Na zaslonu telefona može se pojaviti broj banke, policije, dostavne službe ili poznate osobe, iako poziv zapravo dolazi iz drugog izvora. Prikazani broj nije siguran dokaz identiteta pozivatelja, jer prevaranti mogu koristiti spoofing, odnosno lažno prikazivanje broja.
Takvi pozivi često su povezani s vishingom i socijalnim inženjeringom: pozivatelj stvara pritisak kako bi izmamio osobne podatke, pristupne kodove ili novac. U nastavku slijedi kako prepoznati znakove spoofinga, provjeriti sumnjiv poziv i prijaviti nepoznat broj kroz provjeru i prijavu nepoznatih brojeva.
Što je lažno prikazivanje broja i kako prepoznati spoofing poziva
Lažno prikazivanje broja, odnosno caller ID spoofing, događa se kada pozivatelj namjerno promijeni broj koji se prikazuje na zaslonu primatelja. Tako poziv može izgledati kao da dolazi od lokalne osobe, banke ili državne službe, iako stvarni izvor nije taj broj. Broj na zaslonu zato treba shvatiti kao podatak koji se prenosi kroz telefonsku mrežu, a ne kao potvrdu identiteta pozivatelja.
Postoji razlika između legitimnog prikaza poslovnog broja i obmanjujućeg spoofinga. Tvrtka može koristiti središnji broj koji se prikazuje pri odlaznim pozivima zaposlenika. Problem nastaje kada se tuđi broj koristi bez odobrenja, s namjerom da se osoba navede na pogrešan zaključak ili rizičnu odluku.
Kako prevaranti mijenjaju prikazani broj
Lažni broj može se prikazati kroz VoIP usluge, međunarodne telefonske rute i manipulaciju signalizacijom koja mrežama prenosi podatke o pozivatelju. Takav poziv može proći kroz više operatora prije nego što stigne do primatelja. Ako se identitet ne provjeri na svakoj točki, zaslon telefona može prikazati broj koji nije povezan sa stvarnim izvorom poziva.
Zato se i poziv iz inozemstva može pojaviti kao hrvatski mobilni ili zemljopisni broj. HAKOM je opisao slučajeve u kojima međunarodni pozivi s lažiranim hrvatskim brojem nisu pokrenuti u mreži operatora čiji se broj prikazuje, nego su proslijeđeni iz drugih mreža. Europol ovu tehniku opisuje kao krivotvorenje podataka na telefonu radi obmane primatelja, a dodatno objašnjenje dostupno je u Europolovu upozorenju o spoofingu poziva.
Operatori zato razvijaju provjeru identiteta poziva, praćenje izvora i blokiranje sumnjivog prometa. U Hrvatskoj se provjeravaju i blokiraju određeni međunarodni pozivi koji prikazuju hrvatske brojeve, uz provjeru nalazi li se korisnik stvarno u roamingu. Ipak, zaštita nije jednaka u svim mrežama, pa prikazani broj i dalje nije dovoljan dokaz autentičnosti.
Zašto lažni broj povećava vjerodostojnost prijevare
Poziv s poznatim lokalnim brojem često smanjuje oprez. Osoba može pretpostaviti da zove njezina banka, policija, korisnička podrška ili dostavna služba, posebno kada pozivatelj koristi službeni ton i zna nekoliko osnovnih podataka.
Nakon toga prevarant može tražiti jednokratni kod, podatke kartice ili pristup internetskom bankarstvu. U drugim slučajevima pokušava nagovoriti osobu na instalaciju aplikacije za udaljeni pristup ili na hitan prijenos novca. Lažni broj ne dokazuje da poziv dolazi od institucije, već samo pokazuje što je mreža proslijedila telefonu.
Najvažniji znakovi su pritisak, zahtjev za tajnim podacima i inzistiranje da se razgovor nastavi bez neovisne provjere. Legitimna institucija može potvrditi svoj poziv preko službenog kanala, dok prevarant računa na to da će poznati broj zamijeniti stvarni dokaz identiteta.
Znakovi po kojima se prepoznaje lažni poziv
Lažni poziv rijetko se prepoznaje po samo jednom detalju. Nepoznat broj može pripadati legitimnoj tvrtki, a poznati broj može biti lažiran. Puno pouzdaniju sliku daju obrasci koji se ponavljaju: neočekivan kontakt, pritisak, zahtjev za tajnim podacima i nesklad između priče i načina na koji poziv izgleda.
Najčešći scenariji, od lažne banke do propuštenog poziva
Kod vishinga pozivatelj se predstavlja kao banka, sigurnosna služba, policija, porezna uprava ili dostavna tvrtka. Često tvrdi da je račun ugrožen, da slijedi blokada, da postoji porezni dug ili da paket čeka dodatnu uplatu. Cilj je isti: izazvati strah i skratiti vrijeme za provjeru.
Sumnju povećavaju ovi detalji:
- Poziv stiže bez prethodnog razloga, u neuobičajeno vrijeme ili s broja koji ne odgovara jeziku i instituciji koja se navodno javlja.
- Pozivatelj zahtijeva trenutnu reakciju, uz tvrdnje da će račun biti blokiran ili novac izgubljen ako se odmah ne postupi.
- Traže se PIN, lozinka, broj kartice, jednokratni SMS kod ili prijenos sredstava na “sigurni” račun.
- Pozivatelj upućuje na instalaciju aplikacije za udaljeni pristup ili traži da se razgovor nastavi putem poveznice i poruke.
- Prikazani broj, naglasak, vrijeme poziva i sadržaj poruke međusobno se ne podudaraju.
Legitimni marketinški poziv može biti naporan, ali obično nudi proizvod ili uslugu bez traženja pristupa računu. Pokušaj krađe podataka ili novca uključuje obmanu, hitnost i zahtjev koji može prouzročiti financijsku štetu.
Poseban je slučaj Wangiri obrazac. Telefon zazvoni jednom, ostane propušten poziv, a broj često izgleda međunarodno ili neuobičajeno. Povratni poziv može stvoriti visoke troškove. Takav broj ne treba nazivati natrag, a korisno je provjeriti popis prijavljenih spam brojeva. Korisničke ocjene mogu upozoriti na obrazac, ali nisu konačan dokaz da je broj siguran ili opasan.
Što se nikada ne traži tijekom legitimnog poziva
Banka ili druga ozbiljna institucija ne bi trebala telefonom tražiti lozinku, PIN, jednokratni kod, potpune podatke kartice ili prijenos novca na drugi račun. Jednokratni kod služi za potvrdu radnje koju korisnik sam pokreće, pa njegovo otkrivanje pozivatelju može omogućiti neovlaštenu prijavu ili plaćanje. Dodatne smjernice o zaštiti osjetljivih podataka dostupne su u uputama Federal Trade Commissiona o telefonskim prijevarama.
Također, legitimni poziv ne bi trebao zahtijevati instalaciju programa za udaljeni pristup. Prekid razgovora u takvoj situaciji nije nepristojan, nego razumna zaštita. Institucija se može nazvati samostalno, preko broja objavljenog na službenoj stranici, bez korištenja kontakta koji je dao nepoznati pozivatelj.
Kako postupiti nakon sumnjivog spoofing poziva u Hrvatskoj
Nakon sumnjivog poziva najvažnije je prekinuti razgovor i ne pokušavati dokazivati identitet pozivatelja. Ne treba otkrivati PIN, lozinku, jednokratni kod, podatke kartice ili pristup internetskom bankarstvu. Povratni poziv na broj iz zapisa također nije siguran način provjere, jer spoofing može prikazati broj potpuno nevine osobe.
Instituciju treba kontaktirati samostalno, preko broja objavljenog na njezinoj službenoj stranici ili na službenom dokumentu. Nakon toga broj se može blokirati na telefonu, a sačuvani zapisi trebaju ostati dostupni za prijavu.
Kome prijaviti prijevarni ili uznemirujući poziv
Zlonamjerni ili uznemirujući poziv u Hrvatskoj najprije se prijavljuje operatoru, najbolje pisanim putem. Prijava treba sadržavati pozivajući broj, datum, vrijeme i opis razgovora. Korisno je dodati ime prijavitelja, vlastiti broj telefona i naziv operatora.
Operator može provjeriti podatke o izvoru poziva, utvrditi kroz koje je mreže prošao i, kada postoje elementi kaznenog djela, proslijediti podatke policiji. Kod Wangiri napada, odnosno kratkog poziva koji potiče skupi povratni poziv, operator može blokirati broj za korisnike svoje mreže. HAKOM u svojim uputama za zlonamjerne i neželjene pozive također navodi prijavu operatoru i blokiranje broja na uređaju, ako je to moguće.
HAKOM-u se neželjeni pozivi, SMS i MMS mogu prijaviti elektroničkom poštom. Kada je riječ o promidžbenim pozivima unatoč upisu broja u Registar “NE ZOVI”, prijava se podnosi Državnom inspektoratu. Taj registar odnosi se na prodajne i marketinške kontakte trgovaca, a ne na sve vrste prijevara. Policija je odgovarajuća adresa kada je poziv povezan s krađom novca, pokušajem prijevare, prijetnjom ili ozbiljnim uznemiravanjem.
Broj se može provjeriti i kroz bazu iskustava o najčešće prijavljivanim brojevima. Rezultati mogu pokazati obrazac neželjenih poziva, ali ne dokazuju identitet pozivatelja. Spoofing omogućuje prevarantu da prikaže broj osobe koja s pozivom nema nikakve veze.
Koje dokaze sačuvati prije prijave
Prije brisanja zapisa treba sačuvati:
- snimku zaslona s prikazanim brojem, datumom i vremenom poziva
- trajanje razgovora i vlastju bilješku o njegovu sadržaju
- SMS poruke, poveznice, elektroničku poštu i govorne poruke povezane s pozivom
- broj računa, podatke o uplati ili potvrdu transakcije, ako je novac već poslan
- podatke o instituciji koju je pozivatelj lažno predstavljao
Poruke i zapise ne treba uređivati niti prosljeđivati prevarantu. Ako su podaci već otkriveni ili je izvršena uplata, banka se kontaktira odmah radi blokade računa, kartice ili transakcije, a zatim se događaj prijavljuje policiji. Svaki dodatni razgovor s pozivateljem može mu otkriti nove informacije ili otežati kasniju provjeru.
Kako operatori i europske institucije suzbijaju spoofing poziva
Suzbijanje spoofinga zahtijeva suradnju operatora, regulatora i tijela za provedbu zakona. Tehničke mjere mogu otkriti sumnjiv promet, provjeriti podrijetlo poziva i blokirati dio lažiranih brojeva, ali nijedna zaštita ne potvrđuje identitet osobe koja govori.
Zašto prikazani broj nije dovoljan kao dokaz identiteta
Broj prikazan na zaslonu i stvarni izvor poziva nisu ista informacija. CLI, odnosno podatak o identitetu pozivatelja, putuje kroz više mreža i može biti izmijenjen prije nego što poziv stigne do krajnjeg korisnika. Prevarant zato može prikazati broj banke, policijske postaje ili privatne osobe, iako poziv nije pokrenut iz te mreže.
Takva zlouporaba pogađa i vlasnika legitimnog broja. Ako primatelj nazove broj iz zapisa poziva, veza može završiti kod stvarne osobe ili institucije čiji je broj prevarant kopirao. Povratni poziv tada ne otkriva tko je ranije razgovarao s primateljem.
Operatori zato provjeravaju odgovara li CLI mreži iz koje poziv dolazi, postoji li broj u registru i je li dopušten za prikaz. Prate se i ruta poziva, prijelazi između operatora te obrasci prometa koji upućuju na masovno ili automatizirano pozivanje. Ti podaci mogu pomoći u istrazi, ali često nisu dostupni korisniku tijekom razgovora.
Zato se identitet institucije potvrđuje neovisnim pozivom na službeni kontakt, a ne brojem koji se pojavio na zaslonu. Javne baze mogu pokazati iskustva drugih korisnika, primjerice kroz statistiku poziva iz A1 mreže, ali prijava broja sama po sebi nije dokaz stvarnog izvora.
Što donose nova pravila i bolja suradnja operatora
Europski odgovor sve se više usmjerava na provjeru CLI-ja, razmjenu podataka i prekogranični traceback, odnosno praćenje rute poziva do mreže iz koje je krenuo. BEREC navodi blokiranje međunarodnih poziva koji prikazuju domaći broj kao jednu od ključnih mjera. Takav postupak posebno cilja pozive koji stižu iz inozemstva, ali izgledaju kao hrvatski mobilni ili zemljopisni broj. Više o tehničkim kontrolama i registrima brojeva donosi BEREC-ov pregled digitalnih prijevara.
U IP mrežama razmatra se i STIR/SHAKEN. Taj mehanizam na početku poziva digitalno potpisuje podatke o pozivatelju, a odredišna mreža provjerava potpis. Europa ga promatra kao mogući model autentikacije, ali njegova primjena nije jednaka u svim državama.
HAKOM prati provedbu pravila na hrvatskom tržištu i surađuje s operatorima, dok BEREC usklađuje regulatorni pristup među europskim državama. Europol traži zajedničke standarde za provjeru identiteta, blokiranje obmanjujućeg prometa i razmjenu podataka s policijom.
Ipak, međunarodne rute, stare mreže i različita pravila među državama ostavljaju prostor za zaobilaženje. Mjere mogu smanjiti broj prijevara, ali ne mogu pretvoriti prikazani broj u konačan dokaz identiteta.
Često postavljana pitanja
Spoofing poziva ostavlja nekoliko otvorenih pitanja, posebno kada se prikazani broj podudara s poznatim kontaktom ili službenom institucijom. Najvažnije je razumjeti što sam telefonski broj može pokazati, a što ostaje skriveno.
Može li se otkriti tko je stvarno uputio spoofing poziv?
Korisnik najčešće ne može sam utvrditi stvarni izvor takvog poziva. Operator može analizirati rutu poziva, podatke o mreži i obrasce prometa, a policija može zatražiti dodatne podatke tijekom istrage.
Federal Communications Commission objašnjava da spoofing mijenja podatke koji se prenose na zaslon primatelja, pa prikazani broj nije dovoljan za identifikaciju pozivatelja. Zato prijava treba sadržavati što preciznije vrijeme, broj i opis razgovora.
Može li sam odgovor na poziv izazvati naplatu ili krađu novca?
Samo javljanje na poziv obično ne omogućuje pristup bankovnom računu niti automatski stvara trošak. Rizik nastaje kada osoba uzvrati poziv na međunarodni ili tarifirani broj, slijedi upute automatizirane poruke ili tijekom razgovora otkrije podatke.
Prema uputama o telefonskim prijevarama FTC-a, prevaranti mogu lažirati gotovo bilo koji broj na zaslonu. Razgovor zato treba prekinuti čim se pojavi zahtjev za novcem, kodovima ili instalacijom nepoznatog programa.
Što ako je prikazan vlastiti broj ili broj člana obitelji?
To obično znači da je prevarant zloupotrijebio taj broj za prikaz pozivatelja. Vlasnik broja ne mora imati nikakve veze s pozivom, a povratni pozivi mogu mu donijeti uznemiravanje i pogrešne optužbe.
U takvoj situaciji treba obavijestiti operatora i sačuvati zapise poziva. Promjena broja najčešće nije prvi korak, jer operator može blokirati ili istražiti promet bez promjene korisničkog broja.
Može li aplikacija za identifikaciju broja potvrditi da je poziv siguran?
Aplikacije i javne baze mogu pokazati ranije prijave, ali ne mogu potvrditi identitet osobe koja je uputila spoofing poziv. Čak i ako broj ima dobru ocjenu, prevarant ga može jednokratno prikazati bez prethodne povijesti.
Za broj iz određene mreže korisne mogu biti statistike prijavljenih Telemach brojeva, ali one daju samo kontekst. Konačna provjera i dalje se obavlja preko službenog kontakta institucije.
Jesu li spoofing pozivi mogući preko WhatsAppa i drugih aplikacija?
Spoofing se najčešće odnosi na podatke koje telefonska mreža šalje funkciji prikaza pozivatelja. Aplikacije poput WhatsAppa koriste vlastite korisničke račune i sustave pozivanja, pa se problem ne pojavljuje na potpuno isti način.
Ipak, prevarant može lažno predstaviti identitet, koristiti ukradeni račun ili nakon poziva poslati poveznicu. Identitet treba provjeriti drugim kanalom, ne samo imenom i fotografijom profila.
Može li blokiranje jednog broja zaustaviti prevaru?
Blokiranje može spriječiti ponovne pozive s istog prikazanog broja, ali spoofing omogućuje uporabu novih ili tuđih brojeva. Zato blokiranje smanjuje smetnje, ali ne uklanja izvor problema.
Ako se pozivi ponavljaju, operatoru treba poslati više zapisa s datumima i vremenima. Takav obrazac operatoru daje više podataka za prepoznavanje prometa koji pojedinačna blokada ne otkriva.
Zaključak
Spoofing uspijeva zato što se povjerenje često veže uz broj na zaslonu, iako taj podatak nije pouzdana potvrda identiteta. Neočekivan poziv, pritisak, zahtjev za osjetljivim podacima i odbijanje neovisne provjere ostaju važniji znakovi prijevare od samog prikazanog broja.
Sumnjiv razgovor treba odmah prekinuti, a instituciju provjeriti pozivom na službeni kontakt. Točan broj, vrijeme i sadržaj poziva treba sačuvati te prijaviti operatoru ili nadležnim tijelima; korisna može biti i provjera spam brojeva Hrvatskog telekoma.
Tehnička zaštita napreduje, ali ljudska procjena i dalje ostaje važan dio obrane od telefonskih prijevara.