Primer iz 2025. godine pokazuje kako su napadači lažno predstavljajući se kao zaposleni uspeli da prevare IT podršku velike kompanije i izazovu finansijske gubitke od stotine miliona evra
Objave zaposlenih o odmoru, konferencijama ili strukturi kompanije mogu pomoći napadačima da precizno odaberu trenutak za napad
Objavili ste fotografiju sa plaže uz opis „Konačno godišnji!". Nekoliko sati kasnije stiže vam poruka. „Zdravo, izvini što te uznemiravam dok si na odmoru. Direktor je zamolio da hitno pregledaš jedan dokument pre sastanka u ponedeljak. Možeš li da otvoriš ovaj link?"
Na prvi pogled, nema razloga za sumnju. Poruka deluje kao da ju je poslao kolega. Pominje direktora, zna da ste na odmoru i stiže baš u trenutku kada niste u kancelariji. Jedini problem je što kolega tu poruku nikada nije poslao.
Za razliku od hakera iz filmova koji probijaju sisteme, današnji napadači često uopšte ne napadaju tehnologiju. Oni napadaju ljude.
Kada javni podaci postanu oružje
Većina informacija koje napadač koristi dostupna je svima. Dovoljno je nekoliko minuta pretrage društvenih mreža. Na LinkedIn-u može da vidi gde radite, koju poziciju imate i ko vam je direktor. Na Instagramu može da sazna da ste trenutno na letovanju. Na Facebooku može da pronađe informacije o porodici ili kolegama. Kada se svi ti podaci spoje, nastaje veoma uverljiv profil žrtve.
Napadač tada može da pošalje poruku koja izgleda potpuno legitimno:
„Pošto ste van kancelarije, molimo vas da potvrdite pristup svom nalogu kako bismo izbegli blokadu."
Što poruka sadrži više tačnih detalja iz vašeg života, veća je verovatnoća da ćete joj poverovati.
Socijalni inženjering danas ne liči na spam
Uz pomoć javno dostupnih informacija i alata zasnovanih na veštačkoj inteligenciji, napadači mogu da napišu poruku koja zvuči kao da ju je poslao vaš kolega, direktor ili poslovni partner.
Ovakvi napadi poznati su kao „spear phishing” ili ciljani socijalni inženjering. Oni nisu namenjeni hiljadama ljudi odjednom, već jednoj konkretnoj osobi ili organizaciji.
Kada jedna osoba ugrozi celu kompaniju
Problem nije samo privatna bezbednost. Zaposleni često nesvesno objavljuju informacije koje mogu pomoći napadačima da razumeju unutrašnju strukturu kompanije, identifikuju odgovorne osobe ili odrede trenutak kada je organizacija najranjivija.
Objava o odlasku na službeni put, fotografija sa konferencije ili informacija da je direktor na godišnjem odmoru mogu postati deo mnogo šire prevare usmerene ka kompaniji.
Poruka koja košta milione
Jedan od upečatljivijih primera dogodio se 2025. godine u kompaniji Marks & Spencer, jednom od najpoznatijih britanskih trgovinskih lanaca. Napadači nisu prvo pokušali da probiju bezbednosne sisteme, već su koristeći javno dostupne informacije i socijalni inženjering uspeli da se predstave kao zaposleni i prevare IT podršku. Napadač se predstavio kao jedan od oko 50.000 ljudi koji rade sa kompanijom i tako prevario treću stranu (IT servis) da resetuje lozinku zaposlenog.
Nakon što su dobili pristup internim sistemima, kompanija se suočila sa ozbiljnim poremećajima u poslovanju, uključujući prekid internet prodaje i finansijski udar procenjen na više stotina miliona evra. Ovaj slučaj pokazao je da ni velike kompanije sa naprednim bezbednosnim sistemima nisu imune kada napadači uspeju da iskoriste ljudsko poverenje.
Ovaj slučaj pokazao je da najslabija karika često nije tehnologija, već ljudsko poverenje.
Kako smanjiti rizik?
Potpuno povlačenje sa društvenih mreža nije realno, ni potrebno. Ono što jeste važno jeste svest o tome koje informacije objavljujemo i kako one mogu izgledati kada ih neko poveže.
Stručnjaci iz kompanije PULSEC, regionalnog lidera u oblasti sajber bezbednosti, ističu da zaštita od socijalnog inženjeringa počinje edukacijom zaposlenih i razvojem bezbednosne kulture. Tehnološke mere jesu važne, ali nijedan sistem ne može sprečiti korisnika da dobrovoljno otkrije podatke ili poveruje u pažljivo osmišljenu prevaru.
Zato je, pre nego što objavimo fotografiju sa putovanja, označimo lokaciju ili podelimo poslovne informacije, korisno zapitati se jedno jednostavno pitanje:
Da li ova informacija, u kombinaciji sa svim ostalim koje sam već javno objavio, nekome može pomoći da me ubedljivije prevari?
U vremenu kada se sajber napadi sve češće oslanjaju na psihologiju umesto na tehniku, upravo ta svest postaje jedna od najvažnijih linija odbrane.
