Phishing: Od nigerijskog princa do prevare od 120 miliona dolara

Nekada smo dobijali mejlove od nigerijskih prinčeva koji su želeli da nam poklone bogatstvo. Danas dobijamo obaveštenja banaka, kurirskih službi i poslovnih partnera. Priče su postale uverljivije, tehnologija sofisticiranija, a posledice potencijalno mnogo ozbiljnije. Dobro došli u svet phishinga.

Ako koristite internet duže od dvadesetak godina, postoji solidna šansa da vam je nekada pisao nigerijski princ¹MIT Press. Nesrećni čovek imao je milione dolara koje iz različitih, uglavnom političkih razloga nije mogao da prebaci iz zemlje, pa mu je bila potrebna pomoć. Baš vaša. Zauzvrat je nudio procenat bogatstva, a sve što je trebalo da uradite bilo je da mu pošaljete podatke ili uplatite simboličnu sumu za administrativne troškove.

Naravno, nije bilo ni princa ni miliona. Samo prevaranata.

Ova prevara, poznata kao 419 scam²fbi.com, prema odredbi nigerijskog krivičnog zakonika koja se odnosi na prevaru, zapravo je mnogo starija od interneta. Njeni koreni sežu do takozvane prevare sa španskim zatvorenikom iz 19. veka, kada su žrtve pismima ubeđivane da finansijski pomognu oslobađanje navodno bogatog zatvorenika, uz obećanje velike nagrade.

Strogo govoreći, prevara sa nigerijskim princom pripada kategoriji prevara sa avansnim plaćanjem, a ne nužno phishingu. Ali ona odlično ilustruje koliko je elektronska pošta olakšala posao prevarantima. Umesto jednog pisma, odjednom je bilo moguće poslati hiljade ili milione poruka, gotovo bez ikakvog troška.

Phishing je nešto specifičniji oblik digitalne prevare: napadači se predstavljaju kao legitimna kompanija, institucija ili osoba, kako bi korisnika naveli da otkrije lozinku, podatke o platnoj kartici, omogući pristup nalogu ili preuzme zlonamerni softver.

Sam naziv potiče od engleske reči fishing (pecanje), uz karakteristično „ph“ iz rane hakerske kulture.

Od tinejdžerske zabave do ozbiljnog kriminala

Prvi organizovani phishing napadi pojavili su se sredinom devedesetih godina, kada je America Online (AOL) bio jedan od najpopularnijih internet servisa.

Napadači su se predstavljali kao korisnička podrška i tražili od korisnika da potvrde svoje lozinke. Ukradene naloge koristili su za besplatan pristup internetu ili ih preprodavali.

Jedan od pionira bio je tinejdžer Koceilah Rekouche, poznat kao Da Chronic, koji je 1994. napravio alat AOHell. Početkom 1995. dodao je mogućnost automatizovane krađe lozinki i drugih podataka, a termin phishing u hakerskoj zajednici dokumentovan je 1996. godine.

Ono što je počelo kao način da se ukrade pristup internet servisu, vremenom je postalo unosan kriminalni biznis. A pokazalo se da na mamac ne nasedaju samo neiskusni korisnici.

Kako su Google i Facebook platili 120 miliona dolara pogrešnom čoveku

Između 2013. i 2015. godine Litvanac Evaldas Rimašauskas (Evaldas Rimasauskas) organizovao je jednu od najpoznatijih prevara zasnovanih na zloupotrebi poslovne elektronske komunikacije.

Njegove mete bile su kompanije Google i Facebook.

Rimašauskas je osnovao kompaniju čije je ime odgovaralo nazivu poznatog azijskog proizvođača računarske opreme Quanta Computer, sa kojim su obe kompanije sarađivale. Zatim je slao falsifikovane mejlove, fakture i instrukcije za plaćanje, navodeći zaposlene da novac namenjen pravom dobavljaču prebace na račune pod njegovom kontrolom.

I uspelo mu je. Ukupno je preusmereno više od 120 miliona dolara.

Nije morao da provali u Googleove servere, hakovanjem preuzme Facebook ili pronađe neku revolucionarnu bezbednosnu ranjivost. Napravio je dovoljno uverljivu dokumentaciju i naveo zaposlene da izvrše transakcije. Deo novca je kasnije vraćen, a Rimašauskas je 2019. osuđen na pet godina zatvora.

Ovaj slučaj poznat je kao Business Email Compromise (BEC), odnosno prevara zasnovana na kompromitovanju ili lažiranju poslovne komunikacije. Nije svaki BEC napad klasičan phishing, ali se ove dve metode često prepliću.

I možda je najzanimljivije upravo to što, kada iz priče uklonimo imena Google i Facebook i iznose sa osam ili devet cifara, ostaje scenario koji se može dogoditi gotovo svakoj kompaniji.

Više ne moraju ni da vam ukradu lozinku

U maju 2017.³Google Security korisnici Gmaila počeli su da dobijaju pozivnice za deljenje Google Docs dokumenata, često od ljudi koje su poznavali.

Pozivnica je vodila do aplikacije koja se predstavljala kao Google Docs i tražila dozvolu za pristup Google nalogu. Korisnici koji su pristali omogućili su napadačima pristup svojim kontaktima, nakon čega se prevara automatski širila dalje.

Ovoga puta niko nije morao da ukrade lozinku. Napadači su zloupotrebili OAuth, legitiman sistem kojim aplikacijama dajemo dozvolu za pristup određenim podacima.

Google je zaustavio kampanju za približno sat vremena, ali slučaj je pokazao koliko je phishing evoluirao.

A problem nije postao manji. Prema podacima organizacije Anti-Phishing Working Group, u junu 2026. godine evidentirano je čak 425.808 phishing napada, najviše u jednom mesecu od aprila 2023. godine. U drugom kvartalu 2026. broj evidentiranih SMS phishing napada (smishing) porastao je za 40% u odnosu na prethodni kvartal.

Danas nam prevarantske poruke stižu mejlom, SMS-om, putem Vibera i WhatsAppa, ali i kroz lažne oglase i QR kodove. Uz generativnu veštačku inteligenciju, moguće ih je kreirati brzo, personalizovati i napisati na gotovo bilo kom jeziku, bez pravopisnih i gramatičkih grešaka koje smo nekada smatrali sigurnim znakom prevare.

Nigerijski princ je, izgleda, u međuvremenu završio ozbiljnu poslovnu školu.

Tri ukradene lozinke i nijedan uspešan upad

Da priča ne bi bila potpuno pesimistična, postoji i odličan primer kompanije koja je uspela da se odbrani.

U julu 2022. godine Cloudflare, jedna od vodećih svetskih kompanija za internet infrastrukturu i bezbednost, našao se na meti organizovanog phishing napada.

Za manje od minuta najmanje 76 zaposlenih dobilo je SMS poruke sa linkom ka lažnoj stranici za prijavljivanje na poslovne sisteme. Stranica je izgledala gotovo identično originalnoj.

Trojica zaposlenih zaista su unela svoje korisničko ime i lozinku.

Međutim, napadači nisu uspeli da pristupe sistemima.

Razlog je bio to što je Cloudflare koristio fizičke bezbednosne ključeve zasnovane na FIDO2 standardu. Za razliku od tradicionalne kombinacije lozinke i jednokratnog koda, takvi ključevi proveravaju i autentičnost internet domena, pa ukradeni podaci nisu bili dovoljni za prijavljivanje.

Kompanija je brzo reagovala, resetovala kompromitovane pristupne podatke i blokirala zlonamerne domene. Nijedan njen interni sistem nije bio kompromitovan.

Ovo je možda i najvažnija pouka cele priče: dobra zaštita ne podrazumeva samo da sprečimo prevaru, već i da ograničimo njene posledice kada korisnik ipak pogreši.

Kako zaštititi poslovanje?

Jedan od prvih koraka jeste da sprečimo pristup poznatim zlonamernim internet lokacijama, pre nego što korisnik na njima ostavi svoje podatke ili preuzme štetan sadržaj.

Upravo tome služe rešenja poput A1 Net Protect Biz, koje poslovnim korisnicima omogućava zaštitu pri korišćenju A1 mobilne mreže, uključujući blokiranje poznatih phishing i drugih zlonamernih internet lokacija. Dodatna prednost je mogućnost kontrole pristupa određenim kategorijama internet sadržaja, bez instaliranja posebne aplikacije na svaki uređaj.

Za korisnike kojima je potrebna zaštita i van mobilne mreže, A1 Net Protect Max radi putem aplikacije na telefonima, tabletima i računarima, uključujući Wi-Fi mreže i korišćenje u romingu. Pored zaštite od phishinga i zlonamernog softvera, nudi i upravljanje lozinkama. Dostupan je i privatnim i poslovnim korisnicima.

Naravno, ovakva rešenja predstavljaju jedan sloj zaštite i ne mogu garantovati da će svaki napad biti prepoznat.

Zato bi svaka kompanija trebalo da primeni još nekoliko jednostavnih mera:

1. Zaštitite poslovne naloge. Uključite višefaktorsku autentifikaciju, a za najvažnije naloge koristite passkeys ili fizičke bezbednosne ključeve.
2. Uvedite nezavisnu proveru finansijskih instrukcija. Promenu računa dobavljača ili neuobičajen zahtev za plaćanje potvrdite pozivom na ranije poznat broj telefona.
3. Koristite zaštitu od zlonamernih sajtova i softvera. Posebno na uređajima koji se koriste van kancelarije i povezuju na različite mreže.
4. Proveravajte dozvole aplikacija. Povremeno pregledajte kojim servisima i aplikacijama je odobren pristup poslovnoj elektronskoj pošti, dokumentima i podacima.
5. Znajte šta da radite kada do incidenta dođe. Ako zaposleni unese lozinku na sumnjivom sajtu, potrebno je odmah obavestiti IT podršku, promeniti pristupne podatke, opozvati aktivne sesije i proveriti aktivnosti na nalogu.

Oktobar, kao Evropski mesec sajber-bezbednosti, dobar je povod da proverimo koliko smo zaista spremni za ovakve situacije.

Nigerijski princ verovatno više nikoga neće ubediti da mu tek tako pošalje novac. Ali mejl od dobavljača sa novim instrukcijama za plaćanje, poruka banke o navodnoj blokadi računa ili pozivnica za deljenje poslovnog dokumenta već su mnogo ozbiljnija priča.

Phishing se tokom tri decenije toliko promenio da ga često više ne prepoznajemo. Zato se ne treba oslanjati samo na sopstvenu procenu, već na sisteme koji nas štite i kada pogrešimo.

Fusnote

• 1
  MIT Press ↩︎
• 2
  fbi.com ↩︎
• 3
  Google Security ↩︎