Zašto je čoveka (gotovo uvek) lakše prevariti nego računar?

Kada govorimo o sajber-bezbednosti, obično razmišljamo o hakerima koji pronalaze propuste u softveru, probijaju zaštitu računarskih sistema i kradu podatke. Međutim, često je mnogo jednostavnije ubediti nekoga da vam sam omogući pristup. Upravo na tome se zasniva socijalni inženjering (social engineering) – skup tehnika kojima napadači, koristeći psihološku manipulaciju, lažno predstavljanje i zloupotrebu poverenja, navode ljude da otkriju poverljive informacije, izvrše određenu radnju ili zaobiđu bezbednosne procedure. Umesto da napadaju tehnologiju, oni pokušavaju da iskoriste način na koji ljudi razmišljaju, komuniciraju i donose odluke.

U poslovnom okruženju to može da bude mejl koji izgleda kao da dolazi od direktora, poziv navodne tehničke podrške koja traži pristup računaru, poruka dobavljača sa promenjenim instrukcijama za plaćanje ili zahtev za hitno dostavljanje poverljivih dokumenata. Napadači se najčešće oslanjaju na nekoliko jednostavnih mehanizama: poverenje u autoritet, osećaj hitnosti, strah od posledica i prirodnu želju da pomognemo. Posebno je opasno to što uspešan napad ne mora da podrazumeva nikakav tehnički propust. Zaposleni može da postupi potpuno u skladu sa svojim ovlašćenjima, verujući da radi nešto korisno i opravdano, a da zapravo izvršava instrukcije prevaranta.

Socijalni inženjering nije nastao sa internetom, niti je za njegov uspeh potrebna sofisticirana tehnologija. Decenijama pre phishing mejlova, društvenih mreža i veštačke inteligencije, prevaranti su uspešno koristili ljudsko poverenje, autoritet i potrebu da pomognemo drugima. Danas koriste iste psihološke mehanizme, ali imaju neuporedivo moćnije alate.

Godine 1978. američka banka Security Pacific National Bank ostala je bez 10,2 miliona dolara. Nije bilo naoružanih pljačkaša, obijanja sefova, niti klasičnog hakovanja računarskog sistema. Čovek po imenu Stenli Mark Rifkin, koji je prethodno radio kao konsultant u banci, uspeo je da dođe do poverljivih kodova za autorizaciju transfera novca, a zatim se telefonom predstavio kao ovlašćeni službenik i naložio transakciju.

Banka je izvršila transfer, a da prevaru nije ni primetila. Tek osam dana kasnije FBI je obavestio banku da je novac ukraden.

Ovaj slučaj, dokumentovan u tadašnjim izdanjima The Washington Posta i magazina TIME, kasnije je obrađen i u knjizi The Art of Deception (kod nas prevedeno kao Umetnost obmane) Kevina Mitnika, jednog od najpoznatijih hakera koji je postao stručnjak za informacionu bezbednost.

Gotovo pola veka kasnije, osnovni mehanizam prevare ostao je isti.

Kako funkcioniše socijalni inženjering?

Socijalni inženjering (social engineering) predstavlja skup tehnika kojima napadač, koristeći psihološku manipulaciju i obmanu, navodi drugu osobu da otkrije poverljive informacije, omogući pristup sistemu ili izvrši radnju koju inače ne bi trebalo da izvrši.

Za razliku od tradicionalnog hakovanja, ovde se ne traži slabost u softveru ili računarskoj infrastrukturi, već u načinu na koji ljudi razmišljaju i donose odluke.

Mitnik je u prethodno pomenutoj knjizi The Art of Deception opisao koliko to može biti jednostavno:

Često sam mogao da dođem do lozinki i drugih osetljivih informacija […] predstavljajući se kao neko drugi i jednostavno ih tražeći.

U tome je suština problema. Ljudi su prirodno skloni da veruju autoritetima, pomognu kolegama i brzo reaguju kada je nešto hitno. To su osobine bez kojih bi svakodnevni život i poslovanje teško funkcionisali, ali upravo njih napadači pokušavaju da zloupotrebe.

Zamislite računovođu koji dobija poruku direktora da hitno izvrši uplatu važnom dobavljaču. Poruka pominje stvaran projekat, iznos deluje očekivano, a direktor je zaista na službenom putu. Jedina razlika je što instrukcije ne dolaze od direktora.

Napadač možda nije morao da provali ni u jedan sistem. Dovoljno je bilo da prikupi javno dostupne informacije o kompaniji i konstruiše uverljiv zahtev.

Ovakve prevare nazivamo pretexting, odnosno manipulacijom zasnovanom na izmišljenom, ali uverljivom scenariju. Phishing je najpoznatiji oblik socijalnog inženjeringa, ali napadi mogu stići i telefonom, SMS-om, putem aplikacija za komunikaciju ili neposrednim kontaktom.

Koliko je problem ozbiljan?

Prema Verizonovom izveštaju Data Breach Investigations Report 2026¹Verizon.com, ljudski faktor bio je prisutan u 62% analiziranih slučajeva potvrđenog narušavanja bezbednosti podataka, dok je socijalni inženjering učestvovao u 16% slučajeva. Važno je naglasiti da ljudski faktor obuhvata znatno širu kategoriju od samog socijalnog inženjeringa.

Istraživanje Eurobarometra, koje je ENISA²Europa.eu predstavila u septembru 2026, pokazuje da je 74% zaposlenih u Evropskoj uniji tokom prethodnih šest meseci primilo sumnjive mejlove, poruke, pozive ili linkove povezane sa potencijalnim sajber-pretnjama. Istovremeno, samo 45% ispitanika navodi da njihova organizacija redovno deli informacije i savete o sajber-bezbednosti.

Ovi podaci pokazuju koliko su pokušaji prevare prisutni u svakodnevnom poslovanju, ali i koliko prostora postoji za unapređenje bezbednosne kulture.

Veštačka inteligencija dodatno komplikuje stvari

Generativna veštačka inteligencija nije izmislila socijalni inženjering, ali je značajno proširila mogućnosti napadača.

Danas je moguće za nekoliko minuta napisati uverljivu poslovnu poruku na gotovo bilo kom jeziku, oponašati nečiji stil komunikacije ili generisati veštački glas i video-snimak osobe koja zapravo ne učestvuje u razgovoru.

Koliko to može biti opasno pokazuje slučaj međunarodne inženjerske kompanije Arup iz 2024. godine. Zaposleni u Hongkongu je, nakon lažnog video-sastanka sa ljudima za koje je verovao da su njegove kolege i finansijski direktor, odobrio transfere vredne približno 25,6 miliona dolara.

Prema zvaničnim informacijama hongkonške policije³Vlada Hong Konga, napadači su koristili unapred pripremljen deepfake video, nastao na osnovu javno dostupnih snimaka i glasova. Kompanija je naknadno potvrdila incident i saopštila da njeni interni informacioni sistemi nisu bili kompromitovani.

Ovaj slučaj posebno je važan jer pokazuje da glas i lice osobe, koje smo decenijama smatrali relativno pouzdanim dokazima identiteta, danas više nisu dovoljna garancija.

Ipak, za vlasnike malih i srednjih preduzeća možda je još važnija činjenica da za uspešan napad nije neophodan deepfake. Dovoljni mogu biti lažni mejl, poznato ime i zahtev koji se dovoljno dobro uklapa u uobičajenu poslovnu komunikaciju.

Kako se kompanije mogu zaštititi?

Potpuna zaštita ne postoji, ali relativno jednostavne organizacione i tehničke mere mogu značajno smanjiti rizik i posledice napada.

1. Uvedite obaveznu proveru osetljivih zahteva. Promena računa dobavljača, instrukcija za plaćanje ili zahteva za dostavljanje poverljivih podataka mora da bude potvrđena nezavisnim kanalom, na ranije poznat broj telefona ili kroz unapred definisanu proceduru;
2. Ne dozvolite da hitnost bude izgovor za preskakanje procedura. Finansijske transakcije i promene pristupnih prava treba da imaju jasna pravila odobravanja. Ona moraju da važe i kada zahtev dolazi od direktora ili vlasnika kompanije;
3. Ograničite pristup i koristite višefaktorsku autentifikaciju. Niko ne treba da ima više ovlašćenja nego što mu je potrebno. Kad god je moguće, koristite metode autentifikacije otporne na phishing, poput bezbednosnih ključeva i passkeys tehnologije;
4. Edukujte zaposlene kroz konkretne primere. Nije dovoljno povremeno ih upozoriti da ne otvaraju sumnjive linkove. Važno je da razumeju kako izgledaju lažni zahtevi nadređenih, prevare sa računima dobavljača i pokušaji lažnog predstavljanja telefonom ili video-pozivom;
5. Napravite kulturu u kojoj je provera normalna, a prijavljivanje poželjno. Zaposleni ne smeju da se plaše da provere zahtev nadređenog ili prijave moguću grešku. Ako do incidenta, ipak, dođe, brza reakcija može značajno smanjiti štetu.

Dodatni sloj zaštite od ovakvih pretnji pružaju rešenja A1 Net Protect Biz, koje štiti poslovne korisnike tokom korišćenja A1 mobilne mreže, i A1 Net Protect Max, koje štiti uređaje i na drugim mrežama, uključujući Wi-Fi, pomažući u prepoznavanju i blokiranju phishing sajtova, zlonamernog softvera i drugih internet pretnji, čime smanjuju rizik od pojedinih oblika socijalnog inženjeringa.

Oktobar, kao Evropski mesec sajber-bezbednosti, dobar je povod da preispitamo koliko su naši poslovni procesi zaista otporni na ovakve napade.

Cilj nije da prestanemo da verujemo ljudima, već da napravimo sistem u kojem poverenje ne podrazumeva odsustvo provere.

Jer najopasniji napad nije uvek onaj koji uspe da zaobiđe naše bezbednosne sisteme. Ponekad je to onaj koji nas ubedi da ih sami zaobiđemo.

Fusnote

• 1
  Verizon.com ↩︎
• 2
  Europa.eu ↩︎
• 3
  Vlada Hong Konga ↩︎