Autor: Marko Roško
Datum: 13. 6. 2024.
Izvorna objava (arhivirana): Lažna SMS poruka i lažna stranica e-Građani (1, 2)
Tvrdnja: “Imate pravo na povrat poreza 2367,88 EUR niasqovhr.com/porezi”
Sumnjive SMS poruke koje građani primaju s fiktivnom ponudom za povrat poreza vode na lažnu stranicu e-Građani. S obzirom na sofisticiranost prevare i potencijalnu ekonomsku štetu za građane, DU-CHECK je odlučio provesti detaljnu analizu kako bi ukazao na sve razlike u odnosu na službenu stranicu e-Građani.
U lažnoj SMS poruci, poveznica za povrat poreza je “nisaqovhr.com/porezi”, koja vodi na “https://niasqovhr.com/Authentication/Step2/” stranicu.
Ovo je očiti pokušaj imitiranja službene poveznice za Nacionalni identifikacijski i autentifikacijski sustav (NIAS), preko kojeg se pristupa e-uslugama javnog sektora. Službena poveznica za prijavu na e-Građani stranicu podsredstvom NIAS-a je “https://nias.gov.hr/Authentication/Step2“.
Također, DU-CHECK ističe i da “niasqovhr.com”, koja se spominje u SMS porukama nije službena domena Vlade Republike Hrvatske. Sve domene koje pripadaju Vladi imaju završetak “gov.hr“.
Vizualno sofisticirana prevara
S obzirom na to da je lažna stranica e-Građani vizualno izuzetno slična službenoj web stranici e-Građani, DU-CHECK je odlučio istaknuti sve nepravilnosti i razlike između lažne i službene stranice.
Cilj ove analize je informirati korisnike i pomoći im da prepoznaju lažnu stranicu kako bi se zaštitili od potencijalnih prijevara i neovlaštenih aktivnosti.
DU-CHECK će detaljno objasniti ključne razlike u dizajnu, funkcionalnosti i sigurnosnim elementima kako bi korisnici mogli lako prepoznati i izbjeći lažnu stranicu.
Kao prvo, na lažnoj stranici nalazi se samo mogućnost prijave uz “Značajnu razinu sigurnosti”, dok iznad tog izbornika stoji tekst: “Da biste izvršili proces povrata poreza, odaberite i povežite svoju internetsku banku na koju će biti uplaćena sredstva.”
Na službenoj stranici e-Građani, prilikom prijave u sustav, korisnicima su ponuđene tri razine sigurnosti: visoka razina, značajna razina i niska razina. Također, iznad popisa razina sigurnosti stoji tekst “Izaberite vjerodajnicu”, a nigdje se ne spominje proces povrata poreza.
Nadalje, na lažnoj stranici nalaze se samo popisi banaka za prijavu uz “značajnu razinu sigurnosti”.
Na službenoj stranici e-Građani, osim popisa banaka, dostupne su i dodatne opcije za prijavu.
Dodatne opcije prijave mogu biti preko Hrvatskog zavoda za zdravstveno osiguranje (HZZO), e-Građani mTokena, FINA soft certifikata, kao i Certilia osobnog sms.ID-a te Certilia poslovnog sms.ID-a.
Ove dodatne opcije omogućuju korisnicima različite načine autentifikacije, koji nisu vezani samo uz bankovni račun.
Uz to, na lažnoj stranici, u desnom gornjem kutu u izborniku za pristupačnost stranici, nalaze se teksutalne opcije “FILTIRAJTE E-USLUGE”, “Prilagodba slabovidnosti” i “Veličina slova”. Ove poveznice nemaju ikone, odnosno imaju grešku.
Nasuprot lažnoj stranici, službena stranica e-Građani ima stilizirane opcije, a tekstualno su označene samo opcije “FILTRIRAJTE E-USLUGE” i “PRIJAVA”, dok su ostale poveznice prikazane pomoću ikona. Te ikone označavaju prilagodbe za slabovidne osobe, disleksiju i prilagodbu veličine pisma.
DU-CHECK želi istaknuti kako ova prevara nije jedina koja se pojavila u Hrvatskoj u posljednjih nekoliko mjeseci. Naime, u travnju se internetom širila lažna stranica Porezne uprave, također vezana uz povrat poreza. Istu stranicu je DU-CHECK tada analizirao i raskrinkao (poveznica ovdje).
Zaključak
Građani primaju sumnjive SMS poruke koje ih upućuju na lažnu stranicu e-Građani s lažnom ponudom za povrat poreza. DU-CHECK je odlučio provesti detaljnu analizu zbog sofisticiranosti prevare i potencijalne ekonomske štete za građane.
Lažna poruka sadrži poveznicu “nisaqovhr.com/porezi” koja vodi na lažnu stranicu. Službena poveznica za prijavu na e-Građani preko NIAS-a je “https://nias.gov.hr/Authentication/Step2”, dok lažna domena nije službena domena Vlade Republike Hrvatske, jer sve službene domene završavaju na “gov.hr”.
Lažna stranica e-Građani izgleda vizualno vrlo slično službenoj stranici, ali ima brojne nepravilnosti. Na primjer, na lažnoj stranici postoji samo opcija prijave uz “Značajnu razinu sigurnosti” i pogrešan tekst o povratu poreza, dok službena stranica nudi tri razine sigurnosti bez spominjanja povrata poreza.
Na lažnoj stranici moguće je prijaviti se samo podsredstvom bankovnog računa, dok službena stranica nudi dodatne opcije prijave, uključujući razne certifikate i HZZO.
Također, lažna stranica ima netočne tekstualne opcije u izborniku za pristupačnost, dok službena stranica koristi stilizirane ikone i ispravne opcije za pristupačnost.
Stoga DU-CHECK ocjenjuje ovu tvrdnju kao netočnu i kategorizira ju kao dezinformaciju.
