Sajber napadi na mala preduzeća: šta zaista možeš da uradiš

Autor: Fakturko tim · Objavljeno 18. oktobar 2026. · 7 min čitanja

Zamisli običan utorak: stiže mejl "od knjigovođe" sa prilogom, ti ga otvoriš između dva poziva, a sutradan ne možeš da uđeš u fajlove s fakturama. Ovo nije scenario samo za velike kompanije. Kaspersky tvrdi da napadači na manje firme primenjuju iste metode kao na velike, a u nastavku je šta iz toga vredi za preduzetnika u Srbiji.

Šta kaže istraživanje (i šta ne kaže)

Kaspersky je objavio istraživanje prema kojem je samo 14% preduzeća sa manje od 500 zaposlenih izbeglo sajber-bezbednosni incident tokom protekle godine, što znači da je 86% doživelo bar jedan. Organizacije su u proseku imale tri različite vrste incidenata. Pregled su prenele i domaće redakcije, na primer Biznis i Finansije.

Pre nego što te cifra uplaši, par stvari koje treba znati:

• Nije podatak za Srbiju. Anketa je rađena u 18 zemalja (na spisku nema Srbije), sa 1800 intervjua, prema originalnom saopštenju.
• Nije nezavisna statistika. Istraživanje je naručio proizvođač bezbednosnog softvera, pa ga čitaj kao pokazatelj trenda, ne kao tačnu meru.
• "Incident" je širok pojam. Pojam incidenta u anketi je širok i nije jasno definisan u saopštenju, pa ga ne čitaj kao broj firmi kojima je naneta stvarna šteta.
• Procenti se razlikuju između globalnih i regionalnih izveštaja. Zato ih ovde ne prepisujem. Original navodi da su među najčešćim bili fišing, iskorišćavanje softverskih ranjivosti i spoljni daljinski pristup, a ti pojmovi su ono što vredi zapamtiti.

Poruka istraživanja je razumljiva i bez tačnih procenata: veličina firme te ne štiti. Napadi su uglavnom automatizovani i ne biraju žrtvu po imenu, nego po tome ko je ostavio otvorena vrata.

Šta napadači traže kod malih firmi

Prema istom istraživanju, među podacima koje napadači najčešće ciljaju su podaci o klijentima (32%), a računovodstvo i finansije su treće najviše napadano odeljenje (24%). Za preduzetnika to znači da su baš tvoje fakture, spiskovi kupaca i izvodi ono što je zanimljivo.

Zašto baš to?

• Podaci o klijentima se prodaju ili koriste za dalje prevare. Ako neko zna ko ti je kupac i koliko dugujete jedni drugima, lažna faktura izgleda uverljivo.
• Fakture i izvodi otkrivaju račune, iznose i rokove. Najpoznatija prevara je lažna izmena podataka za uplatu: stigne mejl da je firma promenila račun, ti platiš, a novac završi kod prevaranta.
• Pristup pošti je ključ za sve ostalo. Ko uđe u tvoj mejl, može da resetuje lozinke na većini servisa.

Kod evropskih malih i srednjih firmi, prema analizi koju prenosi IT Rešenja, 16% kompanija prijavilo je nepovratan gubitak podataka, a 13% nepovratnu štetu na imovini. Za nekoga ko vodi posao sam, nepovratan gubitak fakturnih podataka je ozbiljan problem, pogotovo pred kraj godine ili pred kontrolu.

Zašto su male firme lak plen

Iz istog istraživanja: kao najveće faktore rizika male firme najčešće navode nedostatak stručnosti osoblja za IT bezbednost (24%) i nedovoljnu svest o bezbednosti kod zaposlenih van IT-a (23%). Prevedeno na tvoju situaciju:

Nijedna od ovih stavki ne traži budžet. Traži naviku.

Pet koraka koje možeš da uradiš ovog meseca

Kaspersky u preporukama pominje stroga pravila pristupa i opoziv dozvola kad neko ode, automatske rezervne kopije (protiv ransomvera) i jednostavna uputstva o lozinkama i bezbednom pregledanju. Evo kako to da prevedeš u praksu za jednog preduzetnika ili malu firmu:

1. Uključi dvostepenu proveru na pošti. Mejl je najvažniji nalog, jer preko njega se resetuju svi ostali. Ako ti ga neko preuzme, ima pristup svemu.
2. Lozinke: jedna po nalogu, uz menadžer lozinki. Ne moraš da pamtiš ništa osim jedne jake glavne lozinke. Isto važi i za bankarski nalog.
3. Pravi rezervne kopije automatski i čuvaj bar jednu odvojeno. Kopija koja je stalno povezana sa računarom može da se šifruje zajedno s njim. Povremeno proveri da li se kopija zaista može vratiti.
4. Ažuriraj softver. Iskorišćavanje ranjivosti u neažuriranom softveru je jedan od najčešćih načina upada. Uključi automatska ažuriranja gde god možeš.
5. Gasi pristup čim saradnja prestane. Frilenser, praktikant ili knjigovođa koji je promenio posao ne treba da ostane na spisku onih koji vide tvoje podatke.

Posebno oprez kod mejlova koji traže hitnu uplatu ili promenu računa. Pravilo je jednostavno: ako stigne zahtev za promenu računa, proveri ga drugim kanalom, pozivom na broj koji već imaš, a ne onaj iz mejla.

Kad se desi incident: šta zakon traži

Ovde treba razdvojiti dva različita propisa, jer se često mešaju.

Zakon o zaštiti podataka o ličnosti (ZZPL) objavljen je u "Sl. glasniku RS" br. 87/18. Ako obrađuješ podatke o ličnosti (a svaki preduzetnik koji ima kupce fizička lica ili kontakt osobe to radi), prema članu 52. dužan si da obavestiš Poverenika o povredi podataka koja može da proizvede rizik po prava i slobode lica. Rok je bez nepotrebnog odlaganja, a ako je moguće u roku od 72 časa od saznanja. Ako ne stigneš u tom roku, moraš da obrazložiš zašto. Neobaveštavanje je navedeno među prekršajima, a zakon za pravna lica predviđa novčane kazne u rasponu od 50.000 do 2.000.000 dinara. Kolika bi kazna bila za preduzetnika u konkretnom slučaju, proveri sa pravnikom ili na sajtu Poverenika.

Zakon o informacionoj bezbednosti je nov (objavljen u "Sl. glasniku RS" 91/2025, na snazi od 31. oktobra 2025). On propisuje prijavu incidenta sa značajnim uticajem u roku od 24 sata, ali samo za operatore IKT sistema od posebnog značaja, ne za sva mala preduzeća. Ko tačno spada u tu grupu određuje se podzakonskim aktom, pa nemoj pretpostavljati da se odnosi na tebe, ali ni da te sigurno zaobilazi. Ako radiš za velike sisteme, banke ili javni sektor, pitaj ugovornog partnera da li si obuhvaćen. Prijave idu preko jedinstvenog sistema Ministarstva informisanja i telekomunikacija ili Kancelarije za informacionu bezbednost.

Kratko: kad se desi incident, odmah zabeleži šta se dogodilo i kada si saznao, jer ti je datum saznanja potreban za rok.

Gde su tvoji podaci o fakturama

Većina preduzetnika podatke drži na tri mesta: u mejlu, u fajlovima na računaru i u nekom alatu za fakturisanje. Svako mesto traži svoju zaštitu.

Za SEF je dobro znati kako pristup funkcioniše. Portal je efaktura.mfin.gov.rs, a prijava ide preko eID naloga visokog nivoa pouzdanosti na portalu eUprave. Za povezivanje programa preko API-ja administrator na SEF-u u podešavanjima (API menadžment) pravi API ključ i uključuje API. Takav ključ treba čuvati kao lozinku: ne šalji ga mejlom, ne stavljaj ga u deljene dokumente, i ako sumnjaš da je procureo, generiši novi. Savetujemo da ključ menjaš po sopstvenoj proceni rizika.

Demo okruženje (demoefaktura.mfin.gov.rs) ima posebne ključeve, što je dobro za probu bez rizika po prave podatke.

Kako ovo rešava Fakturko

Sajber-bezbednost ne rešava nijedan program, ali možeš da smanjiš koliko osetljivih podataka leži razbacano po mejlovima i fajlovima. Kad su fakture, klijenti i dokumenta na jednom mestu u pregledaču, nema više desetak Excel tabela i PDF-ova po folderima. Fakturko daje taj centralni prostor: fakture, podaci o kupcima iz APR-a, uvoz izvoda banke i slanje na SEF iz iste aplikacije. Faktor, AI asistent, samo priprema fakturu ili slanje, a ti potvrdiš pre nego što bilo šta ode, tako da ništa ne izlazi bez tvog odobrenja.

Za knjigovođu postoji paket sa izdatim fakturama i dokumentima koji stiže na mejl, ručno ili po rasporedu, pa ne moraš da deliš pristup svom računaru ili celom folderu. Knjigovođa nema svoj nalog u Fakturku, što znači i manje naloga koje treba gasiti kad se saradnja završi. Ne mogu da ti obećam da je neki sistem neprobojan, a zaštita mejla, lozinki i računara ostaje na tebi.

Šta dalje

Počni od mejla: uključi dvostepenu proveru, promeni slabe lozinke i proveri ko sve ima pristup tvojim podacima. To je sat vremena posla koji najviše smanjuje rizik. Zatim prebaci fakturisanje sa razbacanih fajlova na jedno uređeno mesto. Ako želiš da vidiš kako to izgleda, registruj se na Fakturko, prvih 90 dana punog Pro paketa je besplatno, bez kartice, pa možeš mirno da probaš sa pravim fakturama.