Problem koji mnoge hrvatske tvrtke još ne provjeravaju
Zamislite scenarij: Vaš najbolji klijent prima email s Vaše domene — [email protected] — s hitnim zahtjevom za uplatu na novi račun. Email izgleda legitimno. Logo je Vaš. Potpis je Vaš. Klijent plati.
Problem? Vi taj email niste poslali. Napadač je "spoofao" Vašu domenu — lažirao zaglavlje emaila tako da izgleda kao da dolazi od Vas. Ako autentikacija domene nije uređena, takav napad može izgledati uvjerljivo bez pristupa Vašem mailboxu.
Ovo nije teorija. FBI IC3 izvještaj za 2025. navodi 24.768 Business Email Compromise prijava i više od 3,046 milijardi USD prijavljenih prilagođenih gubitaka u SAD-u. To nije hrvatska statistika, ali jasno pokazuje zašto je lažno predstavljanje kroz email poslovni rizik, ne samo IT problem.
Kako email spoofing funkcionira — jednostavno objašnjenje
Email protokol (SMTP) dizajniran je 1982. godine — prije interneta kakvog poznajemo. Nije imao ugrađenu provjeru identiteta. To znači da polje "Od:" u emailu može biti bilo što — isto kao što na pismo možete napisati tuđe ime kao pošiljatelja.
Zamislite poštanski sustav bez provjere identiteta pošiljatelja. Netko može pokušati poslati pismo s Vašim imenom, a primatelj nema dobar način provjere. Sličan problem nastaje s emailom kada domena nema urednu autentikaciju.
Rješenje? Tri DNS protokola koji zajedno stvaraju sustav verifikacije:
- SPF — definira koji serveri smiju slati email u ime Vaše domene
- DKIM — dodaje kriptografski potpis koji pomaže primatelju provjeriti integritet potpisanih dijelova poruke
- DMARC — govori primatelju što napraviti kad provjera padne (ništa, quarantine, reject)
Što se događa ako nemate zaštitu?
Bez DMARC zaštite, posljedice su ozbiljne:
- Financijski gubici — klijenti plaćaju na lažne račune misleći da im Vi šaljete fakturu
- Narušena reputacija — kad se otkrije da su lažni mailovi dolazili "od Vas", povjerenje klijenata može ozbiljno pasti
- Vaši emailovi završavaju u spamu — veliki inbox provideri sve strože vrednuju SPF, DKIM, DMARC i reputaciju domene
- Regulatorni i ugovorni rizik — ako incident uključuje osobne podatke ili poslovnu štetu, tražit će se dokaz koje ste tehničke i organizacijske mjere imali
Kako Vi-Di.me štiti Vašu domenu
Naš proces je postupan i siguran:
- Besplatni audit — provjeravamo DNS zapise Vaše domene i šaljemo izvještaj s trenutnim stanjem
- SPF + DKIM postava — postavljamo DNS zapise koji verificiraju Vaše legitimne email servere
- DMARC monitoring (p=none) — počinjemo s praćenjem bez blokiranja, da vidimo tko sve šalje u ime Vaše domene
- Postupno pojačavanje — nakon analize, pojačavamo na quarantine pa reject. Rezultat je znatno manji rizik da neautorizirane poruke prođu kao email s Vaše domene