Phishing email: Kako prepoznati lažnu poruku i zaštiti se

Email ostaje jedan od najčešćih i najučinkovitijih kanala napada u današnjem poslovnom svijetu. Prema podacima Cybersecurity and Infrastructure Security Agency (CISA), više od 90 % svih uspješnih cyber-napada započinje phishing porukom.

Većina korisnika i zaposlenika otvori pristiglu poruku u nekoliko sekundi i upravo tih prvih par sekundi često odlučuje hoće li poruka biti legitimna ili zamka za krađu podataka. Upravo zato sve više tvrtki kombinira edukaciju zaposlenika s tehničkim rješenjima poput email sigurnosti koja zaustavlja prijetnje prije nego dođu do korisnika.

Kako prepoznati phishing email u nekoliko sekundi

U ovom članku pokazujemo vam pet ključnih znakova pomoću kojih možete prepoznati lažnu email poruku u manje od 5 sekundi i tako zaštititi svoje podatke, reputaciju i poslovanje.

1. Provjerite adresu pošiljatelja

Prvi korak u prepoznavanju lažnog emaila je provjera točne adrese pošiljatelja. Phishing poruke često koriste adrese koje na prvi pogled izgledaju ispravno, no kad ih bolje pogledate, sadrže male, ali namjerne razlike: dodatno slovo, crticom promijenjenu domenu ili potpuno drugu ekstenziju (.com umjesto .hr).

Primjeri:

• ✅ helpdesk @ imnet . hr – ispravna poslovna adresa
• ❌ helpdesk @ imnett . hr – višak jednog slova
• ❌ helpdesk @ imnet-hr . com – lažna domena koja pokušava djelovati vjerodostojno
• ❌ imnet @ secure-helpdesk . hr – obrnuti redoslijed imena i “siguran” prefiks koji stvara lažni dojam pouzdanosti

Ovakve adrese djeluju vrlo uvjerljivo na prvi pogled, posebno ako je poruka vizualno slična pravim obavijestima o servisima, računima ili tehničkoj podršci.

Napadači često ciljaju na zaposlenike u tvrtkama, jer je dovoljno da samo jedna osoba klikne na poveznicu u emailu kako bi se otvorila mogućnost napada na cijeli sustav.

Savjet: uvijek provjerite točno ime domene nakon znaka “@”. Ako vidite nešto što ne prepoznajete (dodatne riječi poput -secure, -support ili domenu koja završava na .com umjesto .hr), vjerojatno se radi o lažnoj poruci.
Napomena: ovi su primjeri isključivo ilustrativni i služe za edukaciju, nisu stvarne poruke poslane s adrese @imnet.hr. Adrese su namjerno zapisane u izmijenjenom obliku kako bi se spriječilo njihovo automatsko linkanje.

2. Obratite pozornost na hitnost i prijetnje

Phishing poruke gotovo uvijek pokušavaju izazvati osjećaj panike ili hitnosti. Napadači znaju da većina korisnika ne provjerava detalje ako ima dojam da mora odmah reagirati.

Zato takvi emailovi često sadrže upozorenja, prijetnje ili kratke rokove poput:

❗"Vaš korisnički račun bit će deaktiviran u roku od 24 sata!"
⚠️ "Imate neplaćeni račun – kliknite ovdje kako biste izbjegli blokadu!"
🔒 "Sumnjiva prijava na vaš račun – potvrdite identitet odmah!"

Cilj je jednostavan: natjerati vas da što prije kliknete na poveznicu i unesete podatke bez razmišljanja.

Prave tvrtke, poput banaka, operatera ili IT dobavljača, nikada ne prijete suspenzijom računa putem emaila niti traže da odmah potvrdite podatke klikom na link.
Ako dobijete ovakvu poruku, ne reagirajte impulzivno. Uzmite minutu da provjerite pošiljatelja, domenu i kontekst poruke.

Savjet: ako poruka tvrdi da dolazi od poznate institucije (npr. banke, pošte, telekoma), otvorite njihovu službenu web stranicu ručnim upisivanjem adrese u preglednik ili nazovite korisničku podršku. Nikada ne koristite linkove iz samog emaila.

3. Provjerite link prije nego što kliknete

Najčešći cilj phishing emailova je da vas navuku na klik. Poruka vas vodi na lažnu stranicu koja izgleda identično kao prava (banka, Microsoft, pošta...), ali čim unesete svoje korisničko ime i lozinku podaci odlaze napadačima. U poslovnom okruženju, većina takvih napada cilja korisnike Microsoft 365 poslovnog emaila, jer se radi o najraširenijem sustavu u tvrtkama.

Zato je pravilo broj jedan: nikada ne klikajte na link u emailu dok ga prvo ne provjerite.

Kako to učiniti:

1. Postavite pokazivač miša iznad poveznice (bez klika).
2. Na dnu preglednika ili u malom oblačiću pojavit će se stvarna adresa na koju link vodi.
3. Provjerite domenu: ako ne izgleda službeno, odmah izbrišite poruku.

Primjeri (naziv banka koristi se isključivo kao ilustrativni primjer):

• ✅ https://www.banka.hr/prijava – primjer legitimne adrese
• ❌ https://secure-banka-login.com – lažna domena s dodanim prefiksom
• ❌ https://banka.hr.login.verify-security.net – pokušava djelovati kao banka, ali stvarna domena je verify-security.net

Ako vidite nešto poput login.microsoft.security-check.net, stvarna domena je security-check.net, ne microsoft.com.
Napredniji korisnici mogu dodatno provjeriti sigurnost stranice klikom na ikonu lokota u pregledniku i pogledati tko je izdao SSL certifikat, lažne stranice često imaju generičan ili nevažeći certifikat.

4. Obratite pažnju na pravopis i dizajn

Iako phishing poruke danas izgledaju sve profesionalnije, mnoge još uvijek imaju sitne, ali prepoznatljive greške koje otkrivaju da se ne radi o službenom emailu.

Najčešći znakovi su:

• gramatičke ili pravopisne pogreške,
• loš prijevod na hrvatski jezik,
• nelogični izrazi poput "Molimo da vaš sigurnost odmah potvrdi podatke",
• logotip niže kvalitete ili krivi ton boje,
• neuobičajeni raspored elemenata (npr. tekst poruke prije loga tvrtke).

Primjer tipičnog phishing emaila:

"Poštovani korisniče, vaša e-pošta je privremeno zaključana zbog sigurnosnih razloga. Kliknite ovdje za potvrdu računa i ponovno aktiviranje usluge."

Na prvi pogled djeluje službeno, ali ton i rečenice nisu u stilu komunikacije ozbiljnih tvrtki. Pravi emailovi banaka, teleoperatera ili IT dobavljača uvijek su napisani gramatički ispravno, s jasno navedenim potpisom, kontakt podacima i urednim vizualom.

Savjet: ako vam email “ne zvuči” kao dosadašnja komunikacija s tom tvrtkom, to je dovoljan razlog za sumnju. Phishing napadi često ciljaju zaposlenike koji mehanički otvaraju poruke i ne razmišljaju o tonu ni izgledu komunikacije.

5. Nikada ne unosite lozinku preko email linka

Jedno od osnovnih pravila cyber sigurnosti glasi: Nikada ne unosite svoje korisničko ime i lozinku putem poveznice iz emaila. Legitimne tvrtke bilo da je riječ o banci, Microsoftu ili teleoperateru nikada neće zatražiti prijavu ili potvrdu lozinke putem emaila. Phishing poruke upravo to rade: nude “brzi pristup”, “verifikaciju” ili “reset lozinke”, a iza svega se skriva lažna prijavna stranica koja krade podatke.

Primjeri tipičnih poruka:

🔒 "Zbog sigurnosne provjere potrebno je ponovno unijeti lozinku kako biste nastavili koristiti svoj račun."
⚠️ "Vaša prijava je istekla, kliknite ovdje da ponovno aktivirate profil."

Ako kliknete na takve poveznice, otvara se stranica koja izgleda identično kao prava, ali adresa u pregledniku nije ona koju biste očekivali (npr. microsoft-login-check.net umjesto microsoft.com). Čim unesete podatke oni odlaze napadaču.

Savjet: ako dobijete poruku o "sigurnosnoj provjeri", nikada ne koristite link iz emaila. Umjesto toga sami ručno upišite web adresu tvrtke u preglednik (npr. www.imnet.hr) i prijavite se na svoj račun.

Dodatno, uključite dvofaktorsku autentifikaciju (2FA), čak i ako napadač dođe do vaše lozinke, neće se moći prijaviti bez dodatnog koda koji stiže na vaš mobitel ili autentifikacijsku aplikaciju. U kombinaciji s dodatnom email sigurnošću, ovakva zaštita značajno smanjuje rizik kompromitacije korisničkih računa.

Ako email izgleda kao da dolazi od poznate osobe - ipak provjerite telefon

Ponekad napadači ne šalju lažne poruke s izmišljenih domena nego preuzmu stvarni račun (provale u email) i tako poručuju iz "poznatog" izvora. Takvi emailovi djeluju posebno uvjerljivo jer sadrže ime i adresu osobe koju poznajete ili s kojom poslujete. Ako poruka sadrži neobičan zahtjev (npr. hitna uplata, promjena bankovnog računa, zahtjev za privitkom s osjetljivim podacima) nazovite osobu na poznati telefonski broj i provjerite. Nemojte odgovarati na email niti klikati linkove dok ne potvrdite porijeklo poruke.

Brzi koraci ako sumnjate da je račun partnera kompromitiran:

1. Nazovite ili pošaljite SMS poznatom broju osobe (ne odgovarajte na email).
2. Obavijestite vlastiti IT/odgovornu osobu da se pazi na moguće prijevare.
3. Ako ste već kliknuli link ili poslali podatke, odmah promijenite lozinke i uključite 2FA.
4. Zamolite kompromitiranu osobu da obavijesti svoje kontakte i promijeni lozinku te provjeri nedavne prijave.

Primjer za korištenje u praksi: ako dobijete email od kolege s računovodstva koji traži hitnu uplatu na "novi račun", prije nego učinite bilo što nazovite ga na broj koji imate u adresaru i pitajte je li to zaista on/ona.

Bonus: Provjera email zaglavlja (za naprednije korisnike)

Za one koji žele biti korak ispred postoji način da provjerite tehničke podatke email poruke, tzv. zaglavlje poruke (email header). U njemu se nalazi puno informacija koje ne vidite na prvi pogled, ali mogu otkriti odakle je poruka stvarno poslana, kojim je putem prošla i je li autentična.

Zaglavlje sadrži podatke poput:

• IP adrese pošiljatelja,
• stvarne domene i mail poslužitelja,
• vremena slanja i posrednih servera,
• tehničkih zapisa poput SPF, DKIM i DMARC koji potvrđuju autentičnost pošiljatelja.

Kako otvoriti zaglavlje poruke (email header)

Outlook (Desktop verzija)
Otvorite email (dvostrukim klikom) → kliknite Datoteka (File) → zatim Info (Informacije) → odaberite Svojstva (Properties) i potražite odjeljak Internet zaglavlje (Internet headers).

Outlook na webu (Outlook on the Web / Office 365)
Otvorite outlook.office.com i prijavite se → otvorite poruku → kliknite tri točkice (⋯) u gornjem desnom kutu prozora poruke → odaberite Prikaz (View) → Detalji poruke (View message details).

Gmail
Otvorite email → kliknite tri točkice u gornjem desnom kutu poruke → odaberite Prikaži izvor poruke (Show original).

Thunderbird
Desni klik na poruku → Prikaži izvor (View Source).

Savjet: U zaglavlju potražite redak koji počinje s "Received from", on pokazuje s kojeg je poslužitelja poruka zaista poslana. Ako vidite nepoznatu domenu ili IP adresu koja ne pripada pošiljatelju, velika je vjerojatnost da se radi o lažnoj poruci.
Savjet za tvrtke: implementirajte SPF, DKIM i DMARC zapise na svojoj domeni oni sprečavaju lažno predstavljanje i značajno smanjuju rizik od phishing napada.

Najbolja zaštita je kombinacija edukacije i naprednih sigurnosnih alata

Phishing napadi neće nestati; naprotiv, postaju sve sofisticiraniji i ciljaju upravo poslovne korisnike. Zbog toga svaka tvrtka treba kombinirati dvije ključne stvari: edukaciju zaposlenika i pouzdanu tehničku zaštitu email sustava. Microsoft 365 nudi odličnu prvu liniju obrane kroz Exchange Online Protection, anti-phishing filtre i dvofaktorsku autentifikaciju. Za tvrtke koje žele još višu razinu sigurnosti, Sophos Email Security dodaje dodatni sloj zaštite koji zaustavlja prijetnje čak i onda kada prođu osnovne filtere.

Što vaša tvrtka konkretno dobiva korištenjem Microsoft 365 + Sophos Email Security?

✔ Manji rizik od krađe podataka i financijskih prijevara
Napadi se zaustavljaju prije nego što dođu do zaposlenika, čime se sprječavaju skupi incidenti i pogrešne uplate.

✔ Zaštita od lažnog predstavljanja (imitacija poslodavca ili banke)
Sophos prepoznaje pokušaje da se netko predstavi kao vaš direktor, računovodstvo ili dobavljač.

✔ Skeniranje linkova i privitaka u realnom vremenu
Čak i ako zaposlenik klikne, sustav provjerava je li sadržaj siguran prije otvaranja.

✔ Zaštita od ransomwarea i zloćudnih datoteka
Potencijalno opasni privici otvaraju se u izoliranom (sandbox) okruženju.

✔ Automatska detekcija kompromitiranih računa
Ako netko pokuša provaliti u vaš email, sustav to prepoznaje i blokira.

✔ Manje lažnih i sumnjivih poruka u inboxu
Zaposlenici dobivaju samo ono što je zaista legitimno, manje grešaka i manje izgubljenog vremena.

✔ Centralno upravljanje i potpuna kontrola nad sustavom
Sve sigurnosne politike postavljaju se unutar jedinstvene konzole, bez kompliciranih podešavanja.

Zašto je ovo važno?

Mnoge tvrtke, posebno male i srednje, nemaju vlastiti IT odjel i često ne mogu na vrijeme prepoznati sigurnosne rizike koji dolaze putem emaila. Kombinacija Microsoft 365 i Sophos Email Security omogućuje da se većina prijetnji zaustavi automatski, bez potrebe da zaposlenici moraju procjenjivati je li poruka lažna ili legitimna.

Drugim riječima: zaštita radi umjesto vas.

Ako želite povećati sigurnost svoje email komunikacije i smanjiti rizik od cyber napada, Imnet vam može pomoći u odabiru i implementaciji najboljeg rješenja za vaše poslovanje brzo, jednostavno i bez prekida rada.