Phishing je podvodná technika, při které se útočník vydává za důvěryhodnou osobu nebo organizaci a snaží se z vás získat citlivé údaje, peníze nebo vás přimět k určité akci. Nejčastěji jde o přihlašovací hesla, údaje k platební kartě, přístup k internetovému bankovnictví nebo potvrzení podvodné platby.
Podvod může přijít e-mailem, SMS zprávou, přes Messenger, sociální síť nebo například QR kód. Zpráva často vypadá, jako by ji poslala banka, dopravce, Česká pošta, Facebook, Microsoft nebo jiná služba, kterou běžně používáte.
Jak phishing funguje
Útočník se obvykle snaží vyvolat důvěru a současně vytvořit časový tlak. Zpráva může tvrdit, že vám bude zablokován účet, čeká na vás zásilka, musíte doplatit malou částku nebo je nutné okamžitě potvrdit neobvyklé přihlášení.
Součástí zprávy bývá odkaz vedoucí na falešnou stránku, která napodobuje skutečný web. Pokud na ní zadáte uživatelské jméno, heslo nebo platební údaje, informace neputují skutečné službě, ale podvodníkovi.
Jak poznat phishingový e-mail
Podezřelý je především požadavek na rychlou akci, přihlášení přes vložený odkaz nebo zaplacení částky, kterou neočekáváte. Dávejte pozor také na adresu odesílatele, protože zobrazované jméno může vypadat důvěryhodně, ale skutečná e-mailová adresa patří úplně jiné doméně.
Samotná špatná čeština už dnes není spolehlivým poznávacím znamením. Podvodné zprávy mohou být napsané velmi dobře a díky automatizovaným nástrojům mohou působit mnohem důvěryhodněji než dříve.
Kontrolujte adresu odkazu
Nejdůležitější je zjistit, na jakou internetovou adresu odkaz skutečně vede. Podvodná doména může napodobovat známou službu pomocí překlepu, přidaného slova nebo neobvyklé koncovky.
Například stránka vydávající se za banku nemusí být vůbec na oficiální doméně banky. Pokud máte pochybnosti, neklikejte na odkaz ve zprávě a otevřete službu ručně přes známou adresu nebo oficiální aplikaci.
HTTPS neznamená, že je stránka důvěryhodná
Podvodná stránka může používat platný HTTPS certifikát stejně jako legitimní web. Zabezpečené spojení pouze chrání přenos dat mezi prohlížečem a konkrétní doménou, ale nepotvrzuje poctivost jejího provozovatele.
Proto nestačí hledat symbol zabezpečeného spojení v prohlížeči. Vždy kontrolujte hlavně přesný název domény a přemýšlejte, zda je požadavek, který stránka nebo zpráva předkládá, vůbec logický.
Co je smishing
Smishing je varianta phishingu šířená pomocí SMS nebo jiných textových zpráv. Může například tvrdit, že máte nedoručenou zásilku, nezaplacený poplatek nebo problém s bankovním účtem.
Zpráva zpravidla obsahuje odkaz na falešný web nebo vás vyzývá k jiné rychlé akci. V telefonu je navíc celá adresa odkazu hůře viditelná, takže může být rozpoznání podvodu obtížnější než na počítači.
Co je vishing
Vishing je podvod uskutečněný telefonním hovorem. Volající se může vydávat například za pracovníka banky, policistu nebo technickou podporu a snaží se vás přesvědčit k předání údajů nebo převodu peněz.
Podvodníci dokážou podvrhnout zobrazené telefonní číslo, takže hovor může na displeji vypadat jako skutečné číslo banky nebo jiné instituce. Pokud máte pochybnosti, hovor ukončete a zavolejte sami na oficiální číslo uvedené na webu nebo platební kartě.
Co je QR phishing neboli quishing
Podvodný odkaz nemusí být pouze v textu. Útočník může použít QR kód v e-mailu, na letáku, parkovacím automatu nebo například na falešné výzvě k platbě.
Po naskenování se otevře internetová stránka a uživatel často vůbec nezkontroluje její adresu. Před zadáním hesla nebo platebních údajů proto vždy ověřte, na jaké doméně jste skutečně skončili.
Co je spear phishing
Běžná podvodná kampaň může být rozeslána tisícům lidí najednou, zatímco spear phishing je cílený na konkrétní osobu nebo firmu. Útočník si může předem zjistit jméno zaměstnance, jeho pozici, kolegy nebo obchodní partnery.
Zpráva díky tomu působí mnohem věrohodněji a může například napodobovat pokyn nadřízeného nebo požadavek známého dodavatele. Ve firemním prostředí je proto důležité ověřovat neobvyklé požadavky také jiným komunikačním kanálem.
Podvodné přihlášení k Facebooku a dalším službám
Častým cílem jsou účty na sociálních sítích. Může vám například přijít zpráva, že Facebook stránku zablokuje kvůli porušení pravidel a pro odvolání se musíte přihlásit přes přiložený odkaz.
Takový příklad jsem rozebral také v článku Vaše stránka bude trvale pozastavena – pozor na tuto zprávu na Facebooku. Podvodník se v tomto případě snaží získat přihlašovací údaje a následně převzít účet nebo spravovanou stránku.
Podvodné zprávy od banky nebo dopravce
Velmi časté jsou také falešné zprávy vydávající se za banku, Českou poštu nebo zásilkovou společnost. Podvod může požadovat malý doplatek za balík, aktualizaci údajů nebo okamžité ověření bankovního účtu.
Ukázku podobné zprávy najdete v článku Pozor na podvodný e-mail od České pošty. Právě neočekávaný požadavek na platbu nebo zadání údajů by měl být důvodem ke zvýšené opatrnosti.
Co dělat, když přijde podezřelý odkaz
Pokud zprávě nedůvěřujete, na odkaz vůbec neklikejte. Otevřete si skutečnou službu ručně přes uloženou záložku, oficiální aplikaci nebo adresu, kterou sami znáte.
Podezřelou internetovou adresu lze orientačně prověřit také pomocí služby VirusTotal. Výsledek ale nepovažujte za stoprocentní záruku bezpečnosti, protože úplně nový podvodný web ještě nemusí být v bezpečnostních databázích známý.
Co dělat, když jsem na phishing klikl
Samotné otevření odkazu ještě automaticky neznamená, že útočník získal vaše heslo. Nic na stránce nevyplňujte, nestahujte neznámé soubory a stránku zavřete.
Pokud se automaticky stáhl soubor, nespouštějte jej a nejprve jej prověřte bezpečnostním programem. U podezřelého souboru můžete použít také VirusTotal, ale neposílejte do veřejné služby dokumenty obsahující soukromá nebo firemní data.
Co dělat, když jsem zadal heslo
Pokud jste heslo zadali na falešné stránce, změňte jej co nejrychleji přímo přes oficiální službu. Jestliže stejné heslo používáte také na jiných webech, změňte ho i tam a každému účtu nastavte jiné unikátní heslo.
Zkontrolujte také historii přihlášení a odhlaste neznámá zařízení nebo aktivní relace, pokud služba tuto možnost nabízí. Pokud chcete ověřit, zda se vaše údaje neobjevily také v některém známém úniku, můžete použít postup z článku jak zjistit uniklé heslo.
Zapněte dvoufázové ověření
Dvoufázové nebo vícefaktorové ověření výrazně zvyšuje ochranu účtu, protože kromě hesla vyžaduje ještě druhý způsob potvrzení. Samotné odcizené heslo potom nemusí útočníkovi stačit.
Je ale důležité potvrzovat pouze přihlášení, která jste sami zahájili. Pokud vám nečekaně přijde žádost o potvrzení přístupu nebo jednorázový kód, nikomu jej neposílejte a cizí požadavek nepotvrzujte.
Silné heslo phishing samo nevyřeší
Dlouhé a unikátní heslo vás dobře chrání proti hádání a proti zneužití hesla uniklého z jiné služby. Pokud jej ale sami zadáte přímo podvodníkovi, jeho délka útoku nezabrání.
Proto je důležité kombinovat bezpečné heslo s kontrolou adresy stránky a dvoufázovým ověřením. Více o tvorbě kvalitních hesel najdete v článku Jak bezpečné je moje heslo.
Co dělat po zadání platebních údajů
Pokud jste na podvodné stránce zadali číslo platební karty, její platnost nebo bezpečnostní kód, kontaktujte co nejrychleji svou banku. Banka vám poradí, zda kartu zablokovat, omezit její použití nebo provést další bezpečnostní kroky.
Jestliže jste zároveň potvrdili převod nebo jinou transakci, řešte situaci s bankou okamžitě. Čím dříve podvod nahlásíte, tím větší je šance, že ještě bude možné některé kroky zastavit nebo alespoň omezit další škody.
Jak se proti phishingu chránit
Nejdůležitější ochranou je nevěřit automaticky každé zprávě jen proto, že používá známé logo nebo jméno společnosti. Kontrolujte adresu odesílatele a cílovou doménu, nenechte se tlačit k rychlému rozhodnutí a důležité požadavky si ověřujte přímo u dané instituce.
Používejte unikátní hesla, zapněte dvoufázové ověření a pravidelně aktualizujte počítač i telefon. Bezpečnostní software může část škodlivých stránek zachytit, ale nenahradí opatrnost uživatele při zadávání přihlašovacích nebo platebních údajů.