Lažni AI alati ciljaju male firme: kako da se zaštitiš

Autor: Fakturko tim · Objavljeno 17. oktobar 2026. · 9 min čitanja

Instaliraš "AI asistenta za fakturisanje" koji si video u reklami, a nedelju dana kasnije ti ugasi nalog na mejlu ili ti nestane pretplata bez ikakve usluge. Priča zvuči kao da se dešava drugima, ali brojke bezbednosne kompanije Kaspersky pokazuju da lažni AI servisi sve češće ciljaju upravo mala i srednja preduzeća. U nastavku: šta se tačno desilo, kako da prepoznaš mamac i šta da uvedeš u firmi još danas.

Šta kažu brojke: pet puta više napada za godinu dana

Kaspersky je od januara do aprila 2026. otkrio 33.352 napada na korisnike svojih rešenja za mala i srednja preduzeća (MSP), u kojima su malver ili potencijalno neželjene aplikacije glumili popularne AI servise. To je, prema njihovom izveštaju na Securelist-u, skoro pet puta više nego u istom periodu 2025. Za Evropu je rast nešto manji, skoro četiri puta, na više od 800 detektovanih slučajeva.

Šta ti brojevi znače, a šta ne:

Važno je i da se ovaj podatak ne meša sa drugom Kasperskyjevom analizom iz maja, koja govori o više od 92.000 napada prerušenih u AI servise i agente kod svih korisnika, ne samo kod MSP. To su dva različita uzorka i ne mogu da se sabiraju ni porede.

Izveštaj beleži i da je napada prerušenih u AI alate 39% više nego onih prerušenih u kancelarijske i kolaboracione alate. Kaspersky je identifikovao i više od 1.100 jedinstvenih uzoraka malvera i neželjenih aplikacija koji su se predstavljali kao pet popularnih AI aplikacija, što je 21% više nego godinu ranije.

Za Srbiju ne postoji zaseban podatak u izvorima koje sam proverio, pa nemoj da citiraš ove brojke kao "toliko napada je bilo kod nas". Poenta je u trendu: napadači prate hype, a hype je trenutno AI.

Zašto baš AI alati kao mamac

Napadač ne izmišlja novu tehniku, već stavlja poznatu tehniku (trojanac, lažni instalater, lažna pretplata) u ambalažu onoga što ljudi trenutno traže. Pre nekoliko godina to su bili lažni "Zoom" i "Teams" instalateri. Brojke pokazuju da taj talas nije nestao: Kaspersky je u istom periodu blokirao gotovo 415.000 napada na MSP prerušenih u aplikacije za komunikaciju i video-konferencije (Telegram, WhatsApp, Zoom, Microsoft Teams), a taj broj se jedva promenio u odnosu na prošlu godinu. AI je samo novi sloj preko starog.

Što se tiče popularnosti mamaca, Kaspersky navodi da se za Evropu najčešće pominju ChatGPT, DeepSeek i Claude. Tačna raspodela se razlikuje između srpskog prenosa saopštenja i engleskog originala, pa je ne navodim u procentima. Zapamti samo: što je alat poznatiji, to je veća šansa da neko napravi njegov lažni "preuzmi besplatno" duplikat.

Kaspersky je zabeležio i stotine napada prerušenih u OpenClaw, AI alat koji je tokom 2026. brzo stekao popularnost. Obrazac je isti: novi alat postane viralan, a pre nego što većina ljudi stigne da nauči koji je pravi sajt, lažni sajtovi već pune pretragu.

Kad se zlonamerni fajl instalira, šta ti zapravo prijeti? Među datotekama koje su glumile AI servise, najčešće su razne vrste trojanskih programa. Neki od njih mogu da preuzmu i pokrenu dodatni malver na tvom računaru. U praksi to znači da instalacija "AI alata" može da otvori vrata za krađu lozinki, pristup mejlu, deljenim folderima i dokumentima.

Lažni "AI za fakturisanje": prevara koja je posebno blizu nas

Kaspersky u izveštaju opisuje i primer koji je za naš posao posebno neprijatan: lažni sajt "AI servisa za izvođače radova" koji obećava procene, fakture i raspored poslova. U takvim šemama žrtva plati pretplatu, ne dobije ništa, a novac odnose prevaranti.

Zamisli frilensera ili majstora koji traži "AI alat za fakture". Pretraga mu izbaci pet sajtova sa sličnim obećanjima, svi izgledaju uredno, svi traže karticu "za početak". Nema razloga da sumnja, a sajt je mogao nastati pre dve nedelje.

Za preduzetnika je rizik dvostruk:

1. Gubitak novca: pretplata na uslugu koja ne postoji.
2. Gubitak podataka: ako u lažni alat uneseš podatke o klijentima, iznose, adrese, mejlove, ti podaci odlaze napadaču. A to su upravo podaci koje kasnije može da iskoristi za fišing "u ime tvog dobavljača".

Kako da prepoznaš lažni servis: lista koja se radi za dva minuta

Milan Kojić iz Kaspersky-ja, zadužen za MSP na zapadnom Balkanu, u saopštenju savetuje da se proveri da li je naziv sajta ispravno napisan, da se pažljivo pregledaju linkovi u sumnjivim mejlovima i da se koriste pouzdana bezbednosna rešenja. Kaspersky dodaje da aplikacije treba preuzimati samo iz zvaničnih izvora i proveriti za koje su platforme zaista dostupne.

Prevedeno u praksu, pre nego što bilo šta instaliraš ili uneseš karticu:

• Naziv sajta, slovo po slovo. Lažni sajtovi često menjaju jedno slovo, dodaju crticu ili koriste drugu domensku nastavku.
• Odakle si došao? Ako si na sajt stigao preko oglasa, poruke ili linka u mejlu, ne unosi podatke. Otkucaj naziv ručno ili otvori zvaničnu stranicu proizvoda.
• Za koje platforme alat postoji? Ako sajt nudi "mobilnu aplikaciju" za nešto što u zvaničnim prodavnicama ne postoji, to je crvena zastava. Isto važi obrnuto: proveri šta proizvođač zaista nudi pre nego što ti neko podmetne "instalaciju".
• Šta traže pre nego što nešto vidiš? Kartica i skeniran lični dokument pre bilo kakvog probnog rada su razlog da staneš.
• Ko stoji iza toga? Nema podataka o firmi, adrese, kontakta, uslova korišćenja i politike privatnosti, a obećanja su preterana: ne ide.
• Pitaj knjigovođu ili kolegu. Ako alat ne zna niko koga poznaješ, to nije dokaz da je lažan, ali je razlog da ga prvo isprobaš na mestu bez osetljivih podataka.

Fišing u ime Poreske uprave: isti trik, drugi okvir

Kad već govorimo o lažnim porukama, tu je i srodna pojava. Poreska uprava je, prema medijskom prenosu njenog obaveštenja, upozorila na lažne mejlove poslate u njeno ime. Navela je da se njena zvanična elektronska komunikacija obavlja isključivo preko adresa sa domena @purs.gov.rs, i savetovala da se ne otvaraju prilozi, ne prate linkovi i ne šalju lični ili finansijski podaci. Datum tog upozorenja nisam uspeo da utvrdim, pa ga ne navodim.

Isto pravilo praktično važi za svaku poruku koja tvrdi da stiže od države: ako te mejl "poziva da hitno potvrdiš podatke", ne klikći na link u poruci. Otvori zvaničan sajt ručno i tamo potraži obaveštenje.

Na SEF portal se ulazi isključivo preko zvaničnih adresa: portal je efaktura.mfin.gov.rs, a informativni sajt efaktura.gov.rs. Prijava ide preko eID naloga visokog nivoa pouzdanosti na eid.gov.rs. Svaka poruka koja te vodi na neku treću adresu "da obnoviš pristup" je sumnjiva.

Pravila za firmu od jednog do deset ljudi

Kaspersky preporučuje MSP da uspostave jasna pravila za korišćenje eksternih servisa i da definišu pravila pristupa poslovnim mejl nalozima, deljenim folderima i onlajn dokumentima. Za malu firmu to ne mora da bude pravilnik od deset strana, dovoljna je jedna stranica sa ovim:

Primer iz prakse: paušalac koji sam vodi posao ima jedan laptop, jedan mejl i jednu banku. Njemu "pravilnik" znači tri stvari: alate nabavlja samo sa zvaničnih sajtova, dvofaktorska prijava je uključena svuda gde postoji, a nijedan fajl iz poruke od nepoznatog pošiljaoca se ne otvara. To je više nego što većina radi, a pokriva velik deo rizika.

Kako to izgleda kad koristiš alat za fakturisanje kojem možeš da proveriš poreklo

Nijedan alat, pa ni naš, ne može da zameni opreznost, a ne postoji nezavisna potvrda da je bilo koji servis "siguran" u apsolutnom smislu, pa to i ne tvrdim. Ono što mogu je da kažem kako Fakturko radi, da bi mogao da ga uporediš sa onim što ti neko nudi.

Fakturko je web aplikacija koja radi u pregledaču, na računaru i telefonu. Nema Android ni iOS aplikacije ni Viber bota, pa svaka "Fakturko aplikacija" koju nađeš u prodavnici ili ti stigne kao instalacioni fajl nije naša. Faktor, AI asistent, radi u samoj aplikaciji, na Telegramu i na WhatsApp-u, i pripremi fakturu ili slanje, ali tek kad ti potvrdiš, faktura odlazi. Isto važi za slanje na SEF, prihvatanje ili odbijanje ulaznih faktura i slanje paketa knjigovođi: ništa ne ide samo od sebe. Slično tome, kad uvezeš izvod banke, aplikacija samo predloži koja uplata pripada kojoj fakturi, a ti odlučuješ.

Registracija je besplatna i dobijaš 90 dana punog Pro paketa bez kartice, pa nema razloga da bilo kome daješ podatke o plaćanju da bi "samo pogledao". Posle probnog perioda rad se nastavlja uz pretplatu, a aktuelne cene su na fakturko.io/pricing. Ako ti neki servis traži karticu pre nego što išta vidiš, uporedi to sa ovim.

Šta uraditi ako si već kliknuo ili platio

Ako sumnjaš da si preuzeo lažni alat ili uneo podatke na lažan sajt, nemoj da čekaš da se "samo reši":

1. Prekini vezu i ne unosi ništa dalje. Ne otvaraj više instalirani program.
2. Promeni lozinke na mejlu, bankarstvu i drugim ključnim nalozima, sa drugog, čistog uređaja ako je moguće.
3. Uključi dvofaktorsku prijavu tamo gde već nije.
4. Pokreni proveru bezbednosnim rešenjem i, ako ga nemaš, razmisli o stručnoj pomoći za čišćenje uređaja.
5. Kontaktiraj banku ako si uneo podatke kartice ili platio pretplatu, i pitaj za opcije osporavanja transakcije.
6. Obavesti saradnike i klijente ako je mejl možda kompromitovan, da ne naseda na poruke koje stignu u tvoje ime.

Koraci nisu glamurozni, ali su isti bez obzira na to da li je u pitanju lažni AI alat ili lažni instalater za video-pozive.

Za kraj: hype menja ambalažu, trik ostaje isti

Trend je jasan: napadači prate pažnju, a pažnja je trenutno na AI. Sledeće godine će mamac biti nešto drugo. Zaštita ostaje ista: zvanični izvori, provera adrese, ništa ne instaliraš pod pritiskom, jasna pravila ko u firmi sme da uvodi nove alate.

Ako želiš alat za fakturisanje i SEF koji možeš da isprobaš bez kartice i bez rizika da pogodiš pogrešan sajt, otvori Fakturko i izdaj prvu fakturu — registracija je besplatna, a probni period traje 90 dana.