Rostoucí hrozbě phishingu je sice v posledních letech věnována zvýšená pozornost, ale mnoho lidí stále neví, jak podvodné taktiky rozpoznat a jak se proti nim bránit. Klíčovou ochranou je přitom prevence a informovanost.
Termín "phishing" je zkomoleninou anglického výrazu pro rybaření. V podstatě je to forma kybernetického útoku, která se pomocí stále sofistikovanějších technik snaží přelstít koncového uživatele. Často mívá podobu podvodné e-mailové zprávy, útočníci ale mohou využívat i jiné kanály.
Cílem phishingu je snaha přinutit uživatele k akci (nejčastěji ke kliknutí na falešný odkaz) tím, že se útočník vydává za někoho jiného a důvěryhodného – například banku, telefonního operátora nebo třeba kurýrní službu.
Podvodná zpráva často obsahuje nějakou výzvu – například k aktualizaci účtu, změně hesla nebo ověření totožnosti či bankovních údajů přes podvržený odkaz. Poté může dojít k různým situacím v závislosti na tom, jaké má útočník cíle.
Typicky však po kliknutí na takový odkaz dojde o přesměrování na webové stránky, na kterých je po vás požadováno vložení bankovních údajů nebo přímé zaplacení za podvodné služby. Stejně tak ale můžete být přesměrováni na stránky, které budou graficky velmi podobné těm známým a legitimním. Stále se však jedná o podvrh a dostali jste se pouze na kopii originálního webu, jejíž cílem je vymámit z vás citlivá data nebo do vašeho zařízení dostat škodlivý malware. Např. nainstalovaný spyware pak sbírá citlivá data včetně bankovních a přihlašovacích údajů a odesílá je zpět útočníkovi.
Pokud máte pocit, že se váš počítač chová nestandardně, či je neobvykle pomalý, seznamte se s tím, jak poznat a opravit zavirovaný počítač.
V praxi může mít phishing ale mnoho různých podob. A právě proto je tak nebezpečný. Útočníci se mohou maskovat za kohokoli, jsou stále chytřejší a jejich podvody hůře odhalitelné. Phishingovou metodu proto využívají stále častěji – podle výzkumu společnosti Acronis vzrostl počet e-mailových útoků v první polovině roku 2023 ve srovnání s první polovinou roku 2022 o neskutečných 464 %.
Nejnepříjemnějšími a nejčastějšími důsledky phishingových útoků může být:
Jak vidíte, phishing se může stát velmi nebezpečným podvodem, ale klidně i hackerským útokem. Proto je tak potřebné se proti němu bránit už před tím, než nastane. Nejlepší formou obrany je proto vždy prevence.
Phishingové útoky probíhají nejčastěji pomocí podvodných e-mailů, útočníci ale mohou využít jakoukoliv formu elektronické komunikace.
Nejběžnější forma phishingu, kdy útočníci rozesílají hromadné a univerzální podvodné zprávy více uživatelům současně. Tyto zprávy nejsou cíleny na specifické organizace či osoby, a proto je nejsnazší odhalit, že jde o podvod. Příkladem útoku může být případ z roku 2022, kdy jednatelka firmy kliknula na odkaz ve falešném e-mailu a firma následně přišla o 1,5 milionu Kč.
Je mnohem nebezpečnějším typem phishingu. V tomto případě útočník svou oběť déle sleduje a získává si o ní potřebné informace. Monitoruje její sociální sítě, aktivitu v různých diskusích a podobně. Jakmile se dostane k něčemu, co může zneužít, postaví specificky zacílenou podvodnou zprávu přesně na míru. Oběť pak snadněji naletí a klikne na podvržený odkaz, protože e-mail na první pohled vypadá velmi důvěryhodně.
Voice phishing neboli vishing je forma phishingového útoku přes telefonní hovor. Čísla, ze kterých útočníci volají, často vypadají jako reálná telefonní čísla institucí, za kterou se vydávají. Hovor začíná být podezřelý v té chvíli, kdy útočník začne požadovat informace, které daná instituce normálně nikdy nežádá (například kompletní platební údaje o vaší kartě).
Zajímavé video na toto téma vytvořil YouTube kanál Jirka vysvětluje věci. Minimálně začátek popisovaného podvodu je velmi uvěřitelný. Podvodníci se představují jménem skutečných zaměstnanců banky a policie, a tak si jejich totožnost můžete ověřit i na oficiálních webech. Současně zdánlivě používají telefonní čísla, která používají dané instituce. I na průměrně znalého uživatele Internetu tak takový pokus musí působit věrohodně (doporučujeme zhlédnout video).
Phishing zaslaný formou SMS zprávy označujeme jako smishing. SMS vzbuzuje v lidech přirozeně vyšší důvěru než e-mailová zpráva a na to útočníci cílí. Zpráva nejčastěji obsahuje falešný odkaz nebo telefonní čísla či e-maily, přes které má oběť kontaktovat instituci, v jejímž jméně útočník jedná. V poslední době se šíří třeba falešné zprávy o problému s doručením zásilky.
Forma phishingu, při které vás kliknutí na odkaz od útočníka přesměruje na podvodné webové stránky, které jsou graficky velmi podobnou kopií originálního webu dané instituce. Setkat se můžete s podvodnými stránkami i přímo ve výsledcích vyhledávání na Google.
Podobá se spear phishingu, útočník ale cílí na tzv. „velké ryby“ – majitele firem či vrcholové manažery. Sleduje a monitoruje jejich aktivity, načež jim vytvoří phishingovou zprávu na míru.
Phishingový útok, kdy se podvodná zpráva tváří jako e-mail od majitele firmy či ředitele organizace a cílí na jeho zaměstnance.
V tomto případě si útočník vytvoří na internetu falešnou identitu za účelem kompromitování či jiného poškození své oběti.
Pojmy phishing a sociální inženýrství spolu velmi úzce souvisí. Sociální inženýrství lze definovat jako snahu podvodem vylákat z uživatelů jejich citlivé osobní, platební či jiné údaje.
Phishingový útočník tedy vlastně využívá techniky sociálního inženýrství k tomu, aby dosáhl toho, co chce – dostal se k údajům oběti. Toho lze dosáhnout pouze tak, že jí zmanipuluje k tomu, aby provedla nějakou akci a klikla na podvržený odkaz. Tato manipulace vždy zahrnuje pokus o vzbuzení nějaké emoce v oběti, aby pak rychle a bez rozmyslu jednala.
Útočníci takto využívají sociální inženýrství k tomu, aby v oběti vzbudily:
Lidé jsou důvěřiví a útočníci to vědí. Mezi nejnovější trendy v oblasti phishingových útoků proto patří právě častější využívání psychologické manipulace než klasických malwarových útoků. Podvodné stránky a e-maily jsou proto dnes na síti již větším nebezpečím než škodlivé kódy.
Další novinkou je pak zvýšené využívání vishingu a smishingu. Je lehčí odhalit podvodný e-mail než podvodný telefonní hovor či SMS zprávu a útočníci to dobře vědí. Během telefonního hovoru oběť nemá čas na přemýšlení či ověřování informací a musí rychle reagovat, což často vede k tomu, že naletí podvodníkovi.
Phishingový e-mail můžete rozpoznat podle jeho typických varovných znaků, kterými jsou:
Umět správně rozeznat phishing je pouze jedním ze základních stavebních kamenů bezpečného používání internetu. Stejně tak je ale důležité nepodcenit ani zabezpečení Wi-Fi sítě a odpovídající zabezpečení počítače i všech ostatních citlivých zařízení včetně zabezpečení tiskáren.
Nejlepší obranou před phishingem je jeho prevence. Proto je v rámci boje proti této podvodné taktice dobré osvojit si těchto pár základních návyků:
V rámci boje proti phishingu je nutné zaměřit se také na zaměstnance ve firmách. Každá společnost si může najít vlastní způsob, jak své zaměstnance v tomto ohledu vzdělávat. Možností je hned několik. Osvěta může probíhat pomocí různých přednášek, workshopů, e-learningů či třeba výukových videí.
Navíc existují také různá školení třetích stran. V podstatě jde o tréninkové programy, kde se zaměstnanci naučí, jak se před phishingem bránit, a následně jsou otestováni pomocí rozeslané vzorové phishingové kampaně, o které zaměstnanci ani nevědí.
Ještě účinnější je rozeslat tuto kampaň před začátkem vzdělávání a ilustrovat její výsledky důležitost vzdělávání v této oblasti. Je to dobrý způsob, jak zavést prevenci proti phishingu do firmy a zároveň si otestovat, jak je na tom firma s bezpečností před i po školení zaměstnanců.
Dále je pak důležitá také informovanost personálu. Phishingové útoky často navazují na aktuální dění ve světě (podobně podvodníci zneužívali pandemii covidu i aktuální situaci na Ukrajině). Ve firmě je proto potřebné v rámci IT bezpečnosti také sledovat tyto hrozby a pro své zaměstnance k nim pravidelně vydávat varování.
Phishing dnes už není pouze o podvodných e-mailech ve zkomolené češtině. Naopak, představuje naprosto relevantní a všudypřítomnou hrozbu, která může přijít odkudkoli a zasáhnout kohokoli. Útočníci využívají stále nové kanály a sofistikovanější postupy, které mohou oklamat i zkušenější uživatele. Proto je nutné v kyberprostoru s tímto rizikem stále počítat a umět jej včas rozpoznat.
Znalost vašeho hardware, jako je základní deska, paměť RAM, grafická karta, či procesor, může být klíčová při upgradu, řešení problémů nebo instalaci nových ovladačů. V tomto článku vám proto ukážeme jednoduché způsoby, jak si informace o vašem hardware snadno zjistit. Číst celý článek
Výběr pracovního mobilního telefonu není jen o značce nebo ceně – jde o nástroj, který ovlivní vaši každodenní produktivitu a efektivitu. V tomto článku se proto podíváme na klíčové parametry, které by měl pracovní telefon splňovat, a poradíme, jak najít ideální zařízení. Číst celý článek
Výběr vhodného modelu dataprojektoru závisí na celé řadě faktorů od požadované kvality obrazu, přes velikost místnosti až po možnosti připojení. V článku vám poradíme, jak se zorientovat v klíčových parametrech, abyste našli projektor, který splní vaše požadavky. Číst celý článek
Majitelé firem, projektoví manažeři, vedoucí i zaměstnanci si kladou otázku, jak lépe řídit úkoly, komunikovat nebo sdílet informace tak, aby neztráceli cenný čas. Pojďme si představit aplikace, které vám pomohou získat nad pracovním dnem větší kontrolu. Číst celý článek
Internet je dnes plný kybernetických hrozeb a setkání s některým z typů malwaru je tak prakticky nevyhnutelné. Proto je zásadní vědět, jak tyto hrozby rozpoznat, jak se před nimi chránit a jak se malware zbavit, pokud je jím váš již počítač nakažen. Číst celý článek
Pořízení screenshotu je velmi snadným způsobem, jak sdílet důležité údaje z obrazovky vašeho počítače. Funkce printscreen přitom ale zahrnuje i pokročilejší možnosti, se kterými je vytváření, úprava i sdílení snímků obrazovky doslova hračkou. Číst celý článek
