Článek
Kdysi měl phishing poměrně snadno rozpoznatelnou podobu. Do e-mailové schránky přišla zpráva s podivným textem, zvláštní adresou odesílatele a odkazem na stránku, která vypadala, jako by ji někdo vytvořil během pěti minut. Dnes už to tak jednoduché není. Podvod může vypadat naprosto profesionálně a přijít přes kanál, kterému běžně důvěřujete.
Může jít o SMS od údajné banky, zprávu od kurýra, upozornění na nedoručený balík nebo telefonát člověka, který se představí jako pracovník banky. Cíl je ale stále stejný: přimět vás, abyste udělali něco, co byste za normálních okolností neudělali.
SMS, která přijde přesně ve správný moment
Jedním z nejčastějších způsobů je takzvaný smishing, tedy phishing prostřednictvím SMS zpráv. Zpráva může tvrdit, že máte nezaplacené poštovné, čeká na vás zásilka nebo je potřeba potvrdit nějakou platbu. Přidá se odkaz a často také upozornění, že pokud nezareagujete během několika hodin, něco se stane. Právě časový tlak je jednou z nejúčinnějších zbraní podvodníků. Člověk začne jednat automaticky. Vidí logo známé společnosti, zpráva se tváří naléhavě a telefon ji zobrazí mezi ostatními oznámeními. Stačí klepnout na odkaz. Problém je, že stránka může vypadat téměř dokonale.
Falešný web může být k nerozeznání
Moderní phishingové stránky už často nepůsobí jako amatérské kopie. Mohou mít logo, barvy, obrázky i rozložení skutečné služby. Po vás pak chtějí přihlášení, údaje z platební karty nebo potvrzení prostřednictvím bankovní aplikace. Nikdy se proto nespoléhejte pouze na vzhled stránky. Logo ani profesionální grafika nejsou důkazem, že jste na skutečném webu. Mnohem důležitější je adresa stránky a především způsob, jak jste se na ni dostali. Pokud vám banka nebo jiná služba píše, že musíte něco okamžitě potvrdit, je bezpečnější otevřít její aplikaci nebo web ručně, nikoliv použít odkaz ze zprávy.
Pozor na QR kódy
QR kód působí bezpečněji než dlouhý internetový odkaz. Stačí namířit fotoaparát a telefon nabídne otevření stránky. Jenže QR kód je pouze jiný způsob, jak vám předat odkaz. Nemá v sobě žádnou magickou bezpečnostní vlastnost. Podvodník může QR kód umístit na plakát, poslat ho e-mailem nebo třeba nalepit přes skutečný kód. Po jeho načtení se můžete dostat na falešnou stránku stejně jako po kliknutí na podvodný odkaz. Proto před otevřením odkazu vždy zkontrolujte, kam vás QR kód skutečně posílá.
A potom přijde telefonát
Ještě přesvědčivější může být situace, kdy vám někdo zavolá. Volající se představí jako pracovník banky a oznámí vám podezřelou transakci. Zná vaše jméno, mluví profesionálně a možná dokonce zná některé informace, které jste dříve poskytli skutečné společnosti. Následuje žádost o potvrzení platby, instalaci aplikace nebo sdělení kódu. Nikdy nesdělujte po telefonu hesla, autorizační kódy ani jiné bezpečnostní údaje jen proto, že volající tvrdí, že je z banky.
Pokud máte pochybnosti, hovor ukončete a instituci kontaktujte sami prostřednictvím oficiálního čísla nebo aplikace. To, že vám někdo zavolal z čísla, které vypadá jako číslo banky, navíc nemusí nic dokazovat. Podvodníci mohou využívat techniky, díky kterým se na displeji zobrazí číslo podobné skutečnému.
Sociální sítě jsou další loviště
Phishing už dávno není záležitostí pouze e-mailu a SMS. Podvodné zprávy se mohou objevit také na sociálních sítích nebo v komunikačních aplikacích. Může vám napsat údajný známý, který potřebuje rychle poslat peníze. Nebo dostanete zprávu o výhře, soutěži či problému s vaším účtem. S rozvojem umělé inteligence je navíc možné vytvářet stále přesvědčivější texty. Gramatické chyby a podivné formulace už proto nejsou jediným vodítkem, podle kterého phishing poznáte.
Důležitější je zamyslet se nad samotnou situací. Proč po mně někdo chce přihlášení? Proč mám platbu potvrdit právě teď? Proč mi známý píše způsobem, který mu není podobný?
AI pomáhá i podvodníkům
Umělá inteligence má samozřejmě i svou temnější stránku. Podvodníci ji mohou využívat k vytváření přesvědčivějších zpráv, překladům do různých jazyků nebo k přípravě textů, které působí mnohem profesionálněji než dříve. Phishing tak může být méně nápadný právě proto, že jeho autor už nemusí být špatný v psaní.
V budoucnu mohou být podvody také více personalizované. Pokud útočník získá dostatek veřejně dostupných informací, může vytvořit zprávu, která bude působit, jako by byla určena přímo vám. To je další důvod, proč bychom neměli na internetu zbytečně zveřejňovat citlivé informace.
Stačí několik jednoduchých pravidel
Nemusíte být odborník na kyberbezpečnost, abyste většině běžných phishingových útoků dokázali odolat. Především neklikejte automaticky na odkazy v nečekaných zprávách. Pokud vás zpráva upozorňuje na problém s účtem, otevřete danou službu sami prostřednictvím aplikace nebo ručním zadáním adresy.
Nikomu neposílejte přihlašovací údaje ani bezpečnostní kódy. Banka ani seriózní služba po vás nebude chtít, abyste jí po telefonu nadiktovali jednorázový autorizační kód. A když vás něco tlačí k rychlému rozhodnutí, naopak zpomalte. Právě ve chvíli, kdy máte pocit, že musíte jednat okamžitě, je nejlepší si všechno ještě jednou ověřit.
Nejlepší obrana je nedůvěra
Phishing se postupně mění. Už nejde jen o e-mail plný překlepů a podivný odkaz. Dnes může přijít zpráva ve chvíli, kdy čekáte zásilku, telefonát v momentě, kdy skutečně řešíte banku, nebo upozornění, které vypadá jako běžná systémová zpráva. Nejdůležitější bezpečnostní nástroj proto stále sedí mezi židlí a displejem – vy.
Nemusíte být paranoidní a podezírat každou SMS. Stačí si vytvořit jednoduchý návyk: když po vás někdo nečekaně chce peníze, heslo, kód nebo přihlášení, nejdříve si ověřte, kdo požadavek skutečně posílá. Jeden klik může trvat sekundu. Náprava následků ale může zabrat týdny. A právě proto se vyplatí být dnes o trochu opatrnější. Podvodná zpráva totiž nemusí vypadat podezřele. Stačí, když vás přesvědčí, že je důvěryhodná.
