Umjetna inteligencija omogućuje kibernetičkim kriminalcima da prijevarne poruke i pozive pripremaju brže i jeftinije, a s pomoću deepfake sadržaja mogu oponašati nečiji glas ili izgled, upozoravaju Mladen Prekrat iz Hrvatskog Telekoma i Andro Galinović iz Infobipa. CARNET-ov Nacionalni CERT u prvih je devet mjeseci 2026. obradio 1203 kibernetička incidenta, a najviše je bilo phishing napada, neželjenih poruka i financijski motiviranih prijevara.
Phishing je činio 36 posto prijavljenih incidenata, a neželjene poruke još 24 posto. Galinović upozorava da se i dio neželjenih poruka može iskoristiti za pokušaj prijevare.
Od e-pošte prema SMS-u i aplikacijama
Napadači su godinama ponajviše slali e-poštu, a sada sve češće posežu za SMS porukama i aplikacijama. „Danas su to primarno SMS i OTT, poput WhatsAppa i Vibera, barem u Hrvatskoj”, kaže Galinović. Korisnici tim kanalima više vjeruju pa prijevaru teže prepoznaju, a umjetna inteligencija poruku može prilagoditi jeziku, narječju i osobnim podacima žrtve.
Raste i broj telefonskih prijevara. Automatizirani pozivi s glasom koji je izradio AI zvuče uvjerljivo i na hrvatskom. Galinović opisuje mogući scenarij: napadač iz neke kompromitirane baze sazna ime, broj telefona i podatak da osoba ima zdravstveno osiguranje. Govorni automat je nazove, obrati joj se imenom, pozove se na zakonske odredbe i zaprijeti da će izgubiti pravo na zdravstveno osiguranje ili mirovinu ako odmah ne pročita osobne podatke.
Prekrat savjetuje da se sumnjiv poziv ne procjenjuje po tome kako zvuči, nego po onome što se traži. Neočekivan zahtjev za novcem, lozinkom ili promjenom bankovnih podataka uvijek treba provjeriti. Ako se netko predstavi kao član obitelji i traži hitnu uplatu, bolje je prekinuti razgovor i tu osobu nazvati na broj koji već znate.
Posebno ga brinu investicijske prijevare, lažna ulaganja u fondove i kriptovalute te poruke koje se lažno predstavljaju kao obavijesti banaka, dostavnih službi ili javnih institucija. Starije osobe zbog takvih prijevara mogu ostati bez životne ušteđevine. Građani su, prema Prekratu, svjesniji prijetnji nego prije nekoliko godina, ali i dalje misle da se prijevara njima neće dogoditi. Galinović dodaje da svijest obično raste tek nakon napada o kojima izvještavaju mediji, a svakodnevne navike korisnika mijenjaju se presporo.
Jedna ukradena lozinka, više otvorenih računa
I dalje je čest problem ista lozinka za više računa. „Danas se često kaže da napadi više ne provaljuju u sustave, već se prijavljuju”, kaže Galinović. Lozinka ukradena programom za krađu podataka (information stealer) ili iz loše zaštićenog sustava brzo završi na prodaji na dark webu za sitan novac, dijeli se besplatno i godinama kruži u takozvanim combo listama. Ako korisnik nema višefaktorsku autentifikaciju, napadaču je dovoljno nekoliko pokušaja.
Prekrat preporučuje pristupne ključeve (passkeys) gdje god postoje, a na ostalim računima snažne i jedinstvene lozinke uz višefaktorsku autentifikaciju. Savjetuje i da javno objavljujemo što manje osobnih podataka te da o digitalnoj sigurnosti razgovaramo s obitelji, osobito sa starijim članovima. „Tehnologija nam već omogućuje sigurniju prijavu. Sada je pitanje koliko smo spremni promijeniti stare navike”, kaže.
Ista tehnologija služi i obrani
Sigurnosni stručnjaci Deutsche Telekom Grupe uz pomoć umjetne inteligencije svaki dan analiziraju približno pet milijardi zapisa iz oko 1400 izvora. „Umjetna inteligencija nije izmislila kibernetički kriminal, ali je postojeće metode učinila bržima, dostupnijima i potencijalno opasnijima”, kaže Prekrat.
Galinović napominje da AI može pomoći i običnim korisnicima. Sadržaj sumnjive e-poruke može se kopirati u Googleov AI, koji će vrlo vjerojatno pronaći znakove phishinga ili zatražiti dodatne podatke. Upozorava ipak da se ljudi koji se godinama oslanjaju na AI izlažu riziku da izgube sposobnost da nešto naprave sami, a organizacije s vremenom mogu prestati razumjeti vlastite sustave. Prekrat dodaje da tvrtke koje autonomnim AI agentima daju pristup e-pošti, dokumentima i bazama podataka moraju jasno odrediti granice njihova djelovanja i nadzirati pristup osjetljivim podacima.
Propisi i trošak
Europska direktiva NIS2, u hrvatsko zakonodavstvo prenesena Zakonom o kibernetičkoj sigurnosti (ZKS), širi krug organizacija koje moraju sustavno upravljati kibernetičkim rizicima. Oba stručnjaka upozoravaju da usklađivanje s propisima ne smije ostati samo administrativna obveza. Galinović ističe da većina uspješnih napada nije usmjerena baš na određenu žrtvu, nego su to oportunistički napadi na najslabije zaštićene sustave i korisnike.
Problem su i manjak stručnjaka i novac. Prema Galinovićevoj procjeni, minimalni tim od četvero stručnjaka za kibernetičku sigurnost u srednjoj tvrtki stoji do 280.000 eura bruto 2 godišnje, a tim od šestero 340.000 eura, i to bez sigurnosnih alata.
Koliko je vrijeme za reakciju kratko, pokazale su dvije kritične ranjivosti u programskom jeziku PHP, nazvane PHP2Shell, nakon kojih su pojedine institucije i tvrtke u Europi preventivno isključile svoje internetske usluge. Galinović upozorava da AI skraćuje vrijeme od objave ranjivosti do njezina iskorištavanja s tjedana na dane, a ponekad i na sate, kako navodi tportal.hr.
