Kako ostati siguran na mreži tijekom blagdana

Žena u sivoj majici sjedi za stolom i fokusirano gleda u svoj telefon.

Što branitelji trebaju znati

Računalni zločinci rado iskorištavaju svaku dobru priliku, a blagdansko razdoblje im to dodatno olakšava jer su ljudi tada često rastreseni. Između kupovine, obiteljskog vremena, neugodnih zimskih prehlada koje kruže i povezivanja s voljenima putem interneta, napadačima je to plijen koji je lako dohvatiti.

Nažalost, taj porast legitimne aktivnosti napadačima pruža savršeno pokriće. Podaci Microsoftova obavještavanja o prijetnjama pokazuju da napadači tempiraju kampanje tako da se poklope s razdobljima kada su ljudi rastreseni, u žurbi i spremniji vjerovati porukama e-pošte trgovaca ili dostavnih službi.

Ti se sezonski obrasci dosljedno vide u Microsoftovoj telemetriji i u Microsoftovom izvješću o digitalnoj zaštiti za 2025. (MDDR), koji ističe kako napadi socijalnog inženjeringa i lažnog predstavljanja pogonjeni umjetnom inteligencijom tijekom razdoblja visokog broja transakcija rastu i po obujmu i po stopi uspješnosti.

Evo na što bi obrambeni timovi i svakodnevni korisnici trebali obratiti pozornost kako se blagdani približavaju.

Krađa identiteta pomoću koda uređaja

Tijekom blagdanske gužve, kada naglo rastu potvrde narudžbi, obavijesti o dostavi, provjere identiteta i upozorenja na prijevaru, napadači iskorištavaju tu buku. Šalju poruke u kojima od korisnika traže da unesu „verifikacijski kod” kako bi riješili problem s kupnjom ili potvrdili dostavu. Povod djeluje poznato i hitno, što smanjuje sumnju. No unos tog koda može napadačima tiho omogućiti OAuth pristup korisničkom računu, i to bez potrebe za lozinkom.

Microsoftovo obavještavanje o prijetnjama prati stalan porast ovih tehnika preuzimanja računa bez vjerodajnica u potrošačkim i poslovnim okruženjima. Napadači upotrebljavaju krađu identiteta kodom na uređaju i napade temeljene na privoli jer su jednostavni, skalabilni i iznimno učinkoviti u zaobilaženju klasičnih kontrola za krađu vjerodajnica. Tijekom vršnih razdoblja kupovine ti se mamci neprimjetno stapaju s legitimnim komunikacijama, što otežava otkrivanje i povećava rizik od kompromitacije.

Kako ublažiti krađu identiteta pomoću koda na uređaju

Gdje god je moguće, ograničite tijek koda na uređaju
Povećajte jasnoću prijave i provjere korisnika
Odmah opozovite pristup kada otkrijete sumnjivu aktivnost
Upotrijebite pravila za procjenu rizika pri prijavi kako biste automatizirali zadržavanje prijetnje
Kontinuirano pratite rizične prijave

Lažni CAPTCHA napadi (ClickFix sheme)

Blagdanska putovanja, brze rasprodaje i potraga za darovima u posljednji trenutak stvaraju idealne uvjete da se napadači sakriju pred očima korisnika. Napadi preko preusmjeravanja koji se predstavljaju kao potvrde rezervacija ili promotivne e-poruke često žrtve vode na CAPTCHA stranicu – obrazac kojem korisnici vjeruju i rijetko ga dovode u pitanje. Ali to nisu prave CAPTCHA provjere. Napadači ih sada upotrebljavaju kao kanal za isporuku uputa za socijalni inženjering, potičući žrtve da zlonamjerne naredbe zalijepe izravno u Windows Run ili terminal.

Microsoftovo obavještavanje o prijetnjama nedavno je upozorilo na brz rast ovih ClickFix shema. Ne zahtijevaju lanac iskorištavanja, već samo radnju korisnika. Ta jednostavnost čini ih lako skalabilnima i osobito opasnima tijekom sezonskih vrhunaca, kada kupci žure i vjerojatnije će slijediti naizgled rutinske upute.

Na primjer, neposredno prije Dana zahvalnosti, Microsoftovo obavještavanje o prijetnjama otkrilo je i blokiralo visokovolumensku kampanju krađe identiteta skupine Storm-0900 usmjerenu na desetke tisuća korisnika u SAD-u. Akter je operaciju tempirao tako da pogodi blagdan, kada su ljudi rastreseni i očekuju hitne poruke.

Poruke e-pošte su upotrebljavale poznate mamce poput parkirnih kazni, medicinskih nalaza i referenci na Dan zahvalnosti. Svaka je poruka žrtve preusmjeravala na stranicu pod kontrolom napadača s lažnim CAPTCHA klizačem, nakon čega bi uslijedio ClickFix upit.

Microsoft je kampanju poremetio filtriranjem, zaštitom krajnjih točaka i preventivnim blokiranjem infrastrukture napadača. Međutim, kampanja je jasan primjer kako napadači spajaju pouzdane UX obrasce, poput CAPTCHA provjera, s tehnikama izvršavanja koje ovise o korisniku kako bi zaobišli tradicionalne kontrole.

Kako ublažiti lažne CAPTCHA napade i ClickFix napade

Uvedite kontrolu aplikacija i ograničite puteve izvršavanja naredbi
Onemogućite ili strogo ograničite nepotrebna sučelja naredbenog retka
Učvrstite pravila preglednika i filtriranja URL-ova
Pojačajte korisničke heuristike za neočekivane radnje
Pratite neuobičajene obrasce izvršavanja naredbi
Održavajte model računa s najmanje potrebnih ovlasti

Prijevare s lažnim predstavljanjem tehničke podrške

Ljudi putuju s manje sigurnim osobnim uređajima, upotrebljavaju hotelski Wi‑Fi i češće nailaze na tehničke poteškoće. Napadači to iskorištavaju tako da se predstavljaju kao služba za podršku kako bi „riješili” probleme koji zapravo ne postoje. Te prijevare dosljedno rastu od studenoga do siječnja, osobito kada su na meti stariji članovi obitelji ili ljudi koji nisu tehnološki posebno potkovani.

Izvješće MDDR za 2025. izdvaja prijevare s podrškom kao jednu od najuspješnijih globalnih kategorija prijevara. Točnije, iznuda i ucjenjivački softver pokreću polovicu svih računalnih napada.

Napadači sve češće upotrebljavaju skripte generirane umjetnom inteligencijom, uvjerljive telefonske persone i lažno predstavljanje brendova kako bi povećali vjerodostojnost. Rezultat je uvjerljiv izgovor koji može dovesti do instalacije zlonamjernog softvera za daljinski pristup, krađe vjerodajnica ili potpunog preuzimanja računa.

Za obrambene timove i rukovoditelje ove su prijevare posebno zabrinjavajuće jer brišu granicu između osobnog i poslovnog rizika: kompromitirani osobni uređaj na hotelskom Wi‑Fiju može brzo postati odskočna daska za šire napade.

Ublažavanje prijevara s lažnim predstavljanjem tehničke podrške

Smanjite površinu napada strogim kontrolama daljinskog pristupa
Ojačajte kulturu provjere u cijeloj organizaciji
Obučite korisnike da budu skeptični prema hitnosti i „pomoći” koja stiže bez provjere
Ojačajte zaštitu uređaja koji se upotrebljavaju tijekom putovanja
Blokirajte domene nalik legitimnima i stranice za lažno predstavljanje
Pratite zloupotrebu alata za daljinski pristup i neuobičajene obrasce rada službe za podršku
Omogućite jasne i brze kanale za prijavu

Lažne obavijesti o pošiljkama i dostavi

Blagdanska kupovina pretvara sve u ljude koji neprestano prate pošiljke. Napadači se ubacuju upravo u taj misaoni tok. Kad mnogi ljudi istodobno prate desetak pošiljki, još jedna poruka e-pošte u kojoj se tvrdi da je došlo do kašnjenja ili da je potrebna potvrda adrese ne djeluje sumnjivo.

Prema izvješću Digital Defense Report, krađa identiteta vezana uz dostavu jedna je od kategorija lažnog predstavljanja koja se najviše zlorabi. Microsoftovo obavještavanje o prijetnjama bilježi predvidljive skokove ovakvih logističkih mamaca svake blagdanske sezone, pri čemu napadači oponašaju poznate prijevoznike kao što su UPS, USPS, FedEx, Amazon, DHL i regionalne poštanske službe. Brending je uvjerljiv, pravovremenost je logična, a očekivanja korisnika tijekom vršnih tjedana kupovine čine ove napade posebno učinkovitim.

Budući da ove kampanje oponašaju legitimne tijekove transakcija i često upotrebljavaju stvarne brojeve za praćenje iz curenja podataka ili prikupljene iz poštanskih sandučića, korisnicima ih je sve teže razlikovati od autentičnih obavijesti.

Kako ublažiti prijevare s lažnim obavijestima o dostavi i isporuci

Uvedite zaštite za URL-ove i domene koje neutraliziraju pokušaje lažnog predstavljanja
Pojačajte provjeru korisnika tijekom razdoblja pojačane kupovine
Primijenite dodatne kontrole uvjetovanog pristupa za financijski osjetljive radnje
Dodajte detekciju ponašanja za stvaranje pravila pošte i anomalije prosljeđivanja
Uvedite zaštitu od lažnog predstavljanja i pravila provjere autentičnosti pošiljatelja

Prijevare povezane s dobrotvornim organizacijama i donacijama

Sezonski val velikodušnosti u četvrtom tromjesečju, osobito tijekom Dana darivanja, napadači iskorištavaju bez zadrške. Umjetna inteligencija sada napadačima omogućuje da u velikom opsegu generiraju dotjerana web-mjesta neprofitnih organizacija, emotivno snažne priče i uvjerljive obrasce za donacije. Sastavljaju hitne, dirljive priče o pomoći nakon katastrofa, humanitarnim akcijama ili kampanjama u posljednji trenutak za blagdane, nadajući se da će spojiti dobru volju s odvlačenjem pozornosti i pritiskom.

Ublažavanje prijevara povezanih s dobrotvornim organizacijama i donacijama

Ojačajte kulturu provjere, osobito tijekom sezona darivanja
Promovirajte upotrebu provjerenih platformi za donacije
Blokirajte i nadzirite domene koje nalikuju poznatima ili su nedavno registrirane
Primijenite kontrole identiteta otporne na krađu identiteta i otkrivanje anomalija
Educirajte zaposlenike i dionike o promjenama u obrascima prijevara

Uživajte u sezoni, ali otvorenih očiju

Sigurnost ne bi trebala oduzimati radost sezoni, ali svijest je presudna u trenucima velike aktivnosti i odvlačenja pozornosti. Microsoftove smjernice u sklopu kompleta Be Cybersmart Kit slažu se oko jedne stvari: stanka, korak provjere ili još jedan pogled često su razlika između sigurnosti i toga da postanete žrtva.