← Nazad na blog

Трендoви фишинга у 2026: Шта се заиста мења (а шта не)

Погледајте најзначајније трендове фишинга за 2026. годину — АИ дрифкејкове, мобилни/QR, злоупотреба сагласности у SaaS-у и инфраструктура поверења. Практичне одбране за МСП.

Autor Tim AutoPhish|Objavljeno 11/26/2025
Cover image for Трендoви фишинга у 2026: Шта се заиста мења (а шта не)

Ако радите у безбедности или усаглашености, може вам се чинити да се свака година проглашава "година фишинга". Лоша вест: то и даље важи и 2026. Добра вест: трендови су више еволуција него научна фантастика.

Већина онога што ћемо видети 2026. године гради се директно на ономе што већ данас штети организацијама: QR и мобилне преваре, злоупотреба сагласности за SaaS, компромитовање пословних имејлова (BEC) и нападачи који циљају само поверење, а не само лозинке. Главни извештаји о претњама ENISA-е и Microsoft-а и даље наводе социјални инжењеринг и фишинг као највеће ризике, уз брз раст смшинга (SMS фишинг) и напада заснованих на QR-у ("квишинг") (на пример, ENISA-s Threat Landscape резимеа: ENISA Threat Landscape overview и извештаја ENISA Threat Landscape 2023: ENISA Threat Landscape 2023 report, и извештаје о дигиталној одбрани компаније Microsoft: портал извештаја о дигиталној одбрани компаније Microsoft).

Овај приручник вас води кроз 10 конкретних трендова у фишингу за 2026. годину, зашто су они посебно важни за МСП и шта реално можете да урадите у наредних 90 дана — без потребе за холивудским буџетом.

Кратка листа: шта се заиста мења 2026. године

Ево кратке верзије за ваш следећи састанак одбора или руководства:

  • BEC уз помоћ длабоког фалсификовања постаје доминантан
    Имитација гласа и видео-снимка прелазе из категорије "вау, кул демонстрација" у "финансијски тим је заиста добио такав позив прошле недеље". Новија издања Microsoft-овог Извештаја о дигиталној одбрани (Digital Defense Report) експлицитно истичу длабоко лажне снимке (deepfakes) као омогућавајући фактор за BEC (на пример: Microsoft Digital Defense Report 2025 (PDF)).

  • Фишинг прати ваше разговоре и QR кодове
    WhatsApp, Signal, Teams и QR токови пријављивања постају главне мете, а не споредни задаци. Секторски извештаји ENISA-е и преглед претњи у финансијском сектору истичу смшинг и QR-фишинг као растуће векторе напада: ENISA Threat Landscape – Finance Sector.

  • Лозинке су мање важне од токена и пристанака
    Фишинг за пристанак OAuth и крађа сесијских токена дају нападачима трајни приступ без икаквог "пријављивања". Погледајте објаву компаније Microsoft "OAuth consent phishing explained and prevented": Microsoft Entra blog – OAuth consent phishing explained and prevented.

  • Злоупотреба "инфраструктуре поверења" надмашује фалсификовање вашег бренда Легитимни домени Microsoft-а/Google-а, веб-обрасци, алати за израду сајтова и helpdesk алати преузимају се како би се испоручили изузетно убедљиви мамци.

  • Апликације за велике податке постају сандуци са благом на један клик
    Складишта података (Snowflake и сл.) и дељени фајлови представљају циљеве високог учинка и ниског отпора ако је компромитован један идентитет или токен. Кампања UNC5537/Snowflake је изврстан пример, документован овде: Google Cloud / Mandiant – UNC5537 targets Snowflake и у повезаном водичу за лов на претње: Snowflake threat-hunting guide (PDF).

  • Регулатива коначно стиже** Оквири као што је NIS2 експлицитно захтевају континуирану, проверљиву обуку о безбедносној свести и фишингу — а не само једнократну е-обуку (погледајте правни текст NIS2 на EUR-Lex: NIS2 Directive legal text и практичне смернице за обуку као што су NIS2 смернице за обуку и подизање свести).

И да: аутоматизација побеђује. Организације које континуирано тестирају, мере и подешавају контроле једноставно имају боље резултате од оних које организују једну "недељу сајбер свести" годишње.

На први поглед: 10 трендова у фишингу и брзе контроле

|

| Трендови | Зашто их нападачи воле | Брза контрола за почетак овог месеца |

|---|-------|-----------------------|----------------------------------------| | 1 | BEC уз помоћ дипфејка | Висок повраћај улагања (ROI), мали обим, високо персонализовано | Јаке потврде плаћања + правила за позив на повратак | | 2 | Мобилни уређаји и поруке + QR | Сви су у ћаскању; QR = тихо пријављивање | Обновите BYOD политику, ограничите повезивање на неуправљаним уређајима | | 3 | Злоупотреба сагласности SaaS-а и OAuth-а | Приступ без лозинке са токенима дугог века трајања | Управљање сагласноћу апликација, листе дозвољених корисника (tenant allow-lists) | | 4 | "Злоупотреба "инфраструктуре поверења" | Домени прве стране изгледају "очигледно безбедно" | Филтери за старост УРЛ-ова, строги DMARC на свим путевима е-поште | | 5 | Фишинг усмерен ка унутрашњости | "Дошло је изнутра" смањује сумњу | Ојачајте конекторе, пратите е-пошту упућену ка унутрашњости | | 6 | Фишинг без акредитива | Токени, а не лозинке, су нови кључеви | FIDO2 кључеви, токени везани за уређај, контроле умора од MFA | | 7 | Кампање синхронизоване са индустријом | Порези / путовања / спорт = скокови кликова | Предупређења и симулације вођене календаром | | 8 | Локализоване мамке LLM-а | Матични тон и жаргон заобилазе филтер за "лош енглески" | Учити на структурне црвене заставице, а не на квалитет језика | | 9 | Прелазак на складишта података и дељење фајлова | Један налог → милиони записа | SSO + MFA свуда, аналитика понашања | |10| Регулаторни притисак и ревизије | Управни одбори морају показати дужну пажњу | Кварталне симулације са чистим ревизионим трагама |

У наставку детаљније разматрамо сваки тренд са: Шта је ново у 2026. → Шта видимо → Делујте одмах.

Тренд 1: BEC уз помоћ дипфејка постаје доминантан

Шта је ново у 2026.

Превара путем пословне електронске поште (BEC) већ годинама спада у најскупље сајбер претње, а извештаји о дигиталној одбрани компаније Microsoft и друге анализе добављача и даље показују да је BEC напад са највећим утицајем (нпр. извештај за 2023. годину: Извештај о дигиталној одбрани компаније Microsoft за 2023. (PDF)).

Оно што се мења јесте квалитет и доступност алата за деепфејк:

  • Сервиси за клонирање гласа могу да произведу веродостојан "CFO на Bluetooth-у у таксију" за неколико минута.
  • Готови алати могу да генеришу кратке видео-снимке који пролазе брзу проверу у журби на Teams позиву.
  • Регулаторна тела и јединице за финансијске криминалне послове изричито упозоравају на шеме преваре које користе deepfake аудио и видео у трансакцијама високог износа (погледајте одељак о deepfake-основано преваре у извештају Microsoft Digital Defense Report 2025: Microsoft Digital Defense Report 2025 (PDF)).

Резултат: класичне BEC приче, али са придодатим синтетичким лицем и гласом.

Шта видимо у пракси

Нападачи све чешће прескачу дуге низове имејлова и прелазе директно на "хитне позиве" како би прогурали промене у плаћањима, нове рачуне прималаца или трансфере високог ризика — позивајући се на стварне пројекте и унутрашњи жаргон који су прикупили са имејлова, LinkedIn-а и из процурелих података.

Поступите одмах

  • Политика:
    • Захтевати верификацију изван канала (поновни позив на проверени број преко вашег ERP/CRM система) за све нове или измењене банкарске податке и велике трансфере.
  • Контрола:
    • Подесити задржавање плаћања и двоструко одобравање изнад одређених износа — идеално два овлашћена лица из различитих одељења.
  • Свест:
    • Обучите особље да "видео сам их на снимку" није контрола. Организујте симулиране ситуације у којима лажни "финансијски директор" зове у тренутку великог оптерећења.

Тренд 2: Мобилни и СМС фишинг + QR кодови као токени за аутентификацију

Шта је ново у 2026. години

Фишинг више није само проблем са е-поштом:

  • Смишинг и фишинг преко апликација за размену порука (WhatsApp, Signal, Telegram, корпоративни чет) су у порасту, уз URL-базиране нападе и трикове са QR кодовима који се користе за преузимање налога. Извештај ENISA-е о претећем пејзажу у финансијском сектору наводи да су фишинг, смшинг и вишинг међу најчешћим типовима напада на европске финансијске институције: ENISA Threat Landscape – Finance Sector.
  • Нападачи све више злоупотребљавају QR кодове као механизме за пријављивање, варајући људе да скенирају кодове који повезују њихове налоге са уређајем или сесијом под контролом нападача. Овај образац се појављује у неколико недавних извештаја о преузимању налога за размену порука и кампањама мобилног малвера.

У комбинацији са BYOD-ом и скривеним каналима за размену порука, то је идеално окружење за напад.

Шта видимо на терену

Случајеви из праксе показују да званичници и руководиоци губе налоге за размену порука преко злонамерних QR кодова, а извештаји о претњама истичу огроман раст кампања фишинга заснованих на URL адресама и QR кодовима у односу на класичне прилоге (на пример, преглед ENISA-е о векторима напада социјалног инжењеринга: ENISA Threat Landscape overview).

Делујте одмах

  • Политика:
    • Ажурирајте политике коришћења личних уређаја (BYOD) и политике коришћења месинџера: које апликације су прихватљиве за рад, које нису и шта је строго забрањено (нпр. дељење QR кодова за пријаву или снимака екрана са захтевима за аутентификацију).
  • Контрола:
    • Проведите повезивање бројева и везивање уређаја за MFA; ограничите повезивање налога са новим уређајима са неуправљаних крајњих тачака где је то могуће.
  • Свесност:
    • Изведите симулације које имитирају обавештења о испоруци, MFA прозоре и позиве за ћаскање — укључујући QR кодове — како бисте обучили људе да се зауставе пре скенирања.

Тренд 3: SaaS фишинг за пристанак и злоупотреба OAuth токена

Шта је ново у 2026. години

Уместо да краду лозинке, нападачи једноставно траже од ваших корисника да кликну на "Прихвати".

У OAuth пристанак фишингу, корисник се примамује на легитимно изгледајући екран за пристанак који тражи дозволе за читање е-поште, фајлова или календара. Када одобри, нападач добија приступни токен дугог века трајања — без лозинке, без MFA прозivanja и често без очигледног записа о пријављивању за тријажу. Званично објашњење компаније Microsoft детаљно покрива овај образац:
Microsoft Entra блог – OAuth phishing са пристанком објашњен и спречен

Независни истраживачи такође прате како се phishing са пристанком развија да заобиђе контроле детекције, на пример:
Push Security – Како се консент фишинг развија и
Valence Security – Растућа претња консент фишинга

Недавне кампање чак искориштавају АИ агенте и low-code алате; компромитовани ботови могу да се користе за крађу OAuth токена у великом обиму (на пример техника "CoPhish" која злоупотребљава Microsoft Copilot Studio агенте: TechRadar – Copilot Studio agents hijacked to steal OAuth tokens).

Шта видимо у пракси

Тимови за безбедност у облаку пријављују више инцидената "тајанственог приступа подацима" где није видљива никаква промена лозинке или сумњива пријава — већ само нова апликација којој је дата сагласност са широким овлашћењима за приступ мејл-адресама и SharePoint-у.

Делујте одмах

  • Политика:
    • Дефинишите који тимови могу да одобре нове апликације и који "опсези високог ризика" (нпр. Mail.ReadWrite, Files.Read.All) захтевају формалну ревизију.
  • Контрола:
    • Користите управљање сагласношћу за апликације вашег IdP-а: онемогућите сагласност коју покреће корисник где је то могуће, одржавајте листе дозвољених корисника за тенант и омогућите континуирану процену приступа или еквивалент.
  • Свесност:
    • Укључите скринове за пристанак и "Пријавите се са…" токове у обуку—већина корисника не схвата да ти поп-ап прозори могу бити злонамерни.

Трен 4: Злоупотреба "инфраструктуре поверења" (обрасци, градитељи сајтова, алати за подршку)

Шта је ново у 2026.

Зашто бисте се уопште трудили да лажирате домен када нападач може да шаље линкове на:

  • *.microsoft.com (Обрасци, SharePoint, Copilot итд.)
  • *.google.com (Docs, Drive, Sites)
  • Познате платформе за израду сајтова и платформе за подршку (системи за тикете, RMM алати, CRM емајлери)

Већи извештаји о претњама наводе да злонамерни URL-ови хостовани на легитимним услугама сада у великој мери надмашују класичне злонамерне прилоге (погледајте, на пример, Microsoft-ове извештаје о дигиталној одбрани и ENISA-ове резимеа трендова у социјалном инжењерингу:
Microsoft Digital Defense Report portal
ENISA – Нове технологије олакшавају фишинг).

Шта видимо у пракси

Видимо све више кампања у којима цео ток — од обрасца до датотеке и пратећег имејла — пролази кроз легитимну облачну инфраструктуру, што знатно отежава традиционалним филтерима који се ослањају искључиво на репутацију домена.

Делујте одмах

  • Политика:
    • Захтевајте да се сви обрасци који су у директном контакту са клијентима и прикупљају осетљиве податке документују и централно региструју (како бисте могли да уочите лажне).
  • Контрола:
    • Користите безбедне е-поштане пролазе или алате засноване на облаку који проверавају старост URL-а, контекст хостинга и типове датотека уместо само репутацију пошиљаоца; проведите DMARC усклађеност за све легитимне путање е-поште, укључујући алате за подршку и тикетирање. Преглед "Threat Landscape" агенције ENISA садржи добар сажетак таквих вектора: Преглед Threat Landscape агенције ENISA.
  • Свесност:
    • Учите кориснике: "Легитимно доменско име" ≠ легитимни захтев. Питајте се "Да ли сам очекивао овај образац/датотеку/подржавајући имејл?" као рефлекс.

Трен 5: Фишинг који изгледа као унутрашњи без стварног компромитовања

Шта је ново у 2026. години

Многи облачни имејл системи нуде функције као што су Direct Send, конектори и релеји, тако да апликације и уређаји могу да шаљу пошту "као да је изнутра". Ако су погрешно конфигурисани, омогућавају:

  • Имејлове који изгледају као да су изнутра из ваше организације или од поузданих партнера-корисника
  • Системске или тикет имејлове који заобилазе интензивно филтрирање

Нападачи све више злоупотребљавају ове функције или компромитују један сервисни налог да би слали "интерни" фишинг без хаковања било ког људског мејл-поштанског сандучета.

Шта видимо у пракси

Специјалисти за реаговање приликом инцидената често извештавају о "интерним" кампањама фишинга које потичу са неочекиваних IP адреса, погрешно подешених релеа или компромитованих заједничких мејл-кутија, а не са лаптопа извршног директора.

Поступите одмах

  • Политика:
    • Направите инвентар свих система којима је дозвољено да шаљу у име вашег домена и одредите власника и пословно оправдање. Без власника, нема слања.
  • Контрола:
    • Ојачајте мејл конекторе: закључајте их на одређене IP опсеге и методе аутентификације; пратите скокове у унутрашњем саобраћају са необичним обрасцима.
  • Свесност:
    • Додајте мантру у обуку о свесности: "Унутрашње ≠ није по подразумевано безбедно". Поттичите пријављивање сваког чудног унутрашњег захтева, а не само спољних.

Тренд 6: Фишинг без акредитива – токени, сесије и замор од MFA

Шта је ново 2026. године

Ако је ваша стратегија "јаке лозинке + MFA и готово", 2026. година вам се јавља.

Тренутне анализе пропуста показују да се нападачи уместо тога окрећу техникама сесијских колачића, токена за освежавање и замора од MFA:

  • Крађа токена прегледача путем малвера или инфостеала
  • "Пуш бомбардовање" корисника док случајно не прихвате захтеве за аутентификацију
  • Хватање токена у реалном времену путем китова за фишинг "непријатељ у сред"

Кампања Snowflake/UNC5537 је класичан пример онога што се дешава када украдени акредитиви и недостатак MFA дођу у контакт са моћном платформом за податке:
Google Cloud / Mandiant – UNC5537 циља Snowflake
Snowflake водич за ловац на претње (PDF)
Добар сажетак на високом нивоу такође је доступан од Cloud Security Alliance: Cloud Security Alliance – Unpacking the 2024 Snowflake data breach.

Шта видимо у пракси

У великим инцидентима као што је крађа података повезана са Snowflake-ом, нападачи су често користили раније украдене акредитиве и токене да би приступили вредним платформама са подацима, а затим извлачили и уцјењивали у великом обиму.

Делујте одмах

  • Политика:
    • Захтевати MFA отпорну на фишинг (FIDO2 безбедносни кључеви или паскви) првенствено за администраторе и улоге високог ризика.
  • Контрола:
    • Проверавати токене везане за уређај, условни приступ (немогућа путовања, необичне IP адресе) и аутоматско опозивање токена након сумњивих догађаја.
  • Свест:
    • Учите особље да понављани MFA захтеви = ванредна ситуација, а не нервирање. Симулирајте сценарије заморa од MFA у вашем програму за фишинг.

Трен 7: Кампање синхронизоване са индустријским роковима (порези, путовања, спорт, грантови)

Шта је ново у 2026. години

Нападачи су одлични у OSINT-у календара:

  • Рокови за порез
  • Велики спортски догађаји
  • Периоди за грантове и субвенције
  • Уобичајене сезоне путовања

Извештаји о обавештајним подацима о претњама показују да се фишинг кампање густо окупљају око таквих догађаја, са мамцима који обећавају повраћај новца, карте или хитне задатке усаглашавања. ENISA и различити секторски извештаји наводе социјални инжењеринг као главни фактор у преварама и инцидентима везаним за финансије, на пример: ENISA Threat Landscape – Финансијски сектор и читљив сажетак овде: ComplexDiscovery – Rising cyber threats in Europe's financial sector.

Шта видимо у пракси

МСП све чешће пријављују кратке, интензивне таласе високо прилагођеног фишинга баш када се сви журе да пошаљу обрасце, купе карте или искористе попусте.

Делујте одмах

  • Политика:
    • Саставите "сајбер календар" поред пословног календара: бележите периоде високог ризика за ваш сектор и географску област.
  • Контрола:
    • Пре-подесите банере или упозорења у е-порукама за одређене кључне речи (порез, повраћај, карта, грант) у тим периодима.
  • Свесност:
    • Покрените временски ограничене симулације фишинга и савете у последњем тренутку недељу дана пре предвидивих догађаја са ризиком.

Тренд 8: Локализоване мамце LLM-а (имитација језика и тона)

Шта је ново у 2026.

Велики језички модели (LLM) углавном су убили стару хеуристику "лоше писање = фишинг".

  • Нападачи могу да генеришу савршено локализоване имејлове на аустријском немачком, британском енглеском, бразилском португалском… укључујући идиоме и нивое учтивости.
  • Јавни подаци (веб-сајтови, друштвени медији, огласи за посао) омогућавају им да непријатно добро имитирају тон гласа ваше организације.

ENISA изричито наводи да нове технологије као што су ВИ и аутоматизација помажу нападачима да анализирају понашање и покрећу боље циљани фишинг: ENISA – Emerging technologies make it easier to phish.
Кампање подизања свести широм Европе сада истичу вештачку интелигенцију, дрифкејкове и смшинг као централне теме (на пример: ENISA – Промовисање безбедности у дигиталном свету током Европског месеца сајбер безбедности).

Шта видимо у пракси

Све више организација пријављује фишинг имејлове у којима је квалитет језика нераздвојiv од праве интерне комуникације — па чак и потписи и стандардне фразе су исти. Чланци попут овог сажетог извештаја TechRadar-а описују како вештачким интелектом генерисани фишинг имејлови сада изгледају чистије и убедљивије од многих легитимних имејлова:
TechRadar – ВИ чини фишинг имејлове далеко убедљивијим.

Делујте одмах

  • Политика:
    • Забраните смернице попут "тражите правописне грешке" из званичних материјала за обуку; оне сада активно доводе у заблуду.
  • Контрола:
    • Улажите у детекцију осетљиву на садржај која узима у обзир намеру, линкове и прилоге — а не само једноставне потписе или блочне листе.
  • Свесност:
    • Уместо тога, учите структурне показатеље: неочекивана хитност, необични канали, захтеви за прекидање процеса или странице за пријаву које нису у складу са уобичајеним токовима.

Трендове 9: Прелазак са складишта података на дељење датотека (Snowflake, Drive, SharePoint и пријатељи)

Шта је ново у 2026.

Системи усмерени на податке као што су Snowflake, BigQuery, S3 data lakes и платформе за сарадњу садрже невероватне количине података о клијентима и оперативних података.

Недавне истраге крађе података повезане са Snowflake-ом из 2024. године показују како су нападачи користили украдене акредитиве и токене да би приступили више корисничких окружења и покренули кампање уцјењивања великих размјера, како описују Mandiant и Snowflake:
Google Cloud / Mandiant – UNC5537 циља Snowflake
Snowflake threat-hunting guide (PDF)
Добар неутралан према добављачу наратив такође пружа Cloud Security Alliance:
Cloud Security Alliance – Распакивање пропуста у безбедности података компаније Snowflake из 2024. године
и јавни преглед на Википедији даје контекст ширем утицају:
Википедија – Пропуст у безбедности података компаније Snowflake

За нападаче, ове платформе су сан:

  • Један компромитован идентитет може да обезбеди приступ милионима записа.
  • Подаци се могу тихо изнети кроз упите који изгледају као обични.

Шта видимо у пракси

Чак и мање организације сада се ослањају на облачне складишта података и заједничке дискове за све, од извоза CRM података до извештаја о људским ресурсима — често са сервисним налозима и превише привилегованим улогама које нико не прегледа.

Делујте одмах

  • Политика:
    • Третирајте платформе за податке као "круну свог наслеђа" у вашем регистру ризика; захтевајте експлицитна одобрења за то ко може да приступи чему и зашто.
  • Контрола:
    • Проведите SSO + MFA за све приступе; смањите сталне привилегије; пратите аномалне упите, извозе и преузимања.
  • Свест:
    • Укључите сценарије "података у великом обиму" у обуку — особље треба да зна да један компромитован аналитички налог може бити гора ствар од 100 мејл-кутија.

Тренд 10: Регулаторни притисак → програми за проверљиву свест и фишинг

Шта је ново у 2026.

Прописи као што је NIS2 Директива (ЕУ) експлицитно подижу лествицу за управљање, управљање ризицима и свест особља у многим секторима, укључујући и организације средње величине.

Правни текст је доступан овде:
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng

Практична објашњења чине очекивања јаснијим:

Кључне теме:

  • Свест о безбедности није опционална за обухваћене ентитете — регулаторна тела очекују доказе.
  • Управни одбор и руководећи органи су изричито одговорни за надзор над сајбер ризиком.
  • Документација је важна: политике, евиденција о обукама и поступање у случају инцидената морају издржати проверу.

Шта видимо на терену

МСП који су некада припремали годишњу презентацију са слајдовима сада журе да покажу структуриране, поновљене симулације фишинга, праћење присуства и документоване праћене активности — посебно када послују са регулисаним клијентима.

Напомена: Ништа у овом чланку није правни савет. Увек се консултујте са вашим правним/комплајенс тимом за тумачење NIS2 и сродних закона у вашој јурисдикцији.

Делујте одмах

  • Политика:
    • Дефинишите формалну политику безбедносне свести и фишинга: учесталост, циљне групе, мерења и одговорности.
  • Контрола:
    • Имплементирајте платформу која пружа опције анонимизације, могућност одјаве где је потребно и прецизно извештавање у складу са очекивањима синдиката и GDPR-а — на пример, режиме повољне за приватност описане у AutoPhish-овом водичу за анонимизацију на https://autophish.io/anonymization (или вашем локалном еквиваленту URL-а).
  • Свесност:
    • Јасно саопштите да симулације фишинга служе за учење, а не за кажњавање—култура без окривања заправо побољшава стопе пријављивања.

Шта би МСП требало да приоритетизују у овом кварталу (90-дневни план)

Не морате да поправите све одједном. Ево реалистичног 90-дневног плана.

Недеље 1–4: Добијте увид и брзе победе

  • Проведите основну вежбу за фишинг међу широком групом корисника како бисте разумели стопе кликања и пријављивања.
  • Мапирајте своје критичне пословне процесе који могу бити погођени фишингом (плаћања, промене у људским ресурсима, даљински приступ, извоз података).
  • Омогућите или заоштрите MFA за све налоге, дајући приоритет администраторима и спољном приступу.
  • Прегледајте mail connectors/relays и документујте који системи шаљу у име вашег домена.

Недеље 5–8: Ојачајте токове високог ризика

  • Уведите MFA отпорну на фишинг (FIDO2 / passkeys) за администраторе финансија, људских ресурса и ИТ-а.
  • Имплементирајте основно управљање сагласностима за апликације: онемогућите отворено давање сагласности где је то могуће, дефинишите листу дозвољених апликација за пословне потребе.
  • Ажурирати политике BYOD и размене порука, укључујући правила за пријаве преко QR кодова и одобрења путем ћаскања.
  • Конфигурисати безбедносне банере и филтере за поруке везане за порезе, грантове и плаћања уочи познатих периода великог оптерећења.

Недеље 9–12: Изградња одрживих, ревидираних пракси

  • Прелазак са једнократних тестова на редован програм симулација (нпр. месечне мале кампање + једна квартална "велика").
  • Увођење једноставног дугмета за извештавање једним кликом у пошту и обука особља за његову употребу.
  • Документујте свој програм: политике, распореде, подешавања анонимизације и резиме метрика — ово ће помоћи у NIS2 и корисничким ревизијама.
  • Усагласите симулације фишинга са осталим безбедносним иницијативама (вежбе за одговор на инциденте, вежбе за столом, процене добављача).

Ако ништа друго не урадите 2026. године, успостављање ових основа ставиће вас испред многих колега.

Како AutoPhish помаже (без бинга с модерним изразима)

Алати не мењају културу чаробним путем — али могу учинити да праве ствари буду једноставније, а погрешне теже.

AutoPhish је направљен посебно за мала и средња предузећа којима је потребно модерно обучавање за фишинг без претварања у пунорадна SOC-ове:

  • Водите аутоматизоване, календарски вођене кампање фишинга које одражавају горе поменуте трендове (мобилне уређаје, QR кодове, екране за пристанак, мамце у стилу BEC).
  • Користите моделе пријатељске према приватности и опције анонимизације које чине синдикате и службенике за заштиту података много мање нервозним (погледајте, на пример, јавни водич за анонимизацију: Водич за анонимизацију AutoPhish).
  • Усагласите се са прописима као што је NIS2 пружајући чисте трагове ревизије: ко је био циљ, како су кампање конфигурисане и која су побољшања уследила.
  • Комбинујте шаблоне засноване на улогама (финансије, људски ресурси, руководиоци, ИТ) уз локализовани садржај како би корисници видели реалистичне мамце прилагођене језику.
  • Интегришите симулације са вашим постојећим материјалом за обуку, укључујући видео-снимке добављача и ваше сопствене материјале за подизање свести.

Ако тренутно упоређујете алате, погледајте наше детаљне анализе о:

ЧПП: Фишинг у 2026.

Да ли се фишинг и даље углавном односи на е-пошту?

Е-пошта и даље представља главни вектор, али фишинг заснован на УРЛ-овима и ћаскању претекао је класичне нападе путем приложених фајлова, а преваре путем СМС-а (смшинг) и преваре засноване на QR кодовима брзо расту. Резимеи прегледа претњи и секторски извештаји ENISA-е дају добре податке о овом тренду:
Преглед претећег пејзажа ENISA-е
Претећи пејзаж ENISA-е – финансијски сектор

Може ли фишинг заиста да се догоди преко телефона или WhatsApp-а?

Да. Гласовни позиви, говорна пошта, СМС и апликације за размену порука користе се за вишинг, смишинг и фишинг путем ћаскања. Материјали ENISA-е за Европски месец сајбер безбедности експлицитно се фокусирају на социјални инжењеринг, смшинг и дипфејкове:
ENISA – Промоција безбедности у дигиталном свету током Европског месеца сајбер безбедности

Да ли су фишинг имејлови заправо незаконити?

У већини јурисдикција, фишинг обухвата кривична дела преваре, крађе идентитета или злоупотребе рачунара. Чак и ако покушај фишинга не успе, слање таквих порука може бити у супротности са законима о неовлашћеном приступу или злоупотреби података. Консултујте се са локалним правним саветником за детаље, посебно ако дизајнирате интерне симулације.

Да ли вештачка интелигенција чини фишинг незаустављивим?

Не—али чини да фишинг са малим уложеним напором буде квалитетнији. Однос се мења са откривања очигледних правописних грешака на препознавање сумњивог контекста, захтева и токова. Извештаји попут ENISA-иног "Emerging technologies make it easier to phish" и TechRadar-овог прегледа фишинга побољшаног вештачком интелигенцијом показују како се и нападачи и одбрамбени прилагођавају:
ENISA – Нове технологије олакшавају фишинг [TechRadar – ВИ чини фишинг имејлове далеко убедљивијим](https://www.techradar.com/pro/security/ai-is- чинећи-фишинг-имејлове-далеко-убедљивијим-са-мање-типографских-грешака-и-бољим-оформљавањем-ево-како-да-останете-безбедни)

Са правом комбинацијом контрола, културе и континуираног тестирања, фишинг побољшан вештачком интелигенцијом је веома управљив.

Колико често треба да спроводимо симулације фишинга?

За већину малих и средњих предузећа, добра полазна основа је:

  • Једна мала кампања месечно (циљане теме, мале групе)
  • Једна већа, кампања за целу организацију квартално
  • Додатне симулације покретане догађајима током пореске сезоне, великих лансирања производа или других ужурбаних периода.

Кључно је да буде предвидљиво понављајуће и без казнених мера, како би се људи укључили, а не заобилазили систем.

Даље читање и извори

Ево неколико реномираних полазних тачака коришћених приликом писања овог чланка (све са пуним УРЛ-овима):

Спремни да видите где се налазите?

Не треба вам кристална кугла да бисте се припремили за 2026. годину.

Спроведите основну вежбу за фишинг ове недеље, забележите шта се дешава и одлучите који од 10 горе наведених трендова је најважнији за вашу организацију. Ако желите помоћ у томе на пријатељски наклоњен начин приватности и компатибилан са саветом за рад, у било ком тренутку можете започети пробни период AutoPhish-а.

← Nazad na sve postove

Spremni da ojačate svoju odbranu?

Registrujte se danas i pokrenite svoju prvu simulaciju fišinga za nekoliko minuta.

Počnite da simulirate odmahKontaktirajte nas