Phishing

Phishing je druh podvodu, při kterém útočník předstírá, že je někdo důvěryhodný – banka, přepravní služba, finanční úřad, kryptoburza nebo kolega z práce. Pošle zprávu, která vypadá oficiálně, a snaží se vás přimět kliknout na odkaz, otevřít přílohu nebo prozradit údaje. Cílem jsou hesla, údaje platební karty, přihlašovací kódy nebo přímo peníze.

Název vychází z anglického „fishing“ (rybaření): útočník nahodí návnadu a čeká, kdo zabere. Phishing je nejčastější cesta, jak se útočníci dostanou k cizím účtům, protože obchází technickou ochranu a míří na člověka. Je proto jádrem celé kyberbezpečnosti běžného uživatele.

Jak phishing funguje

Typický útok má tři kroky. Nejdřív přijde zpráva – e-mail, SMS, zpráva na sociální síti nebo telefonát. Pak následuje nátlak: zablokovaný účet, nezaplacená zásilka, podezřelé přihlášení, výhra nebo pokuta. Nakonec odkaz vede na stránku, která vypadá přesně jako ta skutečná, ale běží na jiné doméně. Co tam zadáte, putuje rovnou útočníkovi.

Pokročilejší stránky fungují jako prostředník: vaše heslo i jednorázový kód z SMS okamžitě přepošlou skutečné službě a útočník se přihlásí dřív, než kód vyprší. Ani dvoufázové ověření přes SMS či aplikaci proto proti phishingu není stoprocentní. Odolné jsou teprve bezpečnostní klíče a passkey, které se na falešné doméně vůbec neaktivují.

Druhy phishingu: spear phishing, smishing a vishing

Hromadný phishing chodí tisícům lidí najednou a spoléhá na to, že se někdo chytí. Spear phishing je cílený útok na konkrétního člověka nebo firmu: útočník si nejdřív zjistí jména kolegů, dodavatelů či rozpracované zakázky a zpráva pak působí velmi věrohodně. Varianta mířená na ředitele a účetní se často točí kolem falešné faktury nebo změny čísla účtu.

Smishing je phishing přes SMS, typicky o nedoručeném balíku nebo dluhu. Vishing probíhá po telefonu – volající se představí jako banka či policie a přemlouvá vás, abyste peníze převedli na „bezpečný účet“. V kryptu jsou běžné falešné stránky peněženek, podvodné airdropy a „podpora“, která chce seed frázi. Nikdo legitimní po vás nikdy seed frázi nechce – ani burza, ani výrobce peněženky.

Jak poznat phishingový e-mail nebo SMS

Nejspolehlivější je dívat se na adresu odkazu a odesílatele, ne na logo. Podvodné domény se liší jedním písmenem, mají slovo navíc („-overeni“, „-support“) nebo jinou koncovku. Další znaky: naléhavost a strašení, neosobní oslovení, nečekaná příloha, žádost o heslo, PIN nebo údaje karty a odkaz zkrácený přes zkracovač adres. Banka ani úřad po vás nikdy nechtějí heslo e-mailem.

Nejlepší zvyk je neklikat vůbec. Pokud zpráva tvrdí, že máte problém s účtem, otevřete službu sami – přes záložku nebo aplikaci – a ověřte si to tam. U neznámé burzy, e-shopu nebo investiční nabídky si službu nejdřív prověřte v nástroji Ověř si.

Co dělat, když jste klikli nebo zadali údaje

Samotné otevření stránky obvykle moc nezpůsobí, rozhoduje, co jste zadali. Pokud heslo, okamžitě ho změňte na skutečné stránce a všude, kde jste používali stejné, a odhlaste všechny ostatní relace. Pokud údaje karty nebo internetového bankovnictví, ihned volejte banku (číslo z jejího webu nebo z karty) a nechte kartu zablokovat. Pokud jste stáhli přílohu, prověřte zařízení antivirem.

Pokud jste přišli o peníze, podejte trestní oznámení na Policii ČR a uschovejte zprávy, odkazy a výpisy. Phishingové kampaně můžete nahlásit také národnímu týmu CSIRT.CZ, případně NÚKIB. U kryptoměn odeslané prostředky vrátit nelze – pokud útočník získal seed frázi, zbytek co nejdřív přesuňte do nové peněženky.

Časté dotazy

Co to je phishing jednoduše řečeno?

Je to podvodná zpráva, která se tváří, že je od důvěryhodné firmy, a snaží se vás dostat na falešnou stránku, kde zadáte heslo nebo údaje karty.

Jaký je příklad phishingu?

SMS „Vaše zásilka čeká na doplatek 39 Kč“ s odkazem na stránku, která vypadá jako přepravce, ale ve skutečnosti sbírá údaje karty. Nebo e-mail o „zablokovaném účtu“ na burze s odkazem na kopii přihlašovací stránky.

Co je spear phishing?

Cílený phishing na konkrétního člověka nebo firmu. Útočník používá skutečná jména, zakázky a souvislosti, takže zpráva působí mnohem věrohodněji než hromadný e-mail.

Ochrání mě před phishingem 2FA?

Částečně. Kód z SMS nebo aplikace může falešná stránka zachytit a hned použít. Proti phishingu nejlépe chrání passkey a hardwarové bezpečnostní klíče, protože fungují jen na skutečné doméně.