Lažna stranica se danas ne prepoznaje po izgledu. Kopija prijavne stranice izgleda kao original zato što se logotip, boje, raspored i tekst jednostavno preuzmu s njega. Pravopis je uredan, slike se učitavaju, katanac stoji na svom mjestu.
Jedno se ne može preuzeti, a to je adresa u traci preglednika. Ime pod kojim stranica stoji neko je morao registrovati, a već zauzeto ime ne može dobiti niko drugi. Zato lažna stranica uvijek stoji na nekoj drugoj adresi, ma koliko ta adresa ličila na pravu.
Najvažnije iz vodiča
Krajnje desno je nastavak: .ba, .com, .net, .info, .online i slično. On govori u kojem se registru ime vodi, a ne ko ga je uzeo.
Neposredno lijevo od nastavka je registrovano ime. To je jedini dio koji je neko kupio i koji niko drugi ne može uzeti dok traje zakup. Nastavak i to ime zajedno su prava adresa stranice.
Sve lijevo od registrovanog imena je poddomen. Njega vlasnik dopisuje sam, besplatno i koliko god puta hoće. Tu može pisati prijava, sigurno, banka ili ime bilo koje institucije.
Ostali tekstovi u ovoj grupi opisuju kako pojedine internet prevare izgledaju i šta se radi kad je greška već napravljena. Ovdje je tema samo adresa: gdje se u njoj gleda, šta koji dio znači i šta ne znači. Gleda se kraj imena, ne početak, i to je uglavnom cijela vještina.
Kako se čita adresa: zdesna nalijevo
Adresu prvo treba prelomiti na dva dijela. Ime stranice počinje odmah iza https:// i traje do prve kose crte. Putanja je sve iza te crte, i nju vlasnik stranice piše kako mu je volja. U putanji može stajati bilo koja riječ, uključujući ime banke, pošte ili institucije, i to ne košta ništa. Putanja zato ne dokazuje ništa.
Ime se ne čita slijeva nadesno, kako se inače čita. Čita se s kraja, jer s desne strane stoji ono što je neko morao platiti i registrovati.
Krajnje desno je nastavak: .ba, .com, .net, .info, .online i slično. On govori u kojem se registru ime vodi, a ne ko ga je uzeo.
Neposredno lijevo od nastavka je registrovano ime. To je jedini dio koji je neko kupio i koji niko drugi ne može uzeti dok traje zakup. Nastavak i to ime zajedno su prava adresa stranice.
Sve lijevo od registrovanog imena je poddomen. Njega vlasnik dopisuje sam, besplatno i koliko god puta hoće. Tu može pisati prijava, sigurno, banka ili ime bilo koje institucije.
Otud pravilo koje rješava većinu slučajeva. Nađite nastavak na kraju imena, uzmite jednu riječ lijevo od njega, i to dvoje zajedno je adresa na kojoj se stvarno nalazite. Ako to nije adresa koju ste očekivali, ostatak nema smisla ni čitati.
Jedan izuzetak treba znati, jer je u BiH čest. Neki nastavci imaju dva dijela: .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Kod njih se jedna riječ uzima lijevo od cijelog nastavka. U imenu sluzba.primjer.gov.ba nastavak je .gov.ba, registrovano ime je primjer, a prava adresa primjer.gov.ba.
Tabela pokazuje kako isto pravilo radi na oblicima koji u praksi najviše zbunjuju. Sve adrese u njoj su izmišljene.
Skraćivač ne pokazuje odredište. Adresa se saznaje tek kad se link otvori.
Isto vrijedi i za adresu e-pošte. Ime iza znaka @ čita se na isti način, s kraja. Poruka s adrese kojoj u nastavku fali jedno slovo ili u kojoj crtica stoji umjesto tačke dolazi s druge adrese, ma koliko lijevi dio izgledao poznato.
Šta u adresi vara oko
Adrese se ne izmišljaju nasumično. Prave se tako da lijevi dio, onaj koji oko prvo uhvati, izgleda poznato, a da desni dio, onaj koji odlučuje, prođe nezapaženo. Nekoliko oblika se stalno ponavlja.
Crtica umjesto tačke. U pravoj adresi dva dijela razdvaja tačka, u lažnoj ih crtica spaja u jednu riječ. Oko to preskoči, a registrovano ime je drugo.
Dopisana riječ. Uz poznato ime stane prijava, nalog, sigurno, servis ili provjera. Nastalo je novo ime, koje s prvim nema veze.
Zamijenjeno slovo ili broj. Nula umjesto slova o, veliko I umjesto malog l, dva slova koja zajedno liče na jedno. Na telefonskom ekranu se to praktično ne vidi.
Slovo iz drugog pisma. Neka ćirilična i grčka slova izgledaju identično latiničnim. Preglednici to hvataju i takvo ime često prikažu u tehničkom obliku koji počinje sa xn--. Kad se takav oblik pojavi u traci, dalje se ne ide.
Drugi nastavak. Isto ime, ali .com umjesto .ba ili obrnuto. Nastavak je dio adrese kao i sve ostalo u njoj: promijeni se nastavak, promijenio se vlasnik.
Ime institucije umetnuto u sredinu. Može stajati u poddomenu, u putanji ili iza upitnika. Ništa od toga ne košta i ništa od toga ne dokazuje.
Skraćena adresa. Skraćivači sakriju odredište do trenutka otvaranja. Institucija koja ima svoju adresu nema razloga slati vam tuđu.
Jedna zabluda je ovdje posebno skupa: da nastavak .ba znači domaće i provjereno. Registar .ba domena je Univerzitetski tele-informatički centar i za obično .ba ime ne traži nikakvu dodatnu dokumentaciju, pa ga mogu uzeti i firma i pojedinac. Dokumentacija se traži samo za .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Nastavak .ba, dakle, ne govori ko stoji iza stranice.
Ko želi provjeriti, podatke o korisniku .ba imena traži kroz WHOIS na stranici registra. Nisu uvijek objavljeni: kad je ime uzelo fizičko lice, podatak se dobija samo uz njegovo odobrenje. Prazan rezultat zato ne govori ništa ni u jednom smjeru.
Katanac, https i ostalo što ništa ne dokazuje
Katanac pored adrese znači tačno jednu stvar: veza između vašeg uređaja i te stranice je šifrovana, pa je niko usput ne može pročitati ni izmijeniti. O tome ko drži stranicu ne govori ništa.
Razlog je u načinu na koji se certifikat dobija. Uobičajeni certifikat danas je besplatan i izdaje se automatski, a provjerava se samo to da onaj ko ga traži upravlja tom adresom. Ime, firma i namjera se ne provjeravaju. Prevarant koji je registrovao svoju adresu taj uslov ispunjava jednako kao i banka.
Chrome je 2023. godine katanac izbacio iz adresne trake i zamijenio ga ikonom za postavke stranice. Obrazloženje je bilo da je njegovo značenje tačno razumjelo jedanaest posto ispitanika i da gotovo sve lažne stranice ionako koriste šifrovanu vezu.
Odsustvo katanca i dalje nešto znači. Kad preglednik javi da veza nije sigurna, na toj stranici se ne unosi ništa. Obrnuto ne vrijedi: katanac koji stoji nije potvrda ničega.
Ostali savjeti iz ranijih godina istrošili su se iz istog razloga. Gramatičke greške bile su koristan znak dok su poruke pisali ljudi koji jezik ne znaju, a danas se tekst prevede i ispravi bez ikakvog truda. Uredan dizajn nikad i nije bio dokaz, sada je uz to i jeftin. Adresa pošiljaoca i zaglavlje e-poruke mogu se lažirati, pa ni oni ne odlučuju.
Zato ne pomaže brojanje utisaka. Deset stvari koje izgledaju uredno ne poništavaju jednu adresu koja nije prava, a jedna prava adresa vrijedi više od svih deset. Od svega što se na ekranu vidi, samo adresa nešto dokazuje.
Pravilo koje sve ovo rješava odjednom
Postoji potez koji uklanja potrebu da se adresa uopšte čita, i to je službena preporuka. MUP Kantona Sarajevo u kampanji o zaštiti od cyber kriminala piše: "neophodno je biti posebno oprezan prilikom plaćanja putem interneta, uvijek provjeriti da li je stranica na kojoj se nalazite zaštićena. Kako bi se uvjerili da se ide na vjerodostojnu stranicu, potrebno je upisati adresu u preglednik, umjesto klika na link (poveznicu)."
Logika je jednostavna. Kad adresu otkucate sami, birate je vi, a ne poruka. Nema šta da se čita ni upoređuje, jer tuđi link nije ni otvoren.
Ostaje pitanje odakle tačna adresa. Iz izvora koji vam nije stigao u poruci: s poleđine kartice, s ugovora, s papirnog računa, iz aplikacije koju ste sami instalirali. Ni prvi rezultat u pretraživaču nije dokaz, jer se mjesto na vrhu liste može platiti.
Kad jednom nađete tačnu adresu, spremite je u zabilješke preglednika i ubuduće ulazite kroz nju. To se uradi jednom i vrijedi svaki sljedeći put.
Stranica za prijavu: zašto se lozinka ne unosi poslije klika
Prijavna stranica je jedino mjesto gdje lozinka izlazi iz vaše glave. Kopija te stranice ne razlikuje se od originala jer je s njega i prepisana. Razlika je isključivo u adresi, a adresu je u ovom slučaju izabrala poruka umjesto vas.
Pravilo bez izuzetka
Lozinka, PIN, CVV i kôd koji vam je banka upravo poslala ne unose se na stranicu do koje ste došli klikom iz poruke. Ako je poruka stvarna, isto obavještenje naći ćete i kad na zvaničnu adresu uđete sami, pa se ništa ne gubi čekanjem.
Upravljač lozinki tu često primijeti ono što oko ne primijeti. On polja popunjava po adresi: zapamti registrovano ime i nastavak, pa ponudi lozinku tek kad se poklope. Poddomen mu ne smeta, drugi nastavak da. Na kopiji stranice zato jednostavno šuti.
Ta šutnja je signal, ne kvar. Kad se dogodi, ne otvara se upravljač da bi se lozinka prekopirala rukom. Provjeri se adresa, i tu obično bude kraj priče. Upravljač ugrađen u sam preglednik radi po istom principu.
Prijavna stranica traži korisničko ime i lozinku, po potrebi i kôd iz aplikacije koju ste sami postavili. Ne traži broj kartice, CVV s poleđine, PIN ni kôd iz SMS-a. Kad se to pojavi na prijavi, stranica nije bankina: banka te podatke ne traži ni SMS-om, ni e-poštom, ni telefonom.
Ako ste već na takvoj stranici, a ništa niste unijeli, dovoljno je zatvoriti stranicu. Samo otvaranje obično nije trenutak krađe. Šteta počinje kad se podatak upiše u polje ili kad se instalira nešto što je stranica ponudila.
QR kôd je adresa koju ne vidite unaprijed
QR kôd nije ništa drugo nego adresa u obliku slike. Skeniranje je isto što i klik, uz jednu razliku: prije skeniranja se ne vidi kuda vodi.
Zato se provjera pomjera za jedan korak. Telefoni pri skeniranju najčešće prvo prikažu adresu i pitaju hoćete li je otvoriti. Tu se primjenjuje isto pravilo: nađite nastavak, uzmite jednu riječ lijevo od njega, pa odlučite. Ako se adresa ne poklapa s očekivanom, otvaranje se otkaže.
Kôd odštampan na naljepnici, plakatu ili u poruci ne nosi nikakav dokaz o tome ko ga je tu postavio. Naljepnica se preko druge naljepnice zalijepi bez traga. Kad je s druge strane koda plaćanje, adresu je bolje otkucati ručno.
Kratki refleksi
Većina situacija svede se na jednu od ovih, i sve imaju isti izlaz.
Adresa se ne poklapa s onom koju znate: ne unosite ništa i zatvorite stranicu.
Ime institucije stoji negdje u sredini adrese: čitajte kraj imena, ne sredinu.
Link je skraćen: ne otvarajte ga, nego uđite kroz adresu koju već imate.
Preglednik prikazuje ime u obliku sa xn--: to je upozorenje na slova iz drugog pisma i tu se staje.
Upravljač lozinki ne nudi da popuni polje: prvo provjerite adresu, pa tek onda bilo šta kucajte.
Prijavna stranica traži broj kartice, CVV, PIN ili kôd iz SMS-a: prekinite, to nije prijava.
Sve izgleda uredno, ali poruka je stigla nenajavljeno: adresu otkucajte sami i pogledajte stoji li isto obavještenje tamo.
Ako je podatak već otišao ili je novac skinut, prijava se ne ostavlja za kasnije. Elektronski obrazac MUP-a služi za anonimnu dojavu saznanja i nije isto što i krivična prijava oštećenog: nju podnosite lično, s vlastitim podacima i dokazima, u policijskoj stanici ili tužilaštvu. Prije toga sačuvajte dokaze koji zaista pomažu, prije svega adresu stranice, snimke ekrana i vrijeme kontakta.
Kampanja MUP-a Kantona Sarajevo: preporuka da se adresa upiše u preglednik umjesto klika na link, opis phishinga, lažnih skočnih prozora i programa za zastrašivanje.
Preventivne upute jedinice koja radi na visokotehnološkom kriminalu u RS, uz konkretne primjere adresa u kojima je slovo zamijenjeno brojem ili tačka crticom.
Novinski pregled kanala kroz koje prevare stižu građanima u BiH, s objašnjenjem šta je kompjuterska prevara kao krivično djelo.
Često postavljena pitanja
Kako da vidim pravu adresu linka u SMS-u bez klikanja?
Na telefonu dugi pritisak na link otvara meni s opcijom kopiranja ili prikaza adrese, pa se puna adresa vidi bez otvaranja. Na računaru je dovoljno zadržati pokazivač miša iznad linka: adresa se pojavi u dnu prozora. Ako aplikacija ne nudi ni jedno ni drugo, poruku obrišite. Ništa se ne gubi, jer isto obavještenje možete potražiti sami, na adresi koju već znate.
Koji su najčešći trikovi u adresama koje imitiraju poznate institucije?
Crtica umjesto tačke, pa dva dijela prave adrese srastu u jedno novo ime. Dopisana riječ uz poznato ime, tipa prijava, nalog ili sigurno. Zamijenjeno slovo, najčešće nula umjesto slova o. Drugi nastavak, .com umjesto .ba ili obrnuto. I ime institucije ubačeno u poddomen ili u putanju, gdje ne znači ništa. Provjera je uvijek ista: nastavak na kraju imena i jedna riječ lijevo od njega.
Šta ako se ne snalazim s adresama, mogu li zaobići čitanje?
Možete, i to je službena preporuka MUP-a Kantona Sarajevo: adresu upisati u preglednik umjesto klika na link. Ako čekate paket, uđite na stranicu prevoznika koju inače koristite. Ako je poruka navodno od banke, otvorite aplikaciju banke. Pitanje kako se adresa čita tako se uopšte ne postavlja, jer tuđa adresa nije ni otvorena.
Postoje li alati koji provjeravaju da li je link siguran?
Postoje, i preglednici ih uglavnom već imaju ugrađene: adresa se poredi s listom stranica koje su ranije prijavljene kao lažne, pa preglednik prikaže upozorenje prije otvaranja. Slične provjere nude se i kao zasebni servisi. Ograničenje je kod svih isto: hvataju ono što je već prijavljeno, a nove adrese se prave brže nego što stižu na liste. Zeleno svjetlo takve provjere govori samo da adresa još nije prijavljena.
Je li pametno kliknuti na link samo da vidim kako stranica izgleda?
Nema šta da se vidi. Kopija izgleda kao original, pa vam pogled ne daje odgovor koji tražite, a taj odgovor ionako stoji u adresi. Uz to, stranica može ponuditi preuzimanje datoteke ili zatražiti dozvolu koju je lakše dati nego povući. Ako vas zanima postoji li stvarno to obavještenje, potražite ga na adresi koju ste sami otkucali.
Šta ako sam kliknuo i vidio stranicu, ali nisam ništa unio?
Zatvorite karticu i tu obično prestaje. Sam prikaz stranice nije trenutak krađe: podatak odlazi kad se upiše u polje ili kad se pokrene nešto što je stranica ponudila. Provjerite ipak da nešto nije završilo u folderu za preuzimanja i da nije instalirana aplikacija koju niste tražili. Ako ste nešto unijeli, važno je šta se radi u prvih petnaest minuta.
Šta znači kad preglednik adresu prikaže u obliku koji počinje sa xn--?
To je znak da su u imenu slova koja ne pripadaju latinici, a izgledaju kao latinična, najčešće ćirilična ili grčka. Preglednik takvo ime prikaže u tehničkom obliku upravo zato da razlika postane vidljiva. Na adresi koju ste očekivali toga nema, pa se dalje ne ide. Zaštita nije potpuna i ne hvata svaki slučaj, zbog čega i dalje vrijedi pravilo ručnog upisa.
Znači li nastavak .ba da je stranica domaća i provjerena?
Ne znači. Registar .ba domena je Univerzitetski tele-informatički centar, i za obično .ba ime ne traži dodatnu dokumentaciju: uzeti ga mogu i pravno i fizičko lice. Dokumentacija se traži samo za nastavke .gov.ba, .edu.ba, .mil.ba, .org.ba i .net.ba. Ko je uzeo neko .ba ime može se potražiti kroz WHOIS na stranici registra, ali ako je korisnik fizičko lice, podatak se dobija samo uz njegovo odobrenje.
