Jak rozpoznat phishingový e-mail a podvodnou zprávu
Phishing je typ podvodu, kdy se útočník vydává za důvěryhodnou instituci - banku, dopravní společnost, e-shop nebo státní úřad - a snaží se vás přimět kliknout na odkaz, zadat přihlašovací údaje nebo zaplatit falešný poplatek. I přes rostoucí informovanost zůstává phishing jedním z nejčastějších způsobů, jak útočníci získávají přístup k účtům a penězům.
Nejčastější varovné signály
Naléhavost a tlak na rychlé jednání. "Váš účet bude za 24 hodin zablokován" nebo "Zásilka čeká na doplatek, jinak bude vrácena odesílateli" jsou typické formulace vyvolávající paniku.
Podezřelá adresa odesílatele. Doména se často jen nepatrně liší od originálu, například "ceskaposta-cz.info" místo "ceskaposta.cz".
Odkaz nesedí s textem. Po přejetí myší nad odkazem (bez kliknutí) se v prohlížeči nebo e-mailovém klientu zobrazí skutečná cílová adresa, která se často liší od zobrazeného textu.
Gramatické chyby a neobratný překlad. Mnoho phishingových zpráv je strojově přeloženo a obsahuje nepřirozené formulace.
Žádost o citlivé údaje e-mailem. Žádná banka ani seriózní instituce nebude po vás e-mailem nebo SMS chtít číslo karty, PIN nebo přístupové heslo.
Neosobní oslovení. "Vážený kliente" místo vašeho jména může (ale nemusí) signalizovat hromadně rozesílaný podvod.
Jak zprávu bezpečně ověřit
Pokud máte podezření, nikdy neklikejte na odkaz ve zprávě. Místo toho otevřete nový prohlížeč a zadejte adresu instituce ručně, nebo zavolejte na známé telefonní číslo z její webové stránky. Většina bank i přepravních společností má na svých webech přehled aktuálních podvodných zpráv, které v danou chvíli kolují.
Příklad typického podvodu v ČR
Velmi rozšířený je podvod s falešným doplatkem za zásilku u České pošty nebo kurýrní společnosti - SMS s odkazem na platbu několika korun, po jejímž zadání se dostanete na falešnou platební bránu, kde útočníci zachytí údaje vaší platební karty včetně kódu pro potvrzení platby.
Co dělat, když jste na podvod klikli
Pokud jste zadali přihlašovací údaje, okamžitě si u dané služby změňte heslo a zapněte (pokud ještě není) dvoufázové ověření.
Pokud jste zadali údaje platební karty, kontaktujte neprodleně svou banku a zablokujte kartu.
Nahlaste podvodnou zprávu dané instituci - většina bank má na webu speciální e-mail pro nahlašování phishingu.
Zprávu si neotevírejte opakovaně a neodpovídejte na ni, podezřelé přílohy nikdy nestahujte.
Jak se phishingu vyhnout dlouhodobě
Udržujte si zdravou obezřetnost u každé zprávy, která po vás chce rychlé jednání nebo osobní údaje. Instalujte aktualizace prohlížeče a antivirového programu, které dnes běžně obsahují i filtry proti známým podvodným stránkám. Vzdělávejte v tématu i starší členy rodiny, kteří bývají častějším cílem útočníků.
Shrnutí
Phishing spoléhá na spěch a strach. Zpomalte, zkontrolujte adresu odesílatele i skutečný cíl odkazu, a v případě pochybností se obraťte přímo na danou instituci přes její oficiální kontakty, nikdy ne přes odkaz ve zprávě samotné.
Často kladené otázky o phishingu
Jak poznám, že odkaz v e-mailu vede na podvodnou stránku?
Před kliknutím přejeďte myší nad odkazem bez stisknutí tlačítka - v dolní části prohlížeče nebo e-mailového klienta se zobrazí skutečná cílová adresa. Pokud se liší od očekávané domény, nebo obsahuje podezřelé znaky a nezvyklé řetězce, jde pravděpodobně o podvod.
Můžou phishingové zprávy přicházet i přes SMS nebo sociální sítě?
Ano, princip je stejný jako u e-mailu, jen jiný komunikační kanál - u SMS se tomu říká smishing, u sociálních sítí a messengerů se útočníci často vydávají za přátele s kompromitovaným účtem nebo za zákaznickou podporu platformy.
Co když jsem omylem otevřel přílohu z podezřelého e-mailu?
Okamžitě odpojte počítač od internetu, spusťte kompletní kontrolu antivirovým programem a zvažte změnu hesel u důležitých účtů z jiného, nezasaženého zařízení. Pokud máte podezření na závažnější infekci, obraťte se na odborníka na IT bezpečnost.
Hlásí se phishingové e-maily někde centrálně v ČR?
Ano, podezřelé zprávy lze nahlásit například Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB), případně přímo instituci, za kterou se útočník vydával, většina bank má na webu zvláštní kontakt pro nahlašování podvodných e-mailů.
Praktický tip navíc
Dobrým zvykem je mít v záložkách prohlížeče uložené přímé adresy nejdůležitějších služeb (banka, e-mail, hlavní e-shopy), na které se v případě podezřelé zprávy přesunete rovnou, bez proklikávání přes odkaz ve zprávě. Firemní e-maily lze navíc ověřit podle technického záznamu odesílající domény (SPF, DKIM), což je ale pokročilejší krok vhodný spíše pro IT administrátory než běžné uživatele. Pro domácnost je nejdůležitější zavést jednoduché rodinné pravidlo: žádná platba ani sdělení citlivého údaje na základě jediné zprávy, bez ověření přes jiný, důvěryhodný kanál.
Firmy i státní instituce v ČR dnes čím dál častěji na svých webech zveřejňují aktuální seznam phishingových kampaní, které se v danou chvíli šíří pod jejich jménem. Pravidelná kontrola takové stránky u své banky nebo hlavního poskytovatele e-mailu může fungovat jako rychlá druhá kontrola, pokud máte o konkrétní zprávě pochybnosti a nejste si jisti, zda jde o podvod nebo skutečné sdělení.
