Phishing

Prečo sú phishing, smishing a vishing najčastejšie útoky na súkromie

Phishing (podvodné e-maily), smishing (podvodné SMS a chat správy) a vishing (podvodné telefonáty) patria k najrozšírenejším technikám sociálneho inžinierstva. Útočníci neútočia na technológiu, ale na človeka – skôr ako heslá a kryptografiu kompromitujú rozhodovanie, emócie a návyky. Cieľom je vylákať citlivé údaje, zneužiť platby alebo nainštalovať škodlivý softvér. Tento článok vysvetľuje, ako tieto útoky rozpoznať a ako na ne správne reagovať ako jednotlivec aj organizácia.

Základné pojmy a rozdiely

• Phishing: podvodné e-maily, ktoré napodobňujú známe značky (banky, kuriéri, úrady) a vedú na falošné formuláre alebo obsahujú škodlivé prílohy.
• Smishing: to isté v SMS, RCS alebo cez chat platformy (WhatsApp, Messenger, Telegram, Viber). Často ide o „balík na ceste“, „blokovaný účet“ či „nezaplatenú faktúru“.
• Vishing: telefonát imitujúci autoritu (banka, polícia, technická podpora). Cieľom je získať kódy, prístup do internetbankingu alebo presvedčiť k okamžitému prevodu.

Podtypy: spear phishing (cielený na konkrétnu osobu), whaling (na vedenie firmy), BEC – Business Email Compromise (zmena platobných údajov dodávateľa), QRishing (QR kódy v letákoch/e-mailoch), consent phishing (žiadosť o súhlas aplikácie k vašemu účtu), či MFA fatigue (zahlcovanie výzvami 2FA).

Psychológia útoku: na aké spúšťače hrajú

• Urgencia („okamžite konajte, inak prídete o účet“).
• Autorita (podpis „banka/policajt/IT oddelenie“).
• Nedostatok („posledná šanca“, „len dnes“).
• Strach a hanba (údajné porušenie pravidiel, dlh).
• Odmena (preplatok, výhra, refundácia).

Typické znaky a červené vlajky

• Doména/odkaz: vizuálne podobná originálu (m0jabanka.sk, moja-banka.support). Pri mobile sa URL často skrýva za skrátením.
• Nečakaná požiadavka: zadanie prihlasovacích údajov, kódov z SMS, inštalácia „bezpečnostnej“ aplikácie.
• Jazyk a štýl: neobvyklá slovenčina/čeština, tykanie/vykanie bez kontextu, gramatické chyby.
• Prílohy: súbory .html, .htm, .exe, makrá v .docm/.xlsm.
• Neštandardný odosielateľ: osobná adresa namiesto firemnej, alebo „display name“ maskujúci skutočný e-mail.
• Platby a IBAN: náhla zmena účtu dodávateľa bez riadnej autorizácie (BEC).

Anatómia phishingového e-mailu: rýchla kontrola krok za krokom

1. Skontrolujte adresu odosielateľa (po kliknutí zobrazte celý e-mail, nielen meno).
2. Preleťte predmet a prvé vety: hľadáte urgentnosť a emócie.
3. Najeďte myšou na odkazy (na mobile podržte dlhšie): porovnajte doménu s oficiálnou.
4. Nesťahujte prílohy, ak neočakávané alebo vyžadujú makrá.
5. Overte iným kanálom: zavolajte na číslo z webu firmy, nie z e-mailu.

Smishing: špecifiká mobilných podvodov

• Kuriérske správy: odkaz na „doplatenie cla“ – vedie na falošnú platobnú bránu.
• Bankové blokovanie: žiada prihlásenie cez odkaz, následne volá „operátor“.
• Falošná podpora: presviedča k inštalácii „bezpečnostnej“ apky (v skutočnosti vzdialená správa zariadenia).
• Chat platformy: správy z „neznámeho čísla kolegu/šéfa“ so žiadosťou o okamžitú platbu darčekových kariet alebo krypta.

Vishing: ako prebieha podvodný telefonát

1. Scare-call: „na vašom účte prebieha podvodná platba“.
2. Prepojenie na ‘odborníka’: druhý hlas potvrdí príbeh, niekedy s robotickým IVR.
3. Požiadavka na kódy: SMS/autorizačné kódy, alebo prístup cez vzdialenú správu.
4. Izolácia obete: „nepokladajte, je to časovo kritické“, „nevolajte nikomu inému“.

Pozor na spoofing čísla: útočník môže zobraziť legitímne číslo banky. Nikdy neprezrádzajte kódy po telefóne.

Technické a organizačné obranné vrstvy

• Silná identita: unikátne heslá a skutočné 2FA (apka/hardvérový kľúč, nie SMS, kde to ide).
• Aktualizácie OS a aplikácií, vypnuté makrá, antivírus/EDR.
• Filter pošty a linkov: antispam, blokovanie skracovačov a známych škodlivých domén.
• Politiky v organizácii: zásada „nikdy nežiadať kódy a heslá“, dvojkanálové schvaľovanie platieb, zmena IBAN len po call-backu na známe číslo.
• Školenia a simulácie: pravidelné cvičenia phishingu, meranie a tréning.
• Správa práv: princíp najnižších oprávnení, rýchla revokácia prístupov.
• Ochrana domén: pre firmy DMARC, SPF, DKIM; pre verejnosť aspoň pozornosť k doménam a certifikátu (zámok ≠ dôvera, len šifrovanie).

Rozpoznanie: praktický 10-bodový checklist

1. Je požiadavka nečakaná alebo mimo kontext?
2. Vytvára správu tlak na okamžité konanie?
3. Žiada o kódy, heslo, čísla kariet, export seed frázy?
4. Je odkaz/doména odlišná od oficiálnej, hoci podobná?
5. Je jazyk neobvyklý alebo prehnane formálny/neformálny?
6. Prichádza žiadosť o platbu/IBAN z „nového“ e-mailu?
7. Obsahuje prílohu vyžadujúcu makrá alebo neznámy formát?
8. Žiada inštaláciu „bezpečnostnej“ aplikácie?
9. Nedá sa odosielateľa nezávisle overiť iným kanálom?
10. Pôsobí komunikácia tajnostkársky („nikomu nehovorte“)?

Reakcia: čo robiť pri podozrení (jednotlivec)

1. Neklikajte a neodpovedajte. Správu označte ako spam/phishing, číslo zablokujte.
2. Overte si informáciu cez oficiálny kanál: číslo z webu, aplikáciu banky alebo vlastnú uloženú kontakt kartu.
3. Ak ste klikli a zadali údaje: okamžite zmeňte heslo, odhláste aktívne relácie, zapnite/posilnite 2FA.
4. Ak ste zadali údaje ku karte: kontaktujte banku, kartu dočasne zablokujte a sledujte transakcie.
5. Ak ste nainštalovali aplikáciu: odpojte zariadenie od siete, odinštalujte ju, spustite bezpečnostnú kontrolu; v kritických prípadoch vykonajte factory reset a obnovu zo zálohy.
6. Nahláste podvod poskytovateľovi (e-mail, operátor), banke a uchovajte dôkazy (snímky obrazovky, čísla, URL).

Reakcia: čo robiť pri podozrení (organizácia)

1. Izolácia: odpojte infikované stanice, zablokujte URL/domény na firewalli/proxy.
2. Reset prístupov: okamžitá zmena hesiel, revokácia tokenov a relácií, obzvlášť pre cloud (O365/Google Workspace) a VPN.
3. Forenzná stopa: zozbierajte hlavičky e-mailu, logy z gateway, EDR artefakty, časovú os.
4. Komunikácia: interný alert bez viny/hanby, jasné inštrukcie; externé oznamy podľa potreby.
5. Finančné opatrenia: pri BEC okamžitý kontakt banky a dodávateľa, žiadosť o recall platby.
6. Právne povinnosti: pri úniku osobných údajov posúdiť oznamovaciu povinnosť podľa GDPR (spravidla do 72 hodín).
7. Poučenie: spätná analýza, aktualizácia playbooku, doplnenie tréningu a pravidiel schvaľovania platieb.

Bezpečné overovanie a alternatívy k rizikovým postupom

• Overenie mimo kanála: ak prišiel e-mail, overte telefonicky na známe číslo; ak prišiel telefonát, zavolajte naspäť na oficiálnu linku.
• Overené aplikácie: používajte oficiálne mobilné apky bánk a portálov, nie odkazy zo správ.
• Platobné zmeny: pri zmene IBAN vždy dvojité schválenie a spätné zavolanie na uložený kontakt.
• Správa hesiel: správca hesiel automaticky odhalí falošné domény, lebo nevyplní údaje na neznámej stránke.
• Silnejšie 2FA: uprednostnite autentifikátor alebo hardvérový kľúč pred SMS, kde je to možné.

Príklady bežných scenárov a správnych reakcií

• „Balík zadržiava colnica“ (SMS): neklikám; otvorím oficiálnu aplikáciu kuriéra alebo zadám adresu ručne do prehliadača.
• „Nezvyčajná aktivita v účte“ (e-mail): neprihlasujem sa cez odkaz; otvorím si účet cez záložku/klávesovú skratku a skontrolujem notifikácie.
• „Som tvoj šéf, kúp darčekové karty“ (chat): overím hlasovým hovorom na uložené číslo; bez potvrdenia nič nekupujem.
• Telefonát z „banky“ žiada kód: ukončím hovor; zavolám na číslo z webu banky; banky kódy nežiadajú.

Špeciálne riziká roku 2025: AI a deepfake

• Deepfake hlas: vishing môže znieť ako známy človek; držte sa pravidla dvoch kanálov.
• Personalizácia vo veľkom: útočníci generujú verné texty v vašom jazyku; spoliehajte sa na procesy, nie „pocit“.
• Falošné prihlásenia cez OAuth: dialóg žiada povolenia k celému poštovému účtu; skontrolujte doménu poskytovateľa a rozsah oprávnení.

Implementačný mini-playbook pre malé firmy

1. Politika platieb: žiadna zmena IBAN bez call-backu; dvojité schvaľovanie nad limit.
2. Reportovací kanál: tlačidlo „Report phishing“ v pošte, alias security@firma.sk, reakčný čas do 1 hodiny.
3. Tréning: 4× ročne krátke micro-kurzy a simulácie, zvlášť pre účtovné/finančné oddelenie.
4. Technika: centrálne blokovanie domén/URL, EDR, cloudové DLP, pravidelné zálohy a test obnovy.
5. Incidenty: pripravené šablóny e-mailov, checklisty a kontakty (banka, poskytovateľ, CSIRT).

Ako a kde nahlasovať podvody

• Banke alebo poskytovateľovi platby: okamžité zablokovanie a pokus o reverziu transakcie.
• Operátorovi/e-mailovému poskytovateľovi: blokácia čísla/domény, odoslanie vzoriek.
• Príslušným kybernetickým tímom a polícii: podľa jurisdikcie (napr. národné CSIRT tímy, linky dôvery). Uložte si snímky obrazovky, hlavičky e-mailov, čísla účtov a časové pečiatky.

Najčastejšie mýty

• „Zámok v prehliadači znamená, že stránka je dôveryhodná.“ Nie – znamená iba šifrované spojenie.
• „Banka ma nikdy nebude kontaktovať.“ Banky kontaktujú, ale nikdy nežiadajú heslá ani kódy cez e-mail/telefonát/SMS.
• „Poznám adresu odosielateľa, je to v poriadku.“ Adresu aj číslo možno sfalšovať (spoofing).

Rýchla karta prvej pomoci (TL;DR)

• Neprepájajte sa cez odkaz zo správy; použite uloženú záložku alebo oficiálnu aplikáciu.
• Nikdy nezdielajte kódy 2FA, seed frázy, heslá ani snímky občianskeho.
• Pri zmene IBAN vždy volajte späť na známe číslo.
• Ak ste sa pomýlili: okamžite zmeňte heslo, zablokujte kartu/účet, kontaktujte banku a nahláste incident.
• Učte sa rozpoznávať červené vlajky a trénujte tím.

Phishing, smishing a vishing sa neustále vyvíjajú, no ich úspech závisí od ľudského faktora. Spájajte technické opatrenia so zrelými procesmi a pravidelným tréningom. Kľúčom je skeptické myslenie, overovanie mimo pôvodného kanála a pripravený plán reakcie. Takto ochránite svoje súkromie aj firemné aktíva pred najčastejšími podvodmi súčasnosti.