i financijske usluge i dalje čine velik dio napada. No prema APWG-u, u prvom tromjesečju 2026. najnapadaniji sektor postao je telekom, čiji je udio skočio s 5,9 posto krajem 2025. na 33 posto.
Naime, pristup nečijem telekom računu često znači i mogućnost presretanja SMS poruka kojima se potvrđuje identitet. Dakle, još jedan način zaobilaženja dvofaktorske zaštite.
Financijska šteta je golema. Prema procjenama iznesenima početkom 2026., globalni gubici od phishinga dosežu oko 25 milijardi dolara godišnje.
Umjetna inteligencija i prijevare
Godinama je najbolji savjet za prepoznavanje phishinga glasio: pazi na loš pravopis i nespretan jezik. Taj savjet danas je gotovo bezvrijedan.
Generativna umjetna inteligencija omogućuje izradu poruka bez ijedne pravopisne pogreške, personaliziranih i na bilo kojem jeziku.
Phishing poruke koje je sastavila umjetna inteligencija imaju oko 60 posto veću stopu klikanja od klasičnih.
Oxford
Informacija je važna baš za naše tržište. Donedavno je lošiji hrvatski jezik u poruci bio pouzdan znak prijevare. — Nacionalni CERT još je 2021. upozoravao na kampanje na “jezično neispravnom i pogrešnom hrvatskom”.
Danas napadač generira besprijekoran hrvatski tekst u nekoliko sekundi, pa je taj filtar nestao.
Situacija u Hrvatskoj
Hrvatska nije po strani od ovih trendova, a domaći podaci to potvrđuju.
Prema podacima Ministarstva unutarnjih poslova, materijalna šteta od prijevara u prvih pet mjeseci 2026. narasla je na 29,12 milijuna eura, više nego dvostruko u odnosu na 13,85 milijuna eura u istom razdoblju 2025. godine.
Broj prijavljenih kaznenih djela prijevare u tom je razdoblju porastao s 1.153 na 1.261.
Iako te brojke obuhvaćaju sve prijevare, a ne samo phishing, upravo je phishing jedan od glavnih ulaza.
Nacionalni CERT je tijekom 2026. opetovano upozoravao na aktivne kampanje usmjerene na hrvatske korisnik.
Od poruka u kojima se napadač lažno predstavlja kao banka i traži broj kartice, datum isteka i sigurnosni kod, do lažnih stranica koje preuzimaju nazive, logotipe i fotografije stvarnih hrvatskih tvrtki kako bi stekle povjerenje korisnika.
Obrazac je gotovo uvijek isti: stvara se osjećaj hitnosti (“vaš je račun ugrožen”, “pošiljka čeka dostavu”), traži se trenutačna reakcija i preusmjerava na lažnu stranicu za unos podataka. Hitnost isključuje razmišljanje, a upravo je razmišljanje jedina prava obrana.
Kako prepoznati phishing
Budući da loš jezik više nije pouzdan pokazatelj, vrijedi znati na što obratiti pozornost umjesto toga.
Prvi znak je neslaganje između prikazanog i stvarnog odredišta poveznice.
Tekst poveznice može glasiti “mojabanka.hr”, a stvarna adresa voditi drugamo. Na računalu se provjerava tako da se pokazivač zadrži iznad poveznice, bez klika, i pogleda adresa koja se pojavi u kutu ekrana.
Na mobitelu je to teže, pa je najsigurnije poveznice iz poruka uopće ne otvarati.
Drugi je znak sama adresa pošiljatelja. Napadači često koriste domene vrlo slične pravima. Zamijenjeno slovo, dodana crtica, druga završnica. Na brz pogled razlika se ne primijeti, a upravo na to računaju.
Treći, i najvažniji, jest emocionalni ton poruke. Phishing gotovo uvijek cilja na jednu od dvije emocije, strah ili požudu.
Strah kroz prijetnju (“račun će vam biti blokiran”, “uočena je sumnjiva prijava”), a požudu kroz priliku (“dobili ste povrat poreza”, “čeka vas nagrada”).
Kad poruka izaziva nagli emocionalni odgovor i traži da odmah nešto učinite, to je sam po sebi razlog za oprez, neovisno o tome koliko izgleda uvjerljivo.
Vrijedi spomenuti i da phishing odavno nije samo e-mail.
Sve su češći oblici putem SMS-a (poznat kao smishing) i telefonskih poziva (vishing), a s napretkom umjetne inteligencije pojavljuju se i glasovne prijevare u kojima se oponaša glas poznate osobe.
Načelo obrane ostaje isto bez obzira na kanal: nijedna legitimna institucija neće od vas telefonom ili porukom tražiti lozinku, PIN ili cijeli broj kartice.
Zašto tehnologija nije dovoljna
Phishing je poseban među kiberprijetnjama po tome što ne napada računalo, nego čovjeka. Nijedan vatrozid ne može spriječiti zaposlenika da svojevoljno unese lozinku na uvjerljivu lažnu stranicu.
Slučaj Kratosa pokazuje i zašto pojedinačne tehničke mjere više nisu dovoljne.
Višefaktorska autentifikacija, dugo smatrana najboljom pojedinačnom zaštitom, zaobiđena je krađom kolačića sesije.
Naravno, nećete napustiti MFA. I dalje je nužna i zaustavlja golemu većinu jednostavnijih napada. No, ne možete se osloniti na nju kao na jedinu branu.
Ozbiljnija obrana danas kombinira nekoliko slojeva. Tehnički, moderni su oblici autentifikacije otporni na krađu sesije, poput pristupnih ključeva (passkeys) vezanih uz uređaj.
Organizacijski, potrebna je kontinuirana edukacija zaposlenika, jer je ljudski faktor meta koju nijedan alat ne pokriva. I proceduralno, jasan je plan za trenutak kada netko ipak klikne — jer statistički gledano, prije ili kasnije netko hoće.
Edukacija se najčešće podcjenjuje.
Simulirane phishing kampanje unutar tvrtke, u kojima zaposlenici na sigurnom nauče prepoznati prijevaru, danas su među najisplativijim sigurnosnim ulaganjima.
Cijena jedne takve obuke zanemariva je u odnosu na prosječnu štetu od uspješnog napada.
Što možete napraviti odmah
Za pojedinca vrijedi nekoliko jednostavnih pravila. Nikada ne unosite podatke na stranicu do koje ste došli klikom na poveznicu iz poruke. Umjesto toga ručno upišite adresu banke ili servisa.
Budite posebno oprezni kad vas poruka pokušava požuriti, jer je hitnost gotovo uvijek znak prijevare.
Uključite višefaktorsku autentifikaciju svugdje gdje je moguće, uz svijest da ni ona nije apsolutna. I kad god možete, prijeđite na pristupne ključeve umjesto lozinki.
Za tvrtke je poruka slojevitija, ali svodi se na jedno: sigurnost se ne kupuje jednom, nego se gradi i održava. Tehnologija, ljudi i procedure moraju raditi zajedno, jer napadač će uvijek napasti najslabiju od te tri karike.
Gašenje Kratosa dobra je vijest. Jedna velika kriminalna platforma je nestala, a njezin tvorac uhićen. Ali model koji je Kratos utjelovio nije nestao s njim.
Phishing kao usluga ostaje, i sljedeći servis vjerojatno već radi. Razlika između tvrtke koja će to preživjeti i one koja neće neće biti u tome je li ih napao, nego jesu li bili spremni kad se to dogodi.
