Tehnički je sve posloženo školski. DNS validan, SPF uključen, DMARC uključen, domena nije parkirana, ne šalje spam, ne isporučuje malver, ne glumi banku, mjenjačnicu ili državnu instituciju. Onda iz radoznalosti provjera na IPQualityScore, poznatijem kao IPQS, servisu koji prodaje reputaciju domena, IP adresa, mailova i telefona i na osnovu čijih ocjena firme odlučuju kome će odobriti registraciju, a kome ne.

Rezultat izgleda kao vic koji to više nije čim shvatite da ga neko plaća da bi donosio odluke o ljudima.

IPQS u istom izvještaju potvrđuje da je DNS validan, da su SPF i DMARC tu, da nema spama, da nema malvera, da nema hostovanog sadržaja, da nema kategoriju i da nema rang. I odmah ispod toga stoji phishing true, suspicious true i risk score 95 od 100, uz dodatak risky TLD true.

Pročitao sam ovaj slučaj objavljen 29. augusta i ažuriran 30. augusta 2026. godine i, iskreno, teško je ostati ravnodušan. Ne zato što je neko dobio pogrešnu ocjenu, greške se dešavaju, nego zato što način na koji je ta ocjena donesena i branjena, odnosno nebranjena, pokazuje kako funkcioniše industrija koja prodaje sumnju na veliko.

Šta se tačno desilo

Autor je novu privatnu domenu provjerio na IPQS alatu za reputaciju. Dobio je izvještaj koji sam sebe pobija.

S jedne strane piše:
spamming false, malware false, DNS valid true, SPF enabled, DMARC enabled, parked false, hosted content false, category N/A, domain rank 0.

S druge strane piše:
phishing true, suspicious true, risk score 95, risky TLD true, plus tehničke napomene da domena radi redirect i da se iza nje vidi Cloudflare IP.

Dakle, sistem sam kaže da nije našao nijedan konkretan trag zloupotrebe, a onda izriče najtežu kvalifikaciju. To nije oprezno upozorenje. To je optužba za phishing, što je oblik sajber kriminala.

Prije otprilike mjesec dana autor je poslao zahtjev za ispravku. Nije dobio broj predmeta, nije dobio potvrdu, nije dobio pitanje da dokaže vlasništvo, nije dobio obrazloženje ni odbijenicu. Dobio je tišinu. Do 29. augusta 2026. status se nije promijenio.

Meni je taj detalj sa tišinom važniji od samog skora. Ako prodajete podatke na osnovu kojih neko nekome blokira nalog, odbija registraciju ili zaustavlja transakciju, onda morate imati proces koji radi i kada pogriješite. Ovdje proces ne postoji.

Broj 95 nije blago upozorenje

IPQS u svojoj dokumentaciji opisuje risk score kao mjeru povjerenja da je URL maliciozan i kaže da je sve preko 85 visok rizik, vjerovatno loša reputacija ili maliciozno ponašanje. Polje phishing je opisano kao povezanost sa phishing ponašanjem.

Kada neko vidi phishing true i 95, niko to ne čita kao možda nemamo dovoljno podataka. Čita se kao skoro potpuna sigurnost da je riječ o prevari.

Formalno, taj broj nije matematičkih 95 posto vjerovatnoće, nego interni confidence skor čija formula nije javna. Suštinski, to ne mijenja ništa za onoga ko na osnovu tog broja donosi odluku. Automatika će blokirati kada vidi phishing true ili skor preko 85, analitičar će otvoriti incident, mail filter će odbiti poruku. IPQS u svojim primjerima i sam pokazuje logiku tipa flaguj ako je phishing true ili skor preko 85 i reklamira proizvod za screening domena tokom registracija, transakcija i slanja mailova.

Zato mi je neuvjerljiva priča da IPQS samo daje signal, a klijent odlučuje. Tačno je da klijent pritisne dugme, ali cijela vrijednost proizvoda je u tome da klijent vjeruje tom signalu i automatizuje odluke. Ne možete u prodaji govoriti kako sprečavate prevaru, a onda kada vaš podatak napravi štetu reći da ste vi samo neutralni izvor. Ako naplaćujete sumnju, morate preuzeti i odgovornost za pogrešnu sumnju.

Izvještaj koji pobija sam sebe

Najjači dio ove priče je unutrašnja kontradikcija.

Da je sistem našao kloniranu login stranicu, formu za krađu lozinki, imitaciju brenda, maliciozni skript ili vezu sa dokazanom phishing kampanjom, razumio bih visok skor. Ali ovdje je sve suprotno.

Nema malvera, nema spama, nema parkiranja, nema hostovanog sadržaja, nema kategorije, nema ranga, DNS i autentikacija prolaze. Pa šta je onda bio indikator phishinga?

Javni izvještaj ne nudi ni kategoriju dokaza, ni datum, ni izvor. Ne kaže da li je riječ o živom skeniranju, keširanom podatku, prijavi klijenta, feedu treće strane ili heuristici modela. Samo ostavlja crvenu etiketu.

Ovdje se po meni lomi poštenje cijelog sistema. Postoji ogromna razlika između oznaka nedovoljno podataka i phishing. Prvo znači ne znamo još, drugo znači kriminal. Zamijeniti prvo drugim zato što vam je neizvjesnost teško prodati kao proizvod nije tehnička greška, to je pogrešan pristup. Nova domena bez istorije nije domena sa lošom istorijom. To bi firmi koja prodaje reputaciju moralo biti jasno.

Zašto je oznaka risky za .me problematična

Izvještaj je označio i samu ekstenziju .me kao rizičnu. IPQS definiše risky TLD kao signal da se radi o ekstenziji koja se češće povezuje sa malverom i prevarama, ali javno ne objavljuje listu koje su to ekstenzije, u kom periodu se mjeri, koji prag se koristi, koliko često se lista mijenja i koliko taj faktor utiče na konačni skor.

Nije sporno da neke ekstenzije imaju veću gustinu zloupotrebe. To i Spamhaus dokumentuje, ali uz ogradu da su to procjene sa metodološkim izborima i da ne pokrivaju cijelu populaciju domena. Upravo zato bi TLD reputacija trebala biti slab kontekst, a ne prečica do krivice.

Ekstenzija .me je potpuno prirodan izbor za lične sajtove, portfolije i privatne mailove. Kažnjavati konkretnu privatnu domenu na osnovu statistike ekstenzije je kolektivna odgovornost bez smisla. To je kao da kažete svi stanari jedne zgrade su sumnjivi jer je u zgradi jednom neko nešto ukrao. Ako je .me presudio, recite to otvoreno. Ako nije presudio, čemu onda služi crvena zastavica koja samo plaši onoga ko čita izvještaj. U oba slučaja ispada da služi da tanki izvještaj izgleda ozbiljnije nego što jeste.

Novo ne znači maliciozno

Tačno je da kriminalci često koriste svježe registrovane domene. To je neosporno i korisno kada uz starost postoji i dokaz, lažna stranica, krađa brenda, maliciozni mail, skripta, prijava žrtve. Ali sama starost ne stvara phishing stranicu.

Svaka porodična domena, svaki mali obrt, svaka nevladina organizacija, svaki lični blog je jednom bio nov i bez ranga. Nulta istorija nije loša istorija. IPQS na svojoj stranici o reputaciji domena i sam kaže da nova ili neobična stranica nije automatski maliciozna i da jedan signal rijetko dokazuje zloupotrebu. Šteta što se tog pravila ne drži kada treba dodijeliti skor.

Pošten rezultat za ovakvu domenu bi bio nepoznato, nedovoljno podataka ili ograničena istorija, uz preporuku za dodatnu verifikaciju, ne automatsko blokiranje. Umjesto toga dobili smo phishing sa 95. Ako IPQS ima direktan dokaz, trebao bi navesti tip i datum tog dokaza. Ako ga nema, onda je ovo nagađanje upakovano kao sigurnosni nalaz.

Redirect i Cloudflare nisu dokazi

Još dva detalja iz izvještaja zaslužuju da se ogole.

Redirect je normalan dio weba. HTTP na HTTPS, root na www, stara adresa na novu, privatna domena na hostovani profil. Da, phishing kampanje koriste lance preusmjerenja da sakriju odredište, ali sam podatak redirected true bez konteksta kuda vodi i šta se nalazi na odredištu ne znači ništa. IPQS definiše to polje kao činjenicu da URL preusmjerava na drugu domenu, ne kao tvrdnju da je svako preusmjerenje maliciozno. Ako je redirect uticao na skor, onda bi moralo pisati šta je bilo sporno na odredištu, da li postoji pogodak na feedu, lažni login, obfuskacija.

Slično je sa Cloudflare IP. Cloudflare objašnjava da su proxied hostovi iza zajedničkih anycast adresa i da posjetilac vidi Cloudflare adresu, a ne origin server. Hiljade nepovezanih domena dijeli isti IP rang. Ako sistem ne zna odvojiti reputaciju jednog hosta od komšija na istoj infrastrukturi, onda nije spreman za današnji internet. U javnom izvještaju se čak i ne vidi da li je taj IP uopšte uticao na skor, što je dodatni problem transparentnosti. Prikazati ga bez objašnjenja samo pojačava utisak da je i to dokaz, iako nije.

Kada saberete starost, TLD, redirect i dijeljenu infrastrukturu, ne dobijete jak dokaz. Dobijete broj koji izgleda precizno, ali iza njega nema ničeg opipljivog.

Šta IPQS prodaje i dokle taj skor putuje

Ovo nije hobi skripta. IPQS postoji od 2011. godine i prodaje cijeli paket, reputaciju IP adresa, detekciju proxy i VPN, validaciju maila i telefona, fingerprint uređaja, detekciju botova, scoring transakcija, skeniranje malvera, reputaciju domena i URL-ova. Podaci navodno dolaze iz honeypotova, crnih lista, forenzičkih analiza, mašinskog učenja i feedbacka klijenata koji prijavljuju domene, URL-ove, mailove i IP adrese, uz napomenu da se ti podaci i metapodaci mogu koristiti za poboljšanje modela.

Kada je signal tačan, takva mreža je moćna. Kada je netačan, postaje petlja koja sama sebe hrani. Sporan signal utiče na odluku klijenta, ta odluka generiše novu prijavu, prijava se vraća u sistem i počinje izgledati kao potvrda. Autor s pravom kaže da ne može dokazati da se to desilo baš ovdje, ali sama arhitektura čini brz i transparentan proces ispravke kritičnim.

A skor putuje dalje nego što mislite. IPQS promoviše integracije sa platformama za sprečavanje prevara, sigurnosnim alatima i sistemima za istrage, uključujući i listing na CrowdStrike Marketplace za obogaćivanje istraga oko malvera, phishinga i preuzimanja naloga. Važno je biti pošten, javni logotipi i studije slučaja, poput onih za Bolt, Phone.com, Tolunu i ZinQ Media, ne dokazuju da svaki od tih klijenata koristi baš domen reputaciju koja je ovdje zakazala, neki koriste samo provjeru IP ili maila. Ali suština ostaje, jednom kada vas neko označi, oznaka ulazi u tuđe sisteme. Korisnik koji bude odbijen često vidi samo generičku poruku registracija odbijena ili domen je sumnjiv i nikad ne sazna da je iza toga IPQS. Zato rečenica to je samo skor nema nikakvu težinu. Skor jeste proizvod.

Zašto marketing i ugovor pričaju različite priče

Ovdje mi se najviše lomi povjerenje.

U marketingu IPQS govori o izuzetno niskoj stopi lažno pozitivnih i ogromnoj tačnosti. To su krupne tvrdnje za firmu čiji podaci odlučuju da li će neko biti tretiran kao prevarant.

Pokušao sam pronaći ono što bi moralo stajati iza takvih tvrdnji, javno dostupan benchmark skup, opis uzorka, matricu grešaka, metodologiju utvrđivanja istine, stope grešaka po proizvodu, po starosti domene, po TLD-u, po hostingu ili iza CDN-a. Nema toga u javnom pristupu na način koji bi omogućio nezavisnu provjeru. Procenat bez metode je reklama, ne validacija. Ako IPQS ima ozbiljna interna istraživanja, trebao bi ih objaviti.

U dokumentaciji za napredne opcije URL skenera i proxy detekcije IPQS i sam priznaje da strožija podešavanja mogu povećati broj lažno pozitivnih. Dakle, firma zna da greške postoje.

A onda otvorite uslove korištenja i tamo piše da se servis isporučuje po principu kakav jeste, bez garancije da će rezultati uvijek biti tačni i pouzdani, uz ograničenje ukupne odgovornosti na veći iznos od 100 USD ili onoga što je korisnik platio u zadnjih 12 mjeseci, uz klauzulu o međusobnom neomalovažavanju, odricanje od kolektivne tužbe, rok od godinu dana za pokretanje spora i obavezujuću pojedinačnu arbitražu za vlasnike naloga koji se ne ispišu u roku od 30 dana.

Razumijem da su ovakve klauzule česte u tehnološkim ugovorima, ali kontekst je važan. IPQS ne prodaje birač boja ili aplikaciju za bilješke. Prodaje reputacijske presude koje navode firme da ljude i domene tretiraju kao kriminalne. Brošura traži da vjerujete presudama, ugovor upozorava da presude mogu biti pogrešne, a treća strana koja je etiketirana nema ugovor i nema polugu da traži odgovornost. To nije raspodjela rizika, to je prebacivanje rizika na onoga ko je najslabiji u lancu.

Žalba koja završi u praznini

Posebno me zasmetao dio sa podrškom.

Na kontakt stranici piše da firma obično odgovara u roku od nekoliko sati, a na stranici za lažno pozitivne da se IP podaci provjeravaju u roku od 24 do 48 sati. Ali ta forma djeluje primarno fokusirana na IP adrese. Za domene i URL-ove ne postoji jasno označen tok sa brojem predmeta, automatskom potvrdom, rokom, statusnom stranicom i obrazloženom odlukom.

Autor je iskoristio dostupni kanal i dobio tišinu. Mjesec dana bez ijedne povratne informacije. Možda je poruka zagubljena, možda postoji drugi red, možda se prijave onih koji nisu platili deprioritiziraju, možda je neko pogledao i ostavio kako jeste. Ne znamo, jer niko nije ništa javio.

Kada nekome javno zalijepite etiketu phishing, minimum profesionalnosti je da kažete zašto to mislite. Čak i odbijenica sa razlogom je korisnija od tišine, jer čovjek bar zna na čemu je. Ovako je sistem dobio glas, a vlasnik domene nije.

I nije riječ o izolovanom prigovoru. Na Trustpilotu i na Redditu, u zajednicama poput HomeNetworking, Cybersecurity Help i Tech Support, ima sličnih žalbi da su legitimni sajtovi ili kućne IP adrese označeni kao prevara, proxy ili VPN, a zahtjevi za ispravku ostanu bez odgovora. S druge strane, na Capterri i G2 ima i mnogo pozitivnih ocjena poslovnih korisnika koji kažu da im IPQS pomaže da hvataju botove i lažne naloge. Obje stvari mogu biti tačne. Alat može hvatati stvarne prevarante i istovremeno praviti ozbiljnu štetu nedužnima. To nisu suprotstavljene istine, to su dvije perspektive na isti sistem. Jedna grupa kupuje zaštitu, druga trpi greške. Ako ste vlasnik male privatne domene, vi niste kupac. Vi ste samo unos u bazi. I zato vas je lako ignorisati.

Zašto bi ovo trebalo brinuti i one koji plaćaju IPQS

Lako je pomisliti da lažno pozitivan pogađa samo vlasnika domene. Ne pogađa.

Svaka pogrešna blokada je izgubljen korisnik, neuspjela transakcija, odbijen privatni mail, sat rada analitičara koji istražuje nešto što nije prijetnja, poziv podršci i na kraju široka allow lista koja se pravi da bi se zaobišao bučni alat. Ako zaposleni stalno vide loše uzbune, prestanu vjerovati i dobrim uzbunama. Alat koji je kupljen da pojača sigurnost počne je slabiti.

Postoji i problem mjerenja. Ako blokirate hiljadu događaja jer ih je IPQS označio kao rizične, kako znate koliko je među njima bilo stvarnih napadača. Ako ne mjerite žalbe, uspješne ručne verifikacije, poništene odluke i naknadno utvrđene greške, onda samo brojite koliko puta vam je neko rekao da kažete ne, a to ćete u izvještaju prikazati kao spriječenu prevaru. To je cirkularna logika.

Odgovoran kupac ovakvih podataka morao bi mjeriti upravo ono što se ne vidi u prodajnoj brošuri, koliko legitimnih korisnika gubi na ulazu, koliko blokada kasnije bude poništeno i kako se stope grešaka razlikuju po starosti domene, TLD-u, infrastrukturi i podešavanjima osjetljivosti.

Skor treba biti trag, ne presuda

Moj stav je prilično jednostavan. Sistem za reputaciju mora jasno razlikovati verifikovanu zloupotrebu, jaku vjerovatnoću sa konkretnim dokazima, ograničene ili konfliktne dokaze i stanje nedovoljno podataka. Nova privatna domena bez istorije, sa urednim DNS, SPF i DMARC, bez spama i malvera, pripada u zadnju kategoriju dok se ne pojavi stvarni dokaz.

Umjesto phishing true, pošten odgovor bi bio nepoznato ili ograničena istorija, uz preporuku za dodatnu verifikaciju, ne automatsko blokiranje. Izvještaj bi trebao vraćati i razloge na visokom nivou, recimo novo registrovano, ograničena istorija saobraćaja, TLD statistički signal, uočen redirect, dijeljena CDN infrastruktura, prijava treće strane od određenog datuma, detektovana imitacija brenda, pronađena forma za lozinke, poklapanje sa verifikovanim feedom, heuristička procjena ili u čekanju ljudske provjere. To ne otkriva model, ali omogućava pametnu odluku. Postoji ogromna razlika između domene koja je juče hostovala stranicu za krađu lozinki i domene koja je samo nova i iza Cloudflarea.

I još nešto, algoritam nije dokaz. Mašinsko učenje može biti korisno i istovremeno katastrofalno pogriješiti u pojedinačnom slučaju, posebno kada ima malo podataka. Gomila slabih signala ne postaje jak dokaz samo zato što ih algoritam sabije u dvocifren broj. Ako IPQS ima jači dokaz, treba navesti kategoriju i datum. Ako ga nema, oznaka phishing je neodgovorna.

Šta bi IPQS morao promijeniti

Ne tražim da objave svaku težinu i svaki feed, to bi pomoglo prevarantima da zaobilaze detekciju. Tražim osnovnu higijenu odgovornosti.

Prvo, prestati koristiti phishing true kada je jedino što znate da je domena nova ili nepoznata. Drugo, napraviti poseban kanal za žalbe za domene i URL-ove sa brojem predmeta i potvrdom. Treće, objaviti realan rok i držati ga se. Četvrto, omogućiti dokaz vlasništva preko DNS zapisa ili maila. Peto, vraćati reason kodove i datum dokaza, te reći da li je nalaz došao iz živog skeniranja, keša, prijave klijenta ili modela. Šesto, objasniti kako se računa risky TLD i koliko utiče na skor. Sedmo, pažljivo tretirati dijeljenu infrastrukturu da se reputacija ne prelijeva sa komšija. Osmo, objaviti provjerljive stope lažno pozitivnih po proizvodu i po segmentima, i obavještavati klijente kada se ranije distribuirana klasifikacija ispravi. I na kraju, sačuvati nepoznato kao legitiman ishod. Nisu sve nepoznanice prijetnje. Ponekad je nepoznanica samo nepoznanica.

Ništa od ovoga ne slabi borbu protiv prevara. Samo je čini vjerodostojnijom.

Šta bih tražio da sam na mjestu autora

Zahtjev je jednostavan i razuman. Ručni pregled, uklanjanje neosnovane oznake, te kratko obrazloženje koje kategorije signala su dovele do 95. Da li je .me značajno podigao skor, da li je Cloudflare IP igrao ulogu, da li postoji prijava zloupotrebe, pogodak na crnoj listi, feedu, skeniranju ili prijavi klijenta, ili je riječ o automatskoj procjeni na osnovu slabih pretpostavki. Ako postoji verifikovan dokaz, dovoljan je tip izvora i datum. Ako ne postoji, oznaka mora biti povučena.

To je minimum odgovornosti za firmu koja prodaje reputacijske presude internetu.

Razumijem zašto su vendori agresivni. Napadi su brzi, infrastruktura se stalno mijenja, kriminalci koriste nove domene i skrivaju se iza proxy mreža. Problem je težak. Ali težina problema ne opravdava nemar u rješenju.

Lako je svaku novu, privatnu ili preusmjerenu domenu proglasiti sumnjivom i upakovati to u broj koji izgleda naučno. Teško je reći nemamo dovoljno podataka, priznati neizvjesnost, javiti se kada pogriješite i ispraviti grešku prije nego se proširi.

U ovom slučaju IPQS je pao na tom teškom dijelu. Uzeo je legitimnu privatnu domenu sa validnim DNS, SPF i DMARC, bez spama, bez malvera i bez dokazane zloupotrebe, zalijepio joj phishing sa 95, a onda mjesec dana nije našao za shodno ni da odgovori.

Vendor za sprečavanje prevara smije biti oprezan. Ne smije biti nemaran. A kada prodajete reputaciju internetu, rečenica naš algoritam tako kaže nije odgovor, to je priznanje da skor ima više samopouzdanja nego dokazi iza njega.

IZVOR: IPQS Falsely Flagged My Domain as Phishing With a 95 Score