Zaštita od fišinga za male firme: praktičan vodič u 8 koraka
Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažuriranje: 12. novembar 2026.
Knjigovođa dobija mejl od dobavljača s kojim radite godinama. Isti logo, isti potpis, isti ton. Razlika je samo jedna rečenica: „Promenili smo banku, molimo da ovu fakturu platite na novi račun.” Uplata ode. Dobavljač taj mejl nikada nije poslao.
To je fišing (phishing) i za njega retko treba ozbiljno hakovanje. Dovoljni su jedan zauzet čovek i jedna uverljiva poruka. Zaštita od fišinga za male firme svodi se na to da taj trenutak otežate: manje lažnih poruka stiže do inboksa, one koje stignu lakše se prepoznaju, a jedan klik više ne otvara celu firmu.
Ukratko
- Fišing je lažna poruka koja nekoga navodi da klikne, prijavi se, plati ili podeli podatke. Meta su ljudi, ne serveri.
- Kombinujte četiri sloja: filtriranje i autentifikaciju pošte, MFA i menadžer lozinki, pravilo za proveru uplata i kratke redovne obuke.
- Neka prijava sumnjive poruke bude laka i bez okrivljavanja. Brza prijava jednog zaposlenog štiti sve ostale koji su dobili isti mejl.
Šta je fišing?
Fišing je napad socijalnim inženjeringom u kome se prevarant predstavlja kao osoba ili firma od poverenja, kako bi žrtvu naveo da klikne na link, otvori fajl, unese lozinku, pošalje novac ili otkrije osetljive podatke. Najčešće stiže mejlom, ali isti trik radi i preko SMS-a, Vibera, WhatsAppa, telefonskog poziva i lažnih stranica za prijavu.
Američka agencija za sajber bezbednost CISA odbranu sažima u vodiču o prepoznavanju i prijavljivanju fišinga (na engleskom): prepoznajte znake, ne žurite i prijavite poruku. Britanski Nacionalni centar za sajber bezbednost u smernicama za organizacije preporučuje više slojeva zaštite, jer nijedna pojedinačna mera ne hvata sve.
| Vrsta | Kako izgleda | Šta napadač želi |
|---|---|---|
| Krađa lozinke | „Poštansko sanduče je puno, prijavite se ovde” sa lažnom Microsoft ili Google stranicom | Lozinku za mejl ili cloud |
| Lažna faktura / promena računa | Dobavljač ili partner „menja broj računa” ili šalje hitnu fakturu | Da preusmeri pravu uplatu |
| Prevara „direktor traži” | Poruka koja izgleda kao da je od vlasnika i traži hitnu uplatu ili vaučere | Novac pre nego što iko proveri |
| Zaražen prilog | „Obaveštenje o pošiljci”, „ponuda” ili „skenirani dokument” koji treba otvoriti | Instalaciju malvera ili ransomvera |
| Smishing i vishing | SMS, Viber ili poziv u ime banke, kurirske službe ili „IT podrške” | Kodove, lozinke ili daljinski pristup |
Kako prepoznati fišing mejl
Napadači su sve bolji u dizajnu i jeziku, pa ni „loš srpski” više nije pouzdan znak, posebno uz alate za prevođenje. Naučite tim da proverava zahtev, a ne izgled:
- Žurba i pritisak. „Danas”, „u narednih sat vremena”, „ili će nalog biti ugašen”.
- Neobičan zahtev. Novi broj računa, vaučeri, prijava koju niste očekivali, fajl od nekoga ko vam nikad ne šalje fajlove.
- Pošiljalac ili link koji se ne poklapa. Ime je tačno, ali adresa ili domen linka su malo drugačiji. Pređite mišem preko linka pre klika.
- Traženje da se zaobiđe uobičajen postupak. „Nemoj da zoveš, na sastanku sam”, „neka ostane među nama”.
- Stranica za prijavu otvorena iz mejla. Servis otvorite preko obeleživača ili ručno upišite adresu.
Pravilo
Ako poruka traži da platite, prijavite se ili nešto promenite, proverite je kanalom kome već verujete: poznatim brojem telefona ili novim mejlom koji sami ukucate. Nikada ne koristite kontakt podatke iz sumnjive poruke.
8 koraka za zaštitu firme od fišinga
1. Uključite filtere koje već plaćate
Google Workspace i Microsoft 365 imaju ugrađenu zaštitu od spama, malvera i lažnog predstavljanja. Proverite da li je uključena, da li su spoljni mejlovi jasno označeni i da niko nije stavio cele domene na listu dozvoljenih da „ne bi propuštao mejlove”. Ako tek birate platformu, naše poređenje Microsoft 365 i Google Workspace pokriva i bezbednosne opcije.
2. Zaštitite sopstveni domen
SPF, DKIM i DMARC otežavaju prevarantima da šalju mejlove koji izgledaju kao da stižu baš sa vašeg domena, pa štite i vaše klijente i dobavljače od lažnih faktura u vaše ime. Pratite naš vodič za SPF, DKIM i DMARC podešavanje i pređite na strožu DMARC politiku kada izveštaji budu čisti.
3. Učinite ukradene lozinke beskorisnim uz MFA
Krađa lozinke funkcioniše zato što sama lozinka otvara nalog. Višefaktorska autentifikacija dodaje drugu proveru. Počnite od mejla, e-bankinga, registrara domena i administratorskih naloga, kao u našem vodiču za višefaktorsku autentifikaciju. Gde god možete, birajte aplikaciju za autentifikaciju ili passkey umesto SMS koda.
4. Koristite menadžer lozinki
Menadžer lozinki automatski popunjava lozinku samo na pravom domenu, pa na lažnoj stranici koja liči na pravu jednostavno ne ponudi ništa. Zato je jedan od najpraktičnijih alata protiv fišinga za zaposlene koji nisu tehnički potkovani. Koraci za uvođenje su u našem vodiču za menadžer lozinki u timu.
5. Uvedite pravilo za proveru uplata
Ovo jedno pravilo zaustavlja većinu prevara sa fakturama: svaka promena broja računa i svaka neobična ili hitna uplata potvrđuje se telefonom, na broj koji ste imali pre tog zahteva. Zapišite ga, obavestite dobavljače i neka ga poštuje i vlasnik. Naš šablon IT bezbednosne politike ima gotov odeljak koji možete prilagoditi.
6. Obučavajte kratko i redovno
Jedno dugo godišnje predavanje zaboravi se do proleća. Deset minuta mesečno daje više: pokažite jedan pravi fišing mejl koji je firma dobila, objasnite na šta je trebalo obratiti pažnju i ponovite kako se prijavljuje. Simulirani fišing testovi mogu pomoći, ako služe za učenje, a ne za sramoćenje.
7. Neka prijava bude laka i bez krivice
Dajte svima jednu jednostavnu radnju: proslede poruku na dogovorenu adresu (na primer bezbednost@vasafirma.rs) ili kliknu ugrađeno dugme za prijavu. Gmail to objašnjava na stranici pomoći o izbegavanju i prijavljivanju fišing mejlova. Zahvalite se svakome ko prijavi, pa i onome ko je prvo kliknuo, a onda prijavio. Strah od krivice pretvara problem od pet minuta u problem od pet nedelja.
8. Isplanirajte šta radite kad klik ipak prođe
Unapred odlučite šta se radi kada neko unese lozinku ili otvori zaražen fajl: promena lozinke, odjava sa svih uređaja, provera pravila za prosleđivanje u sandučetu, poziv banci ako je novac otišao i beleženje svega. Naš šablon plana za odgovor na incident to pretvara u spisak na jednoj strani.
Šta raditi u prvom satu posle klika na fišing
| Šta se desilo | Odmah uradite |
|---|---|
| Lozinka je uneta na lažnoj stranici | Promenite je (i svuda gde je ponovo korišćena), odjavite sve sesije, proverite da je MFA uključen, pregledajte pravila i prosleđivanje u sandučetu |
| Otvoren je prilog ili pokrenut fajl | Isključite uređaj sa mreže, nemojte ga još brisati, javite se IT podršci |
| Plaćena je lažna faktura | Odmah pozovite banku da pokuša da zaustavi ili povuče uplatu, zatim prijavite policiji |
| Podeljen je MFA kod | Smatrajte nalog kompromitovanim: resetujte lozinku i pregledajte skorašnje prijave i izmene |
Realnost malih firmi
Većina ovih koraka ne košta ništa osim jednog popodneva. Skupo je ono što izgubite, novac ili podatke, kada niko nije imao plan. Ako niste sigurni gde su vam slabe tačke, krenite od pregleda u našem vodiču za sajber bezbednost malih firmi.
Česte greške
- Oslanjanje samo na obuku. Neko će pre ili kasnije kliknuti. Tehnički slojevi moraju da uhvate ono što obuka propusti.
- Zajednički nalozi bez MFA. Jedna ukradena lozinka tada otvara sve naloge koje tim deli.
- Kažnjavanje onih koji kliknu. Prestaju da prijavljuju, a vi gubite rano upozorenje.
- Zanemarivanje Vibera i SMS-a. Isti trikovi danas stižu i preko poruka, mimo filtera za mejl.
- Zaboravljen sajt. Hakovan sajt ili kontakt forma mogu poslužiti za lažne stranice ili slanje spama u vaše ime. Brza provera bezbednosti sajta pokazuje osnovno stanje.
Česta pitanja
Da li su male firme zaista meta fišinga?
Jesu. Većina fišinga šalje se masovno, bez obzira na veličinu firme, a prevare sa fakturama ciljaju baš firme koje dobavljače plaćaju preko računa. Manji timovi često imaju manje kontrola, pa su privlačnija meta.
Da li je spam filter dovoljan?
Nije. Filteri hvataju mnogo, ali dobro napravljene poruke i poruke sa pravih, hakovanih naloga prolaze. Potrebni su i MFA, pravilo za proveru uplata i tim koji zna kako da prijavi.
Koliko često treba obučavati zaposlene?
Kratke obuke jednom mesečno ili kvartalno rade bolje od jednog dugog godišnjeg kursa. Koristite prave primere koje je firma dobila i ponovite obuku svaki put kada dođe novi zaposleni.
Kome se prijavljuje fišing u Srbiji?
Interno, osobi zaduženoj za IT. Spolja, svom provajderu mejla, a kod prevare sa novcem banci i policiji. Nacionalni CERT Republike Srbije objavljuje upozorenja i savete o aktuelnim pretnjama.
Želite da neko proveri vašu zaštitu?
Pregledamo bezbednost pošte, MFA, bekape i sajt, pa vam damo kratak spisak ispravki po prioritetu.
Javite se Lizzard Solutions