Phishing patrí medzi najrozšírenejšie formy internetových podvodov. Každý deň zasiahne milióny používateľov po celom svete a žiaľ, ani Slovensko nie je výnimkou. Útočníci sa vydávajú za dôveryhodné inštitúcie, aby vylákali citlivé údaje – najčastejšie prihlasovacie mená, heslá či údaje o platobných kartách. Porozumieť tomu, ako phishing funguje, je kľúčom k tomu, aby ste sa dokázali brániť.
Ako phishing funguje?
Slovo „phishing“ vzniklo zo spojenia „password“ a „fishing“ – teda „lovenie hesiel“. Podvodníci nahodia pomyselný háčik v podobe e-mailu, SMS správy, telefonátu alebo falošnej webovej stránky. Ak obeť naletí a poskytne svoje údaje, útočníci ich okamžite zneužijú. Často vidíme rôzne pokusy z falošných emailov, ktoré sa tvária ako banka, alebo Facebook. Chcú, aby sme vyplnili prihlasovacie údaje a mali pocit, že sa naozaj prihlasujeme do danej služby. Reálne tak len zadávame meno a heslo do podvodnej pasce, ktorá okamžite prístupové údaje zneužíva niekde inde.
Medzi typické príklady phishingu patria:
- Falošné e-maily od bánk alebo úradov – správa tvrdí, že máte aktualizovať údaje, inak vám bude účet zablokovaný.
- SMS správy od kuriérskych spoločností – odkaz vás presmeruje na podvodnú stránku, kde „uhradíte poplatok“.
- Podvody na sociálnych sieťach – falošné profily priateľov či súťaže s cieľom vylákať osobné údaje. Často ide o upozornenia, vraj príspevok na sociálnej sieti porušuje autorské práva.
- Telefonické hovory (vishing) – útočník sa vydáva za pracovníka banky a žiada číslo karty alebo SMS kód. Prípadne podvodník píše cez podivné správy, vydáva sa za vnuka, alebo syna. Následne cez falošný pocit dôvery môže zneužiť komunikáciu, ktorá pritomn nie je komunikáciou s členom rodiny.
Prečo je phishing nebezpečný
Phishing je úspešný preto, lebo útočníci využívajú psychológiu strachu a naliehavosti. Snažia sa vyvolať pocit, že musíte konať hneď – kliknúť, zaplatiť, potvrdiť. Stačí chvíľa nepozornosti, alebo dokonalý email, ktorý veľmi dokonalo kopíruje skutočný email. Alebo správa, ktorú poslal priateľ cez facebook a omylom ste sa z Facebooku odhlásili, tak sa prihlásite znova. V skutočnosti ste sa vôbec neodhlásili, ale otvorilo sa vám z falošnej správy zneužitého priateľa okno s prihlásením, ktoré sa len tvárilo, že ste odhlásení. Takéto prípady sa stávajú opakovane. Konkrétne reálne prípady zo Slovenska popisuje kniha Temná stránka slovenského internetu. V nej autor presne popisuje, ako takéto situácie prebiehajú a ktoré už zamávali emóciami a peňaženkami niektorých ľudí.
Riziká sú vážne:
- strata peňazí z účtu,
- zneužitie identity,
- prístup útočníkov k ďalším účtom (e-mail, sociálne siete, firemné systémy),
- poškodenie reputácie, ak sa cez váš účet šíri ďalší podvod.
Ako spoznať phishing
Aj keď sú útočníci čoraz sofistikovanejší, phishingové správy majú často spoločné znaky. Pishingové emaily sa často prezradia niektorými spoločnými znakmi. Vo všeobecnosti ide o:
- neznámy alebo podozrivý odosielateľ, pozorne si pozrite, aká adresa vám email poslala
- pravopisné chyby a zlé preklady, inak vyzerajúce logá
- nezvyčajné odkazy (napr. namiesto domény tatrabanka.sk vás email posiela na www.securebanksystem.nieco.online, alebo čokoľvek iné, okrem tatrabanka.sk…
- nátlak na okamžité konanie („inak stratíte prístup“, alebo „zablokujeme vaše konto“),
- požiadavka na zadanie hesla alebo údajov o karte.
Pokiaľ nevidíte nič podozrivé, je veľmi odporúčané pri rôznych varovaniach buď vyskúšať nové prihlásenie, alebo bezplatnú infolinku banky. Vždy je dobré osloviť skúsenejšieho známeho, člena rodiny, alebo povedzme aj suseda a známeho, o ktorom viete, že sa orientuje v technológiách o niečo viac.
Ak sa žiadosť týka konkrétnej banky, prihláste sa vo vlastnom okne, neklikajte na odkazy v emaily. Vo vlastnom novom čistom prihlásení skontrolujte, či je možné, aby bola správa pravdivá. Skontrolujte banku, prijaté správy, konto a ak vás na nič neupozorňuje vlastné konto na skutočnej bankovej doméne a zároveň na infolinke nemajú pre vás potvrdenie pravosti, ide pravdepodobne o pishing. Jeho nahlásenie ako spam zväčša nemá žiaden účinok, keďže sa zväčša neodosiela dlhodobo z jedného servera.
Ako sa proti phishingu brániť
Obrana proti phishingu je založená na ostražitosti a jednoduchých pravidlách:
- Nikdy nezadávajte citlivé údaje cez odkaz v e-maile alebo SMS. Ak vás kontaktuje banka, choďte priamo na jej oficiálnu stránku alebo zavolajte na oficiálne číslo. Váš email mohli vytipovať, takže ani často netušia, ako sa voláte skutočným menom a nevedia ani žiadne ďalšie kontakty. Horšie je, ak ide o odcudzené databázy, odkiaľ môžu niektoré údaje mať a vytvárať lepší dojem oficiality a pravosti.
- Kontrolujte adresu webovej stránky. Podvodné stránky sa často líšia len malým detailom. Stačí aj jedno písmenko, alebo koncovka domény.
- Používajte dvojfaktorové overenie (2FA). Aj keď niekto získa vaše heslo, bez SMS kódu alebo aplikácie sa nedostane ďalej.
- Majte aktualizovaný antivírus a prehliadač. Mnohé nástroje dokážu varovať pred nebezpečnými stránkami. Najmä ak nejde o čisto nový pishing o ktorom nikto doteraz ani netušil.
- Overujte si informácie. Ak príde e-mail o „blokovanom účte“, overte si to priamo u banky. Volaním na infolinku, alebo na celkom inom okne prehliadača na skutočnej doméne banky – za žiadnych okolností neklikajte na odkazy v takomto emaily, ak jeď zobrazujú doménu banky. Skutočný odkaz môže byť iný ako ten, ktorý sa ako text zobrazuje.
- Buďte opatrní pri zdieľaní osobných údajov na sociálnych sieťach. Útočníci ich môžu použiť na zosilnenie dôveryhodnosti útoku.
Phishing na Slovensku
Slovenská polícia aj Národné centrum kybernetickej bezpečnosti pravidelne upozorňujú na nové vlny phishingových kampaní. Často sa týkajú:
- Slovenskej pošty a kuriérskych spoločností,
- bánk (Slovenská sporiteľňa, VÚB, Tatra banka),
- falošných faktúr za energie či telekomunikačné služby.
- podvodné hoaxy a pishingy zverejňuje aj stránka hoax.sk na Facebooku https://www.facebook.com/hoaxsk
Odporúča sa podvodné e-maily a SMS správy ignorovať, neklikať na odkazy a okamžite ich zmazať. Ak ste zadali údaje, treba kontaktovať banku a nahlásiť incident na polícii.
Budúcnosť phishingu
Phishing je nebezpečný preto, že cieli na našu dôveru a strach. Ochrana nie je zložitá – vyžaduje si však obozretnosť a dodržiavanie základných pravidiel bezpečného správania na internete. Pamätajte: banka, úrad ani seriózna spoločnosť od vás nikdy nebude žiadať zadanie hesla či čísla karty cez e-mail alebo SMS.
Experti upozorňujú, že phishing sa vyvíja. Čoraz viac sa využíva umelá inteligencia, ktorá generuje bezchybné texty a napodobňuje hlas reálnych ľudí. Už je známy prípad, kedy šéf telefonoval videohovorom s podriadeným, aby prepísal veľkú čiastku peňazí a podriadený poslúchol. Až neskôr vysvitlo, že videohovor bol falošný a dopomohla k dokonalosti práve umelá inteligencia. Do budúcnosti bude ešte ťažšie rozlišovať medzi pravou a falošnou komunikáciou.
