Većina nas ima mentalnu „žicu za uzbunu” za „nalog mi je hakovan”: imejl za resetovanje lozinke koji nismo tražili, SMS o prijavi iz nepoznatog grada, nalog koji se iznenada zaključa. Ta žica za uzbunu imala je smisla kada je glavna pretnja bila da neko pogađa ili brute-force metodom probija vašu lozinku. Ona gotovo ništa ne pomaže protiv metoda pristupa koji se pojavljuju u nedavnim incidentima, a koji su osmišljeni upravo tako da je ne aktiviraju.

Dva primera iz proteklih nekoliko nedelja ilustruju taj obrazac. Malwarebytes je dokumentovao prevaru na WhatsApp-u (objavljeno 3. avgusta 2026), u kojoj žrtve prolaze kroz nešto što izgleda kao „podešavanje WhatsApp Web-a” — ponekad čak i na pravom domenu wa.me — i na kraju unesu kod koji povezuje napadačev uređaj sa njihovim nalogom. Lozinka se nigde ne unosi, pa se ne šalje imejl za resetovanje lozinke niti se aktivira upozorenje o neuspešnoj prijavi. Napadačev uređaj samo postaje još jedna tiha stavka na listi povezanih uređaja naloga, sa punim pristupom čitanju i slanju poruka, što napadač zatim koristi da istu prevaru sprovede nad kontaktima žrtve. Odvojeno od toga, Microsoft je upozorio na kampanju koju naziva „CaptiveCrunch”, a koja presreće putnike na captive portalima hotelskog i konferencijskog Wi-Fi-ja, preusmeravajući ih na lažne stranice za prijavu koje ne prikupljaju samo lozinke već i kodove za uređaje i OAuth tokene — akreditive koji omogućavaju pristup a da nikada ne generišu onu vrstu obaveštenja o „novoj prijavi” kakvu bi izazvala promena lozinke.

Zajednička nit: oba napada ciljaju mehanizme sesija i autorizacije — povezane uređaje, OAuth odobrenja, kodove za uređaje — a ne samu lozinku. Ugrađeni sistem upozorenja vašeg naloga osmišljen je da nadgleda glavni ulaz. Ovi metodi ulaze kroz sporedna vrata koja on ne nadzire.

Šta zapravo treba preduzeti

Ne možete čekati obaveštenje koje neće stići. Umesto toga, proveru sopstvenih povezanih uređaja i ovlašćenih aplikacija tretirajte kao rutinu koju sami sprovodite, na isti način na koji biste proverili baterije u detektoru dima. Evo konkretnog postupka, po redosledu:

1. Proverite povezane/aktivne uređaje u aplikacijama za razmenu poruka

  • WhatsApp: Settings → Linked Devices. Za sve što ne prepoznajete, dodirnite i izaberite „Log out.”
  • Telegram: Settings → Devices. Ista logika — okončajte svaku sesiju koja ne odgovara uređaju koji fizički trenutno držite u ruci.
  • Signal: Settings → Linked Devices, ista provera.

2. Proverite aktivne sesije i pristup aplikacija trećih strana na vašim ključnim nalozima

  • Google: myaccount.google.com/security → „Your devices” i „Third-party apps with account access.” Opozovite sve što vam nije poznato, i posebno obratite pažnju na aplikacije kojima ste pristup dodelili pre mesecima ili godinama i na njih zaboravili — staro odobrenje napadaču je podjednako upotrebljivo kao i novo.
  • Microsoft: account.microsoft.com/security → „Sign-in activity” i „App permissions.”
  • Apple ID: Settings → [vaše ime] → proverite listu uređaja na dnu.
  • Facebook/Instagram: Settings → „Where you're logged in” / „Active sessions,” kao i „Apps and websites” za povezan pristup aplikacija trećih strana.

3. Budite sumnjičavi prema svakom postupku koji od vas traži da unesete kod umesto lozinke

Legitimni postupci „povezivanja uređaja” zaista koriste kodove — to samo po sebi nije alarmantno. Ono što treba da vas zaustavi jeste okidač: ako se prozor za unos koda pojavi zbog poruke od kontakta („glasaj za mene”, „pogledaj ovo”), captive portala javnog Wi-Fi-ja, ili bilo kog linka koji sami niste pokrenuli, tretirajte ga kao neprijateljski dok se ne dokaže suprotno. Zatvorite ga i idite direktno u aplikaciju ili na nalog, umesto da nastavljate preko linka.

4. Proverite da li se vaš imejl pojavio u nekom poznatom curenju podataka

Have I Been Pwned (haveibeenpwned.com), koji vodi istraživač bezbednosti Troy Hunt, jeste besplatan i dobro utemeljen servis za proveru da li se vaša imejl adresa pojavljuje u poznatim curenjima podataka — dovoljno je pouzdan da ga nacionalne vlade koriste za sopstvene domene (nacionalni centar za sajber bezbednost Nepala postao je 47. vlada koja se pridružila, prema izveštajima iz ove nedelje). On neće otkriti kompromitovanje putem povezanog uređaja, ali je brza i besplatna provera koju vredi sprovesti za vaše primarne imejl adrese, i pravi je prvi korak ako sumnjate na bilo kakav problem sa nalogom, a ne znate odakle da počnete.

5. Na nepouzdanim mrežama — hotelski Wi-Fi, konferencijski Wi-Fi, aerodromski Wi-Fi — izbegavajte prijavljivanje na bilo šta osetljivo preko same stranice captive portala

Ako vas stranica za prijavu na hotelski ili neki drugi Wi-Fi, pre nego što vam odobri pristup internetu, zatraži ažuriranje softvera, prikaže dijalog za „bezbednosnu proveru” ili traži Microsoft/Google prijavu, budite oprezni — prvo se povežite, a zatim se stvarno prijavljujte preko mobilnog interneta na telefonu ili preko VPN-a, umesto preko stranice koju vam mreža ponudi.

Zabeležite to u kalendar

Jedno čišćenje rešava današnji problem, ali ne i onaj iz sledećeg kvartala. Odaberite ponavljajući podsetnik — kvartalno je razuman ritam, ili ga vežite za nešto što već redovno radite, poput promene sezone ili redovnog računa — i prođite kroz korake 1 i 2 iznad za vaša dva ili tri najvažnija naloga: primarni imejl, aplikaciju za razmenu poruka koju najviše koristite, i bilo koji nalog povezan sa vašim finansijama. Kada jednom znate gde su meniji, to traje manje od petnaest minuta, a jedini je pouzdan način da otkrijete pristup koji je posebno osmišljen tako da vas ne obavesti.