BeSafe: Phishing, když někdo loví data místo ryb
A jsem tu zase, a to už po čtvrté s mou sérií BeSafe. Jsem opravdu rád, že ji čtete a že vás baví. Pojďme si ale na začátek krátce připomenout, co jsme si v předchozích dílech řekli. V prvním díle jsem psal o našich osobních údajích, jako je telefonní číslo, e-mailová adresa nebo heslo. O tom, že bychom je neměli jen tak sdílet veřejně a s kýmkoliv. V druhém díle jsme se podívali na mobilní telefon. Na to, že je to v podstatě schránka plná našich informací, ale rozhodně to není žádný nedobytný trezor. A že při nákupu levných zařízení se často připravujeme o část bezpečí. A ve třetím díle jsme zabrousili do světa umělé inteligence. Řekli jsme si, že i když nám hodně pomáhá, může nás zároveň svým způsobem i „uspávat” a my pak méně přemýšlíme sami za sebe. Všechny tyto díly si můžete stále přečíst na mém blogu. Stačí nahoře otevřít seznam příspěvků.
Dnes se ale podíváme na něco, co je stále aktuální a zároveň docela nebezpečné. Phishing. Možná si teď říkáte, co to vlastně je. Ve zkratce jde o podvod, který se vás snaží oklamat a dostat z vás co nejvíc citlivých údajů. Pokud nechcete naletět, určitě čtěte dál. Tenhle článek se vám může jednou opravdu hodit.
Co je Phishing
Phishing je typ podvodu, při kterém se vás někdo snaží nachytat a přimět vás, abyste mu předali své citlivé údaje. Může jít o hesla, přihlašovací údaje, čísla platebních karet nebo třeba přístup k vašemu účtu. Funguje to přitom až překvapivě jednoduše. Útočník se vydává za někoho, komu věříte. Může to být banka, dopravce, úřad nebo třeba známá služba, kterou běžně používáte. Pošle vám zprávu, e-mail nebo odkaz, který vypadá úplně normálně. A právě v tu chvíli přichází ten problém. Vy kliknete, zadáte své údaje a ani si neuvědomíte, že jste je právě předali někomu cizímu. A o tom přesně phishing je. Ne o hackování, ne o složitých útocích, ale o tom, že vás někdo přesvědčí, abyste mu to dali dobrovolně.
Dnešní formy phishingu
Phishing dnes už dávno není jen o „podezřelých e-mailech“. Naopak, je čím dál víc propracovaný a často na první pohled vypadá úplně důvěryhodně.
Nejčastěji se s ním setkáte v e-mailu. Typickým příkladem může být zpráva, která se tváří jako od společnosti ČEZ, kde vám přijde informace o údajném nedoplatku za elektřinu a výzva k okamžité úhradě. Součástí bývá buď platební údaj, nebo odkaz na web, který vypadá téměř identicky jako oficiální stránky. Právě tady je problém. Útočníci často používají domény, které jsou na první pohled velmi podobné originálu. Místo oficiálního www.cez.cz tak může být například drobná odchylka v adrese, které si člověk ve spěchu vůbec nevšimne.
Podobně fungují i podvody, které se vydávají za Českou poštu nebo jiné doručovací služby. Přijde vám zpráva, že na vás čeká balíček, ale je potřeba doplatit malé poštovné nebo poplatek. Po kliknutí na tlačítko „uhradit“ se dostanete na platební formulář, který vypadá velmi přesvědčivě, ale ve skutečnosti slouží jen ke sběru vašich údajů. Zadáte číslo platební karty, datum platnosti a CVC kód. Po potvrzení se může stát, že se zobrazí chyba nebo hláška o úspěšné platbě. V tu chvíli to může vypadat, že se nic nestalo. Ve skutečnosti ale útočníci vaše údaje získají a mohou je později zneužít, například k online nákupům nebo dalším podvodům. V některých případech se může karta zneužít okamžitě, jindy se data využijí až později.
Důležité je vědět, že i zabezpečení jako 3D Secure sice výrazně zvyšuje ochranu plateb, ale ne všechny platební situace ho vždy využívají. A útočníci se navíc neustále přizpůsobují a hledají nové způsoby, jak obejít pozornost uživatelů. Často lze takové podvody odhalit podle drobných detailů. Může to být například nezabezpečený protokol HTTP místo HTTPS, lehce upravená webová adresa nebo celkově neobvyklý vzhled stránky. Je ale důležité vědět, že ani HTTPS automaticky neznamená, že je web bezpečný. I podvodné stránky ho dnes mohou používat.
Další velmi rozšířenou formou jsou SMS podvody, tzv. smishing. Ty často vypadají jako zprávy o nezaplaceném mýtném, pokutě, balíčku z pošty nebo nedoplatku. V některých případech mohou být ještě osobnější, například zpráva od „vaší dcery“, která tvrdí, že měla nehodu a potřebuje rychle poslat peníze.
Tyto zprávy často přicházejí ze zahraničních nebo neznámých čísel a spoléhají hlavně na stres, strach a rychlou reakci. Čím méně člověk přemýšlí, tím větší je šance, že na podvod klikne nebo odpoví. A přesně to je jejich cíl.
Jak se tomu účinně bránit
Phishingu se dnes nedá vyhnout úplně. Můžete být opatrní sebevíc, ale útoky jsou čím dál propracovanější. Dá se mu ale velmi výrazně snížit šance na úspěch, pokud dodržíte pár základních pravidel. A právě ty často rozhodují o tom, jestli přijdete o data, nebo ne.
Začneme u platební karty.
Jedna z nejjednodušších, ale zároveň nejúčinnějších ochran je nastavení limitů. Pokud máte možnost, nastavte si nízký denní nebo internetový limit pro platby kartou. V případě zneužití tak útočník nemůže okamžitě vybrat celou částku z účtu. I malý limit vám může koupit čas na reakci a blokaci karty.
Další velmi důležitá věc je způsob placení. Pokud můžete, používejte Apple Pay nebo Google Pay. Tyto služby nepracují přímo s číslem vaší karty při každé platbě, ale využívají tokeny, tedy jednorázové kódy. To znamená, že vaše reálné údaje o kartě nejsou při placení přímo sdílené s obchodníkem. Je to výrazně bezpečnější než zadávání údajů z karty na webu.
Velmi důležité je také pravidlo, které by mělo být automatické: nikdy neklikat na podezřelé odkazy v e-mailech nebo SMS. Pokud vám přijde zpráva od banky, ČEZ, pošty nebo jakékoliv jiné služby, vždy si otevřete oficiální stránky ručně přes prohlížeč nebo aplikaci. Ne přes odkaz ve zprávě.
Stejně tak neinstalujte žádné soubory nebo aplikace, které vám přijdou nečekaně e-mailem nebo zprávou. Útočníci často posílají soubory, které se tváří jako faktura, potvrzení nebo aktualizace, ale ve skutečnosti mohou obsahovat škodlivý software.
Další zásadní krok je ověřování informací. Pokud vám přijde výzva k platbě, pokuta nebo jakákoliv „urgentní“ zpráva, vždy si ji ověřte přímo u dané instituce. Zavolejte na oficiální číslo, přihlaste se do svého účtu přes oficiální web nebo aplikaci a zkontrolujte, jestli je zpráva skutečná.
Velkou roli hraje i samotné chování uživatele. Phishing často spoléhá na tlak, strach a čas. Vytváří pocit, že musíte jednat hned. Ve chvíli, kdy ale zpomalíte a začnete přemýšlet, většina těchto útoků ztratí sílu.
Platí jednoduché pravidlo. Pokud vás něco nutí jednat okamžitě, bez rozmyslu, je to přesně ten moment, kdy byste měli zpozornět nejvíc.
A nakonec jedna věc, která zní jednoduše, ale lidé ji často ignorují. Aktualizace zařízení a aplikací. Mnoho útoků totiž zneužívá staré chyby v systémech, které už byly dávno opraveny, ale na vašem telefonu nebo počítači stále existují, pokud neaktualizujete.
Tento problém je reálná hrozba, na kterou dlouhodobě upozorňuje i ↗ Policie České republiky (v ostatních zemích doporučuji řídit se místními bezpečnostními autoritami).
Jak poznám phishing za 10 vteřin
Phishing většinou není složitý útok, jak se může zdát. Naopak. Ve většině případů ho dokážete odhalit během pár vteřin, pokud víte, na co se zaměřit. Stačí si v hlavě rychle projít pár základních bodů.
1. Tlak na okamžitou reakci
Phishing vás téměř vždy nutí jednat hned.
„Okamžitě zaplaťte”, „poslední výzva”, „váš účet bude zablokován”.
→ Pokud vás někdo tlačí do rychlého rozhodnutí, je to první velké varování.
2. Podezřelá adresa nebo odkaz
Zkontrolujte si, kam odkaz opravdu vede.
Na první pohled může vypadat správně, ale často obsahuje drobné odchylky.
Místo oficiální domény se může objevit podobná varianta nebo divná kombinace znaků.
→ Důležité: i HTTPS neznamená automaticky bezpečný web.
3. Neosobní nebo divné oslovení
Banky, úřady nebo služby vás většinou znají jménem.
Phishing často používá obecné oslovení nebo podivné formulace.
4. Jazyk a chyby v textu
Spousta phishingových zpráv obsahuje:
- divné věty
- špatný překlad
- nebo gramatické chyby
Velké firmy si hlídají komunikaci, útočníci ne vždy.
5. Neobvyklý požadavek
Zamyslete se:
Proč by po vás někdo chtěl heslo, číslo karty nebo občanku přes e-mail nebo SMS?
→ Toto je jeden z nejdůležitějších bodů.
Rychlé shrnutí
Phishing často poznáte podle kombinace tří věcí:
- tlak na čas
- podezřelý odkaz
- požadavek na citlivé údaje
Phishing neútočí na technologie. Útočí na lidskou pozornost a spěch. A právě proto funguje.
Závěrem
Tak jsme si v kostce probrali phishing. Není to sice tak obsáhlé, jak ho možná znáte z delších odborných textů, ale to podstatné jsme si řekli. Phishing je dnes jedna z nejběžnějších forem on-line útoků. Neútočí ale na vaše zařízení, nýbrž přímo na vás jako uživatele.
V dnešní době bychom si měli dávat větší pozor než kdy dřív. S nástupem umělé inteligence totiž mizí některé typické znaky podvodů, jako jsou překlepy nebo špatná gramatika. AI navíc dokáže velmi přesvědčivě napodobit komunikaci, přeložit texty nebo vytvořit realisticky působící zprávy. Pokud si navíc nehlídáte své osobní údaje a sdílíte je veřejně na sociálních sítích, útočníkovi tím výrazně usnadňujete práci. Může si o vás zjistit mnohem více informací a útok pak lépe zacílit.
Tato hrozba spadá do oblasti sociálního inženýrství, kde se neútočí na techniku, ale na lidskou psychiku a chování. I když se bezpečnostní systémy neustále zlepšují, útočníci jsou často stále o krok napřed. Právě proto je tak důležité být obezřetný a přemýšlet nad tím, co děláme on-line.
Krátká zpráva pro čtenáře
S příchodem krásného počasí začíná období výletů, turistiky a více času v terénu. Proto bych vám rád oznámil, že během jara, léta a teplejší části podzimu budu sérii BeSafe vydávat jednou za dva měsíce. Příští díl tedy nevyjde v květnu. Následující díly budou vycházet vždy 15. (červen, srpen, říjen). Pokud by se ale výjimečně stalo, že vydám BeSafe dříve, vždy vás budu včas informovat. V tuto chvíli tedy platí pravidlo jedno vydání každé dva měsíce, protože se chci více věnovat i fotografování, turistice a tvorbě obsahu z cest.
Zároveň pro vás v sekci vzdělávání chystám i další zajímavý článek o jednom tradičním zvyku, který se u nás dodnes zachovává. Nechte se překvapit, o jaký půjde. Děkuji vám za podporu, zpětnou vazbu a zprávy, které mi píšete. Moc si vážím toho, že vám články přijdou užitečné.
MOHLO BY VÁS TAKÉ ZAJÍMAT:
Disclaimer:
Nejsem IT odborník ani certifikovaný specialista na kybernetickou bezpečnost. Informace uvedené v tomto článku vycházejí z mých vlastních zkušeností, dostupných zdrojů a obecně známých principů v oblasti online bezpečnosti. Veškeré rady a doporučení berte prosím s rezervou a vždy si je případně ověřte z více nezávislých zdrojů. Na internetu existuje mnoho odborných článků a oficiálních materiálů, které mohou nabídnout detailnější a přesnější informace. Nenesu odpovědnost za případné škody či problémy vzniklé použitím informací z tohoto článku.
