Prije nešto više od dva mjeseca neko je uradio stvar koju radi hiljade ljudi koji žele imati ozbiljnu privatnu adresu. Registrovao je domenu na svoje prezime, u ovom slučaju sa ekstenzijom .me, platio je na deset godina i zamislio je kao trajnu e-mail adresu tipa [email protected]. Nije kampanja, nije funnel, nije neka jednokratna stranica za testiranje. Obična, dugoročna potreba da imaš normalan identitet na internetu.

Tehnički je sve urađeno kako treba. DNS je validan, SPF i DMARC su uključeni, domena nije parkirana, ne šalje spam, ne širi malver, ne glumi banku, mjenjačnicu ili državnu instituciju. I onda radoznalosti radi provjera na IPQualityScore, servisu koji firma i sigurnosni timovi koriste da procijene da li je neka domena, IP adresa ili mail rizičan.

Rezultat je apsurdan da ne može biti apsurdniji. IPQS potvrđuje da je DNS ispravan, da su SPF i DMARC tu, da nema spama, da nema malvera, da nema hostovanog sadržaja, da nema kategorije, da nema ranga. I odmah ispod toga stoji phishing true i ocjena rizika 95 od 100.

Meni je taj detalj zapeo za oko i nisam mogao samo preći preko njega. Ne zato što mislim da su ovakvi servisi nepotrebni, nego baš zato što su postali važni, a ovakav način rada pokazuje koliko lako nečiji tuđi algoritam može zalijepiti etiketu kriminalca na nešto što je potpuno čisto.

Šta se zapravo desilo

Autor originalnog teksta je svoju novu domenu provjerio na IPQS alatu za reputaciju domena i URL-ova. Izvještaj je izgledao kao da ga je pisalo dvoje ljudi koji se ne slažu. Jedan dio kaže sve je u redu, drugi kaže ovo je phishing.

Spamming false, malware false, DNS valid true, SPF true, DMARC true, parked false, hosted content false. Jedini signali koji su prikazani kao negativni su bili Risky TLD: true, podatak da domena radi redirect i da iza nje stoji Cloudflare IP, te činjenica da je domena nova, bez istorije i bez saobraćaja.

Umjesto da takav skup podataka dobije oznaku nepoznato ili nedovoljno podataka, sistem je odabrao najtežu kvalifikaciju. Phishing sa gotovo maksimalnim nivoom sigurnosti.

Prije otprilike mjesec dana autor je poslao zahtjev za ispravku. Nije dobio nikakav odgovor. Ne objašnjenje, ne dokaz, ne zahtjev da dokaže vlasništvo nad domenom, ne broj predmeta, ne rok. Ništa. Na dan 29. augusta 2026. oznaka je i dalje stajala.

I ovdje moramo zastati. Ne radi se o nekoj skrivenoj stranici za test koja nikoga ne dotiče. IPQS prodaje podatke o reputaciji koje firme ugrađuju u registracije, plaćanja, mail filtere, analitičke dashboardove. Kada prodaješ sumnju kao uslugu, onda moraš imati i proces za ispravku kada ta sumnja nije utemeljena.

Broj 95 nije blago upozorenje

Volim da budem precizan oko ovoga. U dokumentaciji za svoj malicious URL scanner, IPQS opisuje rizik skor kao mjeru povjerenja da je URL maliciozan, gdje sve preko 85 znači visok rizik i vjerovatno lošu reputaciju. Polje phishing je opisano direktno, da je URL povezan sa phishing ponašanjem.

Kada neko vidi phishing true i 95, niko to ne čita kao možda smo nesigurni. Čita se kao skoro potpuno sigurna tvrdnja da se radi o prevari.

Tehnički, taj broj ne mora značiti matematičkih 95 posto vjerovatnoće. To je interni skor povjerenja. Ali to je nebitno za posljedice. Automatika koja čita API će blokirati registraciju kada vidi phishing true ili skor preko 85. Analitičar u SOC-u će otvoriti incident. Mail sistem će odbiti poruku. Korisnik će dobiti generičku poruku da je njegov domen sumnjiv i neće imati pojma da je iza toga baš IPQS.

Zato mi smeta argument da IPQS samo daje podatak, a klijent donosi odluku. Formalno tačno, suštinski izbjegavanje odgovornosti. Cijeli poslovni model se zasniva na tome da klijenti vjeruju tim podacima i postupaju po njima. Ne možete u prodaji govoriti kako sprečavate prevaru, a kada vaš podatak napravi štetu reći da ste vi samo neutralni posrednik. Ako naplaćujete odluku da nekoga proglasite opasnim, onda morate stajati i iza greške.

Izvještaj koji sam sebe pobija

Ono što ovaj slučaj čini posebno uvjerljivim je unutrašnja kontradikcija.

Da je sistem našao kloniranu login stranicu, formu za krađu lozinki, lažni brend, maliciozni skript ili vezu sa poznatom phishing kampanjom, razumio bih visok skor. Ali ovdje je sve suprotno. Nema malvera, nema spama, nema hostovanog sadržaja, nema kategorije, nema ranga. Dakle, nema tragova zloupotrebe.

Pa na osnovu čega je onda phishing?

Izvještaj ne daje ni kategoriju dokaza, ni datum, ni izvor. Ne kaže da li je riječ o živom skeniranju, keširanim podacima, prijavi korisnika, feedu treće strane ili heuristici modela. Samo ostavlja crvenu etiketu.

Razumijem da niko ne očekuje da firma objavi sve detalje svog modela, ali postoji razlika između čuvanja poslovne tajne i potpunog mraka. Reći phishing true bez ikakvog obrazloženja nije zaštita tajne, to je optužba bez pokrića.

Moj problem sa ovim je principijelan. Nepoznato nije isto što i maliciozno. Nova domena bez istorije nije domena sa lošom istorijom. Ako vam je jedino što znate da je domena nova, bez ranga i sa malo podataka, onda je pošten odgovor nepoznato ili nedovoljno podataka, a ne phishing. Zamijeniti neizvjesnost optužbom je lakše za prodati, ali je pogrešno prema ljudima koji iza tih domena stoje.

Tri tanka argumenta koja često guraju skor u nebesa

Kada pogledate šta je u ovom izvještaju moglo uticati na 95, tri stvari se stalno pojavljuju i sve tri su prilično klimave kada ih postavite samostalno.

Prva je Risky TLD: true za .me. IPQS tako označava ekstenzije koje se češće povezuju sa zloupotrebom, ali u javnoj dokumentaciji ne objašnjava koje su ekstenzije na listi, u kom periodu se mjeri, koji prag se koristi niti koliko taj faktor teži u konačnom skoru. Da, istraživanja poput Spamhausovih pokazuju da neke ekstenzije imaju veću gustinu zloupotrebe, ali Spamhaus pritom i sam kaže da su to procjene sa određenim metodološkim izborima, ne apsolutna istina o svakom domenu. Uzeti .me i na osnovu statistike ekstenzije podići skor pojedinačnoj privatnoj domeni je kao da kažete svi koji žive u toj ulici su sumnjivi jer ulica ima veću stopu prijava. Ekstenzija .me je prirodan izbor za lične stranice, portfolije i privatne mailove. Ako je taj faktor presudio, onda bi IPQS to trebao jasno reći. Ako nije presudio, čemu onda služi crvena zastavica koja samo plaši onoga ko čita izvještaj.

Druga je starost domene. Tačno je da napadači često koriste svježe domene. Ali to je relevantno tek kada postoji i nešto konkretno uz to, lažna stranica, krađa identiteta brenda, malver, phishing mail. Sama činjenica da je domena stara dva mjeseca ne stvara phishing stranicu. Svaka porodična domena, svaki mali obrt, svaka nevladina organizacija je jednom bila nova. IPQS na svojoj stranici o reputaciji domena i sam navodi da nova ili neobična stranica nije automatski maliciozna. Šteta što se sopstvenog savjeta ne drži kada treba dodijeliti skor.

Treća je redirect i Cloudflare IP. Redirect je normalan dio weba, preusmjeravanje sa http na https, sa root na www, sa stare adrese na novu, sa privatne domene na profil. Bez informacije kuda vodi i šta se nalazi na odredištu, podatak redirected true je samo tehnička činjenica. Isto je sa Cloudflare adresom. Cloudflare objašnjava da su proxied hostovi iza zajedničkih anycast adresa i da posjetilac vidi Cloudflare IP, a ne origin server. Hiljade nepovezanih domena dijeli isti rang. Ako sistem ne zna odvojiti reputaciju jednog hosta od komšija na istoj infrastrukturi, onda nije spreman za današnji internet. A u javnom izvještaju se čak i ne vidi da li je taj IP uopšte uticao na skor, što je dodatni problem transparentnosti.

Kada saberete tri slaba signala, ne dobijate jak dokaz. Dobijate samo privid preciznosti upakovan u dvocifren broj.

Nije problem samo autor, problem je i za klijente IPQS-a

Lako je pomisliti da je ovo lični peh jednog čovjeka koji je naletio na loš dan algoritma. Nije.

IPQS postoji od 2011. godine i prodaje cijeli paket servisa, od reputacije IP adresa, detekcije proxy i VPN, validacije maila i telefona, do fingerprinta uređaja, detekcije botova i scoringa transakcija. Podaci navodno dolaze iz honeypotova, crnih lista, forenzičkih analiza, mašinskog učenja i feedbacka klijenata koji prijavljuju domene, URL-ove, mailove i IP adrese na analizu. Privatnost politika i uslovi korištenja opisuju da se ti podaci i metapodaci mogu koristiti za poboljšanje sistema.

Kada je sistem tačan, takva mreža je moćna. Kada je netačan, postaje petlja koja sama sebe hrani. Sporan signal utiče na odluku klijenta, ta odluka generiše novu prijavu, prijava se vraća u model i počinje izgledati kao potvrda.

Ne tvrdim da se to desilo baš ovdje, niti to mogu dokazati. Ali sama arhitektura čini brzinu i kvalitet ispravki ključnim. A upravo tu ovaj slučaj pada.

Još važnije, lažno pozitivan rezultat šteti i onima koji plaćaju IPQS. Svaka legitimna registracija koja bude odbijena je izgubljen korisnik. Svaka neosnovana uzbuna je sat rada analitičara. Svaki blokiran privatni mail je poziv podršci. Ako zaposleni stalno vide loše uzbune, prestanu im vjerovati, prave široke allow liste i zaobilazna rješenja, pa na kraju i stvarna prijetnja prođe ispod radara jer je niko više ne shvata ozbiljno.

Postoji i problem mjerenja uspjeha. Ako blokirate hiljadu registracija jer su označene kao rizične, kako znate koliko je među njima bilo stvarnih napadača? Ako ne mjerite žalbe, uspješne ručne verifikacije, poništene odluke i pritužbe korisnika, onda samo brojite koliko puta vam je vendor rekao da kažete ne, a to ćete u izvještaju prikazati kao spriječenu prevaru. To je cirkularna logika.

Marketing obećava sigurnost, pravni tekst se ograđuje

Ovdje dolazimo do dijela koji me uvijek natjera na oprez.

U marketinškim materijalima IPQS govori o izuzetno visokoj tačnosti i vrlo niskoj stopi lažno pozitivnih. To su krupne tvrdnje za servis čiji podaci odlučuju da li će neko biti tretiran kao prevarant.

Pokušao sam pronaći ono što bi takve tvrdnje moralo pratiti, javno dostupan benchmark skup, metodologiju uzorkovanja, matricu grešaka, verifikovanu istinu na terenu, stope grešaka po proizvodu, po starosti domene, po TLD-u, po hostingu ili po tome da li je domen iza velikog CDN-a. Nisam našao ništa što bi nezavisnom posmatraču omogućilo da provjeri te procente. Procenat bez metode je reklama, ne dokaz. Ako IPQS ima ozbiljna interna istraživanja, onda bi ih trebao objaviti na način koji se može testirati.

S druge strane, u dokumentaciji o naprednim opcijama za URL scanner i proxy detekciju i sam IPQS priznaje da strožija podešavanja mogu povećati broj lažno pozitivnih. Dakle, firma zna da greške postoje.

A onda otvorite uslove korištenja i tamo piše da se servis isporučuje kakav jeste, bez garancije da će rezultati uvijek biti tačni, pouzdani ili bez grešaka, uz ograničenja odgovornosti. To je pravno uobičajeno, ali u ovom kontekstu stvara neugodan raskorak. Marketing traži povjerenje u presude, pravni tekst upozorava da te presude mogu biti pogrešne, a treća strana koja je etiketirana nema nikakav ugovor s IPQS-om i nema polugu da traži odgovornost.

To nije raspodjela rizika, to je prebacivanje rizika. IPQS prodaje sigurnost, klijent je primjenjuje, a osoba koja je pogrešno označena snosi posljedice.

Žalba koja završi u tišini nije žalbeni proces

Posebno me zasmetao dio sa podrškom.

IPQS ima kontakt stranicu i formu za prijavu lažno pozitivnih, ali je ona na prvi pogled fokusirana na IP adrese. Za domene i URL-ove ne postoji jasno označen tok sa brojem predmeta, automatskom potvrdom prijema, rokom rješavanja, načinom za dokaz vlasništva, statusnom stranicom i obrazloženom odlukom.

Autor je iskoristio ono što je dostupno i dobio tišinu. Mjesec dana bez ijedne povratne informacije. Možda je poruka zagubljena, možda postoji drugi red za domene, možda se prijave ne-klijenata deprioritiziraju, možda je neko pogledao i odlučio ostaviti kako jeste. Ne znamo, jer niko nije ništa javio.

Kada nekome zalijepite etiketu phishing, minimum profesionalnosti je da mu kažete zašto to mislite. Čak i odbijenica sa razlogom je korisnija od tišine, jer čovjek bar zna na čemu je. Ovako je sistem dobio glas, a vlasnik domene nije.

Ako pogledate recenzije na Trustpilotu i rasprave na Redditu, u zajednicama poput HomeNetworking, Cybersecurity Help i Tech Support, vidjećete slične pritužbe. Ljudi kažu da su im legitimne stranice ili kućne IP adrese označene kao prevara ili proxy, a zahtjevi za ispravku prolaze bez odgovora. Treba biti pošten, to su anegdote, nisu kontrolisane studije i ne treba ih uzimati kao tehnički dokaz same po sebi. Ali obrazac je indikativan. S druge strane, na Capterri i G2 ima i mnogo pozitivnih ocjena poslovnih korisnika koji kažu da im IPQS pomaže da hvataju botove i lažne naloge. Obje stvari mogu biti tačne u isto vrijeme. Alat može biti koristan kupcu i istovremeno praviti ozbiljnu štetu onima koje ocjenjuje, a koji nisu kupci. Upravo zato je transparentan proces ispravke toliko važan.

Šta bi fer sistem morao imati

Ne tražim da IPQS objavi svako pravilo, svaki izvor feeda ili svaku težinu u modelu. To bi zaista pomoglo prevarantima da zaobilaze detekciju. Ali može se zaštititi metodologija, a ipak ponuditi pošten postupak.

Po meni, fer sistem bi morao jasno razlikovati verifikovanu zloupotrebu, jaku vjerovatnoću sa konkretnim dokazima, ograničene ili konfliktne dokaze, statističku sumnju i stanje nedovoljno podataka ili nepoznato. Nova privatna domena sa urednim DNS, SPF i DMARC, bez spama i malvera, pripada u zadnje dvije kategorije dok se ne pojavi stvarni dokaz.

Umjesto phishing true, takva domena bi trebala dobiti nepoznato ili ograničena istorija, uz preporuku za dodatnu verifikaciju, a ne automatsko blokiranje. Izvještaj bi trebao vraćati i razloge na visokom nivou, recimo novo registrovano, ograničena istorija saobraćaja, TLD statistički signal, uočen redirect, dijeljena CDN infrastruktura, prijava treće strane, detektovana imitacija brenda, pronađena forma za lozinke, poklapanje sa verifikovanim feedom, heuristička procjena ili u čekanju ljudske provjere. To ne otkriva model, ali omogućava klijentu da shvati šta gleda, a vlasniku da shvati šta da ispravi ili ospori.

Također, vlasnik bi morao moći dokazati kontrolu nad domenom putem DNS zapisa ili mail verifikacije, dobiti istoriju kada je klasifikacija nastala i kada je zadnji put pregledana, te dobiti jasnu informaciju da li je žalba prihvaćena, odbijena ili zatvorena bez akcije. Ako se klasifikacija ispravi, svi klijenti koji su je ranije povukli trebali bi biti obaviješteni, a keširani podaci ažurirani. Bez toga, ispravka na jednoj stranici ne briše trag koji je ostao u tuđim sistemima.

I na kraju, sistem bi morao sačuvati kategoriju nepoznato kao legitiman ishod. Nije svaka nepoznanica prijetnja. Ponekad je nepoznanica samo nepoznanica.

Šta bih tražio da sam na mjestu autora

Zahtjev je zapravo jednostavan i razuman. Ručni pregled domene, uklanjanje neosnovane phishing oznake, te kratko obrazloženje koje kategorije signala su dovele do skora 95. Da li je .me značajno podigao skor, da li je Cloudflare IP igrao ulogu, da li postoji prijava zloupotrebe, poklapanje na crnoj listi, feedu, skeniranju ili prijavi klijenta, ili je riječ o skupu slabih pretpostavki.

Ako postoji verifikovan dokaz da je domena hostovala phishing sadržaj, prikupljala lozinke ili distribuirala maliciozne linkove, onda IPQS treba navesti kategoriju i datum tog dokaza. Ne mora otkriti cijeli model, dovoljno je reći tip izvora i vrijeme opservacije. Ako takav dokaz ne postoji, oznaka mora biti povučena.

To je minimum odgovornosti za firmu koja prodaje reputacijske presude internetu.

Zašto ovo dotiče i nas

Možda mislite da se ovo dešava negdje daleko. Ne dešava se.

Sve više registracija, plaćanja i mail provjera u pozadini koristi ovakve skorove. Vi se uredno prijavite sa svojom privatnom domenom, dobijete odbijenicu bez objašnjenja i pomislite da je problem do vas. Nikada ne saznate da je negdje neki skor rekao da ste vi phishing.

Za ljude iz Bosne i Hercegovine i regiona ovo je dodatno osjetljivo. Često biramo .me, .io, .co i slične ekstenzije jer su .com zauzeti ili skupi, a želimo profesionalnu ličnu adresu. Ako sistem unaprijed kažnjava cijele ekstenzije, onda smo mi kolektivno sumnjiviji bez ikakve krivice.

Zato mislim da bi svaka firma koja kupuje ovakve podatke morala postaviti neugodna pitanja prije nego što ih ugradi u automatiku. Kolika je stopa lažno pozitivnih po starosti domene i po TLD-u, kako mjerite gubitak legitimnih korisnika, kako ispravke propagiraju kroz integracije i da li se istorija klasifikacija može auditirati.

Bez tih odgovora, uvozite tuđi rizik u vlastiti proizvod i plaćate ga gubitkom povjerenja korisnika.

Razumijem zašto su vendori za sprečavanje prevara agresivni. Napadi su brzi, infrastruktura se stalno mijenja, kriminalci koriste nove domene, zloupotrebljavaju besplatne servise i skrivaju se iza proxy mreža. Problem je težak.

Ali težina problema ne opravdava nemar u rješenju.

Lako je svaku novu, privatnu ili preusmjerenu domenu proglasiti sumnjivom i upakovati to u broj koji izgleda naučno. Teško je reći nemamo dovoljno podataka, priznati neizvjesnost, javiti se kada pogriješite i ispraviti grešku prije nego se proširi.

U ovom slučaju IPQS je pao na tom teškom dijelu. Našao je domenu koja je tehnički ispravna, bez ikakvog dokaza o zloupotrebi, zalijepio joj etiketu phishing sa 95, a onda mjesec dana nije našao za shodno ni da odgovori na žalbu.

Vendor za sprečavanje prevara smije biti oprezan. Ne smije biti nemaran. A firma koja prodaje reputaciju internetu ne može tretirati neosnovane optužbe kao bezopasan API output.

Dok IPQS ne objasni kako je legitimna privatna domena postala phishing true sa 95 ili dok tu oznaku ne ispravi, rečenica naš algoritam tako kaže nije odgovor. To je priznanje da skor ima više samopouzdanja nego dokazi iza njega.

IZVOR: IPQualityScore Labeled My Legitimate Domain as Phishing Then Ignored the Appeal – IPQS