Nedajte se *upecati*? dr.sc. Maja Vizjak

Razvoj digitalnih kompetencija

Nedajte se *upecati*?

piše: dr. sc. Maja Vizjak

Utijeku je istraživačko-razvojni projekt PhisHRban koji se bavi područjem kibernetičke sigurnosti, te ima za cilj razviti inovativno rješenje za prepoznavanje phishing poruka. Danas živimo u *novome normalnome* kada se intenziviraju online usluga te korištenje mailova kao sredstva komunikacije od strane korisnika svih dobnih skupina. Među njima postoji značajan broj onih *ranjivijih* koji nisu svjesni mogućih ugroza, stoga se razvija program PhisHRban za otkrivanje malicioznih elektroničkih poruka neželjenog i zavaravajućeg sadržaja. Projekt PhisHRban razvija rješenje umjetne inteligencije s ciljem automatskog prepoznavanja phishing poruka, koje „pecaju“ potencijalne žrtve. Novost projekta je što se razvija za hrvatski jezik. U projektu sudjeluje tvrtka Megatrend d.o.o. i dva fakulteta: Ekonomski fakultet i Filozofski fakultet. Istraživački tim pod vodstvom prof. dr. sc. Mirjane Pejić Bach, prof. dr. sc. Sanje Seljan te Anđelke Strajher ovaj zanimljivi projekt želi predstaviti široj javnosti.

Kibernetički napadi Kibernetička sigurnost obuhvaća skup procesa, mjera i standarda kojima se jamči određena razina pouzdanosti pri korištenju proizvoda i usluga u kibernetičkom prostoru. Krađa identiteta i prijevara jedna je od najčešćih vrsta ugroze kibernetičke sigurnosti, a koristi se s ciljem stvaranja prijevare za financijske dobitke. U vremenu ubrzanog razvoja novih tehnologija i digitalizacije društva, područje kibernetičke sigurnosti ima sve veći značaj i bilježi snažan globalni rast. Postoje tri glavne kategorije kibernetičkih napada u odnosu na „vlasništvo“, „pojedinca“ i „vladu“ (Panda Security). Kategorija „Vlasništvo“ opisuje hakiranje u svrhu krađe bankovnih podataka neke osobe ili tvrtke, kako bi se dobio pristup novčanim sredstvima te osobe ili tvrtke, za kupovinu putem interneta ili pokretanje prijevara za krađu identiteta, odnosno phishing, kako bi ljudi hakerima slučajno dali svoje osjetljive podatke. Kategorija „Pojedinac“ računalnog kriminala opisuje jednog pojedinca koji distribuira zlonamjerne ili ilegalne informacije putem mreže. To može uključivati cyberstalking, distribuciju pornografije i trgovinu ljudima. Kategorija „Vlada“ je najrjeđa kategorija računalnog kriminala, ali ujedno i najteži prekršaj, počinjenje zločina protiv vlade. Ova kategorija uključuje hakiranje vladinih mrežnih stranica, vojnih mrežnih stranica ili distribuciju propagande. U prevenciji i suzbijanju kibernetičkih napada potrebna je suradnja s nacionalnim tijelima i međunarodnim partnerima. Kibernetički napadi se dijele u 4 kategorije: kibernetički kriminal, špijunaža, terorizam i kibernetički rat.

Što nam kaže statistika

Phishing, kao što i samo ime kaže je način „pecanja“ potencijalnih žrtava putem email poruka s ciljem stjecanja koristi u vidu novca ili in-

formacija. Phishing se događa kada internetski kriminalci šalju email poruke sa lažnim linkovima, a koje sliče na prave linkove. Pri tome se koriste raznim psihološkim trikovima. Na primjer, email poruka napisana je u žurnom tonu u kojem se primatelja poruke upozorava da mora napraviti neku akciju kako bi izbjegao gubitak. Zapravo se time primatelja poruke prisiljava da donese odluku u kratkom roku i time se smanjuje njegov ili njezin oprez. Phishing poruka može imati sadržaj koji će izazvati strah, ushićenje, sreću, ljubomoru, sve one osnovne ljudske emocije jako nam dobro poznate, a na temelju kojih ćemo učiniti nešto što ne bismo trebali. Primjerice, upisati svoje osobne podatke negdje gdje ne bismo to trebali, kliknuti na nešto što ne bismo trebali pokrenuti i slično. Godišnje oko 1500 građana u Hrvatskoj nasjedne na ovakve prevare. Na svjetskoj je razini puno ozbiljnija situacija i kibernetički napadi, od kojih je phishing najzastupljeniji s gotovo 90 posto, događaju se gotovo svake sekunde.

Phishing je vrsta socijalnog inženjeringa koja se odnosi na prijevare, kojima se služe zlonamjerni korisnici šaljući lažne poruke koristeći pritom postojeće Internet servise (elektronička pošta, servisi za izravnu komunikaciju, društvene mreže) te na taj način od korisnika pokušavaju prikupiti povjerljive podatke kako bi ostvarili financijsku korist. Pošiljatelj poruke, lažno se predstavljajući, u poruci zahtijeva od korisnika da pošalje svoje osjetljive podatke ili šalje lažni link koji korisnika vodi na zloćudnu Web stranicu, gdje se od njega traži da upiše svoje podatke. Sve češće su prijevare putem lažnih web sjedišta, lažnih prozora na legitimnim web stranicama i „tabnabbinga“ kada se prilikom nepažnje korisnika jedan od neaktivnih tabova u web pregledniku osvježi na zloćudnu web stranicu. Rezultat je novi proizvod Komercijalna vrijednost proizvoda je velika. Ona je direktna i indirektna. Naime, takav proizvod ima potencijalno veliko tržište, ne samo u Hrvatskoj, već i zemljama regije, budući da su istraživanja pokazala da je vjerojatnost nasjedanja na prijevaru putem phishing poruka veća kada je poruka napisana na jeziku govornika. Hrvatska može biti predvodnik u području obrade prirodnog jezika. Naime, hrvatski jezik je vrlo specifičan, sa kompleksnom gramatikom. Rješenja umjetne inteligencije koja koriste algoritme umjetnog jezika mogu biti primjenjiva i za druge jezike, osim jezika regije, jer je potrebno izraditi algoritam koji može prepoznavati različite složene jezične konstrukcije. Glavni rezultat projekta bit će algoritam koji će moći s velikom točnošću automatski prepoznavati phishing poruke na hrvatskom jeziku. Sekundarni rezultat projekta je algoritam za analizu teksta na hrvatskom jeziku, koji do sada nije razvijen za hrvatsko tržište. Jedan i drugi proizvod imaju veliki potencijal za društvo i za gospodarstvo, kroz sigurnost te potencijanu zaradu.

Mislite prije klika Sadrži li e-poruka poveznicu, obavezno treba provjeriti kamo ona vodi. To se čini bez klikanja, već samo pomoću prelaska pokazivačem preko poveznice da se prikaže stvarna putanja, odnosno adresa stranice na koju vodi. E-adresa pošiljatelja često je kod phishing poruka sastavljena tako da sliči na originalnu email adresu. Na primjer, adresa će biti pbzhrvatska@gmx.com umjesto pbz@ pbz.hr. Iako je evidentno da se radi o lažnoj email adresi, ona ipak ima neke poznate elemente – pbz i hrvatska koji navode na povjerenje gdje ono može biti opasno. ‘Uz spomenutu provjeru, obratite pozornost na gramatičke pogreške, način komunikacije te cjelokupan kontekst, što osim za elektroničku poštu vrijedi i za SMS poruke i telefonske pozive.

Posljedice phishinga? Posljedice mogu biti ogromne. Prva grupa posljedica su financijske štete koje poduzeće može imati zbog odavanja povjerljivih podataka. Druga grupa posljedica su reputacijske štete, jer poduzeće ostavlja dojam nepouzdane organizacije. Treća grupa posljedica mogu biti psihološke prirode, jer se javlja nesigurnost zaposlenika zbog prijevare. Phishing napadi su postali izuzetno sofisticirani i prošli su dani kada ste jednostavno mogli uočiti neobičnu e-poruku, odnosno više u velikoj mjeri ne stižu pisma afričkog princa koji potražuje financijsku pomoć. U phishing porukama uvijek se javljaju obećanja i strah – obavijesti kako ste osvojili milijune ili ucjena da će vam netko nešto učiniti nažao vrlo je popularna strategija kako bi vas navela da učinite nešto što nije u vašem interesu. Današnje phishing poruke mogu biti napisane potpuno personalizirano tako da se ne razlikuju od originalnih poruka. Zbog toga je potrebno biti oprezan čim se od nas traži davanje nekih podataka ili neka akcija.

Savjet građanima Phishing napade možemo izbjeći kao i druge prijevare u privatnom životu. Kriminalci uvijek igraju na emocije – strah i potencijalna korist. S jedne strane trebamo biti oprezni kada nas netko želi zaplašti i traži od nas podatke putem emaila koji su povjerljive prirode – naše korisničko ime i lozinka, OIB, podaci o kreditnoj kartici i slično. S druge strane, također trebamo biti oprezni kada nas netko želi darivati, a za uzvrat također traži osjetljive podatke. Kao i u životu, ništa nije besplatno u virtualnom svijetu. ST