Učitavanje…
Lažne poruke koje se predstavljaju kao banka policija svrstava u najčešće oblike phishinga, uz one koje imitiraju društvene mreže i oglasnike za kupovinu i prodaju. Razlog nije tehnički. Račun ima gotovo svako, pa masovno poslana poruka uvijek pogodi nekoga ko baš tog dana čeka uplatu, plaća ratu ili je sinoć nešto kupio na internetu.
Pamćenje pojedinih poruka zato ne pomaže. Tekst se mijenja iz talasa u talas, a dvije stvari se ne mijenjaju: kanal kojim banka s vama komunicira i spisak podataka koje kroz taj kanal nikad ne traži. Ta dva oslonca drže i kad je poruka besprijekorno napisana, a drže i kod drugih internet prevara koje rade po istom receptu.
Ranije je kanal komunikacije bio pitanje ugovora i navike. Od 13. augusta 2026. je u Federaciji BiH i zakonska obaveza. Novi član 10a Zakona o zaštiti korisnika finansijskih usluga kaže da se komunikacija između davaoca finansijske usluge i korisnika obavlja kanalom koji korisnik odabere prilikom uspostavljanja ili u toku poslovnog odnosa.
Iz toga slijede obaveze na obje strane. Korisnik je dužan bez odlaganja javiti svaku promjenu podataka vezanih za taj kanal. Banka je korisnika uredno obavijestila ako je obavijest poslala posljednjim kanalom koji je korisnik izabrao i prijavio, čak i kad je korisnik broj ili adresu u međuvremenu promijenio pa to nije javio.
Za prepoznavanje lažne poruke to znači jedno. Poruka koja stiže s broja ili adrese koje banci nikad niste dali ne dolazi iz vašeg kanala. Banka tamo nema obavezu da vas obavještava, pa nema ni razlog da vam odatle piše.
Druga strana istog pravila je neugodnija. Promijenite li broj telefona ili e-mail i to ne prijavite, banka svoju obavezu i dalje uredno ispunjava slanjem na staro, a vi obavještenja ne vidite. Prevare rade upravo u tom procjepu: poruka tvrdi da vas banka nije mogla dobiti i da zato treba hitno „potvrditi podatke".
Spisak dozvoljenih kanala komunikacije tek treba da propiše Agencija za bankarstvo Federacije BiH, podzakonskim aktom, u roku od šest mjeseci od stupanja izmjena na snagu. Do tada svoj kanal provjeravate na jednom mjestu: u ugovoru i opštim uslovima poslovanja svoje banke.
U Republici Srpskoj istovjetne zakonske odredbe nema, pa se pravilo tamo oslanja na ugovor umjesto na zakon.
| Pitanje | Federacija BiH | Republika Srpska |
|---|---|---|
| Odakle vam banka smije pisati | Kanalom koji ste sami odabrali i prijavili, po članu 10a koji važi od 13. augusta 2026. | Zakon nema istu odredbu; kanal se određuje ugovorom i opštim uslovima poslovanja banke |
| Ako promijenite broj ili e-mail, a ne javite | Obavijest na posljednji prijavljeni kanal smatra se uredno dostavljenom | Posljedicu određuje ugovor, a ne zakonska odredba |
| Gdje provjeravate koji je vaš kanal | U ugovoru i opštim uslovima; dozvoljene kanale Agencija za bankarstvo FBiH tek propisuje | U ugovoru i opštim uslovima poslovanja banke |
Prvi obrazac radi na strahu od gubitka pristupa. Poruka javlja da je račun privremeno zaključan zbog sumnjive aktivnosti ili da je zabilježena prijava s nepoznatog uređaja, pa podatke treba potvrditi u roku od nekoliko sati. Tekst se mijenja, tri sastojka ne: hitnost, prijetnja gubitkom i jedan link koji navodno sve rješava.
Klik otvara stranicu za prijavu koju policija opisuje kao gotovo identičnu stvarnoj. Razlika je u adresi, a adresa se čita zdesna nalijevo. Korisničko ime i lozinka za internet bankarstvo istog trena stižu prevarantu. Odmah zatim traži se i kôd iz SMS-a, navodno radi potvrde identiteta. On u tom trenutku ne potvrđuje ništa o vama, nego odobrava transakciju koju je pokrenuo neko drugi.
Druga varijanta preskače internet bankarstvo i ide pravo na karticu. Poruka tvrdi da kartica nije aktivirana za plaćanje na internetu, da je zbog sigurnosnih promjena potrebna verifikacija ili da je blokirana zbog pokušaja zloupotrebe. Forma na koju link vodi traži broj kartice, datum isteka, CVV s poleđine i ime s kartice, ponekad i JMBG ili broj lične karte.
Obrazac je uvjerljiv jer dodatna potvrda pri plaćanju na internetu zaista postoji. Razlika je u tome ko je pokreće i kada. Potvrda kroz 3D Secure dolazi dok vi plaćate i vezana je za konkretnu kupovinu, a ne stiže kao samostalna poruka danima ranije. I nikad ne traži CVV da bi vam „aktivirala" karticu. CVV postoji da biste vi platili, ne da biste banci dokazivali da je kartica vaša.
Treći obrazac umjesto prijetnje nudi novac: odobren povrat, godišnji bonus, isplata koja čeka preuzimanje. Iza linka je ista prijavna stranica ili ista forma za podatke kartice. Radi na ljudima koji su prema prijetnji oprezni, a prema dobroj vijesti nisu. Uplatu banka jednostavno izvrši. Ne traži da je preuzimate.
Isti obrazac vraća se s drugom uniformom, pa poruke o neuspjeloj isporuci pošiljke i o navodnim bodovima kod operatera traže potpuno isto što i ove: da podatke unesete izvan kanala kojim s tom firmom inače komunicirate.
Policija to formuliše kratko: finansijske institucije od korisnika nikad ne traže potvrdu podataka putem e-poruka. Isto vrijedi za SMS, Viber, chat i telefonski poziv. Kroz svoje kanale banka ne traži:
Ono što banka stvarno radi izgleda dosadnije. Šalje informativne poruke o stanju računa, izvršenim transakcijama i pristiglim uplatama, bez zahtjeva da se bilo šta potvrdi klikom. Transakcije autorizuje u svojoj aplikaciji. Ako primijeti sumnjivu transakciju, može karticu zaustaviti i nazvati vas, ali poziv ide od nje prema vama, a ne obrnuto, preko „hitnog broja" napisanog u poruci.
Banke to i same ponavljaju u svojim upozorenjima: povjerljive podatke neće tražiti ni SMS porukom ni bilo kojim drugim online kanalom.
Jedan podatak s te liste je opasniji od svih ostalih. Lozinka otvara pristup i može se promijeniti. Jednokratni kôd ne otvara ništa i ne dokazuje ko ste. On odobrava jednu konkretnu radnju: plaćanje, prenos, dodavanje kartice u tuđi telefon. Kad ga izdiktirate ili proslijedite, transakcija je s vaše strane potpisana.
Zato pitanje ko traži kôd nije ni najvažnije. Važnije je da kôd nikuda ne putuje. Ne diktira se telefonom, ne prepisuje u chat i ne unosi na stranicu otvorenu iz poruke. Unosi se u aplikaciju ili na stranicu koju ste vi otvorili, radi radnje koju ste vi pokrenuli.
Isti mehanizam policija opisuje i kod telefonskih prevara. Prevarant se predstavi kao uposlenik banke, telekoma ili komunalnog preduzeća, ponudi povrat novca i zatraži kôd za autorizaciju transakcije, koji potom iskoristi da izvrši transakciju s računa.
Kôd koji ste poslali računa se kao vaša radnja
U Federaciji BiH korisnik snosi gubitke nastale zato što nije ispunio obaveze iz uslova o izdavanju i korištenju kartice, uključujući obavezu da PIN čuva na odgovarajući način. Gubitke iz transakcija izvršenih poslije prijave banci ne snosi, osim ako je sam učestvovao u zloupotrebi. Razlika je u tome da li je prijava stigla prije transakcije ili poslije nje.
Pojedinačno, nijedan od ovih znakova ne dokazuje prevaru. Dva ili tri zajedno praktično uvijek je dokazuju.
Ono što se iz teksta poruke ne vidi jeste adresa na koju link zapravo vodi, a lažni skočni prozor može iskočiti i na stranici koja je prava. Ako sumnja ostane, poruka se provjerava kod pošiljaoca, nikada podacima iz same poruke.
Poruka o zaključanom računu ne pogađa neznanje. Pogađa strah da se ne može do vlastitog novca, i to obično u trenutku kad je taj novac nekome već obećan. Hitnost u njoj ne služi da vas informiše, nego da skrati vrijeme u kojem biste primijetili detalj koji ne štima.
Protumjera je dosadna i besplatna. Zaključan račun se za pet minuta neće pogoršati. Otvorite aplikaciju banke ili sami ukucajte adresu i pogledajte stoji li ista obavijest i tamo. Ako je nema, nije je ni bilo.
Dok ništa niste unijeli, poruka sama po sebi ne može ništa. Redoslijed koji to čuva je kratak.
Ako su podaci već otišli, redoslijed zavisi od toga šta je tačno izašlo iz vaših ruku. Zajedničko je da se prvo zove banka, a objašnjava poslije.
Redoslijed poteza u prvih petnaest minuta obrađen je posebno, jer se tu odlučuje koliko će štete uopšte biti.
Ako je novac otišao, vrijedi razlikovati dojavu od prijave. Elektronski obrazac za anonimnu dojavu, kakav ima MUP Kantona Sarajevo, služi da policija dobije saznanje o sumnjivoj radnji ili izvršenom krivičnom djelu. Oštećeni njime ne postaje stranka u postupku, ne dobija broj predmeta i nema kome da se obrati za informaciju. Za to je potrebna krivična prijava s vlastitim podacima i dokazima, podnesena u policijskoj stanici ili tužilaštvu.
Tekst izmjena koje od 13. augusta 2026. uvode pravilo o kanalu komunikacije između banke i korisnika, s obavezom korisnika da promjenu broja ili adrese prijavi bez odlaganja.
Ovdje su prava u vezi s računom i platnom karticom: obaveza banke da prijavu zloupotrebe primi u svakom trenutku i pravila o tome ko snosi gubitak prije i poslije prijave.
Za korisnike u RS: glava o zaštiti korisnika bankarskih usluga, s pravilima za platnu karticu i s odredbom da postupak komunikacije s bankom uređuju opšti uslovi poslovanja.
Policijski pregled phishinga i telefonskih prevara: po čemu se prepoznaje lažna poruka, koji prilozi se nikad ne otvaraju i zašto se kôd za autorizaciju nikome ne daje.
Obrazac kojim se anonimno dojavljuje saznanje o krivičnom djelu. Nije zamjena za krivičnu prijavu oštećenog, koja se podnosi u policijskoj stanici ili tužilaštvu.
Primjer bankinog upozorenja klijentima: lažne SMS poruke s linkovima na imitacije stranica banke i potvrda da povjerljive podatke banka ne traži nijednim online kanalom.
Novinski pregled upozorenja koja su banke u BiH objavile u februaru 2025. povodom talasa lažnih e-mail poruka, sa znakovima po kojima su se te poruke prepoznavale.
Stranica banke iz Srbije sa spiskom podataka koje banka nikad ne traži, uključujući aktivacijski kôd iz SMS-a. Obrazac poruka je isti kao u BiH.
