Přijde SMS, že se vám nepodařilo doručit balík, a pod ní krátký odkaz. Nebo e-mail od banky, že váš účet bude za dvacet čtyři hodin zablokován. Zprávy tohohle typu dostane dřív nebo později skoro každý a útočníci na nich stavějí jednoduchou sázku: někdo zrovna čeká zásilku a klikne, aniž by přemýšlel. Dobrá zpráva je, že většina podvodů prozradí pět stejných znaků. Naučit se je poznat zabere pár minut a pak už stačí jediný pohled.
Jak podvodná zpráva funguje
Odborně se tomu říká phishing. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ho popisuje jako podvod, při kterém útočníci posílají zprávy vydávající se za důvěryhodnou instituci. Zpráva obsahuje odkaz na podvržený web, kde oběť sama zadá citlivé údaje, nebo odkaz, který do zařízení dostane škodlivý program.
Kanálů je víc, než si lidé myslí:
- E-mail s odkazem na napodobeninu webu banky, pošty nebo obchodu.
- SMS, které se říká smishing. Krátká zpráva s odkazem nebo telefonním číslem, na které máte zavolat.
- Telefonát, ve kterém se „pracovník banky“ ozve kvůli podezřelé aktivitě na účtu. Odborně vishing.
- Sociální sítě, kde odkaz pošle účet, který vypadá jako váš známý.
Společné mají jedno: chtějí, abyste udělali něco rychle a sami, dřív než si to ověříte.
Pět znaků, podle kterých zprávu poznáte
1. Tlak na čas a hrozba
„Účet bude zablokován“, „balík vrátíme odesílateli do 24 hodin“, „poslední upozornění“. Naléhavý tón, který má přimět k okamžité akci, je pro phishing typický. Skutečné instituce vás na řešení vážné věci neženou během hodiny přes odkaz v SMS. Kdo tlačí na čas, doufá, že nestihnete přemýšlet.
2. Odkaz vede jinam, než se tváří
Tohle je nejspolehlivější vodítko. Podle NÚKIB útočníci často používají adresu, která vypadá téměř stejně jako pravá, třeba doménu ceskaposta.org místo ceskaposta.cz. Jiný trik je zápis, v němž pravá adresa stojí na začátku, ale skutečný cíl je až za zavináčem. Část před zavináčem je totiž jen uživatelské jméno, ne cíl odkazu. V e-mailu si můžete kurzorem najet na odkaz a v dolní části okna se ukáže skutečná adresa. Na telefonu podržte prst na odkazu, aniž byste ho otevřeli. U zkrácených odkazů z SMS skutečný cíl nepoznáte vůbec, a už to je důvod k opatrnosti.
3. Zpráva chce heslo, PIN nebo potvrzovací kód
NÚKIB k tomu uvádí jasné pravidlo: žádná instituce, zejména banka, po vás nežádá přihlašovací údaje e-mailem. Policie ČR ve svých radách dodává, že nemáte po telefonu sdělovat osobní údaje, čísla účtů ani PIN a že se nemají předávat potvrzovací SMS kódy, pokud transakci sami nezačali. Když vám tedy někdo diktuje, že máte „pro ověření“ přečíst kód z SMS, jde o podvod, protože ten kód právě potvrzuje platbu vedenou proti vám.
4. Obecné oslovení a nepřirozená čeština
Oslovení „Vážený pane / Vážená paní“ bez jména a zvláštně znějící věty jsou podle NÚKIB častým signálem. Berte to ale jen jako doplňkový znak. Dnešní podvodné zprávy bývají napsané správně a mohou oslovit jménem, protože útočník ho získal z dřívějšího úniku dat. Britské národní centrum kybernetické bezpečnosti (NCSC) upozorňuje, že žádné školení nenaučí rozpoznat každý phishing a cílené útoky se odhalují ještě hůř. Čistá čeština tedy neznamená, že zpráva je v pořádku.
5. Zpráva, kterou jste nečekali
Dorazila „doručovací společnost“, ačkoli nic nečekáte? Volá „banka“, ačkoli jste se s nikým nedomlouvali? Nečekaný kontakt sám o sobě není důkaz podvodu, ale je důvod zastavit se. Zásilku si ověříte v objednávce u obchodu nebo v aplikaci přepravce, kterou máte nainstalovanou sami. Stav účtu ověříte v bankovní aplikaci, ne přes odkaz ve zprávě.
Jak si odkaz prohlédnout, než na něj kliknete
Čtyři kontroly, které trvají dohromady půl minuty:
- Přečtěte doménu odzadu. Rozhoduje část těsně před první lomítkem, třeba u adresy typu banka.cz.podivny-web.com je to podivny-web.com, ne banka.cz.
- Hledejte drobné záměny písmen. Například „rn“ místo „m“ nebo číslo 0 místo písmene o.
- Nevěřte zámečku. Podle NÚKIB chybějící certifikát je varovným znakem, ale opak neplatí: zabezpečené spojení mají i podvodné weby, takže zámeček ještě neříká, čí stránka to je.
- Otevřete web ručně. Adresu napište do prohlížeče nebo použijte aplikaci či záložku, kterou už znáte. NÚKIB doporučuje právě zadávání adresy ručně.
Pochybný web můžete zkusit ověřit také na serveru Hoax.cz, na který policie odkazuje. Pokud si nejste jistí, zavolejte na zákaznickou linku, jejíž číslo jste našli sami, třeba na zadní straně platební karty nebo na oficiálním webu, nikdy na číslo ze zprávy.
Co dělat, když jste už klikli
Samotné otevření odkazu nemusí znamenat průšvih. Důležité je, co následovalo. Postupujte podle toho, jak daleko jste zašli.
Jen jste odkaz otevřeli
Stránku zavřete, nic na ní nevyplňujte, nestahujte a nepovolujte upozornění. Pak zkontrolujte, jestli se na zařízení neobjevilo něco nového, například neznámá aplikace nebo stažený soubor. Aktualizovaný systém a antivirus jsou dobrá pojistka.
Zadali jste heslo
Heslo změňte co nejdřív na skutečném webu služby, ne přes odkaz ze zprávy. Pokud jste stejné heslo používali i jinde, změňte ho všude, kde ho máte. Zapněte dvoufázové ověření, které NÚKIB také uvádí mezi základními obranami.
Zadali jste údaje k platební kartě nebo bance
Ihned volejte banku na oficiální linku a požádejte o zablokování karty nebo přístupu do bankovnictví. Ztrátu peněz nahlaste bance bez odkladu, rychlé nahlášení pomáhá omezit škody. Když už peníze z účtu odešly, policie doporučuje se s věcí nestydět a obrátit se na Policii ČR. Uložte si snímky zprávy a odkazu, budou se hodit.
Nainstalovali jste něco na žádost zprávy
Aplikaci odinstalujte, zařízení odpojte od internetu a zvažte jeho kontrolu nebo obnovení do továrního nastavení. Podle NÚKIB může škodlivý program sledovat stisknuté klávesy nebo dát útočníkovi vzdálený přístup k počítači, proto je lepší nechat si poradit od někoho, kdo se v tom vyzná. Užitečné je mít i zálohu důležitých souborů, jak popisujeme v článku Osobní zálohování: jak být klidný, i když vám chcípne notebook.
Jak se chránit dopředu
- Zapněte dvoufázové ověření u e-mailu, banky a obchodů, kde ho nabízejí. I kdyby útočník získal heslo, bez druhého kroku se nepřihlásí.
- Používejte pro každou službu jiné heslo. Ukradené heslo z jednoho e-shopu pak neotevře ostatní účty.
- Dohodněte se v rodině. Když se „syn“ z neznámého čísla ozve s prosbou o peníze, ověřte to zpětným hovorem na číslo, které znáte. Zvlášť to pomůže rodičům a prarodičům.
- Zprávy z pošty, banky a obchodů řešte přes aplikace, které máte nainstalované sami, ne přes odkazy ve zprávách.
- Když zpráva zaskočí, počkejte. Žádný oprávněný důvod nevyžaduje, abyste jednali během několika minut.
Časté otázky
Stačí, že jsem odkaz otevřel, abych přišel o peníze?
Jen otevření stránky samo o sobě většinou peníze nestojí. Riziko vzniká, když na stránce zadáte údaje, potvrdíte platbu, stáhnete soubor nebo nainstalujete aplikaci. Přesto je dobré zařízení zkontrolovat a hlídat, jestli se v účtech neděje nic neobvyklého.
Musí zpráva obsahovat překlepy, abych ji poznal?
Ne. Překlepy a nepřirozená čeština jsou možný signál, ale podvodníci píšou čím dál lépe. Spolehlivější je kontrolovat adresu odkazu, tlak na rychlé jednání a požadavek na přihlašovací údaje nebo kódy.
Může banka poslat odkaz do internetového bankovnictví?
Instituce sice někdy odkazy v zprávách používají, ale žádost o přihlašovací údaje e-mailem podle NÚKIB nepošle žádná. Bezpečnější je vždy otevřít bankovní aplikaci nebo web ručně a zprávu si tam ověřit.
Komu podvodnou zprávu nahlásit?
Když jste přišli o peníze, kontaktujte banku a Policii ČR. Pokud šlo jen o pokus, který jste rozpoznali, zprávu smažte a upozorněte blízké, zvlášť když se vydává za zásilku nebo za banku, kterou používají i oni.
Je bezpečné ověřit zprávu telefonátem na číslo ze zprávy?
Ne. Číslo ve zprávě může patřit podvodníkům. Vždy volejte na číslo, které jste našli sami na oficiálním webu nebo na platební kartě.
