Kopija prijavne stranice danas se izgledom ne razlikuje od originala zato što se logotip, boje, raspored i tekst jednostavno preuzmu s njega. Pravopis je uredan, slike se učitavaju, katanac stoji na svom mjestu.
Adresa u traci preglednika ne može se preuzeti s originala. Ime pod kojim stranica stoji neko je morao registrovati, a već zauzeto ime ne može dobiti niko drugi. Zato lažna stranica uvijek stoji na nekoj drugoj adresi, ma koliko ta adresa ličila na pravu.
Najvažnije iz vodiča
Krajnje desno je nastavak: .ba, .com, .net, .info, .online i slično. On označava registar u kojem se ime vodi, bez podatka o tome ko ga je uzeo.
Neposredno lijevo od nastavka je registrovano ime. To je jedini dio koji je neko kupio i koji niko drugi ne može uzeti dok traje zakup. Nastavak i to ime zajedno su prava adresa stranice.
Sve lijevo od registrovanog imena je poddomen. Njega vlasnik dopisuje sam, besplatno i koliko god puta hoće. Tu može pisati prijava, sigurno, banka ili ime bilo koje institucije.
Ostali tekstovi u ovoj grupi opisuju kako pojedine internet prevare izgledaju i šta se radi kad je greška već napravljena. Za provjeru adrese treba pogledati kraj imena. Njeni dijelovi imaju različito značenje, a sam početak imena ne dokazuje čija je stranica.
Čitanje adrese zdesna nalijevo
Adresu prvo treba prelomiti na dva dijela. Ime stranice počinje odmah iza https:// i traje do prve kose crte. Putanja je sve iza te crte, i nju vlasnik stranice piše kako mu je volja. U putanji može stajati bilo koja riječ, uključujući ime banke, pošte ili institucije, i to ne košta ništa. Putanja zato ne dokazuje ništa.
Ime čitajte zdesna nalijevo, suprotno uobičajenom smjeru čitanja, jer s desne strane stoji ono što je neko morao platiti i registrovati.
Krajnje desno je nastavak: .ba, .com, .net, .info, .online i slično. On označava registar u kojem se ime vodi, bez podatka o tome ko ga je uzeo.
Neposredno lijevo od nastavka je registrovano ime. To je jedini dio koji je neko kupio i koji niko drugi ne može uzeti dok traje zakup. Nastavak i to ime zajedno su prava adresa stranice.
Sve lijevo od registrovanog imena je poddomen. Njega vlasnik dopisuje sam, besplatno i koliko god puta hoće. Tu može pisati prijava, sigurno, banka ili ime bilo koje institucije.
Za provjeru u većini slučajeva dovoljno je sljedeće: nađite nastavak na kraju imena, uzmite jednu riječ lijevo od njega, i to dvoje zajedno je adresa na kojoj se stvarno nalazite. Ako to nije adresa koju ste očekivali, ostatak nema smisla ni čitati.
Čest izuzetak u BiH su nastavci od dva dijela: .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Kod njih se jedna riječ uzima lijevo od cijelog nastavka. U imenu sluzba.primjer.gov.ba nastavak je .gov.ba, registrovano ime je primjer, a prava adresa primjer.gov.ba.
Tabela pokazuje kako isto pravilo radi na oblicima koji u praksi najviše zbunjuju. Sve adrese u njoj su izmišljene.
Skraćivač ne pokazuje odredište. Adresa se saznaje tek kad se link otvori.
Isto vrijedi i za adresu e-pošte. Ime iza znaka @ čita se na isti način, s kraja. Poruka s adrese kojoj u nastavku fali jedno slovo ili u kojoj crtica stoji umjesto tačke dolazi s druge adrese, ma koliko lijevi dio izgledao poznato.
Izmjene u adresama koje imitiraju institucije
Adrese se namjerno prave tako da lijevi dio, onaj koji oko prvo uhvati, izgleda poznato, a da desni dio, onaj koji odlučuje, prođe nezapaženo. Nekoliko oblika se stalno ponavlja.
Crtica umjesto tačke. U pravoj adresi dva dijela razdvaja tačka, u lažnoj ih crtica spaja u jednu riječ. Oko to preskoči, a registrovano ime je drugo.
Dopisana riječ. Uz poznato ime stane prijava, nalog, sigurno, servis ili provjera. Nastalo je novo ime, koje s prvim nema veze.
Zamijenjeno slovo ili broj. Nula umjesto slova o, veliko I umjesto malog l, dva slova koja zajedno liče na jedno. Na telefonskom ekranu se to praktično ne vidi.
Slovo iz drugog pisma. Neka ćirilična i grčka slova izgledaju identično latiničnim. Preglednici to hvataju i takvo ime često prikažu u tehničkom obliku koji počinje sa xn--. Kad se takav oblik pojavi u traci, dalje se ne ide.
Drugi nastavak. Isto ime, ali .com umjesto .ba ili obrnuto. Nastavak je dio adrese kao i sve ostalo u njoj: promijeni se nastavak, promijenio se vlasnik.
Ime institucije umetnuto u sredinu. Može stajati u poddomenu, u putanji ili iza upitnika. Ništa od toga ne košta i ništa od toga ne dokazuje.
Skraćena adresa. Skraćivači sakriju odredište do trenutka otvaranja. Institucija koja ima svoju adresu nema razloga slati vam tuđu.
Pretpostavka da nastavak .ba znači domaće i provjereno može donijeti veliku štetu. Registar .ba domena je Univerzitetski tele-informatički centar i za obično .ba ime ne traži nikakvu dodatnu dokumentaciju, pa ga mogu uzeti i firma i pojedinac. Dokumentacija se traži samo za .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Nastavak .ba, dakle, ne govori ko stoji iza stranice.
Ko želi provjeriti, podatke o korisniku .ba imena traži kroz WHOIS na stranici registra. Nisu uvijek objavljeni: kad je ime uzelo fizičko lice, podatak se dobija samo uz njegovo odobrenje. Prazan rezultat zato ne govori ništa ni u jednom smjeru.
Značenje katanca i ograničenja vizuelne provjere
Katanac pored adrese označava samo šifrovanu vezu između vašeg uređaja i te stranice, pa je niko usput ne može pročitati ni izmijeniti. O tome ko drži stranicu ne govori ništa.
Razlog je u načinu na koji se certifikat dobija. Uobičajeni certifikat danas je besplatan i izdaje se automatski, a provjerava se samo to da onaj ko ga traži upravlja tom adresom. Ime, firma i namjera se ne provjeravaju. Prevarant koji je registrovao svoju adresu taj uslov ispunjava jednako kao i banka.
Chrome je 2023. godine katanac izbacio iz adresne trake i zamijenio ga ikonom za postavke stranice. Obrazloženje je bilo da je njegovo značenje tačno razumjelo jedanaest posto ispitanika i da gotovo sve lažne stranice ionako koriste šifrovanu vezu.
Kad preglednik javi da veza nije sigurna, na toj stranici se ne unosi ništa. Prisustvo katanca ipak ne potvrđuje da je stranica sigurna.
Ostali savjeti iz ranijih godina istrošili su se iz istog razloga. Gramatičke greške bile su koristan znak dok su poruke pisali ljudi koji jezik ne znaju, a danas se tekst prevede i ispravi bez ikakvog truda. Uredan dizajn nikad i nije bio dokaz, sada je uz to i jeftin. Adresa pošiljaoca i zaglavlje e-poruke mogu se lažirati, pa ni oni ne odlučuju.
Jedna pogrešna adresa dovoljan je razlog za sumnju i kad deset drugih detalja izgleda uredno. Prava adresa vrijedi više od tih deset detalja, jer od svega vidljivog na ekranu samo ona nešto dokazuje.
Ručni upis poznate adrese
Ručnim upisom poznate adrese izbjegavate potrebu da čitate adresu iz poruke, što preporučuje i policija. MUP Kantona Sarajevo u kampanji o zaštiti od cyber kriminala piše: "neophodno je biti posebno oprezan prilikom plaćanja putem interneta, uvijek provjeriti da li je stranica na kojoj se nalazite zaštićena. Kako bi se uvjerili da se ide na vjerodostojnu stranicu, potrebno je upisati adresu u preglednik, umjesto klika na link (poveznicu)."
Ručnim upisom sami birate adresu, bez oslanjanja na poruku. Nema šta da se čita ni upoređuje, jer tuđi link nije ni otvoren.
Tačnu adresu uzmite iz izvora izvan poruke: s poleđine kartice, s ugovora, s papirnog računa, iz aplikacije koju ste sami instalirali. Ni prvi rezultat u pretraživaču nije dokaz, jer se mjesto na vrhu liste može platiti.
Kad jednom nađete tačnu adresu, spremite je u zabilješke preglednika i ubuduće ulazite kroz nju. To se uradi jednom i vrijedi svaki sljedeći put.
Prijavna stranica je jedino mjesto za unos lozinke. Kopija te stranice ne razlikuje se od originala jer je s njega i prepisana. Razlika je isključivo u adresi, a adresu je u ovom slučaju izabrala poruka umjesto vas.
Zabrana unosa podataka nakon klika iz poruke
Lozinka, PIN, CVV i kôd koji vam je banka upravo poslala ne unose se na stranicu do koje ste došli klikom iz poruke. Ako je poruka stvarna, isto obavještenje naći ćete i kad na zvaničnu adresu uđete sami, pa se ništa ne gubi čekanjem.
Upravljač lozinki često prepozna razliku koju korisnik ne vidi jer polja popunjava prema adresi. Zapamti registrovano ime i nastavak, pa ponudi lozinku tek kad se poklope. Poddomen ne sprečava popunjavanje, ali drugi nastavak ga sprečava. Zato na kopiji stranice ne nudi lozinku.
Ako upravljač ne ponudi lozinku, to upozorava na problem s adresom i nije kvar. Ne otvarajte ga radi ručnog kopiranja lozinke. Provjerite adresu, čime obično otkrivate problem. Upravljač ugrađen u sam preglednik radi po istom principu.
Prijavna stranica traži korisničko ime i lozinku, po potrebi i kôd iz aplikacije koju ste sami postavili. Ne traži broj kartice, CVV s poleđine, PIN ni kôd iz SMS-a. Kad se to pojavi na prijavi, stranica nije bankina: banka te podatke ne traži ni SMS-om, ni e-poštom, ni telefonom.
Ako ste već na takvoj stranici, a ništa niste unijeli, dovoljno je zatvoriti stranicu. Samo otvaranje obično nije trenutak krađe. Šteta počinje kad se podatak upiše u polje ili kad se instalira nešto što je stranica ponudila.
Provjera adrese u QR kodu
QR kôd zapisuje adresu u obliku slike. Skeniranje je isto što i klik, s tim da se prije skeniranja ne vidi kuda vodi.
Telefoni pri skeniranju najčešće prvo prikažu adresu i pitaju hoćete li je otvoriti. Prije otvaranja nađite nastavak, uzmite jednu riječ lijevo od njega, pa odlučite. Ako se adresa ne poklapa s očekivanom, otvaranje se otkaže.
Kôd odštampan na naljepnici, plakatu ili u poruci ne nosi nikakav dokaz o tome ko ga je tu postavio. Naljepnica se preko druge naljepnice zalijepi bez traga. Kad je s druge strane koda plaćanje, adresu je bolje otkucati ručno.
Postupci pri sumnji u adresu
U većini sumnjivih situacija prekinite unos i provjerite adresu prema sljedećim primjerima.
Adresa se ne poklapa s onom koju znate: ne unosite ništa i zatvorite stranicu.
Ime institucije stoji negdje u sredini adrese: provjerite kraj imena; sredina ne potvrđuje čija je adresa.
Link je skraćen: ne otvarajte ga. Uđite kroz adresu koju već imate.
Preglednik prikazuje ime u obliku sa xn--: to je upozorenje na slova iz drugog pisma i tu se staje.
Upravljač lozinki ne nudi da popuni polje: prvo provjerite adresu, pa tek onda bilo šta kucajte.
Prijavna stranica traži broj kartice, CVV, PIN ili kôd iz SMS-a: prekinite, to nije prijava.
Sve izgleda uredno, ali poruka je stigla nenajavljeno: adresu otkucajte sami i pogledajte stoji li isto obavještenje tamo.
Ako je podatak već otišao ili je novac skinut, prijava se ne ostavlja za kasnije. Elektronski obrazac MUP-a služi za anonimnu dojavu saznanja i nije isto što i krivična prijava oštećenog: nju podnosite lično, s vlastitim podacima i dokazima, u policijskoj stanici ili tužilaštvu. Prije toga sačuvajte dokaze koji zaista pomažu, prije svega adresu stranice, snimke ekrana i vrijeme kontakta.
Kampanja MUP-a Kantona Sarajevo: preporuka da se adresa upiše u preglednik umjesto klika na link, opis phishinga, lažnih skočnih prozora i programa za zastrašivanje.
Preventivne upute jedinice koja radi na visokotehnološkom kriminalu u RS, uz konkretne primjere adresa u kojima je slovo zamijenjeno brojem ili tačka crticom.
Novinski pregled kanala kroz koje prevare stižu građanima u BiH, s objašnjenjem šta je kompjuterska prevara kao krivično djelo.
Često postavljena pitanja
Kako da vidim pravu adresu linka u SMS-u bez klikanja?
Na telefonu dugi pritisak na link otvara meni s opcijom kopiranja ili prikaza adrese, pa se puna adresa vidi bez otvaranja. Na računaru zadržite pokazivač miša iznad linka da se adresa pojavi u dnu prozora. Ako aplikacija ne nudi ni jedno ni drugo, poruku obrišite. Ništa se ne gubi, jer isto obavještenje možete potražiti sami, na adresi koju već znate.
Koji su najčešći trikovi u adresama koje imitiraju poznate institucije?
Crtica umjesto tačke, pa dva dijela prave adrese srastu u jedno novo ime. Dopisana riječ uz poznato ime, tipa prijava, nalog ili sigurno. Zamijenjeno slovo, najčešće nula umjesto slova o. Drugi nastavak, .com umjesto .ba ili obrnuto. I ime institucije ubačeno u poddomen ili u putanju, gdje ne znači ništa. Provjera je uvijek ista: nastavak na kraju imena i jedna riječ lijevo od njega.
Šta ako se ne snalazim s adresama, mogu li zaobići čitanje?
Možete, i to je službena preporuka MUP-a Kantona Sarajevo: adresu upisati u preglednik umjesto klika na link. Ako čekate paket, uđite na stranicu prevoznika koju inače koristite. Ako je poruka navodno od banke, otvorite aplikaciju banke. Pitanje kako se adresa čita tako se uopšte ne postavlja, jer tuđa adresa nije ni otvorena.
Postoje li alati koji provjeravaju da li je link siguran?
Postoje, i preglednici ih uglavnom već imaju ugrađene: adresa se poredi s listom stranica koje su ranije prijavljene kao lažne, pa preglednik prikaže upozorenje prije otvaranja. Slične provjere nude se i kao zasebni servisi. Ograničenje je kod svih isto: hvataju ono što je već prijavljeno, a nove adrese se prave brže nego što stižu na liste. Pozitivan rezultat takve provjere govori samo da adresa još nije prijavljena.
Je li pametno kliknuti na link samo da vidim kako stranica izgleda?
Kopija izgleda kao original, pa izgled ne otkriva prevaru. Razlika se vidi u adresi. Uz to, stranica može ponuditi preuzimanje datoteke ili zatražiti dozvolu koju je lakše dati nego povući. Ako vas zanima postoji li stvarno to obavještenje, potražite ga na adresi koju ste sami otkucali.
Šta ako sam kliknuo i vidio stranicu, ali nisam ništa unio?
Zatvorite karticu i tu obično prestaje. Sam prikaz stranice nije trenutak krađe; podatak odlazi kad se upiše u polje ili kad se pokrene nešto što je stranica ponudila. Provjerite ipak da nešto nije završilo u folderu za preuzimanja i da nije instalirana aplikacija koju niste tražili. Ako ste nešto unijeli, važno je šta se radi u prvih petnaest minuta.
Šta znači kad preglednik adresu prikaže u obliku koji počinje sa xn--?
To je znak da su u imenu slova koja ne pripadaju latinici, a izgledaju kao latinična, najčešće ćirilična ili grčka. Preglednik takvo ime prikaže u tehničkom obliku upravo zato da razlika postane vidljiva. Na adresi koju ste očekivali toga nema, pa se dalje ne ide. Zaštita nije potpuna i ne hvata svaki slučaj, zbog čega i dalje vrijedi pravilo ručnog upisa.
Znači li nastavak .ba da je stranica domaća i provjerena?
Ne znači. Registar .ba domena je Univerzitetski tele-informatički centar, i za obično .ba ime ne traži dodatnu dokumentaciju: uzeti ga mogu i pravno i fizičko lice. Dokumentacija se traži samo za nastavke .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Ko je uzeo neko .ba ime može se potražiti kroz WHOIS na stranici registra, ali ako je korisnik fizičko lice, podatak se dobija samo uz njegovo odobrenje.
