Jak poznat phishing: podvodný e-mail, SMS a falešná stránka

Pokud chcete vědět, jak poznat phishing, je nejprve potřeba pochopit, že jde o podvodnou techniku, při které se útočník vydává za důvěryhodnou organizaci a snaží se z vás vylákat přihlašovací údaje, platební údaje nebo kliknutí na škodlivý odkaz. Přichází e-mailem, SMS, zprávou v aplikaci nebo i telefonátem. V posledních letech se zprávy zlepšily, takže překlepy už nejsou spolehlivým znakem podvodu.

Cílem tohoto článku je ukázat postupy, které fungují bez ohledu na to, jak dobře je zpráva napsaná. Související pojmy najdete ve slovníku.

Typické znaky podvodné zprávy

Nejčastějším společným prvkem je tlak. Zpráva tvrdí, že účet bude zablokován, balík se vrátí nebo platba selhala, a žádá okamžité jednání. Časový tlak vám bere prostor k přemýšlení, a právě proto ho podvodníci používají. Legitimní organizace obvykle dávají rozumné lhůty a neexistuje důvod, proč byste měli jednat během několika minut.

Dalším znakem je obecné oslovení, žádost o údaje, které by organizace už měla znát, a výzva kliknout na odkaz místo přihlášení oficiální cestou. Pozor i na nečekané přílohy, zejména archivy a soubory, které vypadají jako faktura nebo dokument.

Jak ověřit odesílatele a odkaz

Jméno odesílatele lze snadno zfalšovat, proto se podívejte na skutečnou e-mailovou adresu a na doménu za zavináčem. Podezřelé jsou adresy s přidanými slovy, záměnou písmen nebo neobvyklými koncovkami. U SMS buďte opatrní i tehdy, když se zpráva zobrazí ve stejném vlákně jako předchozí zprávy od skutečné organizace.

Odkaz můžete zkontrolovat tak, že na něj na počítači pouze najedete kurzorem bez kliknutí. Na telefonu na něm podržte prst a zobrazí se náhled. Zkrácené odkazy a QR kódy skrývají cíl, takže u nich zachovejte zvýšenou opatrnost. Nejbezpečnější je otevřít službu přes uloženou záložku nebo oficiální aplikaci.

Falešné stránky a přihlašovací formuláře

Falešná stránka může vypadat úplně stejně jako ta původní. Spolehlivý je pouze název domény v adresním řádku, a to přečtený celý, nejen jeho začátek. Zámek u adresy vypovídá jen o šifrovaném spojení, ne o důvěryhodnosti stránky, protože ho může mít i podvodná doména.

Správci hesel pomáhají tím, že heslo automaticky vyplní pouze na doméně, pro kterou bylo uloženo. Pokud vám heslo nenabídnou, je to důvod se zastavit. Stejně tak pomáhají bezpečnostní klíče, které odmítnou odpovědět stránce s nesprávnou doménou.

Telefonáty a zprávy z komunikačních aplikací

Phishing není jen e-mail. Volající se může představit jako pracovník banky, technická podpora nebo policie a snažit se vás přesvědčit, abyste nainstalovali aplikaci pro vzdálený přístup nebo nadiktovali ověřovací kód. Žádná důvěryhodná instituce po vás nebude chtít heslo ani jednorázový kód.

Pokud máte pochybnosti, hovor ukončete a zavolejte na číslo, které znáte z oficiální stránky nebo z karty. Nevolejte zpět na číslo, které vám nadiktoval volající. Podobně postupujte u zpráv v aplikacích: ověřte si odesílatele jiným kanálem.

Co dělat, když jste klikli nebo zadali údaje

Pokud jste jen klikli, zavřete stránku a nic nezadávejte. Pokud jste údaje zadali, hned změňte heslo k dotčené službě a ke všem účtům, kde jste ho používali také, nejlépe z jiného zařízení. Zapněte druhý faktor, pokud ještě není aktivní, a odhlaste ostatní relace.

Pokud jde o platební údaje, kontaktujte banku a nechte kartu zablokovat. Při podezření na škodlivý software zkontrolujte zařízení. Více o dalších krocích najdete v článku o postupu po podvodu a v sekci Malware. Incident můžete nahlásit také národnímu týmu CSIRT.