Postoji uvriježena pretpostavka da pametni, obrazovani i digitalno pismeni ljudi teže nasjedaju na prijevare. Logika zvuči uvjerljivo: ako razumiješ tehnologiju i imaš kritičko mišljenje, prepoznat ćeš zamku prije nego ti se zatvori. Istraživanja, međutim, govore drukčiju priču.

Istraživanje objavljeno u časopisu Criminal Justice and Behavior provedeno na uzorku trideset europskih zemalja otkrilo je da su obrazovaniji i imućniji pojedinci redovito češće žrtve prijevara s ulaganjem, lažnih nagrada i krađe podataka porukom. Paradoks je samo prividni. Obrazovanje pruža otpornost na neke vrste manipulacije, ali ne i na sve, a upravo tamo gdje ga nema, napadači najradije čekaju.

Tomislav Vazdar, direktor Riskorije, digitalne prijevare ne promatra kao tehnički problem koji treba riješiti boljom lozinkom ili snažnijim firewallom. “Napadači su primijenjeni psiholozi”, naglašava Vazdar. “Dok organizacije ulažu u tehničku zaštitu, napadači ulažu u razumijevanje ljudskog ponašanja. I tu imaju prednost.”

Pristranosti koje napadači poznaju napamet

Kognitivne pristranosti nisu slabosti glupih, to su predvidivi obrasci u načinu na koji svaki ljudski mozak procesira informacije pod određenim uvjetima. Napadači ih ne koriste slučajno. Prema akademskom istraživanju sklonosti u prosuđivanju kod krađe podataka porukom, sklonost autoritetu, dosljednosti i uzvraćanju najuspješnije povećavaju stopu žrtvine suradnje.

Pristranost autoriteta objašnjava zašto lažne poruke od “vaše banke”, “nadležnog regulatora” ili “IT odjela” funkcioniraju čak i na informiranu publiku. Mozak je uvježban pokoravati se autoritetnim izvorima, to je duboko ukorijenjeni mehanizam koji nije vezan uz razinu obrazovanja. Kompetentna, iskusna osoba koja primi uputu od navodnoga sigurnosnog tima svoje tvrtke neće instinktivno sumnjati; instinkt će joj biti suradnja.

Sklonost dosljednosti i postupnom obvezivanju otkriva nešto još suptilnije. Jednom kada osoba napravi mali korak, odgovori na poruku, klikne poveznicu, preda manji iznos, postaje psihološki investirana u nastavljanje. Upravo na tome počiva dugotrajni model prijevare poznat kao “pig butchering”: gradnje odnosa tjednima ili mjesecima, sitni premještaji novca koji se čine logičnim u kontekstu koji je napadač stvorio, do trenutka kada osoba otkrije da je investirala iznos koji nije ni zamišljala. Obrazovanost i iskustvo ne štite od ovog mehanizma, dapače, racionalizacija “zauzetog smjera” kod obrazovanih osoba može biti sofisticiranija.

Zašto stres briše prosudbu

Urgentnost je najsnažniji alat u arsenalu socijalnog inženjeringa, i ne zato što je napadači izmislili, nego zato što je neurološki učinkovita. Poruka koja sugerira da će vaš račun biti blokiran za 24 sata, da je detektirana sumnjiva transakcija ili da vas šef čeka na hitnom pozivu aktivira fiziološki stresni odgovor. Pod stresom, prefrontalni korteks, dio mozga koji je odgovoran za kritičku procjenu i donošenje složenih odluka, bilježi smanjenu aktivnost. Dolazi do kognitivnog tuneliranja: fokus se sužava na prijetnju i njezino otklanjanje, a lateralno, sceptično razmišljanje se gasi.

Napadači to ne koriste slučajno. Konstruiraju scenarij koji iziskuje hitnu akciju, otklanja mogućnost konzultacije s drugima (“nemojte nikome govoriti”) i nudi jasno rješenje koje zahtijeva samo jedan korak. Taj jedan korak, međutim, uvijek znači nešto: klik, lozinku, transfer. Istraživanje Verizona za 2025. godinu pokazuje da je ljudski čimbenik prisutan u oko 60 posto incidenata, a krađa podataka porukom i socijalni inženjering upravo su te mehanizme podigli na industrijsku razinu.

Što obrazovani ljudi rade drukčije, i gdje to postaje problem

Razlog zašto obrazovaniji pojedinci češće stradavaju u investicijskim prijevarama nije nedostatak kritičnosti, nego paradoksalno, njezin eksces u pogrešnom smjeru. Osoba s analitičkim umom koja dobije ponudu za prinos od 15 posto godišnje ne odbacuje je kao “previše dobro da bi bilo istinito”, ona počinje tražiti argumente zašto bi moglo biti istinito. Gradi mentalni model koji racionalizira ponudu. Napadači znaju ovo i kroje narativ koji daje dovoljno tehničkih detalja, pozivanja na autoritet i društvene potvrde da analitički mozak može “zaključiti” da je ponuda legitimna.

Racionalizacija nije zaštita od prevare. U kombinaciji s pristranosti eskalacije obveze, ona može postati akcelerator. Upravo zato iskusni investitori ponekad gube više nego neiskusni, jer imaju više alata za samouvjeravanje da je odluka bila ispravna, čak i kada okolni znakovi govore suprotno.

Što zapravo pomaže

Razumijevanje ovih mehanizama ne znači da smo bespomoćni, znači da zaštita mora biti drukčije dizajnirana. Tehnička osviještenost pomaže, ali ne dovoljno. Ono što dokazano smanjuje ranjivost su bihevioralni protokoli koji ne ovise o raspoloženju, razini stresa ili trenutnoj procjeni situacije.

Najpraktičniji: verifikacija izvan kanala komunikacije. Ako vas “šef” traži hitni transfer emailom, nazovite ga izravno. Ako vaša “banka” traži potvrdu podataka putem SMS poruke, pristupite bankici putem aplikacije ili web stranice koju sami otvorite. Napadač kontrolira kanal, ali ne može kontrolirati vaš telefonski imenik.

Drugi mehanizam: namjerna pauza. Svaki zahtjev koji uključuje hitnost i zahtjev za diskrecijom, “ne govorite nikome”, sam po sebi treba biti alarm. Nije to znak da je situacija hitna. To je znak da netko pokušava iskoristiti neurološku prednost stresnog odgovora.

Prevara nije tehnički problem koji se rješava boljim softverom. To je problem dizajna ponašanja, i organizacije koje to razumiju grade obrambene reflekse, a ne samo znanje.

Tomislav Vazdar direktor je Riskorije, savjetodavne tvrtke za kibernetičku sigurnost specijalizirane za digitalni rizik, prijevare i ljudski faktor u sigurnosti. Za upite, kontaktirajte info@riskoria.eu.