Phishing, vishing a spoofing: Jak je poznat a co dělat?

18.08.2023 16:59 | Autor: Dana Klomínková

Sdílet

Facebook
Twitter
Kopírovat odkaz

Phishing a vishing dlouhodobě představují jeden z nejpalčivějších problémů spojených s kybernetickými útoky. Jak se šíří, jaká jsou rizika a na co si dát pozor, abyste nenaletěli?

Phishing – Jak se šíří phishing – Vishing & Spoofing
Podvody na Sbazaru a Bazoši – Česká pošta
Jak se bránit phishingu – Kurzy NÚKIB zdarma

Foto: Freepik

Podle České bankovní asociace se v roce 2022 čtyřnásobně zvýšil počet kybernetických útoků na klienty tuzemských bank. Co se týče finanční újmy v průměru na jednoho poškozeného klienta, šlo o 161 500 Kč. Extrémní nárůst byl zaznamenán zejména u podvodných telefonátů.

Co je to phishing

Phishing je forma kybernetického útoku. Útočníci se vydávají za banku, operátora, nebo dokonce blízkou osobu, tedy za někoho, ke komu máte za normálních okolností důvěru.

Jejich úkolem je z vás vylákat citlivé údaje (přihlašovací údaje, údaje kreditní karty), popřípadě nainstalovat škodlivý kód do systému. Útočníci se zaměřují především na emoce. Vyvolávají pocit naléhavosti, zvědavost a strach.

Phishing: Jak se šíří?

Útoky mají často podobu e-mailu, ale objevují se i případy phishingu prostřednicím textové zprávy, zprávy na sociálních sítích nebo webových stránkách vypadajících podobně jako oficiální stránky, které používáte – např. banka, pošta či kurýrní služba. E-mail se tak může tvářit jako zpráva od banky s žádostí o potvrzení čísla bankovního účtu.

Podle HP marketu „phishingový e-mail často obsahuje nebezpečný odkaz na podvodné internetové stránky, které jsou kopií originálního webu dané instituce a obsahují buď malware, nebo po vás chce vyplnit citlivá data.“

Bazarové podvody, bazarový phishing: Sbazar, Bazoš, Facebook, Marketplace

V loňském roce Česká bankovní asociace (ČBA) varovala před bazarovými podvody. Obětí jsou především prodávající. Těm se ozve „zájemce“ s tím, že chce provést platbu za zboží platební kartou, nebo chce údaje z karty pro doručovací službu. Často je kontakt přes WhatsApp a kupující odmítá jiný způsob úhrady či předání zboží.

Dalším způsobem, který podvodníci volí, je zaslání odkazu na falešné stránky banky prodávajícího, aby z něj vylákali přihlašovací údaje a další citlivé informace.

Petr Barák, předseda komise sdružení ČBA pro bankovní a finanční bezpečnost, před bazarovým phishingem varuje „Tento způsob platby je běžný na e‑shopech, ale ne mezi dvěma zákazníky portálu. Jedná se o podvod. Nevyplňujte žádné údaje na odkazech, které vám někdo zašle, ani když má protistrana sebevěrohodnější záminku.“

V opačném případě vám hrozí, že nejenže nedostanete peníze za prodávané zboží, ale zároveň přijdete o všechny peníze na svém účtu, kam jste sami povolili podvodníkovi přístup. Podle expertů peníze většinou zmizí nenávratně na kryptoměnových účtech.

Podvodný e-mail Česká pošta, falešné SMS od České pošty

Česká pošta je útočníky opakovaně zneužívána, proto na svých oficiálních stránkách uvádí i vzory podvodných e-mailů a SMS, které předstírají, že byly odeslány z České pošty.

Tyto podvodné e-maily kontaktují zákazníka a informují ho o tom, „že pokud se chce vyhnout vrácení balíku prodejci, musí změnit objednávku do 24 hodin. Jeho objednávka se zpracovává k doručení.“

Jiné informují zákazníka, aby si zkontroloval aktualizaci spojenou s jeho e-mailem nebo, že zásilka stále čeká na jeho pokyny a bude doručená, jakmile budou uhrazeny náklady.

U podvodných SMS posílají, že si příjemce má aktualizovat novou adresu položky do 24 hodin, nebo ji vrátí do centra plnění. Případně, že jeho balíček čeká na doručení a má potvrdit své dodací údaje.

Pokud využíváte služeb pošty, nebo kterékoliv kurýrní služby, sledujte jejich oficiální web. Tam vždy informují své zákazníky na možná podvodná jednání.

Co je to vishing, spoofing, podvodná telefonní čísla

Vishing je druhem phishingového útoku a jedná se o podvodné volání. Útočníci k vylákání osobních či platebních údajů využívají telefonní hovor.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) letos v létě informoval o zvyšujícím se počtu podvodných telefonátů. Drzost útočníků v tomto případě nezná meze. Útočník totiž předstírá, že je pracovník banky, nebo přímo zaměstnanec NÚKIB a volá z podvržených reálných telefonních čísel.

Jedná se o tzv. spoofing. U příchozího hovoru vidíte známé nebo oficiální telefonní číslo, ve skutečnosti vám ale volá někdo cizí a vydává se někoho jiného.

S odkazem na NÚKIB či jeho zaměstnance se snaží oběti přimět k převodu peněz z jejich bankovních účtů na záložní/bezpečný účet. Pokud by to prý oběť neudělala, hrozí jí odcizení peněz kyberútočníkem. „Zastřešují se při tom mj. tím, že celá transakce je pod dozorem NÚKIB. Pro větší důvěryhodnost pak používají útočníci jména zaměstnanců NÚKIB, která čerpají pravděpodobně z veřejně dostupných zdrojů,“ uvádí Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).

Existuje i řada případů z minulosti, kdy útočníci volali seniorům a předstírali, že jsou příbuzní (např. vnuk, pravnuk, neteř) a že nutně potřebují půjčit peníze na zaplacení dluhu nebo výhodnou koupi. Požadovali hotovost, kterou za ně převezme někdo jiný. Jediným pravidlem je nepředávat peníze cizím lidem, vždy jen svým blízkým osobně.

Jak se bránit vishingu

Rozhodně se vám budou hodit tři vzorové příklady, které by vás mohly odradit od plnění přání podvodníků.

Když vám bude volat někdo z banky nebo jiné finanční instituce, nikdy po vás nebude chtít heslo do bankovnictví a potvrzení platby v aplikaci.
V případě, že vám zavolá policie, nikdy po vás nebude žádat o přístup k počítači a už vůbec ani potvrzení plateb v internetovém bankovnictví.
Nejinak je tomu u IT společností a podpory. Microsoft sám od sebe nevolá, že máte napadený počítač nebo že by vám hrozil kybernetický útok.

Podvodné jednání: Jak se proti phishingu bránit?

V první řadě, buďte obezřetní a nerozhodujte se o zásadních věcech pod nátlakem. Myslete na to, že v dnešní době podvodníci dokážou napodobit a podvrhnout oficiální telefonní čísla konkrétních institucí (tzv. spoofing).

Spoofing se netýká pouze telefonátů, ale i situací, kdy se útočník maskuje za existující e-mail, IP adresu nebo věrohodně vypadající webovou stránku. Je tak na první pohled hůře rozpoznatelný. Jsou však i takové, které lze odhalit snadno, protože obsahují gramatické a stylistické chyby, nebo nesprávně uvedenou doménu.

„Na základě neověřených telefonátů či komunikace s neznámými osobami prostřednictvím SMS, e-mailů či jiných zpráv rozhodně nedělejte žádná unáhlená rozhodnutí v podobě převodu finančních prostředků, sdílení důvěrných informací o sobě nebo svých bankovních či jiných účtech,“ radí NÚKIB.

Vyplatí se tedy spíše nedůvěřovat a raději ověřovat. Obratem kontaktujte infolinku své banky a ověřte si, jestli šlo skutečně o jejich pracovníka. V průběhu podezřelého hovoru, nebo po něm, si zaznamenejte informace, které vám útočník sdělil (jména, e-maily, čísla účtů, odkazy na webové stránky).

Policie ČR na svých stránkách zmiňuje několik dalších praktických rad, abyste se nestali obětí kybernetického útoku.

Nereagujte na podezřelé hovory a nikdy nesdělujte žádné citlivé údaje ani bezpečnostní údaje z vaší platební karty nebo přístupové údaje k online bankovnictví.
Neumožňujte vzdálený přístup do svého počítače.
Nikdy nikomu nesdělujte a nepřeposílejte bezpečnostní/autorizační kód, který dostanete SMS zprávou.
Kyberútočníci dokážou napodobit nejen jakékoliv telefonní číslo, ale také odesílatele SMS zprávy a e-mailovou adresu.
Když se budete přihlašovat do internetového bankovnictví nebo kamkoliv zadávat své osobní údaje, překontrolujte si, jestli doména přihlašovací stránky odpovídá té skutečné.
Aktualizujte si pravidelně software, antivirový program.
„Nereagujte na telefonní hovory, SMS zprávy, e-maily, kde se vás někdo pokouší vmanipulovat do situace, že jsou vaše finanční prostředky v ohrožení a vy musíte udělat další kroky pro jejich záchranu. Kdyby byly vaše peníze v ohrožení, tak banka sama zareaguje a učiní další opatření,“ upřesňuje Policie ČR.

NÚKIB: Kurzy zdarma, osvěta

Na internetu jsou k dispozici bezplatné kurzy pro všechny věkové kategorie (od předškoláků, školáků po seniory). Zkuste si je proklikat na portálu: ZDE.

Otestovat si odolnost proti kybernetickým útokům můžete pomocí interaktivního Kybertestu: ZDE, kde budete jako fiktivní osoba s virtuálním účtem procházet úkoly a označovat podezřelé prvky.

Jedná se především o situace, do kterých se běžný uživatel internetu a klient banky dostává dennodenně (e‑mailová komunikace, přihlašování či stahování aplikací).

A doporučení na závěr, pokud se stanete cílem, či dokonce obětí takovéhoto útoku, okamžitě kontaktujte svou banku a Policii ČR.

Zdroje: