Phishing: što je, vrste, primjeri i kako prepoznati napad

Phishing je prijevara u kojoj se napadač lažno predstavlja i naizgled legitimnim zahtjevom pokušava navesti žrtvu da učini nešto u njegovu korist: otkrije lozinku ili podatke kartice, otvori zaraženi privitak, odobri prijavu ili uplati novac. Naziv je varijanta engleske riječi za pecanje (fishing). Prema ENISA-i phishing je ulazna točka u oko 60 % analiziranih napada u EU-u, a Nacionalni CERT ga je u 2025. zabilježio kao najčešću vrstu incidenta u Hrvatskoj.

Vodič objašnjava vrste phishinga, hrvatske primjere, kako prepoznati lažnu poruku, što učiniti nakon klika i kako tvrtka smanjuje rizik. Stanje je na 4. studenoga 2026.

Ukratko

• Najčešći napad: phishing čini 60 % ulaznih točaka u ENISA-inoj analizi 4.875 incidenata (srpanj 2024. do lipanj 2025.) i 32 % incidenata koje je Nacionalni CERT obradio u 2025.
• Hrvatski primjeri: lažne poruke banaka, Porezne uprave, HZZO-a, MUP-a, odvjetničkih ureda i dostavnih službi, prijevare na oglasnicima i preuzimanje WhatsApp računa putem SMS-a.
• Pravopis više nije znak: ENISA navodi da je početkom 2025. više od 80 % uočenog socijalnog inženjeringa u svijetu bilo potpomognuto umjetnom inteligencijom.
• MFA nije uvijek dovoljan: prema NIST-u lozinke, SMS i jednokratni kodovi te push odobrenja nisu otporni na phishing. Otporna je kriptografska prijava vezana uz domenu, primjerice FIDO2 ključevi i passkeys.
• Za NIS2 subjekte obuka svih zaposlenika obvezna je pri zapošljavanju i redovito nakon toga (Uredba o kibernetičkoj sigurnosti, Prilog II., mjera 4.4.).
• Kazneno djelo: računalnih prijevara bilo je u Hrvatskoj 1.656 u 2025., a policija ih povezuje s phishingom, lažnim investicijama i krađom identiteta.

Što je phishing

Nacionalni CERT phishing definira kao vrstu socijalnog inženjeringa. Napadač ne probija sustav tehničkim putem, nego navodi osobu da mu sama otvori vrata. Najčešći ciljevi su:

• krađa osobnih podataka i pristupnih podataka;
• neovlašteni pristup sustavima i podacima;
• financijska korist, izravno ili preko lažnih uplata;
• širenje zlonamjernog softvera, uključujući ransomware i kradljivce podataka.

Phishing je u tvrtkama najčešće prvi korak većeg napada. Ukradena lozinka za e-poštu ili VPN napadaču daje ulaz, a ransomware ili prijevara s plaćanjem slijede kasnije. Zato se phishing ne može promatrati samo kao problem pojedinog korisnika.

Vrste phishing napada

Kanali se kombiniraju. Napadač može poslati e-poruku, zatim nazvati i predstaviti se kao IT podrška, a na kraju poslati zahtjev za MFA odobrenje. ENISA opisuje i gotove platforme za phishing kao uslugu: platforma Darcula oponašala je više od 200 organizacija, a FlowerStorm kopira prijavu u Microsoft 365 i zaobilazi MFA.

Phishing u Hrvatskoj: podaci i primjeri

Nacionalni CERT obradio je u 2025. ukupno 1.513 incidenata, od čega 478 phishing napada (32 %). Broj obuhvaća samo incidente koje je CERT zaprimio ili otkrio, a ne sve poruke koje su zaustavili filtri ili koje su prijavljene bankama i policiji. CERT je zabilježio dva vala:

• svibanj: poruke koje oponašaju odvjetnička društva sa zlonamjernim privitkom, poruke koje oponašaju sustav e-Dozvola i SMS kampanje kojima se preuzimaju WhatsApp računi;
• rujan: poruke koje oponašaju HZZO i MUP te lažne ponude zarade na trgovanju kriptovalutama;
• prvo tromjesečje: lažne CAPTCHA stranice kojima se širio kradljivac podataka Lumma.

Policija je u 2025. evidentirala 2.161 kazneno djelo kibernetičkog kriminaliteta. Računalnih prijevara bilo je 1.656, a materijalna šteta od kibernetičkih kaznenih djela iznosila je 20.840.868 eura, 22,78 % više nego 2024.

NIS2 subjekti prijavili su NCSC-HR-u u trećem tromjesečju 2026. ukupno 125 incidenata. Uz ispade usluga zbog tehničkog kvara najčešći su bili phishing i drugi oblici prijevara.

Česti scenariji

AZOP i Nacionalni CERT opisuju scenarije koji se u Hrvatskoj ponavljaju:

Nacionalni CERT procjenjuje da više od 6.000 lažnih internetskih trgovina cilja građane Hrvatske i za provjeru trgovine nudi besplatan servis CERT iffy.

Primjer lažne poruke

Od: Sigurnost xbanke <obavijest@xbanka-sigurnost.com>
Predmet: HITNO: pristup internetskom bankarstvu bit će blokiran

Poštovani klijente,

zabilježili smo neuobičajenu aktivnost na Vašem računu.
Ako u roku od 24 sata ne potvrdite identitet,
pristup će biti trajno blokiran.

Potvrdite identitet: https://xbanka-potvrda.online/prijava

Znakovi: domena pošiljatelja nije službena domena banke (xbanka.hr), poruka prijeti rokom, pozdrav je općenit, a poveznica vodi na drugu domenu. Banka ne traži potvrdu identiteta, PIN, podatke kartice ni kodove iz m-tokena putem poveznice u e-poruci.

Kako prepoznati phishing

Pravopisne pogreške i loš prijevod nekad su bili dobar znak. Danas napadači pišu besprijekoran hrvatski uz pomoć umjetne inteligencije, a poruka može sadržavati vaše ime, funkciju i stvaran projekt. Pouzdanija je provjera procesa: je li zahtjev očekivan i dolazi li uobičajenim putem.

Kako provjeriti pošiljatelja i poveznicu

1. Otvorite punu adresu pošiljatelja i pročitajte domenu do kraja. Lažna domena može se razlikovati u jednom slovu (cert.hr i certt.hr) ili dodavati riječ (x-banka.com, hr-xbanka.com).
2. Na računalu zadržite pokazivač iznad poveznice bez klika i pročitajte stvarno odredište. Na mobitelu budite oprezniji jer je adresa skraćena.
3. Ne vjerujte samo lokotu i HTTPS-u. Lažne stranice imaju valjane certifikate.
4. Otvorite uslugu neovisnim putem: upišite poznatu adresu, koristite službenu aplikaciju ili spremljenu oznaku.
5. Nazovite na poznati broj sa službene stranice ili iz ugovora, nikad na broj iz sumnjive poruke.
6. Novac i pristupe potvrđujte drugim kanalom: promjenu IBAN-a dobavljača, hitnu uplatu, resetiranje MFA ili novog administratora.

Umjetna inteligencija i deepfake

Umjetna inteligencija smanjila je trošak kvalitetnog phishinga. Napadač može u nekoliko minuta izraditi poruku na hrvatskom, prilagođenu podacima s LinkedIna i web stranice tvrtke, ili klonirati glas direktora iz javnog videa.

Najpoznatiji slučaj je britanska inženjerska tvrtka Arup. Zaposlenik financija u Hong Kongu u siječnju 2024. sudjelovao je u video pozivu s lažnim financijskim direktorom i kolegama izrađenima deepfake tehnologijom. U 15 transakcija uplatio je 200 milijuna hongkonških dolara, oko 25,6 milijuna američkih dolara. Arup je slučaj potvrdio u svibnju 2024.

Obrana od takvih napada je procesna. Zahtjev za uplatu ne smije se odobriti samo na temelju poziva ili videa, koliko god uvjerljiv bio. Potrebna je potvrda drugim kanalom i pravilo dviju osoba.

Što učiniti sa sumnjivom porukom

Zaposlenik:

1. ne klikajte na poveznicu, ne skenirajte QR kôd i ne otvarajte privitak;
2. ne odgovarajte i ne prosljeđujte poruku kolegama;
3. prijavite je gumbom za prijavu ili prema internom postupku;
4. ako niste sigurni, provjerite zahtjev kod pošiljatelja drugim kanalom.

Sigurnosni tim:

1. sačuvajte poruku s punim zaglavljima, poveznicu, privitak i vrijeme primitka;
2. provjerite je li ista poruka stigla drugim korisnicima i uklonite je iz pretinaca;
3. blokirajte domenu, adresu i poveznicu;
4. provjerite prijave, pravila prosljeđivanja i odobrene aplikacije na računima koji su kliknuli;
5. kratko upozorite zaposlenike na aktivnu kampanju;
6. prijavite phishing Nacionalnom CERT-u, a kod financijske štete banci i policiji (192).

Prijavitelju odgovorite i zahvalite. Zaposlenik koji je pohvaljen za prijavu prijavit će i sljedeću poruku.

Ako ste kliknuli ili unijeli podatke

Brza prijava važnija je od skrivanja pogreške. Postupak ovisi o tome što se dogodilo:

Promjena lozinke nije dovoljna ako je napadač već dodao pravilo prosljeđivanja e-pošte, registrirao svoj autentifikator ili ukrao sesiju. Cijeli račun treba pregledati. Postupak za veće incidente opisuje vodič Upravljanje kibernetičkim incidentima.

Kako zaštititi tvrtku od phishinga

Britanski NCSC obranu dijeli u četiri sloja: otežati dolazak poruke, pomoći korisnicima da je prepoznaju i prijave, ograničiti štetu uspješnog phishinga i brzo odgovoriti.

Tehničke mjere

NIST u smjernicama SP 800-63B-4 (srpanj 2025.) otpornost na phishing definira kao svojstvo protokola koje ne ovisi o oprezu korisnika. Lozinke, SMS i jednokratni kodovi te potvrde na drugom uređaju nisu otporni na phishing. Usluge na srednjoj razini sigurnosti moraju ponuditi barem jednu metodu otpornu na phishing. Za administratore i financije to je mjera s najvećim učinkom.

Organizacijske mjere

• odvojeni administratorski računi i najmanje potrebne ovlasti;
• pravilo dviju osoba i potvrda drugim kanalom za uplate, promjenu IBAN-a dobavljača i resetiranje MFA;
• prijava sumnjive poruke jednim klikom;
• javno objavljeno kako tvrtka komunicira s klijentima i koje podatke nikada ne traži porukom;
• plan odgovora na kompromitiran račun e-pošte.

Edukacija i phishing simulacije

Ključni i važni subjekti moraju osigurati obuku iz kibernetičke higijene za sve zaposlenike odmah nakon zapošljavanja i redovito tijekom rada, u sklopu programa podizanja svijesti. Uredba kao primjer navodi da svi zaposlenici moraju proći osposobljavanje za sigurno korištenje e-pošte i interneta (Prilog II., mjera 4.4.). Članovi uprave prema čl. 29. Zakona o kibernetičkoj sigurnosti moraju i sami proći osposobljavanje.

Dobar program je kratak, redovit i prilagođen ulozi:

• financije: lažni nalozi, promjena IBAN-a, BEC;
• uprava: whaling, deepfake poziv, zahtjevi za tajnim uplatama;
• IT i podrška: resetiranje lozinke i MFA na zahtjev „korisnika”;
• svi zaposlenici: prepoznavanje, prijava i postupak nakon klika.

Simulacija phishinga pokazuje kako zaposlenici i tim reagiraju na stvarnu poruku. Propisi je ne nameću, ali je dobar način da se dokaže djelotvornost obuke. Prije simulacije odredite svrhu, uključite službenika za zaštitu podataka i ne objavljujte imena onih koji su kliknuli. Korisnije metrike od stope klika su udio prijavljenih poruka, vrijeme do prve prijave i vrijeme do blokiranja kampanje.

Edukaciju i simulacije provodimo kroz uslugu phishing edukacije i simulacija.

Obveze prema NIS2 i GDPR-u

Zakon o kibernetičkoj sigurnosti. Primljena ili blokirana phishing poruka nije značajan incident. Ako phishing dovede do značajnog incidenta, primjerice ransomwarea ili curenja podataka, ključni i važni subjekti šalju nadležnom CSIRT-u rano upozorenje u 24 sata, početnu obavijest u 72 sata i završno izvješće u 30 dana od početne obavijesti.

GDPR. Ako je phishingom ugrožena povjerljivost osobnih podataka, primjerice napadač je pristupio pretincu e-pošte s podacima klijenata, voditelj obrade povredu prijavljuje AZOP-u u 72 sata od saznanja, osim ako nije vjerojatno da će prouzročiti rizik za pojedince. Kod visokog rizika obavještavaju se i pogođene osobe (čl. 33. i 34.).

Česta pitanja

Sljedeći korak

Phishing edukaciju i simulacije za zaposlenike provodimo kroz uslugu phishing edukacije, a zaštitu e-pošte, identiteta i postupak odgovora kroz usluge kibernetičke sigurnosti. Pregled ostalih napada donosi vodič Kibernetički napadi, a postupanje kada phishing završi ransomwareom vodič Ransomware napad.

Izvori i pregled

Pregledano 4. studenoga 2026. prema sljedećim izvorima:

• Nacionalni CERT: Phishing
• Nacionalni CERT: Kako prepoznati phishing?
• Nacionalni CERT: godišnji izvještaj za 2025.
• AZOP: Phishing napadi, kako ih prepoznati i zaštititi se
• ENISA Threat Landscape 2025
• NIST SP 800-63B-4: Authentication and Authenticator Management
• NCSC: Phishing attacks, defending your organisation
• Uredba o kibernetičkoj sigurnosti, NN 135/2024, Prilog II.
• NCSC-HR: Pregled implementacije Zakona o kibernetičkoj sigurnosti, Q3 2026.
• MUP: Izvješće o radu policije u 2025. godini
• Kazneni zakon, NN 125/2011
• CNN: Arup potvrdio deepfake prijevaru od 25 milijuna dolara

Vodič daje opće informacije. Tehnički odgovor i obveze prijave ovise o stvarnom učinku incidenta, kategoriji subjekta i pogođenim podacima.