Technologie

Phishing: Nejčastější techniky kybernetických útoků na soukromí a jejich rozpoznání

Petra 0

Proč jsou phishing, smishing a vishing nejčastější útoky na soukromí

Phishing (podvodné e-maily), smishing (podvodné SMS a chatové zprávy) a vishing (podvodné telefonáty) patří k nejrozšířenějším technikám sociálního inženýrství. Útočníci neútočí na technologii, ale na člověka – spíše než hesla a kryptografii kompromitují rozhodování, emoce a návyky. Cílem je vylákat citlivé údaje, zneužít platby nebo nainstalovat škodlivý software. Tento článek vysvětluje, jak tyto útoky rozpoznat a jak na ně správně reagovat jako jednotlivec i organizace.

Základní pojmy a rozdíly

  • Phishing: podvodné e-maily, které napodobují známé značky (banky, kurýři, úřady) a vedou na falešné formuláře nebo obsahují škodlivé přílohy.
  • Smishing: totéž v SMS, RCS nebo přes chatové platformy (WhatsApp, Messenger, Telegram, Viber). Často jde o „balík na cestě“, „blokovaný účet“ či „nezaplacenou fakturu“.
  • Vishing: telefonát imitující autoritu (banka, policie, technická podpora). Cílem je získat kódy, přístup do internetového bankovnictví nebo přesvědčit k okamžitému převodu.

Podtypy: spear phishing (cílený na konkrétní osobu), whaling (na vedení firmy), BEC – Business Email Compromise (změna platebních údajů dodavatele), QRishing (QR kódy v letácích/e-mailech), consent phishing (žádost o souhlas aplikace k vašemu účtu), či MFA fatigue (zahlcování výzvami 2FA).

Psychologie útoku: na jaké spouštěče hrají

  • Urgence („okamžitě jednejte, jinak přijdete o účet“).
  • Autorita (podpis „banka/policajt/IT oddělení“).
  • Nedostatek („poslední šance“, „jen dnes“).
  • Strach a hanba (údajné porušení pravidel, dluh).
  • Odměna (přeplatek, výhra, refundace).

Typické znaky a červené vlajky

  • Doména/odkaz: vizuálně podobná originálu (m0jabanka.sk, moja-banka.support). Na mobilu se URL často skrývá za zkrácením.
  • Nečekaná žádost: zadání přihlašovacích údajů, kódů z SMS, instalace „bezpečnostní“ aplikace.
  • Jazyk a styl: neobvyklá slovenština/čeština, tykání/vykání bez kontextu, gramatické chyby.
  • Přílohy: soubory .html, .htm, .exe, makra v .docm/.xlsm.
  • Nestandardní odesílatel: osobní adresa místo firemní, nebo „display name“ maskující skutečný e-mail.
  • Platby a IBAN: náhlá změna účtu dodavatele bez řádné autorizace (BEC).

Anatomie phishingového e-mailu: rychlá kontrola krok za krokem

  1. Zkontrolujte adresu odesílatele (po kliknutí zobrazte celý e-mail, nejen jméno).
  2. Přeletětím předmětu a prvních vět hledejte urgenci a emoce.
  3. Najeďte myší na odkazy (na mobilu podržte déle): porovnejte doménu s oficiální.
  4. Nestahujte přílohy, pokud jsou neočekávané nebo vyžadují makra.
  5. Ověřte jiným kanálem: zavolejte na číslo z webu firmy, nikoli z e-mailu.

Smishing: specifika mobilních podvodů

  • Kurýrní zprávy: odkaz na „doplatek cla“ – vede na falešnou platební bránu.
  • Blokování bankovního účtu: žádost o přihlášení přes odkaz, následně volá „operátor“.
  • Falešná podpora: přesvědčuje k instalaci „bezpečnostní“ aplikace (ve skutečnosti vzdálená správa zařízení).
  • Chatové platformy: zprávy z „neznámého čísla kolegy/šéfa“ s žádostí o okamžitou platbu dárkových karet nebo kryptoměny.

Vishing: jak probíhá podvodný telefonát

  1. Scare-call: „na vašem účtu probíhá podvodná platba“.
  2. Přepojení na ‚odborníka‘: druhý hlas potvrdí příběh, někdy s robotickým IVR.
  3. Žádost o kódy: SMS/autorizace kódů, nebo přístup přes vzdálený přístup.
  4. Izolace oběti: „nezavěšujte, je to časově kritické“, „nezavolejte nikomu jinému“.

Pozor na spoofing čísla: útočník může zobrazit legitimní číslo banky. Nikdy nesdělujte kódy po telefonu.

Technické a organizační obranné vrstvy

  • Silná identita: unikátní hesla a opravdové 2FA (aplikace/hardwarový klíč, nikoliv SMS, kde to jde).
  • Aktualizace OS a aplikací, vypnutá makra, antivirový software/EDR.
  • Filtry pošty a odkazů: antispam, blokování zkracovačů a známých škodlivých domén.
  • Politiky v organizaci: zásada „nikdy nevyžadovat kódy a hesla“, dvoukanálové schvalování plateb, změna IBAN jen po přepojení na známé číslo.
  • Školení a simulace: pravidelné cvičení phishingu, měření a trénink.
  • Správa práv: princip nejnižších oprávnění, rychlá revokace přístupů.
  • Ochrana domén: pro firmy DMARC, SPF, DKIM; pro veřejnost alespoň pozornost k doménám a certifikátu (zámek ≠ důvěra, pouze šifrování).

Rozpoznání: praktický 10bodový checklist

  1. Je požadavek nečekaný nebo mimo kontext?
  2. Vytváří zpráva tlak na okamžité jednání?
  3. Žádá o kódy, heslo, čísla karet, export seed fráze?
  4. Je odkaz/doména odlišná od oficiální, byť podobná?
  5. Je jazyk neobvyklý nebo přehnaně formální/neformální?
  6. Přichází žádost o platbu/IBAN z „nového“ e-mailu?
  7. Obsahuje přílohu vyžadující makra nebo neznámý formát?
  8. Žádá instalaci „bezpečnostní“ aplikace?
  9. Nelze odesílatele nezávisle ověřit jiným kanálem?
  10. Působí komunikace tajnůstkářsky („nikomu neříkejte“)?

Reakce: co dělat při podezření (jednotlivec)

  1. Neklikejte ani neodpovídejte. Zprávu označte jako spam/phishing, číslo zablokujte.
  2. Ověřte si informaci přes oficiální kanál: číslo z webu, aplikaci banky nebo vlastní uložený kontaktní údaj.
  3. Pokud jste klikli a zadali údaje: okamžitě změňte heslo, odhlaste aktivní relace, zapněte/posilte 2FA.
  4. Pokud jste zadali údaje karty: kontaktujte banku, kartu dočasně zablokujte a sledujte transakce.
  5. Pokud jste nainstalovali aplikaci: odpojte zařízení od sítě, odinstalujte ji, spusťte bezpečnostní kontrolu; v kritických případech proveďte obnovení do továrního nastavení a obnovu ze zálohy.
  6. Nahlaste podvod poskytovateli (e-mail, operátor), bance a uchovejte důkazy (snímky obrazovky, čísla, URL).

Reakce: co dělat při podezření (organizace)

  1. Izolace: odpojte infikované stanice, zablokujte URL/domény na firewallu/proxy.
  2. Reset přístupů: okamžitá změna hesel, odvolání tokenů a relací, zejména pro cloud (O365/Google Workspace) a VPN.
  3. Forenzní stopa: sesbírejte hlavičky e-mailů, logy z gateway, EDR artefakty, časovou osu.
  4. Komunikace: interní alert bez výčitek/vin, jasné instrukce; externí oznámení dle potřeby.
  5. Finanční opatření: při BEC okamžitý kontakt banky a dodavatele, žádost o revokaci platby.
  6. Právní povinnosti: při úniku osobních údajů posuďte oznamovací povinnost dle GDPR (obvykle do 72 hodin).
  7. Poučení: zpětná analýza, aktualizace playbooku, doplnění tréninku a pravidel schvalování plateb.

Bezpečné ověřování a alternativy k rizikovým postupům

  • Ověření mimo kanál: pokud přišel e-mail, ověřte telefonicky na známé číslo; pokud přišel telefonát, zavolejte zpět na oficiální linku.
  • Ověřené aplikace: používejte oficiální mobilní aplikace bank a portálů, nikoli odkazy ve zprávách.
  • Platební změny: při změně IBAN vždy dvojí schválení a zpětné zavolání na uložený kontakt.
  • Správa hesel: správce hesel automaticky odhalí falešné domény, protože nevyplní údaje na neznámé stránce.
  • Silnější 2FA: upřednostněte autentifikátor nebo hardwarový klíč před SMS, kde je to možné.

Příklady běžných scénářů a správných reakcí

  • „Balík zadržuje celnice“ (SMS): neklikuji; otevřu oficiální aplikaci kurýra nebo zadám adresu ručně do prohlížeče.
  • „Neobvyklá aktivita v účtu“ (e-mail): nepřihlašuji se přes odkaz; otevřu si účet přes záložku/klávesovou zkratku a zkontroluji notifikace.
  • „Jsem tvůj šéf, kup dárkové karty“ (chat): ověřím hlasovým hovorem na uložené číslo; bez potvrzení nic nekupuji.
  • Telefonát z „banky“ žádá kód: ukončím hovor; zavolám na číslo z webu banky; banky kódy nevyžadují.

Speciální rizika roku 2025: AI a deepfake

  • Deepfake hlas: vishing může znít jako známý člověk; držte se pravidla dvou kanálů.
  • Personalizace ve velkém: útočníci generují věrné texty ve vašem jazyce; spoléhejte se na procesy, ne na „pocit“.
  • Falešná přihlášení přes OAuth: dialog žádá oprávnění k celému poštovnímu účtu; zkontrolujte doménu poskytovatele a rozsah oprávnění.

Implementační mini-playbook pro malé firmy

  1. Politika plateb: bez call-backu žádná změna IBAN; dvojité schvalování nad limit.
  2. Reportovací kanál: tlačítko „Report phishing“ v poště, alias security@firma.sk, reakční doba do 1 hodiny.
  3. Trénink: 4× ročně krátké mikrokurzy a simulace, zvlášť pro účetní/finanční oddělení.
  4. Technika: centrální blokace domén/URL, EDR, cloudové DLP, pravidelné zálohy a test obnovy.
  5. Incidenty: připravené šablony e-mailů, checklisty a kontakty (banka, poskytovatel, CSIRT).

Jak a kde hlásit podvody

  • Bance nebo poskytovateli platby: okamžité zablokování a pokus o reverzi transakce.
  • Operátorovi/e-mailovému poskytovateli: blokace čísla/domény, zaslání vzorků.
  • Příslušným kybernetickým týmům a policii: podle jurisdikce (např. národní CSIRT týmy, linky důvěry). Uložte si snímky obrazovky, hlavičky e-mailů, čísla účtů a časové značky.

Nejčastější mýty

  • „Zámek v prohlížeči znamená, že stránka je důvěryhodná.“ Ne – znamená jen šifrované spojení.
  • „Banka mě nikdy nebude kontaktovat.“ Banky kontaktují, ale nikdy nevyžadují hesla ani kódy přes e-mail/telefonát/SMS.
  • „Znám adresu odesílatele, je to v pořádku.“ Adresu i číslo lze sfalšovat (spoofing).

Rychlá karta první pomoci (TL;DR)

Petra

Website:

Related Story