Finanční podvody: jak je poznat a nepřijít o peníze

Podvodník, který dnes volá oběti jménem banky, nepotřebuje padělaný podpis ani ukradenou kartu. Stačí mu telefonní číslo, které na displeji vypadá jako oficiální linka, klidný hlas a pár minut nátlaku. Jinému stačí e-mail s logem banky a odkaz na stránku k nerozeznání od přihlašovací obrazovky. Třetímu stačí profil na seznamce a osm týdnů trpělivosti. Metody se liší, cíl je stejný: přimět člověka, aby sám poslal peníze tam, kam nechtěl.

Podvod dnes útočí telefonem, e-mailem i seznamkou

Klasická krádež potřebovala fyzický kontakt nebo padělaný dokument.

Finanční podvod dnes potřebuje hlavně důvěru a čas pod tlakem. Podvodník se vydává za banku, investiční firmu, kurýrní službu nebo nového partnera. Ve všech případech počítá s tím, že oběť nebude mít čas si věc ověřit a zavolat zpátky.

Rozdíl mezi jednotlivými typy je hlavně v kanálu a v tempu. Phishing a vishing fungují rychle, v řádu minut nebo hodin. Investiční podvod a romance scam naopak staví na týdnech budování vztahu, než padne žádost o peníze. Společné jádro zůstává stejné bez ohledu na kanál. Podvodník potřebuje, aby oběť jednala rychle, sama a bez konzultace s bankou, rodinou nebo policií. Kdo tenhle mechanismus rozpozná, ubrání se i podvodu, který se teprve objeví a zatím nemá ani jméno.

Podvodné call centrum dnes běžně funguje jako firma se směnami, skripty pro operátory a rozdělením rolí. Jeden hlas oběť kontaktuje poprvé, druhý se vzápětí představí jako nadřízený, který situaci potvrdí, a třetí dohlíží na to, aby scénář seděl od začátku do konce. Amatérský dojem, který si lidé pod pojmem podvodník často představují, dnes realitě už příliš neodpovídá. Řada podvodných call center i investičních platforem operuje ze zahraničí, mimo dosah české policie a mimo přímou pravomoc České národní banky. To je jeden z důvodů, proč prevence funguje spolehlivěji než dodatečné vymáhání peněz, které už jednou odešly.

Phishing: rybaření na hesla a jednorázové kódy

Phishing je podvodná zpráva, e-mailem nebo SMS, která se tváří jako zpráva od banky, dopravce nebo úřadu. Cílem je dostat oběť na podvodný web a tam vylákat přihlašovací údaje, číslo karty nebo jednorázový kód z bankovní aplikace. Název vychází z anglického fishing, tedy rybaření: podvodník hodí návnadu a čeká, kdo se chytí. Typický spouštěč bývá zpráva o zablokovaném účtu, nedoručeném balíku nebo neuhrazené faktuře. Odkaz vede na stránku, která barvami i logem kopíruje skutečnou banku. Fungovat umí i v kombinaci s dalším typem útoku, odkaz z phishingové zprávy může vést rovnou na falešnou investiční platformu, ne jen na kopii přihlašovací obrazovky banky. Podrobný rozbor toho, jak takové zprávy vypadají a co s nimi dělat, popisuje samostatný článek o phishingu.

Vishing: hlas, který zní jako z banky

Vishing je hlasová varianta útoku, jméno vzniklo spojením slov voice a phishing. Podvodník volá a na displeji se díky technice zvané spoofing může zobrazit číslo, které vypadá jako skutečná linka banky. Hlas bývá klidný, věcný, často zná jméno volaného i banku, u které má účet.

Scénář bývá podobný. Na účtu prý probíhá podezřelá platba, kterou je potřeba okamžitě zastavit. Řešením má být převod peněz na takzvaný bezpečný účet, nebo nadiktování kódu z bankovní aplikace nahlas do telefonu.

Volající si dokáže vybudovat důvěru i technickými detaily. Zmíní poslední čtyři číslice karty, název pobočky nebo přibližnou částku poslední platby, tedy údaje, které dnes běžně unikají z jiných databází a na trhu s ukradenými daty se prodávají levně. Oběť pak nabude dojmu, že takové věci může vědět jen banka, přestože podvodník je má odjinud.

Nátlak roste postupně. Nejdřív klidné vysvětlení situace, pak zdůraznění, že čas se krátí a účet může být zablokovaný, pokud se transakce nezastaví hned. Někdy se do hovoru zapojí i druhý hlas, který se představí jako nadřízený nebo pracovník bezpečnostního oddělení, aby scénář působil důvěryhodněji.

Oblíbenou variantou je i žádost o takzvanou testovací platbu, malou částku, kterou má oběť poslat na nový účet, aby si prý ověřila, že převod funguje. Ve skutečnosti jde jen o první, menší krok k větší platbě, která přijde na řadu hned potom.

Žádná banka takhle nepracuje. Bezpečnostní oddělení nikdy nežádá klienta, aby peníze poslal sám sobě na jiný účet, a nikdy nepotřebuje kód z aplikace nahlas po telefonu. Nejjednodušší obrana je hovor ukončit a zavolat zpátky na číslo z platební karty nebo z bankovní aplikace, ne na číslo, které se objevilo v příchozím hovoru.

Stejný mechanismus podvodníci používají i mimo bankovní prostředí, když se vydávají za exekutora, zdravotní pojišťovnu nebo finanční správu a hrozí exekucí nebo pokutou, pokud oběť neuhradí dluh okamžitě na uvedený účet. Kanál je stejný jako u vishingu, mění se jen jméno instituce, za kterou se volající vydává.

Falešný operátor banky s programem na dálkový přístup

Další verze útoku jde ještě dál. Volající se vydává za technika banky nebo antivirové firmy a přesvědčí oběť, aby si do telefonu nebo počítače nainstalovala aplikaci pro vzdálený přístup, například pro sdílení obrazovky. Podobné nástroje slouží běžně k legitimní vzdálené podpoře, o to snáz oběť uvěří, že jde o standardní postup.

Pod záminkou opravy pak podvodník ovládá zařízení sám a odesílá platby přímo z bankovnictví, zatímco majitel účtu jen sleduje obrazovku, v horším případě nahlas čte kódy, o kterých si myslí, že patří k opravě. Celý zásah může trvat jen několik minut, dřív, než si oběť stačí uvědomit, co se vlastně stalo.

Signálem k okamžitému zavěšení je už samotný požadavek na instalaci takové aplikace kvůli bankovnímu účtu. Servisní zásah do bankovnictví touto cestou banky nedělají, a pokud klient sám o technickou podporu nepožádal, nemá důvod dávat komukoli vzdálený přístup ke svému zařízení.

Útok bývá poskládaný z víc kroků najednou. Nejdřív přijde vishingový telefonát s ohlášením problému, pak SMS s takzvaným číslem případu, které má celý příběh potvrdit, a teprve pak žádost o instalaci aplikace. Číslo případu samo o sobě nic neznamená, jde jen o rekvizitu, která má scénář posílit.

Investiční podvody: jistota tam, kde žádná jistota neexistuje

Investiční podvod slibuje zhodnocení, které v regulovaném světě financí nikdo nemůže garantovat. Podoba bývá dvojí: fiktivní obchodní platforma s grafem, který roste podle libosti provozovatele, nebo nabídka od člověka, který tvrdí, že spravuje peníze pro známé jméno z televize.

Peníze, které oběť pošle, na skutečný trh nikdy nedorazí. Zůstávají na účtu podvodníka a graf v aplikaci jen předstírá růst. Výběr pak vždy něco blokuje, nejčastěji poplatek nebo daň, kterou je potřeba nejdřív zaplatit předem. Znaky, po kterých se dá takový podvod poznat, i postup, jak ověřit licenci firmy u České národní banky, shrnuje článek o investičních podvodech.

I tady platí stejný vzorec jako u vishingu nebo falešného operátora: naléhavost, předstíraná autorita a snaha izolovat oběť od druhého názoru. Rozdíl je hlavně v tempu, investiční podvod si na rozdíl od telefonátu dovolí počkat týdny, než padne žádost o první platbu.

Romance scam: podvod na osamělost

Romance scam začíná jako běžné seznámení na seznamce nebo sociální síti. Profil bývá fotogenický, často s fotkami vojáka v zahraniční misi, lékaře na humanitární cestě nebo podnikatele pracujícího mimo Českou republiku. Konverzace se táhne týdny, někdy měsíce, a buduje důvěrný vztah, aniž by došlo k osobnímu setkání. Fotografie bývají ukradené z cizích profilů, často lidí, kteří o zneužití vlastní podoby vůbec nevědí. Videohovor podvodník soustavně odkládá, výmluvy se týkají špatného připojení, vojenské bezpečnosti nebo pracovní vytíženosti v zahraničí. Postupem času vzniká dojem blízkého vztahu, který ve skutečnosti existuje jen v textových zprávách.

Peníze přijdou na řadu ve chvíli, kdy se objeví krize. Zásilka zabavená na celnici, nemocný příbuzný, uvízlé letadlo někde na cestě. První částka bývá malá, spíš test, jestli oběť vůbec zaplatí.

Další žádosti přicházejí ve vyšších částkách a s podobnými výmluvami, jednou akutní operace, podruhé propadlé letenky domů.

Ve chvíli, kdy oběť žádost odmítne nebo navrhne videohovor či osobní setkání, komunikace často náhle skončí, nebo se objeví další výmluva. Někdy podvodník naopak zesílí citové vydírání a tvrdí, že bez peněz hrozí něco vážného přímo jemu. Rozchod na dálku bez jediného společného setkání bývá jediný způsob, jak takový vztah skutečně ukončit.

Zvlášť škodlivá bývá kombinace romance scamu s investičním podvodem, kdy nově poznaná osoba po pár týdnech nabídne i tip na výhodnou investiční platformu. Mechanismus tohoto hybridu, který se v cizojazyčné literatuře přezdívá pig butchering, rozebírá článek o investičních podvodech.

Varovné signály, které se opakují napříč podvody

Přes rozdílné kanály se u většiny podvodů opakuje pár shodných rysů. Kdo je pozná, dokáže odhalit i typ útoku, který ještě neviděl. Kanálů přibývá, telefon, e-mail, SMS, sociální síť i seznamka, jádro triku se ale mění jen málo.

Podvodníci se opírají hlavně o naléhavost a o předstíranou autoritu instituce nebo osoby, které oběť důvěřuje. Druhá páka, izolace od rodiny, banky nebo přátel, funguje o něco nenápadněji, ale stejně spolehlivě. Instituce, které peníze skutečně chrání, nikdy netlačí na okamžité rozhodnutí a nikdy nepotřebují heslo ani kód nahlas.

Jak snížit riziko dřív, než podvodník zavolá

Většina obrany se dá připravit předem, bez čekání na konkrétní útok. Bankovní aplikace obvykle umožňuje nastavit limity na platby a výběry, snížit je stačí na pár kliknutí a stejně snadno je zase zvýšit, když je to potřeba. Rodiny, kde žijí starší příbuzní, si mohou domluvit jednoduché heslo pro nouzové situace. Pokud někdo po telefonu tvrdí, že volá jménem vnuka nebo dítěte a potřebuje peníze na účet cizí osoby, ověřovací slovo, které zná jen rodina, odhalí podvod rychleji než jakýkoli technický nástroj.

Osobní údaje zveřejněné na sociálních sítích usnadňují podvodníkovi přizpůsobit scénář konkrétní osobě. Omezení viditelnosti příspěvků o práci, dovolené nebo rodinné situaci jen na okruh známých snižuje množství materiálu, ze kterého může útočník čerpat.

Dvoufaktorové ověření a bankovní aplikace s upozorněním na každou platbu patří k základní výbavě účtu. Kdo dostane oznámení o platbě, kterou sám neprovedl, má šanci zareagovat dřív, než si rozdílu všimne na měsíčním výpisu.

Telefon i počítač je vhodné mít aktualizovaný na poslední verzi systému. Aplikace se mají stahovat jen z oficiálních obchodů, ne z odkazu v e-mailu nebo SMS. Únik hesla z jedné napadené služby často otevírá dveře i jinam, pokud oběť používá stejné heslo opakovaně, proto se vyplatí mít pro každou důležitou službu heslo jiné, ideálně uložené ve správci hesel.

Bankovní aplikace obvykle upozorní, když jde o platbu zcela novému příjemci, na kterého ještě žádný převod nešel. Chvilka pozornosti věnovaná právě tomuto varování dokáže zachytit i podvod, který jinak působí naprosto věrohodně.

Proč hraje roli, kdo platbu skutečně odeslal

Banky rozlišují dvě situace. V první útočník získá přístup k účtu a platbu odešle sám, bez vědomí majitele, třeba po instalaci vzdáleného přístupu. Ve druhé oběť platbu provede vlastníma rukama, přesvědčená falešným scénářem, že jde o bezpečný krok.

Šance na vrácení peněz bývá obecně vyšší v prvním případě, kdy jde o neautorizovanou platbu. Ve druhém případě banka platbu technicky provedla správně, na pokyn, který vypadal jako pokyn klienta, a vymáhání peněz zpět bývá mnohem složitější a nejistější.

Přesně proto má smysl zavolat bance během první minuty po podezření, ne až druhý den. U některých plateb existuje krátké okno, kdy transakce ještě čeká na zpracování a dá se zastavit, než peníze doputují k příjemci.

Prvních pár minut po podvodu rozhoduje

Čím dřív oběť zareaguje, tím větší šance zůstává peníze zachránit. První telefonát patří bance, na linku pro blokaci karet a plateb, ne zpátky na číslo, ze kterého volal podvodník. Banka může u některých plateb zkusit transakci zastavit nebo zablokovat, pokud peníze ještě nedorazily k příjemci.

Souběžně se vyplatí změnit hesla k internetovému bankovnictví a k e-mailu, hlavně pokud podvodník získal přístupové údaje nebo měl chvíli ovládání zařízení na dálku. Kdo nainstaloval aplikaci pro vzdálený přístup, měl by ji odinstalovat a zvážit i kontrolu zařízení antivirovým programem. Pokud podvodník kromě peněz získal i kopii dokladu, rodné číslo nebo jiné osobní údaje, hrozí riziko zneužití k dalšímu jednání, třeba k žádosti o úvěr na cizí jméno. V takovém případě pomáhá sledovat vlastní úvěrové registry a všímat si neobvyklých dotazů na bonitu, které se v nich mohou objevit.

Komunikaci s podvodníkem má smysl ukončit, ne se s ním dál dohadovat nebo mu cokoliv dokazovat. Zprávy, čísla účtů a snímky obrazovky se naopak hodí uschovat. Poslouží jako podklad pro banku i policii. Kdo se stane obětí jednou, bývá pak i cílem dalších pokusů. Podvodníci si takzvané seznamy obětí mezi sebou předávají a prodávají dál. Sdílet zkušenost s rodinou nebo přáteli pomáhá tenhle další nápor rozpoznat rychleji, protože už vědí přesně, na co si dát pozor.

Kam se obrátit

Oznámení patří na Policii České republiky, telefonicky i osobně na kterémkoli obvodním oddělení. Čím víc podkladů oběť přinese, jména, čísla účtů, snímky komunikace, tím snazší je pro vyšetřovatele případ posunout dál. Vyplatí se oznámit i pokus, který se nepovedl a peníze neodešly, protože stejné číslo nebo účet mohou pomoct odhalit u dalších obětí.

U podvodu spojeného s investiční firmou nebo makléřem pomáhá ověřit u České národní banky, zda subjekt vůbec smí finanční služby nabízet, přes veřejný seznam regulovaných subjektů na webu ČNB. Stejný krok se hodí i ve chvíli, kdy nabídku teprve zvažuje, ne až po ztrátě peněz. Opatrnost se hodí u nabídek, které se objeví krátce po podvodu a slibují pomoc s vrácením peněz za poplatek předem. Jde o takzvaný recovery scam, tedy druhý podvod navazující na ten první, který cílí přesně na lidi, co už jednou o peníze přišli a chtějí věc rychle napravit. Skutečná instituce si za samotné podání oznámení nikdy neúčtuje poplatek předem a nekontaktuje oběť sama s nabídkou pomoci dřív, než se na ni obrátí.

Na co si dát pozor

Zvlášť zranitelná bývá starší generace, která telefonáty od cizích lidí často bere vážněji a stydí se přiznat, že něčemu naletěla. Rozhovor v rodině o tom, jak podvody fungují, funguje jako prevence líp než jakýkoli technický nástroj.

Stud a otálení s přiznáním škodí hlavně tomu, komu se stalo. Čím déle oběť váhá, než zavolá bance nebo policii, tím menší je šance zachytit platbu ještě na cestě k příjemci. Rychlé přiznání si nezaslouží stud, zaslouží si uznání, že člověk problém rychle řeší.

Riziko roste i u lidí, kteří mají na sociálních sítích veřejně viditelné informace o práci, majetku nebo rodinné situaci. Podvodník podle nich dokáže scénář přizpůsobit konkrétní osobě.

Jednorázový kód z bankovní aplikace nepatří nikomu jinému než majiteli účtu, ani zaměstnanci banky. Platí to bez výjimky, i když volající zní přesvědčivě a zná správné jméno a číslo účtu.

Firmy a drobní podnikatelé nejsou o nic víc chránění než soukromé osoby. Účetní, který dostane e-mail od jednatele s žádostí o rychlou platbu na nový účet, čelí v podstatě stejnému triku jako klient banky, jen v pracovním převleku.

Podvodníci přizpůsobují nabídku i kalendáři. Před Vánoci roste počet zpráv o nedoručených balících, na jaře v období daňových přiznání zase zprávy o vratce daně, které mají vylákat číslo účtu nebo přihlašovací údaje do daňového portálu.

Shrnutí

Typologie podvodů se mění s technikou, princip zůstává stejný: cizí člověk chce peníze rychle, potichu a bez druhého názoru. Kdo zavěsí, ověří si volajícího na oficiální lince banky a v podezřelých případech i firmu v rejstříku České národní banky, zvládne odrazit většinu útoků, které dnes kolují. Konkrétní podobu phishingových zpráv a mechanismus investičních podvodů rozebírají navazující články.

Ochrana nezačíná až telefonátem podvodníka. Začíná dřív, u nastavených limitů v bankovní aplikaci, u ověřovacího hesla domluveného v rodině a u obyčejného zvyku zavěsit a zavolat zpátky na číslo, které si člověk sám dohledá.