Obvestilo o paketu, po katerem moraš plačati carino. Sporočilo banke, da so zaznali nenavadno prijavo. Sporočilo »ponudnika gostovanja«, da tvoj poštni predal poteka. E-pošta dobavitelja, da se je spremenila njegova številka bančnega računa. Lažno predstavljanje (phishing) je še danes najpogostejši način, kako nekdo izvabi geslo, podatke plačilne kartice ali denar, napadi pa so vse bolj prepričljivi: sporočila, napisana z umetno inteligenco, prihajajo v brezhibni slovenščini in prilagojena posamezniku.

V tem vodniku smo zbrali, kako prepoznaš lažna sporočila, s katerimi tehničnimi nastavitvami zaščitiš poslovno e-pošto in domeno, kako narediš račune odporne proti ukradenemu geslu in kaj storiti, ko se je nesreča že zgodila. Na koncu najdeš tudi kontrolni seznam.

Kaj je lažno predstavljanje?

Lažno predstavljanje je goljufija, pri kateri se napadalec izdaja za zaupanja vrednega akterja (banko, kurirsko službo, urad, ponudnika, sodelavca, vodjo), da bi te pripravil k nečemu: da klikneš povezavo, vpišeš geslo, odpreš priponko ali nakažeš denar. Ne izkorišča napak programske opreme, temveč človeško nepazljivost, naglico in spoštovanje avtoritete. O lažnih e-poštnih sporočilih piše tudi naš članek baze znanja.

Najpogostejše oblike

• Množično lažno predstavljanje po e-pošti: splošna sporočila na velik seznam naslovov, v imenu bank, kurirskih služb, spletnih trgovin, komunalnih podjetij ali uradov.
• Ciljno lažno predstavljanje (spear phishing): sporočilo za konkretno osebo, ki temelji na podatkih, zbranih o podjetju, delovnem mestu in sodelavcih, zato je veliko bolj verjetno.
• Goljufija z vodilnimi (goljufija CEO, whaling) in kompromitacija poslovne e-pošte (BEC): napadalec v imenu vodje ali dobavitelja zahteva nujno nakazilo ali sporoči »novo številko bančnega računa«. Pogosto piše iz pravega, prej vdrtega poštnega predala in se vključi v tekočo korespondenco.
• Lažno predstavljanje po SMS (smishing): obvestilo o paketu, opozorilo banke, »dolg« zaradi kazni ali cestnine v SMS-u, s skrajšano povezavo.
• Telefonska goljufija (vishing): klicatelj se izdaja za varnostnega uslužbenca banke, policista ali informatika. Z glasom, kloniranim z umetno inteligenco, lahko posnemajo že glas znanega sodelavca ali vodje, zgodil pa se je že tudi ponarejen videoklic.
• Lažno predstavljanje s kodo QR (quishing): povezava je v kodi QR, v priponki e-pošte, na parkirnem avtomatu ali letaku, zato je filter povezav poštnega sistema ne vidi, na telefonu pa je naslov tudi težje preveriti.
• Lažne strani za prijavo: natančna kopija strani za prijavo v Microsoft 365, Google, tvojo banko, eUpravo ali k tvojemu ponudniku gostovanja, na domeni s podobnim imenom.

Kaj se je spremenilo v zadnjih letih?

Nekdanji opozorilni znaki, slab pravopis in sledi strojnega prevajanja, so vse redkejši: z jezikovnimi modeli lahko kdor koli napiše brezhibno, prilagojeno besedilo v katerem koli jeziku. Napadalci so se poleg tega naučili obiti tudi preprostejše oblike dvostopenjske prijave: vmesna (adversary-in-the-middle) lažna stran skupaj z geslom ukrade tudi kodo za prijavo in prijavljeno sejo. Zato danes nasvet tipa »pazi na pravopis« ne zadošča več; zaščita potrebuje tudi tehnične plasti.

Video: Kratki film o lažnem predstavljanju (Nemzeti Kiberbiztonsági Intézet, v madžarščini)

Kako prepoznaš lažno sporočilo?

Posamezen znak sam po sebi ni dokaz, a če za sporočilo velja več znakov, bodi zelo previden.

1. Priganjanje in grožnje. »V 24 urah bomo začasno ustavili tvoj račun«, »zadnji poziv«, »nakaži takoj«. Namen naglice je, da ne premisliš, kaj počneš.
2. Nepričakovana zahteva. Paketa ne pričakuješ, ničesar nisi naročil, ponastavitve gesla nisi zahteval, a sporočilo govori prav o tem.
3. Naslov pošiljatelja ni pravi. Prikazano ime (»OTP banka«, »Podpora aWh«) je lahko karkoli. Preveri dejanski e-poštni naslov in domeno: brezplačen poštni naslov, čudna domena ali razlika ene črke (rn namesto m, 1 namesto l, .co namesto .com) so izdajalski.
4. Povezava kaže drugam. Preden klikneš, se nanjo postavi z miško (na telefonu jo pridrži) in preveri pravi naslov. Odloča domena, torej tisto, kar stoji neposredno pred končnico (.si, .com): banka.si.preverjanje-online.com ne pripada domeni banka.si.
5. Zahteva geslo, kodo ali podatke kartice. Banka, ponudnik ali urad nikoli ne zahteva gesla, enkratne kode ali celotne številke kartice po e-pošti, SMS-u ali telefonu.
6. Nepričakovana priponka. Račun, dobavnica, »skeniran dokument« od neznanca ali od znanca, a v nenavadni obliki. Posebej sumljive so datoteke .zip, .iso, .img, .html, .htm, .exe, .js in dokumenti Office, ki zahtevajo makre.
7. Spremenjeni podatki za plačilo. Če partner po e-pošti sporoči, naj nakazuješ na nov račun, je to najznačilnejši korak goljufije CEO in BEC. Vedno preveri na prej znani telefonski številki.
8. Nenavaden ton znanca. Sodelavec nenadoma vika ali je ravno preveč domač, nikoli ne prosi za darilno kartico, zdaj pa ja.

Ključavnica ne pomeni zanesljivosti. Ključavnica v naslovni vrstici brskalnika pomeni le, da je povezava šifrirana, ne pa, da je stran prava. Odločilna večina lažnih strani danes deluje z brezplačnim potrdilom SSL. Domeno vedno preveri.

Najzanesljivejša metoda: ne klikni povezave iz sporočila, temveč sam odpri stran ali aplikacijo ponudnika (iz zaznamka ali z vpisom naslova) in tam preveri, ali res moraš kaj narediti. Pri telefonskem klicu odloži in ponudnika pokliči nazaj na uradno, tebi znano številko.

Tehnična zaščita domene: SPF, DKIM in DMARC

E-pošta v svoji izvirni obliki ne preverja, kdo je pošiljatelj: sporočilo v imenu tvoje domene lahko pošlje kdor koli. To naredijo preverljivo tri pravila, nastavljena v DNS, z njimi pa otežiš, da bi sporočila, ki se izdajajo za tvoje podjetje, prišla do tvojih strank in partnerjev.

• SPF: našteje, kateri strežniki smejo pošiljati e-pošto s tvoje domene. Prejemni strežnik na tej podlagi preveri, ali je sporočilo prišlo s pooblaščenega strežnika. Podrobno: Kaj je zapis SPF?
• DKIM: tvoj poštni strežnik odhodna sporočila opremi z digitalnim podpisom, prejemnik pa z javnim ključem, objavljenim v DNS, preveri, ali je sporočilo res poslal tvoj strežnik in ali ga med potjo niso spremenili. Podrobno: Kaj je zapis DKIM?
• DMARC: pove, kaj naj prejemni strežnik naredi s sporočili, ki prispejo v imenu tvoje domene, a ne prestanejo preverjanja SPF in DKIM: nič (p=none), naj jih da v mapo z neželeno pošto (p=quarantine) ali naj jih zavrne (p=reject). Zahtevaš lahko tudi poročila o tem, kdo pošilja e-pošto v tvojem imenu. Podrobno: Kaj je zapis DMARC?

Veliki poštni sistemi to že zahtevajo: Google in Yahoo od februarja 2024, Microsoft (Outlook.com) pa od maja 2025 od pošiljateljev, ki pošiljajo veliko sporočil, pričakujejo SPF, DKIM in DMARC, sporočila brez preverjanja pristnosti pa vse pogosteje pristanejo med neželeno pošto ali so zavrnjena. Nastavitev torej ne ščiti le pred lažnim predstavljanjem, temveč izboljša tudi dostavo tvojih lastnih sporočil.

Priporočeni vrstni red: SPF in DKIM nastavi za vse storitve, ki pošiljajo v imenu tvoje domene (poleg poštnega strežnika tudi pošiljatelj e-novic, spletna trgovina in program za izdajanje računov), DMARC zaženi z nastavitvijo p=none, nekaj tednov spremljaj poročila, nato zaostri na raven quarantine in nazadnje reject. Korake smo opisali v našem vodniku za nastavitev DMARC. Na gostovanjih cPanel pri aWh SPF in DKIM nastaviš z nekaj kliki v točki menija Email Deliverability; če se zatakne, nam piši in pomagali ti bomo.

SPF, DKIM in DMARC ščitijo pred izdajanjem za tvojo domeno. Sporočila, poslanega z domene s podobnim imenom (na primer awh-hu.com), ne ustavijo, zato sta potrebna tudi pozornost uporabnikov in filtriranje dohodne pošte.

Filtriranje dohodne pošte

Filter neželene pošte na poštnem strežniku izloči večino množičnih lažnih sporočil, iskalnik zlonamerne kode pa okužene priponke. Vsi paketi gostovanja aWh, ki vključujejo e-pošto, imajo filtriranje neželene pošte. Z nekaj nastavitvami ga lahko še izboljšaš:

• Občutljivost filtra neželene pošte prilagodi svoji e-pošti in občasno preglej mapo z neželeno pošto, da se tvoja prava sporočila ne izgubijo.
• Ustvari filter, ki označi sporočila, ki prihajajo od zunanjega pošiljatelja, a so videti kot od notranjega sodelavca, ali sporočila s sumljivimi priponkami.
• Ne izklapljaj opozoril pred lažnim predstavljanjem v poštnem programu in brskalniku.

O delovanju filtriranja neželene pošte in zakaj lahko prava sporočila pristanejo med neželeno pošto, piše članek baze znanja o sporočilih, ki pristanejo med neželeno pošto.

Zaščita računov: če geslo vseeno uide

Prej ali slej bo nekdo kliknil napačno povezavo. Cilj je, da ukradeno geslo samo po sebi ne zadošča.

• Dvostopenjska prijava (2FA) povsod: pri e-pošti, v nadzorni plošči gostovanja (v cPanelu jo vklopiš tako), v računu stranke, v skrbništvu WordPress, pri banki in na družbenih omrežjih.
• Po možnosti z metodo, odporno proti lažnemu predstavljanju: ključ za dostop (passkey) in strojni varnostni ključ (FIDO2) delujeta le na pravi domeni, zato ju na lažni strani ni mogoče izvabiti. Kjer je na voljo, uporabljaj to. Če ni, je tudi aplikacija za preverjanje pristnosti (koda TOTP) veliko boljša kot nič, koda po SMS-u je najšibkejša, a še vedno boljša od golega gesla.
• Upravitelj gesel: za vsako stran ustvari edinstvena, dolga gesla in jih samodejno izpolni le na pravi domeni. Če upravitelj gesel na neki strani gesla ne ponudi, je to sumljiv znak.
• Istega gesla ne uporabljaj na več mestih. Če pri enem ponudniku uide, ga napadalci samodejno preizkusijo tudi drugje.
• Odobritev s potisnim obvestilom: nikoli ne odobri prijave, ki je nisi sprožil sam, tudi če zahteva prihaja večkrat zapored.

Postopki v podjetju

Največjo škodo povzročijo finančne goljufije, nanje pa se je najbolje pripraviti z organizacijskimi pravili.

• Načelo štirih oči: večje nakazilo ali spremembo partnerjeve številke bančnega računa vedno odobrita dve osebi.
• Povratni klic na znano številko: spremembo bančnega računa ali nujno zahtevo za nakazilo vedno preveri na prej znani telefonski številki, ne na tisti iz sporočila.
• Ni izjem »tajno, nujno«: goljufi pogosto prosijo, naj nikomur ne poveš, ker gre za zaupen posel. Naj bo jasno, da tudi takrat velja običajno preverjanje.
• Preprosta prijava: naj bo jasno, komu je treba povedati, če je nekdo prejel sumljivo sporočilo ali kaj kliknil. Kdor hitro pove, naj ne bo kaznovan: zgodnja prijava močno zmanjša škodo.
• Redno usposabljanje: kratko, s praktičnimi primeri, večkrat na leto. Simulirana lažna sporočila dobro pokažejo, kje je ekipa.
• Posodobitve in varnostne kopije: operacijski sistem, brskalnik in programi naj bodo posodobljeni, obstaja pa naj tudi varnostna kopija, ločena od računalnika, saj se lažno sporočilo pogosto konča z izsiljevalskim virusom.

Zaščita domene in blagovne znamke

Napadalci pogosto kot vabo uporabijo prav tvoje podjetje: tvojim strankam pišejo z naslova, podobnega tvoji domeni. To lahko otežiš:

• DMARC nastavi na raven reject, da s tvojo natančno domeno ne bo mogoče ponarejati,
• registriraj najpogostejše tipkarske napake in končnice (o tem smo pisali v vodniku za izbiro domene),
• na spletni strani in v sporočilih jasno navedi, da nikoli ne zahtevaš gesla ali podatkov kartice po e-pošti,
• dvostopenjsko prijavo vklopi tudi v računih za upravljanje domene in DNS, saj lahko tisti, ki prepiše DNS, preusmeri tudi tvojo e-pošto.

Kaj storiti, če si že kliknil?

1. Ne zganjaj panike, a ukrepaj hitro. Prej ko ukrepaš, manjša je škoda.
2. Če si vpisal geslo: takoj ga spremeni (z druge, zanesljive naprave), pa tudi povsod drugje, kjer si uporabljal istega. Odjavi vse seje in preveri, ali napadalec v tvojem poštnem predalu ni nastavil pravila za posredovanje ali samodejnega odgovora.
3. Če si vpisal podatke kartice ali banke: takoj pokliči uradno številko svoje banke, navedeno na hrbtni strani kartice ali na spletni strani banke, in daj kartico blokirati. Banke imajo za to linijo, dosegljivo podnevi in ponoči.
4. Če si odprl priponko ali namestil program: računalnik odklopi z omrežja in obvesti skrbnika ali strokovnjaka. Zaženi celoten pregled za viruse.
5. Če gre za poslovni račun: obvesti informatika ali vodjo podjetja. Če so osebni podatki lahko prišli v nepooblaščene roke, je to lahko kršitev varnosti osebnih podatkov, ki jo je treba v 72 urah prijaviti nadzornemu organu (v Sloveniji Informacijskemu pooblaščencu); o tem smo pisali v našem vodniku o varstvu podatkov.
6. Če si izgubil tudi denar: podaj prijavo na policiji in čim prej obvesti banko; sveže nakazilo je včasih še mogoče preklicati.

Kako prijaviš lažno predstavljanje?

• V poštnem programu: Gmail, Outlook in večina spletnih pošt imajo gumb za prijavo lažnega predstavljanja, s katerim učiš tudi filtre ponudnika.
• Organizaciji, za katero se izdajajo: banke in večji ponudniki običajno objavijo naslov, kamor lahko posreduješ goljufiva sporočila, poslana v njihovem imenu.
• Nacionalnemu odzivnemu centru SI-CERT: v Sloveniji SI-CERT sprejema prijave kibernetskih incidentov in lažnih spletnih strani.
• Storitvi Google Safe Browsing: če lažne spletne strani prijaviš tu, bodo brskalniki opozorili druge obiskovalce.
• Policiji: če je nastala škoda.

Kontrolni seznam proti lažnemu predstavljanju

Za vse

• Pred klikom povezave preverim pravi naslov; geslo vpišem le na strani, ki sem jo odprl sam.
• Na vseh pomembnih računih je vklopljena dvostopenjska prijava, kjer je mogoče, s ključem za dostop (passkey).
• Uporabljam upravitelja gesel, z edinstvenim geslom za vsako stran.
• Moj telefon, računalnik, brskalnik in programi so posodobljeni.
• Vem, komu in kako sporočim, če sem prejel sumljivo sporočilo ali kaj kliknil.

Za podjetje

• Na domeni sta za vse storitve, ki pošiljajo, nastavljena SPF in DKIM, DMARC pa je vsaj na ravni quarantine, cilj je reject.
• Na e-pošti tečeta filtriranje neželene pošte in iskanje zlonamerne kode.
• Spremembe bančnih računov in večja nakazila preverjamo s povratnim klicem in po načelu štirih oči.
• Sodelavci večkrat na leto dobijo kratko, praktično usposabljanje.
• Nadzorne plošče domene, DNS, gostovanja in e-pošte so zaščitene z dvostopenjsko prijavo.
• Imamo preizkušeno varnostno kopijo, ločeno od računalnikov in strežnikov.
• Imamo zapisan načrt, kaj naredimo po uspešnem napadu z lažnim predstavljanjem.

Povzetek

Proti lažnemu predstavljanju ni enega samega čudežnega zdravila, vendar je mogoče z več plastmi zaščite tveganje zmanjšati na zelo malo. Tehnična plast (SPF, DKIM, DMARC, filtriranje neželene pošte) izloči večino napadov, dvostopenjska prijava in upravitelj gesel preprečita, da bi ukradeno geslo zadoščalo, dobro uvedeni postopki v podjetju pa ustavijo finančne goljufije. Najpomembnejše pravilo pa je preprosto: če te sporočilo priganja in zahteva geslo, kodo ali denar, se ustavi in preveri po drugem, zanesljivem kanalu.

Na e-poštnem gostovanju in v paketih gostovanja aWh pri obrambi pomagajo filtriranje neželene pošte, šifrirana povezava in dvostopenjska prijava, pri nastavitvi SPF, DKIM in DMARC pa ti pomagamo mi. Če imaš vprašanje, nam piši.

Pogosta vprašanja

Kako lahko zanesljivo prepoznam, da je e-poštno sporočilo lažno?

Zanesljivo nikakor, zato je najboljša metoda, da ne uporabiš povezave ali telefonske številke iz sporočila. Sam odpri stran ali aplikacijo ponudnika ali pokliči njegovo uradno številko in tam preveri, ali res moraš kaj narediti. Sumljivi znaki so priganjanje, nepričakovana zahteva, drugačen naslov pošiljatelja ali povezave, sporočilo, ki zahteva geslo, kodo ali podatke kartice, in spremenjena številka bančnega računa.

Kakšna je razlika med neželeno pošto in lažnim predstavljanjem?

Neželena pošta je nezaželen oglas ali množično sporočilo, ki je nadležno, vendar te običajno ne želi preslepiti. Lažno sporočilo temelji na zavajanju: izdaja se za zaupanja vrednega akterja, da bi izvabilo podatke ali denar.

Ali zadošča dober protivirusni program?

Ne. Protivirusni program ščiti pred škodljivimi priponkami, proti geslu, vpisanemu na lažni strani za prijavo, pa ne more storiti ničesar. Dobro zaščito dajo skupaj dvostopenjska prijava, upravitelj gesel, preverjanje pristnosti domene (SPF, DKIM, DMARC) in pozorni uporabniki.

Če je na strani ključavnica, je varna?

Ključavnica pomeni le, da je povezava šifrirana, ne pa, da je stran prava. Večina lažnih strani danes deluje z veljavnim potrdilom SSL. Vedno preveri ime domene.

Uporabljam brezplačno e-pošto. Ali lahko tam nastavim SPF in DKIM?

Preverjanje pristnosti domene brezplačnega e-poštnega naslova (na primer @gmail.com) opravi ponudnik, ti s tem nimaš dela, vendar z njim tudi ne moreš uporabljati lastne domene. Če pošto pošiljaš z lastno domeno, moraš SPF, DKIM in DMARC nastaviti v DNS sam ali pa ti pri tem pomaga ponudnik gostovanja.

Kako se zaščitim pred goljufijo z vodilnimi (CEO)?

Z organizacijskimi pravili: večja nakazila in spremembe bančnih računov odobrita dve osebi, vsako takšno zahtevo pa je treba potrditi na prej znani telefonski številki, tudi če zahteva prihaja od vodje in je »nujna, zaupna«.

Kaj naj naredim, če sem kliknil povezavo, vendar nisem vpisal ničesar?

Zapri stran, ničesar ne prenašaj in ne odpiraj. V sodobnem, posodobljenem brskalniku en klik sam po sebi redko povzroči škodo, vendar zaženi pregled za viruse in, če gre za poslovni računalnik, obvesti informatika. Če je povezava sprožila prenos, datoteke ne odpiraj.

Ali obstaja 100-odstotna zaščita?

Ne. Cilj je zmanjšati tveganje z več plastmi, ki se dopolnjujejo, in imeti načrt za primer, da se nesreča vseeno zgodi. Kdor napad hitro zazna in prijavi, ima tudi manjšo škodo.

• lažno predstavljanje
• kibernetska varnost
• dostava e-pošte
• preverjanje pristnosti
• vodniki