Článek
Žijeme v době, kdy nás banky neustále upozorňují na nejrůznější podvody. Neklikejte na podezřelé odkazy, kontrolujte odesílatele, nikomu nesdělujte hesla. Všechno to známe, mnozí bychom o tom dokázali i přednášet. Já ostatně pracuji ve financích, takže bych měl mít k podobným věcem přece jen trochu blíž než člověk, kterého bankovní záležitosti zajímají jen ve chvíli, kdy mu přijde výplata.
A přesto jsem se nedávno nechal nachytat. Ne úplně, ale dost na to, abych si uvědomil, jak málo někdy stačí.
Přišla mi SMS od banky. Alespoň to tvrdil můj telefon. Zpráva oznamovala, že se k mému internetovému bankovnictví připojilo nové zařízení.
Zkuste si na chvíli představit, že něco takového přijde vám.
Někdo cizí se možná dostal k vašim penězům. Nevíte kdo, nevíte jak a především nevíte, co právě dělá. V hlavě se okamžitě rozsvítí červená kontrolka a všechno ostatní jde na chvíli stranou.
A přesně o to podvodníkovi jde.
Taková zpráva není napsaná náhodou. Nemá vás informovat. Má vás vyvést z rovnováhy. Vyvolat pocit ohrožení, přimět vás reagovat a hlavně nedat příliš prostoru klidnému přemýšlení.
Člověk v tu chvíli nepřestane být inteligentní. Jen začne uvažovat jinak. Místo otázky „Je tahle zpráva skutečně od banky?“ řeší především „Jak rychle zabráním tomu, aby mi někdo vybral účet?“
A některé varovné signály, které by za normálních okolností nepřehlédl, najednou vypadají méně důležitě.
Přesně to se stalo mně.
Podíval jsem se na odesílatele. Zpráva nebyla od neznámého čísla ani v nové konverzaci. Objevila se přímo mezi předchozími zprávami banky. Tam, kde jsem měl skutečné autorizační kódy a další oznámení.
Takže dobrý. Píše banka.
Ve zprávě byl odkaz. Po jeho otevření se zobrazila stránka připomínající prostředí banky. Samotný vzhled mě nijak zvlášť nepřesvědčoval. Udělat kopii internetových stránek dnes není žádné velké umění.
Proto jsem se podíval i na adresu.
Něco mi na ní nesedělo. Na druhou stranu nepůsobila ani jako naprostý nesmysl. Obsahovala výrazy, které do prostředí internetového bankovnictví zdánlivě patřily.
Za normálních okolností bych možná stránku okamžitě zavřel. Jenže já právě řešil možné ohrožení svého účtu. A navíc jsem měl v ruce něco, co mi připadalo mnohem přesvědčivější než pochybnosti o internetové adrese.
Zpráva přece přišla tam, kam mi banka běžně píše.
Dnes už vím, že právě tomu jsem neměl přikládat takovou váhu.
Stránka po mně chtěla pouze jméno a telefonní číslo. Nic víc. Žádné heslo, číslo platební karty ani autorizační kód. Kdyby něco takového chtěla, dál bych nepokračoval. Ale jméno a telefon? Ty člověk poskytuje pomalu při každém druhém nákupu na internetu.
Tak jsem je vyplnil.
Další ověřování jsem už prováděl prostřednictvím skutečné bankovní aplikace. A právě při něm mi došla jedna zásadní věc.
Ta zpráva totiž přišla na moji druhou SIM kartu. Na číslo, které moje banka vůbec nezná.
V tu chvíli už nebylo moc o čem přemýšlet.
Začal jsem zjišťovat, jak je vůbec něco takového možné. Zavolal jsem dokonce mobilnímu operátorovi. Jeho odpověď mě překvapila víc než samotný pokus o podvod.
Ano, odesílatele SMS lze podvrhnout. A stoprocentní ochrana proti tomu neexistuje.
Představte si, že vám několik let chodí od banky autorizační kódy, informace o platbách nebo jiná oznámení. A jednoho dne mezi nimi přistane zpráva od podvodníka. Váš telefon ji zařadí podle označení odesílatele. Vy přitom nemáte na první pohled důvod považovat ji za něco jiného než další zprávu banky.
Odborně se tomu říká SMS spoofing. Podvodník za určitých okolností dokáže odeslat zprávu s falešnou identifikací odesílatele. Nepotřebuje se kvůli tomu nabourat do banky ani do vašeho telefonu. Pokud taková zpráva projde kontrolami mobilních operátorů, může se zobrazit pod stejným názvem jako skutečná bankovní komunikace.
Operátoři se podobným praktikám brání a řadu podvodných zpráv zachytí. Jenže ne všechny.
A teď mi řekněte, kolik lidí tohle ví.
Mě to překvapilo natolik, že jsem začal obvolávat své známé. Nejdřív pár lidí, potom další. Nakonec jsem jich obvolal několik desítek. Chtěl jsem je varovat, aby se nenechali nachytat stejně jako já.
Každému jsem položil v podstatě stejnou otázku: „Víš, že ti podvodník může poslat SMS tak, že se objeví přímo mezi skutečnými zprávami tvojí banky?“
Nevěděl to nikdo. Ani jeden člověk z těch, kterým jsem volal.
Samozřejmě, několik desítek mých známých není reprezentativní průzkum. Ale pokud o takové možnosti nevěděl nikdo z nich, docela by mě zajímalo, kolik lidí o ní skutečně ví.
Přitom právě tahle informace může rozhodnout, zda člověk podvod rozpozná.
Já ji neměl. A právě proto jsem nakonec upozadil vlastní pochybnosti.
Když už jsem měl jasno, že jde o podvod, začal jsem řešit, co dál.
Riziko jsem považoval za relativně malé. Podvodníkům jsem neposkytl nic, s čím by se mohli jednoduše přihlásit k mému bankovnímu účtu. Antivir v telefonu nic nenašel a v oficiální bankovní aplikaci jsem kontroloval, zda se neděje něco neobvyklého.
Jenže nejsem specialista na kybernetickou bezpečnost. A tak jsem chtěl vědět, jestli mám všechno preventivně zablokovat, nebo je to zbytečné.
Právě proto jsem chtěl od začátku mluvit s člověkem.
Jsou situace, kdy vám automat naprosto stačí. Zjistit zůstatek, nastavit limit nebo provést jednoduchý úkon. Jenže když máte podezření, že někdo mohl ohrozit vaše bankovnictví, nepotřebujete jen seznam možností. Potřebujete vysvětlit, co se stalo, a získat kvalifikovanou radu.
Nejprve jsem našel telefonní číslo banky určené pro řešení podvodů. Výborně, přesně to potřebuji.
Po zavolání mě však automat informoval, že linka je určena pro případy zneužití platební karty nebo internetového bankovnictví.
Jenže k žádnému zneužití podle mých informací nedošlo. Já se právě potřeboval poradit, jestli něco takového hrozí. Proto jsem zavěsil a zavolal na jinou linku.
Tam mě přivítal automatický asistent, který mi nabídl možnost zablokovat internetové bankovnictví.
A pak přišel rozhovor, který bych si snad ani nedokázal vymyslet.
„Jste si jistý, že chcete provést blokaci?“
„Nevím.“
„Nerozumím vám.“
A znovu stejná otázka.
Samozřejmě že nevím. Kdybych to věděl, nepotřebuji s nikým mluvit a prostě to zablokuji.
Automat mi nabízel úkon, o jehož smyslu jsem si potřeboval nejprve s někým promluvit. A právě v tom byl problém. Uměl mi nabídnout rozhodnutí, ale neuměl mi pomoci se rozhodnout.
Na spojení s pracovníkem banky jsem nakonec čekal přibližně třicet minut.
Třicet minut v situaci, kdy jsem nevěděl, jestli se někdo nepokouší zneužít mé bankovní údaje. A kdy telefonní systém věděl, že volám kvůli podezření na podvod.
Když jsem se konečně spojil s člověkem, samotné vyřešení celé záležitosti trvalo asi dvě nebo tři minuty. Pro jistotu jsem nechal přístupy zablokovat a pořídil si nové přihlašovací údaje.
Abych byl spravedlivý, možnost rychlé blokace jsem měl i bez operátora. Stejně tak nevím, jestli bych se na původní specializované lince nedostal k pomoci rychleji.
Ale já nepotřeboval vědět, jak se něco blokuje. Potřeboval jsem vědět, jestli je to nutné.
Nechci z toho dělat útok na banku. Je docela možné, že její bezpečnostní systémy fungovaly přesně tak, jak měly. Přesto mi na celé situaci připadá něco zvláštního.
Podvodník dokázal během okamžiku vytvořit poměrně přesvědčivý dojem, že komunikuji se svou bankou. Když jsem se naopak potřeboval skutečně poradit se svou bankou, čekal jsem půl hodiny.
A není to trochu absurdní?
Na jedné straně máme stále dokonalejší technologie, umělou inteligenci, automatizaci a systémy, které za nás dokážou vyřídit čím dál více věcí. Na druhé straně člověk někdy potřebuje úplně obyčejnou radu. A právě k té se dostává nejhůř.
Nejde přitom o to, že by banky nebo mobilní operátoři měli nést odpovědnost za každého, kdo naletí podvodníkům. Tak jednoduché to není. I já jsem udělal chybu. Všiml jsem si podezřelé adresy, ale nakonec jsem její význam podcenil.
Jenže udělal jsem něco, co by podle mě udělala spousta lidí. Uvěřil jsem zprávě proto, že se objevila na místě, které jsem považoval za důvěryhodné.
A to je možná nejdůležitější poučení z celého příběhu.
Pokud vám přijde zpráva o problému s bankovním účtem, neřešte ho přes přiložený odkaz jen proto, že odesílatel vypadá správně. Otevřete bankovní aplikaci sami, tak jak to děláte obvykle. Případně zavolejte bance na její oficiální číslo, které si nezávisle ověříte.
Zkontrolovat skutečnou internetovou adresu má samozřejmě dál smysl. Jen je potřeba vědět, že název banky někde na začátku adresy ještě vůbec neznamená, že stránka bance patří.
A jestli jste už nějaké údaje vyplnili, nepanikařte, ale nepodceňujte to. Bance řekněte přesně, co jste poskytli, aby vám mohla doporučit odpovídající postup. Při podezření na únik přihlašovacích údajů nebo zneužití účtu neodkládejte dostupnou blokaci.
Já měl nakonec štěstí. Ne díky antiviru ani nějakému zvláštnímu bezpečnostnímu programu. Ale díky tomu, že používám dvě SIM karty a banka zná jen jedno z těch čísel.
Možná je proto načase přestat lidem pouze opakovat, aby byli opatrní, a začít jim také vysvětlovat, že některé věci, které dosud považovali za důkaz důvěryhodnosti, žádným důkazem nejsou.
Protože jestli může podvodník poslat SMS do stejného vlákna jako vaše banka, pak otázka nezní jen, zda jste dost opatrní. Ale také podle čeho vlastně máte poznat, komu věřit.
