Kako prepoznati phishing e-poštu: provjera od 30 sekundi koja i 2026. djeluje

Prepoznavanje phishing e-pošte nekad je bilo jednostavno: loš hrvatski, čudan oslov, mutan logo. To je prošlost. Lažne poruke danas nastaju strojno, na besprijekornom jeziku, s ispravnim logom i prikladnim naslovom. Dobra vijest: postoje tri pitanja koja ipak djeluju – i za njih ne treba ni pola minute.

Kratak odgovor

Provjera od 30 sekundi sastoji se od tri pitanja:

• Jesam li ovo očekivao/la? Ako poruka stiže niotkuda, oprez je na mjestu – bez obzira koliko izgleda vjerodostojno.
• Kamo poveznica zapravo vodi? Ne gledajte tekst poveznice, nego stvarno odredište. Presudan je naziv neposredno prije prve jednostruke kose crte.
• Vrši li se pritisak na mene? Rok, blokada, opomena, „posljednje upozorenje" – pritisak je najvažniji alat napadača.

Dva puta „da" na pitanja 2 i 3, ili „ne" na pitanje 1: ne klikajte.

Zašto stari savjet o pravopisnim greškama više ne pomaže

Godinama je to bio standardni savjet: pazite na tipfelere i loše prijevode. U međuvremenu to nije samo beskorisno, nego je opasno – jer stvara lažan osjećaj sigurnosti.

Lažne poruke danas su uglavnom strojno sastavljene. Jezično su besprijekorne, koriste ispravan oslov i često se nadovezuju na stvaran povod: narudžbu koju ste doista napravili, paket koji je doista na putu, račun koji odgovara vašoj svakodnevici.

Tko 2026. traži pogreške, neće ih naći – i onda klikne.

Što iz toga slijedi: ne oslanjajte se više na to kako poruka izgleda. Provjerite što ona želi i kamo vodi.

Pitanje 1: Jesam li ovo očekivao/la?

Najjednostavnije i najučinkovitije pitanje. Račun od ponuđača od kojeg ništa niste kupili. Obavijest o paketu iako niste ništa naručili. Upozorenje vaše banke iako je sve normalno.

Neočekivano ne znači automatski lažno. Ali neočekivano znači: prvo provjerite, tek onda djelujte.

I vrlo važno: naziv pošiljatelja u vašem sandučiću može odabrati bilo tko. Ondje može pisati „banka", „DHL" ili „Microsoft", dok stvarna adresa iza toga glasi sasvim drugačije. Na mobitelu pogledajte punu adresu pošiljatelja – obično dodirom na naziv. Prikazani naziv sam po sebi ne govori ništa.

Pitanje 2: Kamo poveznica zapravo vodi?

To je srž cijele stvari, i upravo tu većina griješi.

• Na računalu: prijeđite mišem preko poveznice, bez klika. U donjem lijevom kutu prozora pojavljuje se stvarno odredište.
• Na mobitelu: dugo pritisnite poveznicu umjesto da je dodirnete. Otvara se pregled s punom adresom.

A sad dio koji gotovo nitko ne radi ispravno: takvu adresu čitate zdesna nalijevo.

Presudan je naziv neposredno prije prve jednostruke kose crte:

• https://www.mojabanka.hr/login → pripada mojabanka.hr. Pravo.
• https://mojabanka.sigurnosna-nadogradnja.com/login → pripada sigurnosna-nadogradnja.com. Lažno. „mojabanka" je ovdje samo dodatak ispred, koji svatko može slobodno izmisliti.
• https://mojabanka-hr-portal.info/… → pripada mojabanka-hr-portal.info. Lažno.

Sve ispred stvarnog naziva proizvoljno je. Broji se samo dio neposredno prije prve kose crte.

Dvije stvari koje pritom ništa ne dokazuju:

• Ikona lokota i „https". To znači samo da je veza šifrirana – ne da je stranica poštena. Lažne stranice danas to imaju po defaultu.
• Skraćena poveznica (bit.ly i slično). Odredište uopće ne vidite. U neočekivanoj poruci skraćena je poveznica sama po sebi upozoravajući znak.

Pitanje 3: Vrši li se pritisak na mene?

Prijevara funkcionira na žurbi. Tko mirno razmisli, ne klika. Zato u takvim porukama gotovo uvijek stoji neka varijanta ovoga:

• „Vaš će račun biti blokiran za 24 sata."
• „Posljednja opomena prije naplate."
• „Neuobičajena prijava – molimo odmah potvrdite."
• „Vaš se paket ne može dostaviti, platite carinsku pristojbu odmah."

Ozbiljne tvrtke ne postavljaju satne rokove e-poštom, a vaša banka nikad e-poštom ne traži pristupne podatke, PIN ili TAN. Nikad.

U kombinaciji s pitanjem 1 time imate gotovo sve: neočekivano plus hitno gotovo je uvijek pokušaj prijevare.

Novije prijevare: QR kodovi i pozivi

Dvije varijante posljednje su vrijeme znatno porasle, a obje zaobilaze klasične mehanizme zaštite.

QR kodovi u porukama, PDF-ovima i pismima. Umjesto poveznice, u poruci se nalazi QR kod. To napadačima donosi dvije prednosti: filtar programi ne mogu u slici pročitati sumnjivu poveznicu, a vi za skeniranje prelazite na mobitel – gdje je adresa slabo vidljiva, a zaštita obično slabija. U međuvremenu se takvi kodovi pojavljuju i na lažnim zahtjevima za plaćanje u papirnatom obliku.

Pravilo: QR kod iz neočekivane poruke ne skenirajte. A ako ga skenirate, adresu u pregledu pročitajte prije nego što potvrdite bilo što.

Pozivi s poznatim glasom. Glasove je danas moguće oponašati na temelju svega nekoliko sekundi snimke. Prepoznavanje po glasu više nije dovoljno.

Pravilo: kod svakog telefonskog zahtjeva za plaćanjem ili predajom podataka, poklopite i sami nazovite natrag – na broj koji već znate, ne na onaj koji vam je upravo naveden.

Najučinkovitiji refleks od svih

Ako iz ovog članka ponesete samo jednu stvar, neka bude ova:

Nikad ne kliknite poveznicu u poruci. Sami odite na stranicu.

Dakle: otvorite preglednik, sami upišite adresu svoje banke, trgovine ili dostavne službe, ili upotrijebite spremljenu oznaku, i prijavite se ondje. Ako problem stvarno postoji, obavijest ćete naći u svom računu. Ako ondje ničega nema, poruka je bila lažna.

Taj jedan refleks čini gotovo svaku phishing poruku bezopasnom – bez obzira koliko je dobro napravljena. I stoji vas samo deset sekundi više od klika.

Već ste kliknuli: što sad?

Nema razloga za paniku, ali sad je bitan redoslijed.

• Samo ste otvorili stranicu, ništa niste unijeli? U većini slučajeva nije se ništa dogodilo. Zatvorite karticu i nastavite dalje. Ako se bez vašeg sudjelovanja pokrenulo preuzimanje: datoteku ne otvarajte, izbrišite je.
• Unijeli ste pristupne podatke? Odmah promijenite lozinku – i to s drugog uređaja, u slučaju da je računalo ugroženo. Ako istu lozinku koristite i drugdje, promijenite je i ondje. To je najčešća posljedična šteta.
• Uključite dvofaktorsku potvrdu, gdje god je moguće. Time je ukradena lozinka sama po sebi često beskorisna.
• Predali ste bankovne podatke ili TAN? Odmah nazovite svoju banku i zatražite blokadu računa. Ne čekajte do sutra.
• Otvorili ste privitak ili pokrenuli program? Odspojite uređaj s mreže – isključite Wi-Fi, izvucite kabel – i prestanite raditi na njemu. Odavde nadalje isplati se potražiti tuđu pomoć prije nego što nešto prepišete preko postojećega.
• Prijava prijevare moguća je i smislena ako je novac stvarno otišao.

Zaključak

Phishing e-poštu 2026. ne prepoznajete više po izgledu, nego po ponašanju: neočekivano, hitno, s poveznicom ili QR kodom prema stranici za prijavu. Dovoljna su tri pitanja – jesam li očekivao/la, kamo vodi poveznica, vrši li se pritisak na mene.

A kad niste sigurni, vrijedi najjednostavnije pravilo: ne klikati, nego sami otići na stranicu. Poruku koja je stvarno važna naći ćete i kad se prijavite na uobičajen način.

Česta pitanja

Je li opasno već samo otvoriti phishing poruku? U pravilu nije. Opasno postaje kad kliknete poveznicu, otvorite privitak ili negdje unesete podatke. Samo čitanje u uobičajenim programima za e-poštu nije problem.

Kako prepoznati je li adresa pošiljatelja prava? Ne gledajte prikazani naziv, nego punu adresu – i to dio iza znaka @. I taj se dio čita zdesna nalijevo: [email protected] djeluje uvjerljivo, [email protected] pripada domeni sigurna-prijava.com i lažna je.

Je li antivirusni program dovoljna zaštita? Pomaže, ali nije dovoljan. Phishing ne napada softver, nego vašu pažnju. Protiv lažne stranice za prijavu na koju sami dragovoljno upišete lozinku nijedan program ne može ništa.

Što napraviti s prepoznatom phishing porukom? Ne odgovarajte, ne klikajte, ništa ne prosljeđujte. Označite je kao neželjenu poštu ili phishing u svom programu za e-poštu i izbrišite je. Ako želite, možete je prijaviti pogođenoj tvrtki preko njihove službene kontakt stranice.

Dobio/la sam pismo s QR kodom poštom – može li to biti prijevara? Da, to se događa. Lažni zahtjevi za plaćanje s QR kodom u međuvremenu se šalju i na papiru. Kod ne skenirajte, nego se izravno obratite navodnom pošiljatelju preko broja ili adrese koju ste sami provjerili.