Iz Igmana je otišao novac tačno onako kako je policija javno opisala dva mjeseca ranije. Adresa elektronske pošte s koje je stigla obavijest o novom bankovnom računu izgledala je gotovo identično adresi turske kompanije s kojom Igman d.d. Konjic posluje. Faktura koju je trebalo platiti bila je stvarna. Iznos je bio tačan. Dobavljač je bio poznat i provjeren. Promijenjen je bio samo jedan podatak — broj računa na koji novac treba uputiti.

Novac je otišao. Prema nezvaničnim informacijama iz istrage, 780.000 eura, odnosno oko 1,53 miliona konvertibilnih maraka, prenosi N1.

Kompanija je prijavu podnijela 24. jula. Iz Ministarstva unutrašnjih poslova Hercegovačko-neretvanskog kantona potvrdili su da je Policijska uprava Konjic zaprimila prijavu računalne prijevare iz člana 395. Krivičnog zakona Federacije BiH, da su počinitelji nepoznati i da je otuđen veći iznos novca. Predmet je preuzeo Sektor kriminalističke policije, a nadzor ima Kantonalno tužilaštvo HNK, područni ured Konjic.

Službena potvrda iznosa još nije stigla. Ono što se, međutim, ne mora tražiti od nezvaničnih izvora jest da je Federalna uprava policije dva mjeseca prije ovog slučaja objavila upozorenje u kojem je opisala tačno ovakvu prevaru, do posljednjeg detalja.

Prevara koja ne izmišlja račun, nego ga presreće

Mehanizam se u struci zove business email compromise. Naziv zavarava, jer sugeriše da je nečiji e-mail obavezno probijen. Često nije, napadaču je dovoljno da adresu imitira.

To je važno zbog onoga što slijedi iz toga: ako je adresa samo imitirana, nijedan informacioni sistem Igmana nije napadnut. Nema virusa, nema ukradene lozinke, nema alarma. Nalog za plaćanje izdao je ovlašteni zaposlenik, kroz redovan kanal, u tačnom iznosu, dobavljaču s kojim kompanija godinama posluje. Sa stanovišta banke, to je bila potpuno normalna transakcija.

Zato ova priča nije o hakerima. Ona je o proceduri plaćanja.

Napad počinje kao istraživački posao, a ne kao tehnički. Napadač mora saznati ko su dobavljači, koliko se često plaća i ko potpisuje naloge. Sve troje se najčešće nalazi u javnim izvorima, registrima, tenderskoj dokumentaciji, godišnjim izvještajima, saopćenjima o potpisanim ugovorima, profesionalnim profilima zaposlenih u finansijama. Kompanije namjenske industrije u BiH su tu posebno izložene, jer im je znatan dio poslovanja javan kroz odluke vlasti.

Zatim slijedi ono što ovu vrstu prevare čini uspješnom: čekanje. Kompanija Proofpoint, koja se bavi zaštitom poslovne komunikacije, opisuje da napadači u preuzetim nalozima ostaju sedmicama, ne dirajući ništa, samo čitajući, kako bi naučili ton komunikacije, imena, interne procedure i ritam plaćanja.

Poruka o promjeni bankovnog računa ne dolazi kad napadač poželi. Dolazi u trenutku kada stvarna faktura ionako čeka na plaćanje.

Zbog toga uobičajeni savjet, provjerite da li mejl izgleda sumnjivo, ne funkcioniše. Ništa ne izgleda sumnjivo. Kontekst je istinit. Lažan je jedan red teksta.

A onda nastupa faza koja odlučuje o svemu: tišina. Prevara se u pravilu otkriva tek kad pravi dobavljač pošalje opomenu jer nije naplatio. Federalna uprava policije je u svom upozorenju taj rok navela izričito nekoliko sedmica.

Upozorenje koje je stiglo prvo

Maja 2026. Federalna uprava policije, kroz Odjeljenje za borbu protiv kompjuterskog kriminala, izdala je hitno upozorenje građanima i pravnim licima o drastičnom porastu sofisticiranih online prevara.

Na prvo mjesto među najopasnijim oblicima stavila je upravo BEC prevare i navela metu: kompanije koje vrše uplate prema inostranstvu. Opis mehanizma bio je precizan napadači kreiraju adrese koje se od originalnih razlikuju u samo jednom slovu i šalju obavještenje o promjeni žiro-računa. Uplate završavaju na računima kriminalaca, a prevara se, navela je policija, otkriva tek nakon nekoliko sedmica.

Uz upozorenje su išle i konkretne preporuke: detaljno provjeravati domen pošiljaoca, tretirati hitnost kao znak opasnosti, koristiti dvofaktorsku autentifikaciju.

To nije bilo prvo takvo upozorenje. FUP je gotovo istovjetno saopćenje objavio već u julu 2024., opisujući izmjene SWIFT i IBAN instrukcija pod izgovorom hitnosti. U oktobru 2025. i komercijalne banke u BiH slale su klijentima obavijesti s istim opisom, navodeći da se slučajevi bilježe u cijeloj regiji.

24. jula 2026. kompanija u kojoj Vlada Federacije BiH ima 51 posto vlasništva prijavila je da je novac otišao tačno tim putem.

Zaključak nije da je neko nesposoban. Zaključak je da upozorenje nije kontrola. Saopćenje na sajtu policije ne mijenja proceduru plaćanja u kompaniji. Između znanja i postupka stoji dokument koji neko mora napisati i potpisati.

Zašto Igman

Meta nije bila slučajna. Profil kompanije poklapa se gotovo u cijelosti s onim što FUP opisuje kao tipičnu žrtvu.

Igman izvozi u više od 50 zemalja i zapošljava oko 1.300 radnika. Veliki broj stranih partnera znači veliki broj legitimnih prekograničnih plaćanja u eurima, a u takvom toku jedna dodatna uplata ne izgleda neobično. Turska je za Igman poslovno logična destinacija, pa instrukcija koja stiže odatle ne budi sumnju.

Kompanija je, uz to, u periodu previranja. Godinu 2025. završila je s gubitkom od 15,3 miliona maraka. Vlada FBiH je u septembru 2025. pokrenula vanrednu reviziju poslovanja za period od 2021. do 2024. godine, kao dio šire kontrole cijele namjenske industrije. Federalni ministar energije, rudarstva i industrije Vedran Lakić tada je najavio da će revizija obuhvatiti i odgovornost prethodnih i aktuelnih uprava, ocijenivši da je to korak koji omogućava sagledati ono što do sada nije bilo vidljivo.

U oktobru 2025. Vlada je dala saglasnost za imenovanje vršilaca dužnosti članova Uprave, do okončanja konkursne procedure — među njima Adnana Prevljaka za v.d. direktora. Organizacije u kadrovskoj tranziciji su ranjivije: procedure su u prekidu, ovlaštenja nejasna, a novi ljudi ne poznaju stare rutine.

Za mjeru štete: Igman je prvo polugodište 2026. završio s dobiti od 2.415.235 maraka, nakon prošlogodišnjeg gubitka. Nezvanično prijavljeni iznos prevare odgovara oko 63 posto cijele te polugodišnje dobiti.

Ko organizuje prevare?

Slika pojedinca za računarom je pogrešna. Ovakve prevare izvode organizovane mreže s podijeljenim radom, jedni izviđaju mete, drugi pišu poruke, treći nabavljaju adrese i naloge, četvrti drže bankovne račune kroz koje novac prolazi, peti ga izvlače. Rijetko iste osobe rade više faza.

Razmjer najbolje ilustruje jedna operacija iz ovog ljeta. Španska policija je u julu 2026., u saradnji s Europolom i Interpolom, razbila organizaciju koja je kroz investicijske prevare, BEC i lažne fakture ukrala oko 140 miliona eura. Uhapšene su četiri osobe u Španiji, Portugalu i Panami. Mreža je, prema saopćenju, koristila više od 800 bankovnih računa, 120 poslovnih računa i 67 novčanih mula.

Četiri osobe. Osamsto računa. Taj odnos objašnjava zašto su hapšenja rijetka a zamrzavanja računa česta: izvršioci su zamjenjivi, infrastruktura nije.

Drugi profil je nešto poznatiji. Grupa Black Axe, nastala u Nigeriji 1977. godine, prema Europolu ima oko 30.000 registrovanih članova i mrežu posrednika u desetinama zemalja, a pripisuju joj se BEC šeme, romance prevare i pranje novca. Europol je početkom 2026. objavio hapšenje 34 člana te grupe u Španiji, povezanih sa štetom od gotovo šest miliona eura.

Postoji i sloj koji se rijetko vidi: oni koji prevaru ne izvode, nego prodaju pripremu — ukradene pristupne podatke, gotove liste dobavljača, mapirane odnose između kompanija. Taj sloj objašnjava kako se meta u Konjicu može odabrati precizno, a da napadač nikada ne bude u Bosni i Hercegovini.

Novčane mule su, uz to, dio priče s lokalnom dimenzijom. Dio njih zna šta radi i uzima proviziju. Znatan dio su i sami žrtve ljudi regrutovani kroz lažne oglase za posao, tipa „finansijski agent“ ili „obrada plaćanja od kuće“, koji vjeruju da rade legalno. Oni na kraju odgovaraju za pranje novca i trajno gube pristup bankarskim uslugama, a od ukradenog iznosa nikada nisu vidjeli ništa osim provizije.

Nizozemska, pa tri računa u Emiratima

Prema nezvaničnim informacijama iz istrage, oko 600.000 eura iz Igmana otišlo je na račun u Nizozemskoj i tamo je blokirano. Preostalih oko 180.000 eura prebačeno je na tri različita računa u Ujedinjenim Arapskim Emiratima, gdje ishod nije poznat.

Ta ruta nije improvizacija.

Prvi skok mora biti u zemlju u kojoj uplata iz BiH u eurima izgleda savršeno normalno i ne izaziva pitanja. Zapadnoevropski poslovni račun ispunjava taj uvjet. Ali upravo zato je i najranjiviji: Nizozemska je u Evropskoj uniji, u zajedničkom platnom sistemu, s razvijenim mehanizmima zamrzavanja i saradnje. Novac je zaustavljen tamo ne slučajno, nego zato što je to jurisdikcija u kojoj se stiže na vrijeme.

Drugi skok je raslojavanje. Podjela na tri računa nije praktična nego namjenska — tri manja transfera, tri odvojena predmeta, u jurisdikciji u kojoj pravna pomoć ide znatno sporije. Svaki dodatni sloj smanjuje vjerovatnoću povrata, ne zato što je novac nemoguće naći, nego zato što ga je nemoguće naći na vrijeme.

Zato podjela 600.000 prema 180.000 nije nesreća. Ona je mjera brzine reakcije.

Sat

Ovo je varijabla koja u ovakvim slučajevima odlučuje o svemu ostalom.

Prema podacima američkog Centra za prijave internetskog kriminala (IC3) pri FBI-ju, povrat sredstava je u pravilu moguć samo u prva 24 do 72 sata. Nakon što novac napusti prvi račun primaoca, vjerovatnoća povrata naglo pada.

Mehanizmi za to postoje i rade. Interpol upravlja sistemom I-GRIP, koji omogućava zaustavljanje sumnjivih plaćanja prije nego se konačno izvrše. IC3 koristi proces koji naziva lancem prekidanja finansijske prevare, u koordinaciji s bankama i međunarodnim partnerima. Tim IC3-a za povrat sredstava je tokom 2025. zamrznuo 679 miliona dolara u 3.900 incidenata, s uspješnošću od 58 posto.

Da to funkcioniše i u slučajevima gotovo identičnim Igmanovom pokazuje jedan primjer iz Interpolove operacije First Light 2026: kriminalci su imitirali dobavljača jedne singapurske trgovinske firme, a vlasti Singapura i Omana zaustavile su transfer od 6,6 miliona dolara.

Zajedničko svim spašenim slučajevima je jedno — neko je prijavio dovoljno brzo da se novac presretne u tranzitu.

Zbog toga je najvažnije pitanje u slučaju Igmana ono koje još nije postavljeno javno: koliko je vremena prošlo između uplate i otkrića. Od tog odgovora zavisi je li zamrznutih 600.000 eura rezultat sistema koji je proradio — ili sreće.

(N1/DEPO PORTAL/au)