Zpráva od banky dorazí v úterý večer: účet byl prý z bezpečnostních důvodů dočasně omezen a je potřeba se ověřit přes přiložený odkaz. Stránka, na kterou vede, vypadá přesně jako přihlašovací obrazovka skutečné banky. Stačí zadat jméno, heslo a jednorázový kód, a útočník má za pár vteřin přístup k účtu.

Jak vypadá phishingový e-mail

Phishingová zpráva kopíruje vzhled banky, dopravce nebo státní instituce. Logo, barvy i formátování bývají téměř identické s originálem. Odesílatel v e-mailu často jen vzdáleně připomíná skutečnou adresu banky, liší se o jedno písmeno nebo o doménu navíc za názvem.

Text zprávy staví na naléhavosti. Účet je zablokovaný, faktura neuhrazená, balík čeká na doplatek cla. Napravit to jde vždy jen jedním kliknutím, a to hned, jinak něco propadne nebo se stane něco nenávratného.

Odkaz v e-mailu obvykle nevede na doménu banky, i když text tvrdí opak. Skutečnou adresu ukáže najetí myší na odkaz bez kliknutí, v mobilu podržení prstu na odkazu.

Sofistikovanější zprávy jdou ještě dál a používají domény, které v prohlížeči na první pohled vypadají jako běžný český název banky, ale technicky patří jinému vlastníkovi, protože pár znaků nahradila vizuálně podobná, ale jiná písmena. Rozdíl mezi skutečnou doménou a její padělanou verzí pak bývá i pro pozorného uživatele těžko postřehnutelný. Starší rada, že phishing prozradí špatná čeština, dnes funguje čím dál míň. Generátory textu dokážou zprávu napsat gramaticky bezchybně a stylisticky velmi podobně originálu. Spoléhat čistě na kvalitu jazyka se proto nevyplácí, důležitější je adresa odesílatele a odkazu.

Proč se dá nachytat i zkušený uživatel

Phishing dnes není doménou naivních lidí. Útočníci mají někdy k dispozici uniklá data z jiných databází, e-mail, telefonní číslo, jméno banky, u které adresát skutečně vede účet, protože podobné seznamy se po únicích dat prodávají dál. Zpráva pak působí osobněji, oslovuje jménem nebo zmiňuje konkrétní instituci, u které je adresát klientem. Menší displej mobilního telefonu k tomu přidává další slabinu, skutečná adresa odesílatele ani odkazu se na něm často vůbec celá nezobrazí. Kdo zprávu čte mezi schůzkami nebo cestou v tramvaji, nemá prostor přemýšlet nad detaily domény, a přesně na tenhle časový tlak útočník spoléhá.

Smishing: podvod, který se vejde do SMS

Smishing je phishing přes SMS, název vznikl spojením zkratky SMS a slova phishing. Zpráva bývá kratší než e-mail, o to naléhavější. Typicky hlásí nedoručenou zásilku, kterou je potřeba doplatit pár desítek korun, nebo podezřelou platbu kartou. Krátký odkaz v SMS skrývá skutečnou adresu. Na první pohled nejde poznat, kam vede. Podvodná stránka za ním se otevře stejně snadno na mobilu jako v počítači, mobilní displej navíc ztěžuje kontrolu adresy v prohlížeči.

Číslo odesílatele lze u SMS podvrhnout stejně jako u telefonního hovoru. Zpráva se tak může zobrazit ve stejném vlákně, kde dřív chodily skutečné zprávy od banky, a splyne s nimi. Podobný princip v poslední době přebírá i podvodný QR kód nalepený přes ten skutečný, třeba na parkovacím automatu nebo v letáku, který v mobilu otevře stejně podvodnou stránku jako odkaz v SMS. Mobilní operátoři se snaží podvodné zprávy filtrovat, útočníci ale čísla i domény pravidelně obměňují, takže filtr nikdy nezachytí všechno. Spoléhat na to, že telefon podvodnou zprávu sám odfiltruje, není spolehlivá obrana.

Falešné weby bank a platebních bran

Podvodná stránka napodobující přihlášení do bankovnictví bývá na první pohled k nerozeznání od originálu. Rozdíl se skrývá v adrese prohlížeče: jiná doména, přidané slovo, koncovka .info místo skutečné, nebo jen záměna jednoho písmene v názvu.

Podobně fungují padělané platební brány u nákupu z inzerátu nebo z falešného e-shopu, kupující zadá číslo karty a potvrzovací kód přímo na útočníkově stránce. Platba se ale nikdy neuskuteční ve prospěch prodejce, míří rovnou na účet podvodníka.

Zvlášť časté bývají podvodné platební odkazy u prodeje přes inzertní portály, kdy kupující pošle prodávajícímu odkaz na zaplacení dopravy mimo skutečnou platební bránu daného tržiště nebo dopravce. Bezpečná cesta vede vždy přes platební systém integrovaný přímo v inzertním portálu, ne přes odkaz poslaný v chatu.

Zámek a zkratka https na začátku adresy neznamenají důvěryhodnost webu. Znamenají jen to, že spojení mezi prohlížečem a serverem je šifrované. Podvodné stránky dnes běžně mají platný certifikát stejně jako ty skutečné.

Bezpečnější cestou k přihlášení bývá vlastní aplikace banky nebo ručně napsaná a jednou uložená záložka v prohlížeči, ne odkaz z vyhledávače nebo ze zprávy. Adresu má smysl napsat ručně i tehdy, když se zdá zbytečné to opakovat pokaždé znovu.

Jak ověřit, že zpráva je opravdu od banky

Ověření nemusí trvat dlouho. Stačí zprávu nebo hovor nechat stranou a otevřít bankovní aplikaci nebo internetové bankovnictví přímo, bez klikání na cokoliv ve zprávě. Pokud je účet skutečně omezený nebo čeká na potvrzení platby, objeví se to i po přímém přihlášení mimo odkaz ze zprávy.

Druhá možnost je zavolat bance na číslo z výpisu, ze zadní strany platební karty nebo z bankovní aplikace, nikdy na číslo uvedené v podezřelé zprávě. Falešná zpráva často nabízí i falešnou linku podpory, na které zvedne telefon rovnou útočník.

Pravost odesílatele u e-mailu ukáže rozkliknutí celé e-mailové adresy, ne jen zobrazovaného jména. Shoda jednoho znaku nestačí, adresa musí sedět celá, včetně domény za zavináčem.

Na co nikdy neklikat a co nikdy nezadávat

Jednorázový kód z bankovní aplikace nepatří do žádného formuláře mimo přihlášení do vlastního bankovnictví. Banka o něj po e-mailu ani SMS nikdy nežádá.

Přihlašovací údaje do internetového bankovnictví se zadávají jen po ručně napsané adrese banky nebo přes její aplikaci, nikdy po prokliknutí odkazu ze zprávy.

Příloha v podobě faktury nebo dokumentu od neznámého odesílatele patří mezi rizikové soubory. Platí to hlavně pro přílohy typu .zip, .exe nebo dokument Word či Excel se zapnutými makry.

Bankovní zabezpečení a dvoufaktorové ověření

Banky se proti phishingu brání hlavně dvoufaktorovým ověřením. Platba se nepotvrzuje jen heslem, ale i druhým prvkem, například potvrzením přímo v mobilní aplikaci nebo biometrikou. Cílem je, aby útočníkovi bylo samotné heslo bez druhého kroku k ničemu.

Právě proto míří phishingové zprávy stále častěji na tento druhý krok. Podvodná stránka po zadání hesla rovnou vyzve k zadání kódu z aplikace nebo SMS a tím dvoufaktorové ověření obchází, protože kód přepošle na svůj vlastní přihlašovací pokus v reálném čase.

Bezpečnější než kód opsaný ze SMS bývá potvrzení platby přímo v bankovní aplikaci, kde se zobrazí konkrétní částka a příjemce. Kdo v aplikaci potvrzuje platbu, kterou sám nezadal, nebo částku, která neodpovídá tomu, co skutečně dělal, má poslední šanci podvod zastavit ještě před odesláním peněz.

Banky sledují i chování na účtu a neobvyklou platbu mohou samy dočasně pozastavit k ověření, i bez podnětu klienta. Tenhle mechanismus ale funguje jako doplněk, ne jako náhrada za opatrnost při čtení podezřelé zprávy.

Vishing útočí hlasem, princip zůstává stejný

Phishing a smishing spoléhají na psaný text a odkaz, na který oběť klikne sama. Vishing, tedy hlasová varianta útoku, jde jinou cestou. Podvodník volá přímo a spoléhá na to, že mluvené slovo a naléhavost v hlase přesvědčí rychleji než text na displeji.

Zatímco phishing a smishing čekají, až oběť sama klikne, vishing pracuje v reálném čase a dovoluje podvodníkovi reagovat na námitky okamžitě, přizpůsobit historku podle toho, co zrovna volaný řekne. Princip zůstává totožný, útočník chce získat přihlašovací údaje, kód nebo přímo platbu. Podrobný rozbor telefonních podvodů a dalších typů, které v Česku kolují, popisuje přehledový článek o finančních podvodech.

Co dělat, když je odkaz už prokliknutý

Když už formulář na podvodné stránce dostal heslo nebo kód, první krok patří bance. Nejlépe přes vlastní aplikaci nebo linku pro blokaci karet, ne přes kontakt uvedený v podezřelé zprávě. Banka umí zablokovat kartu, změnit přístupové údaje nebo prověřit, jestli se na účtu objevila neobvyklá aktivita.

Heslo do internetového bankovnictví a do e-mailu, se kterým se přihlašovací údaje často párují, se vyplatí změnit okamžitě, a to i tehdy, když se podezřelá transakce zatím neobjevila. Kdo použil stejné heslo i jinde, mění ho i tam.

Pokud phishingová zpráva vedla k instalaci aplikace nebo otevření přílohy, pomáhá i kontrola zařízení antivirovým programem. Zprávu, odkaz i případnou komunikaci s útočníkem je dobré uschovat jako podklad pro banku a policii.

Kontrola výpisu nekončí prvním dnem. Neobvyklá platba se někdy objeví až s odstupem týdnů, útočník počká, až pozornost opadne, a teprve pak účet využije.

Pokud útočník získal přístup i k e-mailu nebo k seznamu kontaktů, může stejnou phishingovou zprávu poslat dál jménem oběti jejím známým. Stojí za to dát rodině a kolegům vědět, že se něco stalo, aby na podobnou zprávu z důvěryhodně vypadající adresy sami nenaletěli.

Pokud šlo o firemní e-mail a přístupové údaje se týkaly firemního systému nebo účetnictví, patří k prvním krokům i informování IT oddělení nebo nadřízeného. Čím dřív firma o průniku ví, tím dřív dokáže omezit škodu i u dalších zaměstnanců, kterým mohla stejná zpráva přijít také.

Na co si dát pozor

Phishingové zprávy dnes míří i na firemní e-maily a tváří se jako faktura od dodavatele nebo zpráva od kolegy z účtárny, účetní a firemní administrátoři bývají terčem stejně často jako běžní klienti bank.

Zvýšenou pozornost si zaslouží platba přesměrovaná na jiný účet, než je obvyklé, i když zpráva vypadá, že přišla od skutečného obchodního partnera. Ověření telefonátem na známé číslo, ne na číslo uvedené v podezřelé zprávě, dokáže takový podvod odhalit včas.

Počet phishingových zpráv roste v obdobích, kdy lidé sami něco řeší, před Vánoci s nákupy a doručením dárků, na jaře s daňovým přiznáním, v létě s cestovním pojištěním. Zpráva, která přesně sedí na aktuální starost adresáta, není náhoda, je to vypočítaný odhad.

Shrnutí

Phishing a smishing spoléhají na jediný klik ve chvíli spěchu. Kdo si adresu odesílatele i odkazu ověří dřív, než cokoliv zadá, dokáže drtivou většinu útoků poznat ještě předtím, než způsobí škodu. Kdo omylem klikne, získává čas hlavně tím, že hned zavolá bance a změní hesla k účtu i k e-mailu.

Nejspolehlivější návyk zůstává jednoduchý: zprávu od banky nechat stranou a přihlásit se přímo, bez jediného kliknutí na cokoliv, co dorazilo e-mailem nebo SMS.