BEC prijevara: kako provjeriti pošiljatelja e-pošte prije nego što platite

Kratak odgovor

BEC prijevara (business email compromise) prijevara je u kojoj kriminalci šalju e-poštu koja izgleda kao da je od vašeg šefa, dobavljača ili odvjetnika i traže da platite ili promijenite bankovne podatke. Da biste provjerili pošiljatelja, provjerite stvarnu adresu i domenu slovo po slovo, potražite "pass" uz SPF, DKIM i DMARC u detaljima poruke i nikad ne postupajte po zahtjevu za plaćanje dok ne nazovete osobu na broj koji ste već imali. Ako ste platili, odmah nazovite banku i prijavite prijevaru.

Ključne brojke

• 3,05 milijardi dolaragubici zbog BEC prijevara prijavljeni FBI-ju u 2025., u 24.768 prijavaFBI IC3 2025 Internet Crime Report
• 679 milijuna dolarazamrznuo je za žrtve FBI-jev Recovery Asset Team u 2025., uspješnost od 58% na prijavljenih 1,16 milijardi dolaraFBI IC3 2025 Internet Crime Report
• 41,3 milijuna funtiizgubljeno u Ujedinjenom Kraljevstvu u 2025. na prijevarama s računima i nalozima, u 2.305 slučajevaUK Finance Annual Fraud Report 2026
• 55,5 milijardi dolaraizloženih gubitaka od BEC prijevara u svijetu od listopada 2013. do prosinca 2023., u 305.033 incidentaFBI IC3 PSA, rujan 2024.

Stigne e-poruka od dobavljača kojem plaćate svaki mjesec. Promijenili su banku i sljedeći račun treba platiti na novi račun. Ili vam direktor piše iz zračne luke: hitno i povjerljivo plaćanje mora otići do kraja dana. Ime je točno, ton je točan, logo je točan. Pitanje je je li osoba za koju mislite da je poslala poruku to stvarno i učinila.

To je BEC prijevara (engl. business email compromise), jedno od najskupljih kaznenih djela koja FBI prati. Tvrtke i pojedinci prijavili su 3,05 milijardi dolara gubitaka zbog BEC prijevara u 2025., u 24.768 prijava FBI-jevom centru Internet Crime Complaint Center. Rješenje je jednostavno, ali strogo: nekoliko provjera same poruke i pravilo povratnog poziva koje nitko ne preskače.

Što je BEC prijevara?

BEC prijevara je prijevara u kojoj se kriminalci e-poštom predstavljaju kao netko kome vjerujete, primjerice dobavljač, direktor, zaposlenik ili odvjetnik, kako bi vas naveli da pošaljete novac ili osjetljive podatke. FBI kaže da cilja osobe i tvrtke koje redovito šalju bankovne transfere, koristeći hakirane ili lažirane račune e-pošte, a sve češće i telefonske brojeve i aplikacije za videosastanke. Irski National Cyber Security Centre navodi četiri česta oblika:

• Prijevara s dobavljačem ili računom: e-pošta pravog dobavljača je hakirana ili kopirana pomoću domene koja nalikuje pravoj, kako bi se slali lažni računi ili "novi bankovni podaci".
• CEO prijevara: lažni direktor traži hitan, tajni transfer ili poklon-kartice.
• Preusmjeravanje plaće: lažni zaposlenik traži od odjela ljudskih resursa da mu plaću šalje na novi račun.
• Lažno predstavljanje odvjetnika: lažni odvjetnik ili agencija šalje upute za plaćanje za posao ili kupnju nekretnine.

U Ujedinjenom Kraljevstvu banke su u 2025. zabilježile 41,3 milijuna funti gubitaka zbog prijevara s računima i nalozima u 2.305 slučajeva te još 5,6 milijuna funti zbog CEO prijevara.

Kako izgleda e-poruka BEC prijevare?

Izgleda obično, i upravo je u tome stvar. BEC poruke rijetko nose zlonamjerni softver ili poveznice. Oslanjaju se na uvjerljivu priču, rok i malu promjenu. Ovo su tipični primjeri, prepričani:

Poštovani, obavještavamo vas da smo prešli u novu banku. U privitku su ažurirani podaci. Molimo da ih koristite za račun br. 4471 i sva buduća plaćanja. Stari račun je zatvoren.

Jeste li za stolom? Trebam da danas obavite povjerljivo plaćanje za jednu akviziciju. Zasad ni s kim ne razgovarajte o tome. Na sastancima sam pa samo e-poštom.

Bok, promijenio sam banku. Možete li mi ažurirati račun za plaću prije ovog obračuna? Novi podaci su u nastavku.

FBI napominje da umjetna inteligencija te poruke danas čini uglađenijima: alati za razgovor mogu oponašati stil pisanja direktora, a kloniranje glasa može potkrijepiti zahtjev telefonom. Tvrtke su u 2025. prijavile više od 30 milijuna dolara gubitaka od BEC prijevara u kojima je korištena umjetna inteligencija.

Kako provjeriti pošiljatelja e-pošte?

Provjerite stvarnu adresu, domenu i rezultate autentikacije, a zatim potvrdite telefonom na broj koji ste već imali. Idite redom.

1. Prikažite punu adresu. Ime za prikaz ("Sara Lee, Računovodstvo") može glasiti bilo kako. Dodirnite ga ili prijeđite mišem preko njega da vidite pravu adresu. Na mobitelu je taj korak lako propustiti, zato FBI savjetuje da e-poštu podesite tako da prikazuje pune adrese.
2. Pročitajte domenu slovo po slovo. Tražite zamijenjene ili dodane znakove: "acme-corp.com" umjesto "acmecorp.com", "rn" umjesto "m", "l" umjesto "i", ".co" umjesto ".com" ili besplatnu adresu poput Gmaila za tvrtku koja ima vlastitu domenu.
3. Provjerite adresu za odgovor (Reply-To). Kliknite "Odgovori" i pogledajte polje "Prima" prije nego što počnete pisati. Ako se promijeni u drugu adresu, poruka je osmišljena da vaš odgovor preusmjeri drugamo.
4. Provjerite rezultate autentikacije (SPF, DKIM, DMARC), objašnjene u nastavku.
5. Pogledajte povijest razgovora. Je li ovo nova nit koja "nastavlja" staru? Jesu li se promijenili potpis, broj telefona ili ton?
6. Nazovite i potvrdite na broj iz vlastite evidencije, nikad na broj iz poruke. Upravo taj korak stvarno sprječava gubitak.

Prava poruka s hakiranog računa proći će svaku tehničku provjeru. Zato 6. korak nije neobavezan ni za jedno plaćanje ili promjenu bankovnih podataka.

Kako provjeriti SPF, DKIM i DMARC u e-poruci?

Otvorite pune detalje ili zaglavlja poruke i potražite riječi "pass" ili "fail" uz SPF, DKIM i DMARC. U Gmailu otvorite poruku, kliknite izbornik s tri točke i odaberite "Prikaži izvornik". U Outlooku otvorite svojstva poruke ili "Prikaz izvora poruke" i potražite redak "Authentication-Results".

"Fail" na poruci o plaćanju znak je za stop. "Pass" dokazuje samo da je poruka stigla s te domene. Ne dokazuje da je to prava domena (domena koja nalikuje pravoj može proći sve tri provjere) ni da račun nije hakiran. Ove provjere shvatite kao filtar, a ne kao presudu.

Kako provjeriti tko je vlasnik domene ili adrese e-pošte?

Provjerite datum registracije domene, a zatim osobu koja stoji iza adrese. Koristite besplatnu ICANN-ovu pretragu podataka o registraciji. Domena dobavljača stara deset godina je normalna. Slična domena registrirana prošli tjedan znači prijevaru. Irski NCSC upravo zato preporučuje blokiranje ili označavanje pošte s nedavno registriranih domena.

Za novi kontakt, novog dobavljača ili ime koje ne prepoznajete pomaže poslovna pretraga na Search A-Z. Upišite ime i prezime pošiljatelja i zemlju, odaberite "Poslovni kontakt" i dodajte adresu e-pošte i tvrtku. Izvješće provjerava je li e-pošta stvarna i kakav je rizik od prijevare te prikazuje poslovnu e-poštu osobe, trenutačni posao i tvrtku, radno iskustvo, javne poslovne profile, registraciju tvrtke (uloge u britanskom Companies Houseu i svjetski LEI registar), vijesti i spominjanja na webu te javna upozorenja o prijevarama, ako postoje. Ako "novi voditelj računa" kod dobavljača nema nikakvog traga, to je vaš odgovor. Osoba nikad ne sazna da ste je tražili.

Što je pravilo povratnog poziva?

Pravilo povratnog poziva pisano je pravilo da se svako novo plaćanje, promjena bankovnih podataka ili hitan zahtjev za transfer potvrđuje odlaznim pozivom na broj koji već imate u evidenciji, prije nego što novac krene. To je najučinkovitija zaštita od BEC prijevara, ali samo ako se provodi kako treba. Smjernice banke JPMorgan o tome kad povratni pozivi pođu po zlu navode uobičajene propuste: povjerenje u dolazni poziv koji "potvrđuje" poruku, korištenje broja iz poruke ili računa i razgovor s nekim tko nije prava osoba.

Jednostavno pravilo koje možete preuzeti:

• Svaka promjena bankovnih podataka dobavljača ili zaposlenika potvrđuje se odlaznim pozivom na broj iz vaše evidencije dobavljača, ugovora ili službene stranice dobavljača, nikad iz samog zahtjeva.
• Poziv ide imenovanoj osobi s kojom ste već surađivali.
• Zahtjevi označeni kao hitni ili povjerljivi dobivaju više provjera, a ne manje.
• Plaćanja iznad određenog iznosa moraju odobriti dvije osobe.
• Novi bankovni podaci čekaju određeno vrijeme (primjerice 24 do 48 sati) prije prvog plaćanja.
• Zaposlenici imaju pisano jamstvo da nitko, pa ni direktor, neće imati problema zbog odgode plaćanja radi provjere.

Scenarij za poziv:

Dobar dan, Alex iz računovodstva tvrtke Northfield. Primili smo e-poruku o novim bankovnim podacima za vaše račune. Prije nego što išta promijenimo, možete li potvrditi da ste je vi poslali i pročitati mi zadnje četiri znamenke novog broja računa?

Kako tvrtka treba postupiti sa zahtjevom za promjenu podataka za plaćanje?

Svaku promjenu podataka za plaćanje smatrajte sumnjivom dok je ne provjerite drugim kanalom i zabilježite svaki korak. Ovaj postupak vrijedi i za male i za velike tvrtke:

1. Zabilježite zahtjev s datumom, adresom pošiljatelja i traženim podacima. Još ne odgovarajte.
2. Nazovite dobavljača na broj koji već imate u sustavu i potvrdite sa svojom uobičajenom kontakt osobom.
3. Provjerite ime vlasnika novog računa. U Ujedinjenom Kraljevstvu Confirmation of Payee kaže odgovara li ime na računu. U europodručju to od 9. listopada 2025. za transfere u eurima radi provjera primatelja plaćanja (Verification of Payee). "Nema podudaranja" ili "djelomično podudaranje" znak je za uzbunu.
4. Neka drugi odobravatelj potpiše promjenu.
5. Pošaljite malu probnu uplatu i telefonom potvrdite da je stigla, prije punog iznosa.
6. Pazite na nastavak. Pritisak da preskočite bilo koji od ovih koraka sam je po sebi znak upozorenja.

Ista pravila štite i vas kao dobavljača: pisano obavijestite klijente da nikad nećete mijenjati bankovne podatke samo e-poštom. Za nove klijente naš vodič o provjeri novog klijenta prije početka suradnje pokriva šire provjere.

Što učiniti ako sam platio lažni račun?

Odmah nazovite banku i zatražite opoziv plaćanja, a zatim istog dana prijavite prijevaru FBI-ju ili nacionalnoj policiji. Brzina je važnija od svega. Irski NCSC upozorava da se većina sredstava ne može vratiti ako se prijevara ne prijavi u prvih nekoliko sati.

1. Odmah nazovite odjel za prijevare svoje banke. Zatražite opoziv transfera i da banka primatelja zamrzne sredstva. Navedite iznos, datum, račun primatelja i poziv na broj.
2. SAD: podnesite prijavu na ic3.gov s punim podacima o transakciji, bez obzira na iznos. FBI-jev Recovery Asset Team koristi postupak Financial Fraud Kill Chain i surađuje s bankama na zamrzavanju novca. U 2025. obradio je 3.900 incidenata i zamrznuo 679 milijuna dolara, uz uspješnost od 58%. Može pratiti i transfere "u drugom koraku" ako ih navedete, a za međunarodne transfere surađuje s FinCEN-om.
3. Ujedinjeno Kraljevstvo: prijavite službi Report Fraud, koja je u prosincu 2025. zamijenila Action Fraud, na 0300 123 2040 ili Police Scotland na 101. Banka će pokrenuti i vlastiti postupak povrata.
4. EU: prijavite nacionalnoj policiji i svojoj banci. U Irskoj NCSC također traži da ga obavijestite. U Hrvatskoj prijavu podnosite policiji na broj 192 ili u policijskoj postaji, a računalni incident možete prijaviti i Nacionalnom CERT-u.
5. Zaštitite račun e-pošte. Promijenite lozinke, uključite višefaktorsku autentikaciju i provjerite pravila prosljeđivanja ili pravila pretinca koja skrivaju odgovore. To su česti znakovi da je račun preuzet.
6. Sačuvajte dokaze. Spremite poruke s punim zaglavljima, račune, popis poziva i podatke o transakcijama. Ništa ne brišite.
7. Upozorite pravog dobavljača ili klijenta. Njegov ili vaš račun možda je još uvijek kompromitiran.

Ako vam se javi "služba za povrat novca" koja nudi da vam vrati novac uz naknadu, to je nova prijevara. Pravi povrat ide preko banke i policije.

Kako zaštititi tvrtku od prijevara e-poštom?

Spojite strog postupak plaćanja s nekoliko tehničkih osnova. FBI i irski NCSC preporučuju:

• Višefaktorsku autentikaciju na svakom računu e-pošte.
• SPF, DKIM i DMARC postavljene na vlastitim domenama, kako se kriminalci ne bi lako lažno predstavljali kao vi pred vašim kupcima.
• E-poštu koja prikazuje pune adrese pošiljatelja i označava vanjske pošiljatelje.
• Registraciju očitih sličnih inačica vlastite domene ili njihovo praćenje.
• Provjeren popis dobavljača s poznatim telefonskim kontaktima.
• Redovitu obuku zaposlenika na stvarnim primjerima poput ovih iznad.

BEC prijevara često počinje istraživanjem vašeg tima: tko odobrava plaćanja, tko su dobavljači, tko putuje. Naš vodič o prepoznavanju lažnih LinkedIn profila objašnjava kako lažni računi prikupljaju te podatke.

Zaključak

Hakiranu poruku ne možete razlikovati od prave samo gledajući je, pa to ni ne pokušavajte. Provjerite adresu i domenu, SPF i DKIM shvatite kao prvi filtar i svaku promjenu plaćanja potvrdite pozivom na broj koji ste već imali. Ako je novac otišao, nazovite banku i prijavite prijevaru u roku od nekoliko sati, a ne dana.

Česta pitanja

Što je BEC prijevara?

BEC prijevara (business email compromise) prijevara je u kojoj se kriminalci e-poštom predstavljaju kao kontakt kojem vjerujete, primjerice dobavljač, direktor ili odvjetnik, kako bi vas naveli da pošaljete novac ili promijenite bankovne podatke. FBI je u 2025. primio 24.768 prijava BEC prijevara s 3,05 milijardi dolara gubitaka.

Kako znati je li e-poruka stvarno od osobe koja je navedena?

Prikažite punu adresu pošiljatelja, provjerite domenu slovo po slovo, pogledajte kamo idu odgovori i potražite "pass" uz SPF, DKIM i DMARC u detaljima poruke. Za sve što uključuje novac potvrdite pozivom osobi na broj koji ste već imali.

Može li se prava adresa e-pošte koristiti u prijevari?

Da. Ako je račun dobavljača ili kolege hakiran, lažne poruke stižu s njegove prave adrese i prolaze svaku tehničku provjeru. Zato se promjene plaćanja uvijek moraju potvrditi telefonom, na broj iz vlastite evidencije.

Što znači DMARC fail?

Znači da domena prikazana u polju "Šalje" ne odgovara domeni koja je prošla SPF ili DKIM provjeru. Na poruci o plaćanju ili promjeni bankovnih podataka DMARC fail smatrajte jakim znakom da je pošiljatelj lažiran.

Mogu li vratiti novac nakon što sam platio lažni račun?

Ponekad, ako brzo reagirate. Odmah nazovite banku i zatražite opoziv te prijavite prijevaru na ic3.gov u SAD-u, službi Report Fraud u Ujedinjenom Kraljevstvu ili policiji u Hrvatskoj. FBI-jev Recovery Asset Team zamrznuo je za žrtve 679 milijuna dolara u 2025., ali šanse naglo padaju nakon prvih nekoliko sati.

Što je FBI Financial Fraud Kill Chain?

To je postupak kojim FBI-jev Recovery Asset Team surađuje s bankama na zamrzavanju lažnih transfera, uključujući međunarodne transfere preko FinCEN-a. Pokrećete ga brzom prijavom na ic3.gov s punim podacima o transakciji i zahtjevom banci za opoziv.

Što je domena koja nalikuje pravoj?

Web ili e-mail domena napravljena tako da izgleda kao prava, primjerice acme-corp.com umjesto acmecorp.com, ili sa slovom zamijenjenim sličnim. Provjerite datum registracije ICANN-ovom pretragom: takva je domena obično stara tek nekoliko dana ili tjedana.

Izvori

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, prijevara od 55 milijardi dolara (rujan 2024.)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Irska): smjernice o BEC prijevarama (srpanj 2025.)
5. J.P. Morgan: kad povratni pozivi pođu po zlu
6. City of London Police: služba Report Fraud počinje s radom (prosinac 2025.)
7. ICANN: pretraga podataka o registraciji (RDAP)
8. Mason Hayes & Curran: EU uredba o instant plaćanjima i provjera primatelja plaćanja
9. MUP: prijava kaznenog djela

Brojke su najnovije koje je svaki izvor objavio u trenutku ažuriranja ovog vodiča. Prijavljeni gubici od prijevara samo su donja granica: većina prijevara nikad se ne prijavi.