Phishing je pokušaj da se korisnika navede na otkrivanje lozinke, podataka kartice ili drugih osjetljivih informacija predstavljanjem lažne poruke kao poruke banke, dostavne službe, državne institucije ili poznate osobe. Nacionalni CERT i hrvatska policija redovito upozoravaju na obrasce internetskih prijevara. Najvažnije je razumjeti da izgled poruke nije dokaz da je pošiljatelj stvaran.
Žurba je često dio scenarija
Poruke koje prijete blokiranjem računa, novčanom kaznom ili propuštenom dostavom pokušavaju skratiti vrijeme za razmišljanje. Druga varijanta obećava nagradu, povrat novca ili posebnu ponudu. Prije klika treba zastati i otvoriti službenu aplikaciju ili ručno upisati poznatu adresu institucije, umjesto slijediti poveznicu iz poruke.
Adresa pošiljatelja može nalikovati pravoj, ali imati jednu promijenjenu riječ, dodatni znak ili neuobičajenu domenu. Na mobitelu je posebno lako previdjeti puni URL. Ako poruka traži prijavu, dobro je provjeriti kamo poveznica stvarno vodi. Banke i javne službe ne treba kontaktirati brojem telefona ili adresom e-pošte koju je poslao sumnjivi pošiljatelj.
Podaci koje ne treba predavati poruci
Lozinke, jednokratni kodovi i PIN-ovi tretiraju se kao tajne. Ako netko traži da ih pošaljete e-poštom, chatom ili unesete na stranicu do koje ste došli iz neočekivane poruke, to je razlog za dodatnu provjeru. Fotografije identifikacijskih dokumenata također ne treba slati bez jasne potrebe i provjerenog primatelja.
Dobra navika je koristiti različite lozinke za važne račune i, gdje je dostupno, višefaktorsku autentifikaciju. Ako je ista lozinka korištena na više mjesta, kompromitacija jednog servisa može otvoriti put prema drugim računima. Koraci nakon curenja podataka detaljnije su opisani u vodiču za zaštitu podataka nakon incidenta.
Što napraviti ako ste već kliknuli
Samo otvaranje stranice ne znači uvijek da su podaci ukradeni. Rizik raste ako ste unijeli vjerodajnice, podatke kartice, instalirali program ili odobrili transakciju. Tada treba odmah promijeniti relevantnu lozinku na stvarnoj usluzi, prekinuti aktivne sesije ako je to moguće i obavijestiti banku ako su izloženi podaci plaćanja.
Ako je uređaj dobio sumnjivu aplikaciju ili privitak, treba prekinuti daljnje korištenje osjetljivih računa dok se uređaj ne provjeri. Sumnjivu poruku korisno je sačuvati kao dokaz, ali ne prosljeđivati je drugima kao aktivnu poveznicu. Kod financijske štete ili prijevare može biti potrebna prijava policiji.
Provjera izvora važnija je od logotipa
Krivotvoren logotip ili potpis jednostavno je kopirati. Pouzdaniji signal je neovisno provjeriti događaj: postoji li obavijest unutar službene aplikacije, korisničkog portala ili na poznatoj službenoj stranici. Ista navika koristi i pri provjeri vijesti; u članku o medijskoj pismenosti objašnjavamo kako odvojiti izvor od sadržaja koji samo izgleda uvjerljivo.
Dodatno pravilo vrijedi za QR kodove. Kod na letku, parkirnom automatu ili poruci samo je drukčiji način otvaranja poveznice i nije automatski sigurniji od običnog linka. Prije unosa podataka treba provjeriti adresu koja se otvara. Ako se na fizičkoj lokaciji preko originalnog koda nalazi nalijepljena druga naljepnica, to je razlog za oprez i provjeru preko službene aplikacije ili ručno upisane adrese.
Najbolja obrana od phishinga nije savršeno prepoznavanje svake prijevare, nego postupak koji se ponavlja: ne reagirati pod pritiskom, provjeriti kanal, ne dijeliti tajne podatke i prijaviti incident kada se dogodi. Više digitalnih tema nalazi se u arhivi.
