Hakeri su promijenili taktiku.
Umjesto zastrašujućih poruka o blokiranom računu ili isteku lozinke, sve češće šalju nešto posve suprotno.
Šalju poziv na strateško partnerstvo, ponudu investicije od nekoliko stotina tisuća eura ili poruku velikog inozemnog kupca koji baš vašu tvrtku želi za dobavljača.
Shvatili su jednostavnu stvar. Opreznog zaposlenika puno je lakše obmanuti ponudom onoga što želi nego prijetnjom.
Zato je ova nova generacija phishing napada toliko opasna.
Ne cilja na strah, nego na ambiciju, a obrane su najslabije baš ondje gdje se javlja poslovni optimizam.
Zaposlenik koji primi lažnu obavijest banke možda će posumnjati, no voditelj prodaje kojem stigne upit vrijedan pola milijuna eura rijetko će prvo pomisliti na prijevaru.
U nastavku pokazujemo kako hakeri grade ove scenarije, zašto su sve uvjerljiviji i što konkretno vaša tvrtka može učiniti da ne postane sljedeća žrtva.
Hakeri ciljaju poslovne prilike
Klasični phishing godinama se oslanjao na strah i hitnost.
Poruke o isteku lozinke, sumnjivoj prijavi ili kazni poreznoj upravi i dalje su česte, ali korisnici su na njih sve otporniji.
Edukacija, spam filtri i medijske kampanje naučili su ljude da budu sumnjičavi prema porukama koje traže hitnu reakciju.
Hakeri su se zato okrenuli suprotnoj emociji.
Ne koriste strah, nego ambiciju, znatiželju i poslovni optimizam.
Prilika za rast, novog klijenta ili unosan ugovor spušta razinu opreza jer je u skladu s onim što tvrtka ionako aktivno traži.
Prodajni timovi, osnivači startupa, voditelji razvoja poslovanja i financijski odjeli po prirodi posla očekuju da će im stizati upiti nepoznatih strana.
Ta otvorenost, koja je inače prednost, postaje ulazna točka za napad.
Postoji i hladni, računski razlog.
Prijevare usmjerene na tvrtke, posebno one poznate pod nazivom kompromitacija poslovne e-pošte (BEC), donose daleko veći prinos po napadu od prijevara usmjerenih na pojedince.
Jedna uspješna lažna uplata može vrijediti koliko tisuće ukradenih lozinki.
Zato hakeri ulažu vrijeme u istraživanje mete, pisanje uvjerljivih poruka i strpljivo građenje odnosa prije nego što zatraže novac ili pristup.
Prilika postaje zamka
Napadi prerušeni u poslovne prilike rijetko se svode na jednu poruku s očitom pogreškom.
Riječ je o scenarijima u više koraka, osmišljenima da izgrade povjerenje prije nego što uslijedi ključni zahtjev. Iako se detalji razlikuju, obrazac je prepoznatljiv.
Lažna partnerstva i investicije
Najčešći mamac je ponuda suradnje koja zvuči previše dobro da bi bila stvarna, ali ne toliko nevjerojatno da je odmah odbacite. Hakeri se predstavljaju kao predstavnici investicijskog fonda, inozemne tvrtke u ekspanziji ili bogatog ulagača koji traži lokalnog partnera.
Prva poruka obično ništa ne traži. Ona samo otvara vrata i poziva na razgovor.
Kroz nekoliko izmjena poruka razgovor se seli na dokumente.
Stiže “pismo namjere”, “prezentacija projekta” ili “ugovor o povjerljivosti” u privitku.
Taj privitak nosi zlonamjerni kôd ili vodi na lažnu stranicu za prijavu, osmišljenu da ukrade pristupne podatke.
Alternativno, suradnja napreduje do točke u kojoj se od žrtve traži predujam, naknada za odvjetnika ili uplata za “registraciju posla”, nakon čega partner nestaje.
Lažni upiti i narudžbe
Druga varijanta oslanja se na svakodnevnu poslovnu rutinu.
Tvrtka koja prodaje proizvode ili usluge dobiva naizgled legitiman upit za ponudu.
Poruka je pristojna, sadrži detalje o traženim količinama i rokovima te djeluje kao posao vrijedan truda.
Cilj je navesti zaposlenika da otvori priloženi “popis artikala” ili klikne na poveznicu s navodnom specifikacijom.
U sofisticiranijim slučajevima hakeri odigraju cijeli ciklus narudžbe.
Dogovore isporuku robe na odgodu plaćanja, koriste ukradeni ili lažni identitet stvarne tvrtke i nestanu nakon što roba bude otpremljena.
Žrtva ostaje bez proizvoda i bez naplate, a često i uvjerena da je poslovala s uglednim partnerom čije su ime zloupotrijebili.
Kompromitacija poslovne e-pošte
Najopasniji oblik nastupa kada hakeri već imaju pristup nekom računu e-pošte, vašem ili partnerovom.
Tada ne moraju ništa izmišljati jer prate stvarnu komunikaciju i uključuju se u pravom trenutku.
Klasičan scenarij je lažna obavijest dobavljača da je promijenio broj bankovnog računa, poslana baš dok je u tijeku stvarno plaćanje.
Iznos, ime projekta i ton poruke sve se podudaraju, pa računovodstvo bez sumnje preusmjeri uplatu na račun napadača.
Ovaj oblik napada izuzetno je težak za otkriti jer u njemu nema očitih tehničkih tragova.
Poruka dolazi s prave adrese ili s domene koja se razlikuje u jednom jedinom znaku.
Obrana se ne može osloniti samo na tehnologiju, nego mora uključiti i stroge interne procese.
Prijevare su vrlo uspješne
Dvije pojave spojile su se u savršenu oluju.
- Prva je dostupnost podataka. Profili na poslovnim mrežama, javni registri tvrtki, objave o financiranju i vijesti o novim ugovorima daju hakerima sve što im treba za uvjerljivu priču.
Napadač zna tko je u tvrtki zadužen za nabavu, tko je nedavno dobio investiciju i koji su partneri u igri.
Takva personalizacija, poznata kao spear phishing, poruku čini gotovo neraspoznatljivom od stvarne.
- Druga pojava je umjetna inteligencija.
Generativni modeli omogućuju pisanje besprijekornih poruka na hrvatskom i bilo kojem drugom jeziku, bez gramatičkih pogrešaka koje su nekoć bile najpouzdaniji znak prijevare.
Isti alati izrađuju lažne web stranice, logotipe i dokumente u nekoliko minuta, a u naprednim slučajevima i glasovne te video poruke koje oponašaju stvarne osobe.
Organizacija National Consumers League zabilježila je da su se phishing i spoofing prijevare gotovo udvostručile tijekom 2025. godine, u velikoj mjeri upravo zbog naleta prijevara potpomognutih umjetnom inteligencijom.
Razmjeri su globalni i ozbiljni. Američki FinCEN povezao je gotovo 13 milijardi dolara s prijevarama digitalnom imovinom koje vode prekogranični prijevarni centri, industrijska operacija s tisućama ljudi čiji je jedini posao obmanjivanje žrtava.
Ni Hrvatska nije izuzeta.
Prema podacima Nacionalnog CERT-a, u prvih devet mjeseci 2026. zabilježena su 1.203 kibernetička incidenta, od čega se čak 36 posto odnosi upravo na phishing.
Znakovi upozorenja
Iako su poruke sve uvjerljivije, većina ovakvih prijevara i dalje nosi prepoznatljive tragove ako se zna gdje gledati.
Vrijedi usporiti i provjeriti svaku priliku koja pokazuje sljedeće obrasce.
Nerazmjer između vrijednosti ponude i količine uloženog truda prvi je znak. Kada netko nudi veliku suradnju gotovo bez provjere vaše tvrtke, logika posla je naopaka.
Pazite i na suptilan pritisak na brzinu, formuliran kao “ograničena prilika” ili “odluka koja mora pasti ovaj tjedan”, jer hitnost smanjuje vrijeme za razmišljanje.
Tehnički detalji također odaju napadače.
Adresa pošiljatelja koja se od prave razlikuje u jednom znaku, domena registrirana prije samo nekoliko dana, poveznice koje vode na stranice za prijavu umjesto na stvarni sadržaj i privici u neočekivanim formatima svi su razlozi za oprez.
Zahtjev da komunikaciju preselite na privatnu adresu, poruku ili aplikaciju za šifrirano dopisivanje gotovo je uvijek pokušaj izlaska iz dosega sigurnosnih sustava vaše tvrtke.
Najvažniji znak odnosi se na novac i podatke. Svaki zahtjev za predujmom, naknadom unaprijed, promjenom bankovnog računa ili dijeljenjem pristupnih podataka mora pokrenuti dodatnu provjeru, bez obzira na to koliko je poruka uvjerljiva i koliko hitno djeluje.
Držite oči otvorene
Učinkovita obrana počiva na tri stupa koji se međusobno nadopunjuju: tehnologiji, procesima i ljudima.
Zanemarite li ijedan, ostavljate otvorena vrata.
Na tehničkoj razini ključna je zaštita elektroničke pošte.
Pravilno postavljeni mehanizmi SPF, DKIM i DMARC otežavaju lažiranje vaše domene i sprečavaju da napadači šalju poruke u vaše ime.
Dvofaktorska autentifikacija obvezna je za sve poslovne račune jer i u slučaju krađe lozinke napadač bez drugog faktora ne može ući.
Napredni filtri koji analiziraju privitke i poveznice u izoliranom okruženju zaustavljaju velik dio zlonamjernog sadržaja prije nego što uopće dođe do zaposlenika.
Procesi su ono što zaustavlja prijevare koje probiju tehničku obranu.
Svaka promjena bankovnog računa dobavljača mora se potvrditi putem neovisnog kanala, primjerice telefonskim pozivom na već poznati broj, nikada na broj iz sumnjive poruke.
Za plaćanja iznad određenog praga uvedite pravilo dvostrukog odobrenja, pri kojem transakciju potvrđuju dvije osobe.
Nove partnere i kupce provjerite u sudskom registru, kroz javne izvore i izravnim kontaktom prije nego što preuzmete ikakvu financijsku obvezu.
Ljudi su i najslabija i najjača karika.
Redovita, praktična edukacija koja prikazuje stvarne primjere prerušenih prilika djeluje bolje od suhoparnih pravila.
Zaposlenici moraju znati da prijava sumnjive poruke nije gnjavaža, nego vrijedan doprinos sigurnosti, i da nitko neće biti prozvan ako prijavi lažnu uzbunu.
Kultura u kojoj je u redu usporiti i provjeriti vrjednija je od bilo kojeg pojedinačnog alata.
Što učiniti ako ste nasjeli
Brzina reakcije presudna je kada se prijevara dogodi.
Ako je novac već uplaćen, odmah kontaktirajte svoju banku i zatražite zaustavljanje ili povrat transakcije, jer u prvim satima postoji realna šansa za vraćanje sredstava.
Opet, ako su kompromitirani pristupni podaci, bez odgode promijenite lozinke i opozovite aktivne sesije na svim povezanim računima.
Incident obvezno prijavite nadležnim tijelima.
U Hrvatskoj phishing i druge kibernetičke incidente možete prijaviti Nacionalnom CERT-u, a financijske prijevare policiji.
Prijava nije samo formalnost jer pomaže u praćenju napadača i upozorava druge tvrtke na aktivnu kampanju.
Interno zabilježite sve detalje napada, od poruka do priloga, jer ti dokazi pomažu u istrazi i u jačanju buduće obrane.
Zaključak
Hakeri su naučili da je lakše je obmanuti nekoga tko se nada dobitku nego nekoga tko se boji gubitka.
Phishing prerušen u poslovnu priliku zato je toliko opasan, jer napada u trenutku optimizma i cilja na ljude koji rade upravo ono što bi trebali raditi, a to je traženje novih prilika za rast.
Dobra vijest je da ista budnost koja štiti od klasičnih prijevara djeluje i ovdje, uz jedan dodatak.
Svaku priliku koja uključuje novac, podatke ili promjenu dogovorenih uvjeta tretirajte s istom pažnjom kao i svako upozorenje.
Provjera koja traje pet minuta može spasiti iznos koji bi tvrtku koštao mjesecima rada.
Želite li procijeniti koliko je vaša organizacija otporna na ovakve napade i postaviti obranu koja pokriva tehnologiju, procese i ljude, tim stručnjaka cyber.hr stoji vam na raspolaganju.
