Článek
Nejde o prolomení, ale o dobře zahraný podvod
Mnoho lidí si představuje napadení Gmailu jako technický útok, při kterém někdo dlouho zkouší hesla. Ve skutečnosti často stačí mnohem méně. Přijde e-mail, který vypadá jako upozornění od Googlu, banky, kurýrní služby nebo kolegy. Tvrdí, že účet byl napaden, dochází místo na disku nebo je nutné rychle potvrdit přihlášení.
Cíl je jednoduchý: dostat člověka na podvrženou stránku a nechat ho heslo zadat dobrovolně. Státní portál Architektura eGovernmentu připomíná, že právě na tom stojí phishing. Uživatel údaje útočníkovi nepředá proto, že by je nezvládl ochránit, ale proto, že uvěří důvěryhodně vypadající výzvě.
Takže: Podvod nemusí být plný pravopisných chyb a křiklavých barev. Dnešní zprávy často používají správné logo, běžný tón i skutečný důvod, proč by člověk měl zpozornět. Třeba upozornění na nové zařízení, změnu hesla nebo nevyřízený bezpečnostní problém.
Google proto uvádí jasné pravidlo: e-mail vás nemá nutit zadávat heslo přes odkaz ve zprávě. Pokud po kliknutí přijde přihlašovací formulář, bezpečnější je okno zavřít a účet otevřít ručně přes adresu Google. Podezřelé bezpečnostní upozornění lze zkontrolovat přímo v přehledu oznámení účtu, ne přes tlačítko v e-mailu.
Nebezpečné může být i pouhé schválení aplikace
Heslo není jediná cesta dovnitř. Podvodníci někdy pošlou pozvánku k dokumentu, soutěži, sdílené fotce nebo „ověření účtu“. Po kliknutí se objeví známé přihlašovací okno Googlu, a člověk má pocit, že je všechno v pořádku.
Jenže vedle přihlášení může schválit také přístup cizí aplikaci. Ta pak podle udělených oprávnění získá možnost číst poštu, pracovat s Diskem, nahlížet do kontaktů nebo měnit data. Google v návodu k propojeným aplikacím upozorňuje, že externí služba může žádat přístup k Gmailu, Disku, Fotkám, Kalendáři i kontaktům. Přístup lze kdykoliv odebrat, ale lepší je nepovolit ho naslepo.
Tohle si lidé často pletou. Tlačítko „Pokračovat přes Google“ není samo o sobě problém. Rizikem je aplikace, kterou neznáte, nečekali jste ji a žádá víc oprávnění, než pro svou funkci potřebuje. Program na úpravu fotek nepotřebuje číst e-maily. Služba pro jednoduchou soutěž nemusí spravovat Disk. Když žádost nedává smysl, je lepší ji odmítnout.
Dvoufázové ověření pomůže, ale není omluvenka pro klikání
Dvoufázové ověření zůstává jednou z nejlepších ochran. Kdo útočníkovi vyzradí heslo, mu bez dalšího potvrzení často stále nedá volnou cestu do účtu. Google doporučuje vedle hesla použít druhý krok a jako silnější variantu uvádí bezpečnostní klíč nebo potvrzení v telefonu místo obyčejné SMS.
Ani to ale neznamená, že lze bez rozmyslu odklepnout každé oznámení v mobilu. Podvodníci spoléhají na únavu a opakované výzvy. Člověk vidí páté potvrzení během večera, chce mít klid a klikne na „Ano“. Přitom právě tím může cizí přihlášení potvrdit.
Základ je prozaický: každé přihlášení, změnu a potvrzovací výzvu porovnat s tím, co právě děláte. Když jste se nikde nepřihlašovali, nic neschvalujte. Když zpráva vyvolává paniku, nespěchejte. Na důležitém účtu je lepší ztratit minutu kontrolou než týdny řešit návrat k e-mailu, fotkám, dokumentům a dalším službám navázaným na jednu adresu.
Když máte podezření, jednejte hned
První krok není odpovídat na podezřelý e-mail. Otevřete si účet ručně a projděte poslední bezpečnostní události, přihlášená zařízení, telefon pro obnovu účtu a záložní e-mail. Google při podezření na napadení doporučuje neznámá zařízení odhlásit, zkontrolovat změny zabezpečení a bez odkladu změnit heslo.
Pak se podívejte také na připojené aplikace. Neznámou službu odeberte. U Gmailu je rozumné projít filtry a automatické přeposílání pošty, protože útočník může nechat zprávy potichu odcházet jinam i poté, co si účet vezmete zpět.
Gmail není jen poštovní schránka. Často přes něj obnovujete hesla k bance, e-shopům, sociálním sítím i úřadům. Právě proto je nejlepší obrana pořád stejná: neklikat pod tlakem, přihlašovat se jen přes známou adresu a nepouštět do účtu aplikace, které neumíte rozumně vysvětlit.
