Pokročilý phishing

Prečo „nové generácie“ phishingu menia pravidlá hry

Phishing už dávno nie je iba nešikovný e-mail so zlou gramatikou a podozrivým odkazom. Moderní útočníci kombinujú generatívnu AI, automatizovanú spravodajskú prípravu obete (OSINT), hlasové a videodeepfake techniky, postranné kanály (SMS, chat, sociálne siete, cloudové aplikácie) a sofistikované obchádzanie viacfaktorového overenia (MFA). Výsledkom sú vysoko presvedčivé kampane s rýchlou návratnosťou a ťažkou detekciou. Tento článok mapuje kľúčové trendy, techniky, detekčné signály a odporúčania na reakciu a prevenciu v podnikovej aj individuálnej praxi.

Evolúcia phishingu: od hromadných kampaní k presnému zameraniu

• Fáza 1 – Hromadný spam: generické správy, nízka úspešnosť, jednoduché filtre.
• Fáza 2 – Spear-phishing: cielenie na vybrané osoby, lepšia personalizácia, vyššie riziko BEC (Business Email Compromise).
• Fáza 3 – Multikanál a automatizácia: kombinácia e-mailu, SMS (smishing), hlasu (vishing), sociálnych sietí a firemných chatov.
• Fáza 4 – AI-podporované útoky: bezchybná lokalizácia, imitácia štýlu komunikácie, deepfake hlas/video, dynamické weby a adversary-in-the-middle (AiTM) proxy na krádež relácií.

Techniky novej generácie: prehľad a rizikový profil

• Generatívna AI pre obsah: prirodzený jazyk, interný žargón, „teplota“ komunikácie napodobnená podľa interných e-mailov alebo LinkedIn profilov.
• Deepfake vishing a videofishing: syntetický hlas „CFO/CEO“ žiadajúci urgentný prevod; video-deepfake na videohovoroch.
• AiTM a krádež relácií: proxy stránky zachytávajú prihlasovanie aj OTP; útočník získava session cookie a obchádza MFA.
• Browser-in-the-Browser (BitB): falošné modálne okno federovaného SSO (napr. „Prihlásiť cez Microsoft/Google“) v rámci legitímnej stránky.
• OAuth consent phishing: namiesto hesla žiadosť o udelenie oprávnení aplikácii (offline_access, Mail.Read), ktorá potom obíde zmenu hesla aj MFA.
• HTML smuggling: škodlivý obsah je zložený až v prehliadači (JS vytvorí Blob), obchádza tradičné brány.
• QRishing: QR kódy v tlačených materiáloch alebo e-mailoch smerujúce na škodlivé URL, často s premostením na mobilné zariadenie bez firemných kontrol.
• Push fatigue a „MFA bombing“: zahltenie používateľa výzvami; útočník získa náhodné potvrdenie.
• Dodávateľský reťazec a SaaS: kompromitácia partnera, následné legitímne e-maily s reálnymi prílohami/odkazmi; zneužitie zdieľania v cloude.

Starý vs. nový phishing: porovnávacia tabuľka

Indikátory kompromitácie a signály podozrivosti

• Nekonzistentná cesta identity: prihlásenie z nového zariadenia/ASN krátko pred požiadavkou na urgentný úkon.
• Neštandardné požiadavky: obchádzanie schvaľovacích procesov („pošli teraz, papierovanie doženieme“), zmena bankového účtu dodávateľa.
• Neobvyklá doména: medzinárodné znaky (IDN homografy), extra subdomény (login.security.team.company.com.evil.tld).
• OAuth súhlas mimo očakávania: žiadosť o široké oprávnenia pre neznámu app.
• Zmeny v hlavičkách a trase mailu: chýbajúce alebo nekonzistentné DKIM/SPF/DMARC, neštandardné Reply-To.
• Push anomálie: výzvy na potvrdenie v časoch mimo pracovnej doby; desiatky v priebehu minút.

Psychologické páky v moderných kampaniach

• Urgencia a strach: „končí licencia“, „blokácia účtu“, „audítori čakajú“.
• Autorita a dôvera: napodobnenie štýlu vedenia, použitie interných skratiek a starších e-mailových reťazcov.
• Reciprocita: malá prosba („potvrď kód“) pred veľkou požiadavkou (prevod, zmena platobných údajov).
• Normalizácia: zarámovanie požiadavky ako rutinného procesu („robievame to takto“).

Prevencia: technické kontrolné opatrenia

• Phishing-rezistentné MFA: FIDO2/WebAuthn s viazaním na origin (origin binding), minimalizuje AiTM.
• Politiky e-mailu: SPF, DKIM, DMARC v režime p=quarantine/reject, BIMI pre vizualizáciu dôvery; monitorovanie rua/ruf reportov.
• Ochrana OAuth a SSO: obmedziť konsent pre tretie strany, schvaľovať iba overené aplikácie, minimalizovať rozsah (least privilege), revízia tokenov.
• Detekcia AiTM: kontrola neštandardných user-agentov, hlavičiek a TLS fingerprintov; heuristiky na cookie theft, viazanie relácií na zariadenie a sieťový kontext.
• Sandboxing a CDR: izolácia príloh, generovanie bezpečných verzií dokumentov (content disarm & reconstruction).
• Prehliadačové opatrenia: izolácia stránok, blokáda pop-up SSO mimo registrovaných domén, detekcia BitB indikátorov.
• DNS a doménová hygiena: blokovanie novoregistrovaných a look-alike domén; monitoring typosquat variantov.
• DLP a CASB: kontrola odlivu údajov po kompromitácii schránky; behaviorálne modely v SaaS.

Prevencia: procesy a ľudia

• Dvojkanálové overovanie: finančné zmeny (IBAN, limity) potvrdzovať mimo e-mailu – telefonátom na známe číslo, nie na číslo z e-mailu.
• Školenia s reálnymi scenármi: simulácie AiTM, OAuth consenty, QRishing; posilňovanie schopnosti odmietnuť „urgentné“ žiadosti.
• Politiky schvaľovania: povinné 4-eyes na platby a zmeny účtov, limity pre urgentné prevody.
• Kultúra bezpečného spochybnenia: ochrana zamestnancov, ktorí eskalujú podozrenia, aj keď ide o „C-level“ požiadavku.

Reakcia na podozrivú komunikáciu: krok za krokom

1. Stop interakcii: neklikať, nepotvrdzovať, nevolať späť na uvedené čísla. Urobiť snímku a uložiť hlavičky/URL.
2. Nahlásiť: použiť firemný kanál (phish@firma alebo tiket). Označiť ako „podozrivé“ v poštovom klientovi.
3. Technická verifikácia: skontrolovať DKIM/SPF/DMARC, URL, certifikát a destináciu formulára; pri OAuth overiť publisher a rozsahy.
4. Izolácia incidentu: ak došlo k interakcii, okamžité odhlásenie všetkých relácií, rotácia hesla, odvolanie OAuth tokenov, nútené re-MFA.
5. Hunt a forenzika: vyhľadať podobné e-maily, IP/ASN, artefakty v EDR/SIEM; skontrolovať pravidlá presmerovania pošty a inbox rules.
6. Oznámenie dotknutým: ak existuje riziko úniku údajov, informovať interných aj externých klientov podľa regulácií a interných smerníc.

Špecifiká vybraných kanálov

• Smishing (SMS): krátke URL, zástupné domény, nalákanie na mobilné prihlasovanie mimo MDM; odporúčanie: otvárať iba z kontrolovaného zariadenia, používať prehliadač s izoláciou.
• Vishing: spätné volania iniciovať cez oficiálne čísla; slovo „callback control“ ako interný štandard.
• Chat a kolaboračné platformy: schvaľovať externé tenants, URL-unfurling s kontrolou reputácie, banner „externý kontakt“ viditeľný pri každej správe.

Architektúra obrany: vrstvený model

• Prevencia: DMARC, FIDO2, DNS filtrácia, izolácia prehliadača, zásady least privilege, správne nastavené zdieľania v SaaS.
• Detekcia: korelácia SIEM (loginy, e-mailové hlavičky, CASB), detekcia AiTM vzorov, anomálie v schránkach (nové pravidlá, forward).
• Reakcia: playbooky v SOAR, rýchle zrušenie tokenov, blokovanie domén/IP, informovanie používateľa cez riadené notifikácie.
• Obnova: audit prístupov, reset oprávnení zdieľaní, post-incident školenie zamerané na konkrétny vzor útoku.

Meranie zrelosti a KPI

• Mean Time to Detect (MTTD) a Mean Time to Respond (MTTR) pri phishing incidentoch.
• Phish-prone rate: podiel kliknutí v simuláciách, segmentovaný podľa tímov a typov techník (AiTM vs. OAuth vs. QR).
• Pokrytie politikami: percento aktívnych účtov s FIDO2, percento domén v DMARC p=reject.
• Úspešnosť blokovania: miera zadržaných HTML smuggling pokusov, zablokovaných look-alike domén pred doručením.

Špeciálne situácie: keď aj MFA nestačí

MFA nie je všeliek. Pri AiTM a krádeži relácií je kľúčové viazať relácie na kontext (zariadenie, sieť, klientske certifikáty), využívať continuous access evaluation a dôsledne obmedziť „dlhé“ obnovovacie tokeny. Pracovať s adaptívnymi politikami – napr. vyžadovať re-MFA pri zmenách citlivých nastavení alebo anomálnych požiadavkách (zmena bankového účtu, export dát).

Checklist pre každodennú prax

• Overujem identitu nad druhým kanálom pri akýchkoľvek finančných alebo právne záväzných požiadavkách.
• Povinne používam FIDO2/WebAuthn pre kritické prístupy; žiadne SMS-OTP pre administrátorov.
• Mám nastavené DMARC na p=reject a monitorujem reporty.
• OAuth consent povoľujem iba overeným aplikáciám; pravidelne revidujem udelené oprávnenia.
• Pri podozrení okamžite odhlasujem všetky relácie a ruším tokeny.
• QR kódy skenujem iba cez dôveryhodnú čítačku s náhľadom URL; nikdy nie pre prihlasovanie bez kontroly originu.

Model reakčného playbooku (skrátený)

1. Detekcia: hlásenie používateľa, alert brány, SIEM korelácia.
2. Klasifikácia: kanál (e-mail/SMS/chat), technika (AiTM/OAuth/BitB), rozsah (jednotlivec vs. kampaň).
3. Kontrola: blok domén/IP, deaktivácia účtu alebo nútený sign-out, odvolanie tokenov, dočasné sprísnenie politík.
4. Eradikácia: odstránenie pravidiel presmerovania, revízia zdieľaní, reset hesiel, rotácia kľúčov.
5. Obnova: obnoviť bezpečný stav, potvrdiť integritu dát, informovať dotknuté strany.
6. Lessons learned: aktualizovať školenia a detekčné pravidlá na základe reálneho útoku.

Od odolnosti jednotlivca k odolnosti organizácie

Phishing novej generácie sa opiera o realistickú komunikáciu, viac kanálov a inteligentné obchádzanie kontroly identity. Kľúčom je vrstvená obrana: kombinácia technických opatrení (FIDO2, DMARC, sandboxing, kontextové hodnotenie prístupu), disciplinovaných procesov (dvojkanálové overenie, 4-eyes, jasné playbooky) a neustáleho učenia sa zo simulácií aj incidentov. Úspech spočíva v tom, že organizácia urobí správne správanie najjednoduchšou voľbou – a to ešte skôr, než útočník stihne využiť ľudskú chybu.