Falešný e-mail nebo odkaz v SMS. Podvod stojí jednoho člověka desetitisíce

Stále častější a dokonalejší. Tak dnes mluví odborníci z oblasti kybernetické bezpečnosti o desetiletí známém digitálním podvodu zvaném phising (vyslovuje se fišink).

I když toto cizí slovo možná neznáte, je velmi pravděpodobné, že jste se s ním už setkali na vlastní kůži.

E-maily, které vyzývají adresáta k zadání osobních údajů na falešné webové stránce, jejíž podoba je takřka identická s tou oficiální, se podle dat společnosti Cisco řadí mezi čtyři nejčastější internetové hrozby. Kromě samotného phishingu jsou na dalším místě neoprávněná těžba kryptoměn na cizím zařízení, trojské koně a ransomware (program, který blokuje počítačový systém nebo šifruje data a za odemknutí požaduje výkupné). Tyto čtyři formy jsou podle Cisca 10krát četnější než ostatní případy kybernetického ohrožení.

Jasnější představě o tom, jak se v dnešní době stále častěji setkáváme s internetovými útoky v podobně phishingu, poslouží čísla v boxu níže:

Ačkoliv jsou čísla vysoká, phishingových útoků každoročně stále přibývá.

„Počet útoků roste každoročně, nicméně akcelerace v posledních dvou letech je způsobena dynamickým rozvojem digitalizace. Roste počet aplikací a veřejnost bere digitální prostředí jako samozřejmou součást života, bohužel stále velké procento veřejnosti není schopno detekovat podvodné jednání, internet skýtá svojí podstatou možnost v krátkém čase atakovat obrovské množství uživatelů a i při nízké míře procentuální úspěšnosti je výdělek oproti nutné investici zajímavý,“ vysvětlujete Luděk Tichý, manažer specializovaného útvaru ICT bezpečnosti České pošty.

Jak jsou na tom vaše znalosti základních principů bezpečného chování na internetu, si můžete vyzkoušet v online interaktivním kybertestu, který v rámci vzdělávací kampaně spustila Česká bankovní asociace.

Právě Česká pošta od roku 2018 bojuje v rámci phishingových útoků s rostoucím počtem zneužití jejich loga, které představuje pro veřejnost jistou důvěryhodnost.

„Portfolio našich služeb bohužel vytváří ideální prostředí pro podvodné jednání, zvláště ve spojení s nakupováním po internetu a zasílání zboží, no a v neposlední řadě poskytování peněžních služeb ve spolupráci se státem,“ popisuje Tichý z České pošty.

Z pohledu charakteru podvodu se podle jeho slov nejčastěji jedná o falešné oznámení nedoplatku za poštovní zásilku (balík), kdy se útočník pod záminkou doplatku formou elektronické platby dostane k údajům o platební kartě a obratem oběti konto „vybílí“.

Dalším úspěšným klonem podvrhu je spuštění platební aplikace GooglePay a nebo ApplePay a podvrhem zadání platby na daleko větší částku, než inzeruje, oběť provede platbu na konto útočníka v zahraničí (mimo EU).

„Základním verifikačním údajem je číslo balíku, které lze ověřit v aplikaci Pošta on-line, pokud číslo neexistuje, jedná se o podvrh. V poslední době se objevuje i podvrh formou oznámení výplaty přeplatku na dani a snaha vymámit z oběti opět údaje k platební kartě a zaútočit na bankovní účet,“ doplňuje manažer specializovaného útvaru ICT bezpečnosti České pošty.

Rozpoznání tohoto podvodu ale není složité, protože Česká pošta platbu formou on-line karet neprovádí. Nedoplatek na jakékoli službě není možný, protože platbu provádí vždy odesílatel, a pokud se jedná o dobírku, platí příjemce přímo doručovateli při předání.

O trochu mladší varianta, která se k uživatelům dostává stále častěji, je pak takzvaný SMS phishing. Ten se začal rozšiřovat právě s vývojem smartphonů. Není proto výjimkou, že uživateli přijde například autorizační SMS nebo přihlášení do Apple Pay. I v těchto případech se podvodné zprávy snaží z uživatele vylákat citlivé osobní údaje.

Další speciální a velmi nebezpečnou formu phishingu představuje takzvaný Business E-mail Compromise (BEC), což je útok cílený na firmy. Tento druh phishingu je jedním z finančně nejškodlivějších online zločinů.

„Typicky podvodník předstírá, že je např. finančním či generálním ředitelem firmy a v dobře koncipovaném e-mailu zaslaném do finančního oddělení firmy vyjadřuje naléhavou potřebu uhradit fakturu nebo převést peníze,“ upozorňuje Milan Habrcetl, bezpečnostní expert Cisco.

Velkou komplikací, která dělá tento druh podvodu složitě rozpoznatelný, je fakt, že podvodníci mají pečlivě nastudované detaily z pracovního i soukromého života nadřízeného, a dokážou tak velmi autenticky předstírat, že jsou někým jiným.

„Podvodné e-maily bývají zpravidla odeslány pozdě během dne, často ve čtvrtek nebo pátek nebo před státním svátkem. Časté jsou i případy, kdy například známý dodavatel nebo úřední osoba (např. exekutor) vymáhá uhrazení nějakého poplatku, či dokonce dluhu,“ doplňuje Habrcetl.

Podle zprávy americké FBI dosahují ztráty z této formy phishingu za rok 2021 více než 40 miliard dolarů (zhruba bilion korun), přičemž mezi lety 2019 a 2021 došlo k nárůstu těchto případů o 65 procent. FBI přitom zároveň udává, že s těmito útoky se setkaly skutečně všechny země na světě.

S kybernetickými podvody se ale setkávají prakticky veškeré oblasti napojené na internetovou síť. Podle dat Národní centrály proti organizovanému zločinu v Česku bylo do letošního července zachyceno přes deset tisíc trestných činů páchaných v kyberprostoru.

Například podle dat České bankovní asociace zaznamenalo pokus o útok v loňském roce 81 procent bankovních institucí. Na klienty bank jen za prvních sedm měsíců letošního roku směřovalo přes 20 tisíc útoků, za celý rok 2020 to přitom bylo zhruba čtyřikrát méně.

„Dramaticky narostly hlavně podvodné telefonáty, tzv. vishing, které patří k těm nejzákeřnějším,“ popisuje výkonná ředitelka České bankovní asociace Monika Zahálková. Problém je navíc i to, že se zvyšuje úspěšnost útoků.

Téměř každý druhý podvodný telefonát v současné době bohužel končí škodou pro klienta. Průměrná částka, o kterou klienti při phishingových útocích přijdou, se na jednoho klienta pohybuje kolem 73 tisíc korun, ukazují data ČBA.

Seznam Zprávy jsou mediálním partnerem kampaně #nePINdej.