Pokročilý phishing nové generace

Proč „nové generace“ phishingu mění pravidla hry

Phishing už dávno není pouze nešikovný e-mail se špatnou gramatikou a podezřelým odkazem. Moderní útočníci kombinují generativní AI, automatizovanou zpravodajskou přípravu oběti (OSINT), hlasové a video deepfake technologie, postranní kanály (SMS, chat, sociální sítě, cloudové aplikace) a sofistikované obcházení vícefaktorového ověřování (MFA). Výsledkem jsou vysoce přesvědčivé kampaně s rychlou návratností investic a obtížnou detekcí. Tento článek mapuje klíčové trendy, techniky, detekční signály a doporučení pro reakci a prevenci v podnikové i individuální praxi.

Evoluce phishingu: od hromadných kampaní k přesnému zacílení

• Fáze 1 – Hromadný spam: generické zprávy, nízká úspěšnost, jednoduché filtry.
• Fáze 2 – Spear-phishing: cílení na vybrané osoby, lepší personalizace, vyšší riziko BEC (Business Email Compromise).
• Fáze 3 – Multikanál a automatizace: kombinace e-mailu, SMS (smishing), hlasu (vishing), sociálních sítí a firemních chatů.
• Fáze 4 – AI-podporované útoky: bezchybná lokalizace, imitace stylu komunikace, deepfake hlas/video, dynamické weby a adversary-in-the-middle (AiTM) proxy pro krádež relací.

Techniky nové generace: přehled a rizikový profil

• Generativní AI pro obsah: přirozený jazyk, interní žargon, „teplota“ komunikace napodobena podle interních e-mailů nebo LinkedIn profilů.
• Deepfake vishing a videofishing: syntetický hlas „CFO/CEO“ žádající urgentní převod; video deepfake při videohovorech.
• AiTM a krádež relací: proxy stránky zachytávají přihlašování i OTP; útočník získává session cookie a obchází MFA.
• Browser-in-the-Browser (BitB): falešné modální okno federovaného SSO (např. „Přihlásit přes Microsoft/Google“) v rámci legitimní stránky.
• OAuth consent phishing: namísto hesla žádost o udělení oprávnění aplikaci (offline_access, Mail.Read), která následně obchází změnu hesla i MFA.
• HTML smuggling: škodlivý obsah je složen až v prohlížeči (JS vytvoří Blob), obchází tradiční brány.
• QRishing: QR kódy v tištěných materiálech nebo e-mailech směřující na škodlivé URL, často s přemostěním na mobilní zařízení bez firemních kontrol.
• Push fatigue a „MFA bombing“: zahlcení uživatele výzvami; útočník získá náhodné potvrzení.
• Dodavatelský řetězec a SaaS: kompromitace partnera, následné legitimní e-maily s reálnými přílohami/odkazy; zneužití sdílení v cloudu.

Starý vs. nový phishing: porovnávací tabulka

Indikátory kompromitace a signály podezření

• Nekonzistentní cesta identity: přihlášení z nového zařízení/ASN krátce před požadavkem na urgentní úkon.
• Nestandardní požadavky: obcházení schvalovacích procesů („pošli teď, papírování doženeme“), změna bankovního účtu dodavatele.
• Neobvyklá doména: mezinárodní znaky (IDN homografy), extra subdomény (login.security.team.company.com.evil.tld).
• OAuth souhlas mimo očekávání: žádost o rozsáhlá oprávnění pro neznámou aplikaci.
• Změny v hlavičkách a trase mailu: chybějící nebo nekonzistentní DKIM/SPF/DMARC, nestandardní Reply-To.
• Push anomálie: výzvy k potvrzení mimo pracovní dobu; desítky výzev během minut.

Psychologické páky v moderních kampaních

• Urgence a strach: „končí licence“, „blokace účtu“, „auditoři čekají“.
• Autorita a důvěra: napodobení stylu vedení, použití interních zkratek a starších e-mailových řetězců.
• Reciprocita: malá prosba („potvrď kód“) před velkou žádostí (převod, změna platebních údajů).
• Normalizace: zarámování požadavku jako rutinního procesu („děláme to takto“).

Prevence: technická kontrolní opatření

• Phishing-odolné MFA: FIDO2/WebAuthn s vázáním na origin (origin binding), minimalizuje AiTM.
• Politiky e-mailu: SPF, DKIM, DMARC v režimu p=quarantine/reject, BIMI pro vizualizaci důvěry; monitorování rua/ruf reportů.
• Ochrana OAuth a SSO: omezit souhlas pro třetí strany, schvalovat pouze ověřené aplikace, minimalizovat rozsah (least privilege), revize tokenů.
• Detekce AiTM: kontrola nestandardních user-agentů, hlaviček a TLS fingerprintů; heuristiky na cookie theft, vázání relací na zařízení a síťový kontext.
• Sandboxing a CDR: izolace příloh, generování bezpečných verzí dokumentů (content disarm & reconstruction).
• Prohlížečová opatření: izolace stránek, blokace pop-up SSO mimo registrovaných domén, detekce BitB indikátorů.
• DNS a doménová hygiena: blokování nově registrovaných a look-alike domén; monitoring typosquat variant.
• DLP a CASB: kontrola odlivu dat po kompromitaci schránky; behaviorální modely v SaaS.

Prevence: procesy a lidé

• Dvoukanálové ověřování: finanční změny (IBAN, limity) potvrzovat mimo e-mail – telefonátem na známé číslo, nikoli na číslo z e-mailu.
• Školení s reálnými scénáři: simulace AiTM, OAuth consentů, QRishingu; posilování schopnosti odmítnout „urgentní“ žádosti.
• Politiky schvalování: povinné 4-eyes na platby a změny účtů, limity pro urgentní převody.
• Kultura bezpečného zpochybnění: ochrana zaměstnanců, kteří eskalují podezření, i když jde o „C-level“ žádost.

Reakce na podezřelou komunikaci: krok za krokem

1. Zastavit interakci: neklikat, nepotvrzovat, nevolat zpět na uvedená čísla. Udělat snímek obrazovky a uložit hlavičky/URL.
2. Nahlásit: použít firemní kanál (phish@firma nebo ticket). Označit jako „podezřelé“ v poštovním klientu.
3. Technická verifikace: zkontrolovat DKIM/SPF/DMARC, URL, certifikát a cílový formulář; u OAuth ověřit publisher a rozsahy.
4. Izolace incidentu: pokud došlo k interakci, okamžité odhlášení všech relací, rotace hesla, odvolání OAuth tokenů, nucené re-MFA.
5. Hunt a forenzika: vyhledat podobné e-maily, IP/ASN, artefakty v EDR/SIEM; zkontrolovat pravidla přesměrování pošty a inbox rules.
6. Oznámení dotčeným: pokud existuje riziko úniku dat, informovat interní i externí klienty dle regulací a interních směrnic.

Specifika vybraných kanálů

• Smishing (SMS): krátké URL, náhradní domény, nalákání na mobilní přihlašování mimo MDM; doporučení: otevírat pouze z kontrolovaného zařízení, používat prohlížeč s izolací.
• Vishing: zpětné volání iniciovat přes oficiální čísla; termín „callback control“ jako interní standard.
• Chat a kolaborační platformy: schvalovat externí tenants, URL-unfurling s kontrolou reputace, banner „externí kontakt“ viditelný u každé zprávy.

Architektura obrany: vrstvený model

• Prevence: DMARC, FIDO2, DNS filtrace, izolace prohlížeče, zásady least privilege, správně nastavená sdílení v SaaS.
• Detekce: korelace SIEM (přihlášení, e-mailové hlavičky, CASB), detekce AiTM vzorů, anomálie ve schránkách (nová pravidla, přeposílání).
• Reakce: playbooky v SOAR, rychlé zrušení tokenů, blokování domén/IP, informování uživatele řízenými notifikacemi.
• Obnova: audit přístupů, reset oprávnění sdílení, post-incidentní školení zaměřené na konkrétní vzor útoku.

Měření zralosti a KPI

• Mean Time to Detect (MTTD) a Mean Time to Respond (MTTR) u phishingových incidentů.
• Phish-prone rate: podíl kliknutí v simulacích, segmentovaný podle týmů a typů technik (AiTM vs. OAuth vs. QR).
• Pokrývání politikami: procento aktivních účtů s FIDO2, procento domén v DMARC p=reject.
• Úspěšnost blokování: míra zadržení HTML smuggling pokusů, blokovaných look-alike domén před doručením.

Speciální situace: když ani MFA nestačí

MFA není všelék. Při AiTM a krádeži relací je klíčové vázat relace na kontext (zařízení, síť, klientské certifikáty), využívat continuous access evaluation a důsledně omezit „dlouhé“ obnovovací tokeny. Pracovat s adaptivními politikami – např. vyžadovat opětovné MFA při změnách citlivých nastavení nebo anomálních požadavcích (změna bankovního účtu, export dat).

Checklist pro každodenní praxi

• Ověřuji identitu přes druhý kanál u jakýchkoli finančních nebo právně závazných požadavků.
• Povinně používám FIDO2/WebAuthn pro kritické přístupy; žádné SMS-OTP pro administrátory.
• Mám nastavené DMARC na p=reject a monitoruji reporty.
• OAuth consent povoluji pouze ověřeným aplikacím; pravidelně reviduji udělená oprávnění.
• Při podezření okamžitě odhlašuji všechny relace a ruším tokeny.
• QR kódy skenuji pouze přes důvěryhodnou čtečku s náhledem URL; nikdy ne pro přihlašování bez kontroly originu.

Model reakčního playbooku (zkrácený)

1. Detekce: hlášení uživatele, alert brány, korelace SIEM.
2. Klasifikace: kanál (e-mail/SMS/chat), technika (AiTM/OAuth/BitB), rozsah (jedinec vs. kampaň).
3. Kontrola: blokace domén/IP, deaktivace účtu nebo nucené odhlášení, odvolání tokenů, dočasné zpřísnění politik.
4. Eradikace: odstranění přepisovacích pravidel, revize sdílení, reset hesel, rotace klíčů.
5. Obnova: obnovení bezpečného stavu, potvrzení integrity dat, informování dotčených stran.
6. Lessons learned: aktualizace školení a detekčních pravidel na základě reálného útoku.

Od odolnosti jedince k odolnosti organizace

Phishing nové generace se opírá o realistickou komunikaci, vícekanálovost a inteligentní obcházení kontroly identity. Klíčem je vrstvená obrana: kombinace technických opatření (FIDO2, DMARC, sandboxing, kontextové hodnocení přístupu), disciplinovaných procesů (dvojkanálové ověření, 4-eyes, jasné playbooky) a neustálého učení se ze simulací i incidentů. Úspěch spočívá v tom, že organizace udělá správné chování nejsnadnější volbou – a to ještě dříve, než útočník stačí využ