Jak doopravdy fungují phishingové podvody — a jeden návyk, který většinu z nich zastaví
Phishing je nejrozšířenější formou kyberzločinu na světě a nespoléhá na to, že vám nabourá počítač — spoléhá na to, že nabourá těch deset vteřin, než se zamyslíte.
Ve zkratce
Co se stalo. Phishing — vylákání peněz, hesel nebo přístupu tím, že se útočník vydává za někoho důvěryhodného — je dnes nejrozšířenější formou kyberzločinu a generativní umělá inteligence dělá falešné zprávy čím dál hůř rozpoznatelné.
Co to znamená. Podíl firem zasažených phishingem vzrostl ze 72 % v roce 2017 na 94 % v roce 2023 a stejné triky dnes fungují přes e-mail, SMS, QR kód i telefonát, který napodobí hlas skutečného člověka.
Rizika a dopady. Zasáhnout to může kohokoli, ale telefonní podvody nepřiměřeně častěji dopadají na starší lidi, zatímco nejnákladnější a nejpřesněji cílené útoky míří na účetní a finanční pracovníky běžných firem.
Co se s tím dá dělat. Nikdy nejednej podle zprávy, která vyvolává spěch. Polož telefon nebo zavři zprávu a pak kontaktuj danou instituci sám — na číslo nebo adresu, kterou jsi měl už předtím, ne na tu, kterou ti dala zpráva.
Na co se dívat dál. Jestli banky a operátoři nasadí ověřování volajícího čísla a dvoufázové ověření mimo SMS dost rychle na to, aby předstihly podvody, které si už dneska poradí s obojím.
Zobrazeno jako shrnutí podle tvého nastavení čtení.
Co se stalo
Ve filmu Beekeeper (2024) přijde penzionovaná učitelka o celoživotní úspory — a o prostředky charity, kterou vede — poté, co klikne na varování o svých účtech. Je to fikce, natočená pro akční thriller. Ale podvod, na kterém stojí, fiktivní není: phishing je forma sociálního inženýrství, při které se útočník vydává za důvěryhodný zdroj — banku, úřad, kolegu — aby lidi přiměl vydat peníze, hesla nebo vzdálený přístup ke svým zařízením.
Podle většiny měřítek jde navíc o nejrozšířenější kyberzločin vůbec. Samotný pojem pochází z roku 1995, kdy se objevil v hackerském nástroji AOHell — tehdejší „návnadou” byla falešná zpráva technické podpory AOL. O tři desetiletí později je rozsah obrovský: podíl firem, které hlásí pokusy o phishing, vzrostl ze 72 % v roce 2017 na 86 % v roce 2020 a 94 % v roce 2023, podle údajů uvedených na anglické Wikipedii u hesla phishing. Generativní umělá inteligence je jeden z hlavních důvodů posledního prudkého nárůstu — umožňuje útočníkům automaticky psát přesvědčivé, přizpůsobené zprávy v měřítku, jaké by žádná lidská skupina podvodníků ručně nezvládla.
Phishing není jedna technika. Zahrnuje e-mailové návnady, hlasové hovory (vishing), textové zprávy (smishing), falešné QR kódy (quishing) a nástroje, které v reálném čase odchytí přihlášení, i když oběť udělá zdánlivě všechno správně.
Souvislosti
Nejstarší varianta je hromadný e-mailový phishing: falešná zpráva „od vaší banky” odkazuje na klonovanou přihlašovací stránku, která zachytí, cokoli tam napíšete. Většina takových zpráv jde na obrovské, necílené seznamy adres v naději, že zabere u malého procenta příjemců.
Spear phishing je přesně zacílená varianta a je nebezpečnější právě proto, že funguje. Útočníci si o konkrétním člověku nebo firmě zjistí informace a v podvodné zprávě odkazují na reálné detaily — skutečného dodavatele, skutečnou fakturu, jméno skutečného kolegy — aby zpráva působila věrohodně. Účetní a auditorské firmy jsou uváděny jako obzvlášť zranitelné, protože jejich zaměstnanci běžně vyřizují přesně ten typ citlivých finančních požadavků, jaký se podvodník snaží napodobit. Nejde jen o zločinecké gangy: v roce 2016 vedli hackeři napojení na ruskou vládu spear-phishingovou kampaň proti více než 1 800 účtům Google spojeným s prezidentskou kampaní v USA, a to pomocí domény napodobující skutečnou přihlašovací stránku Googlu.
Hlasový phishing neboli vishing těží z něčeho, co e-mail nemá: lidé pořád důvěřují lidskému hlasu, obzvlášť když zní oficiálně. Moderní vishingové hovory používají zfalšované číslo volajícího, takže podvodník dokáže na displeji telefonu zobrazit „vaše banka” nebo skutečný název úřadu, a to buď v kombinaci s automatizovaným syntetizátorem řeči, nebo se živým volajícím podle scénáře. Časté varianty se vydávají za daňový úřad hrozící zatčením, za technickou podporu žádající vzdálený přístup, nebo — čím dál častěji — za hlas skutečného důvěryhodného člověka naklonovaný z krátké zvukové nahrávky.
Nejtechničtěji vyspělejší útoky dnes dokážou obejít i dvoufázové ověření (2FA) úplně, pomocí nástrojů, které se neviditelně vloží mezi oběť a skutečnou webovou stránku a v reálném čase přeposílají informace oběma směry. Místo aby ukradly heslo pro pozdější použití, ukradnou rovnou celé aktivní přihlášení — včetně ověřovacího kódu — přesně ve chvíli, kdy ho oběť zadá. Proto bezpečnostní odborníci dnes považují samotné 2FA přes SMS za slabší ochranu, než jakou bývalo.
Proč tohle všechno funguje i na obezřetné lidi? Studie náchylnosti ke spear phishingu zjistila, že v běžném e-mailovém provozu za 21 dní kliklo na simulovaný phishingový odkaz 43 % lidí ve věku 18–25 let a 58 % starších účastníků — přičemž nejvyšší náchylnost ze všech testovaných skupin měly starší ženy. Každá z výše popsaných metod se opírá o stejné tři páky: naléhavost („váš účet bude za hodinu zablokován”), autoritu (logo, odznak, známý hlas) a strach z následků (nezaplacená daň, nevyzvednutá zásilka, napadený účet). Nic z toho nevyžaduje technickou zdatnost. Vyžaduje to jen chvíli, kdy je člověk roztržitý, ustaraný nebo spěchá — tedy většinu chvil ve většině dnů.
Koho se to týká
Vishingoví podvodníci nepřiměřeně často cílí na starší lidi a přistěhovalce — skupiny, které spíš důvěřují formálně znějícímu hlasu v telefonu a spíš se ještě nesetkaly s konkrétním scénářem podvodu. Hrozby zatčením nebo deportací jsou běžnou pákou používanou konkrétně proti volaným přistěhovalcům, která lidi tlačí k tomu, aby poslali peníze dřív, než stihnou tvrzení s někým ověřit.
Na druhé straně spear phishing cílí na lidi s finanční pravomocí uvnitř běžných firem — na zaměstnance, který skutečně může schválit převod peněz nebo změnit platební účet. Jediný dobře připravený e-mail, načasovaný tak, aby vypadal jako od skutečného šéfa nebo dodavatele, už opakovaně stačil k tomu, aby z firmy jedním převodem zmizely reálné peníze.
Hlubší příběh
Pod technologií stojí phishing na něčem mnohem starším než internet: jsme uzpůsobeni rychle a automaticky důvěřovat hlasům, logům a známým formátům, protože po většinu lidských dějin byla taková důvěra rozumnou zkratkou. Hlas v telefonu kdysi znamenal skutečného, dohledatelného člověka. Hlavičkový papír se kdysi těžko padělal. Tyhle zkratky se vyvinuly pro svět, kde padělání stálo skutečné úsilí.
Technologie tohle úsilí odstranila, aniž by odstranila i tu zkratku. Číslo volajícího dokáže zfalšovat kdokoli. Hlas dnes lze naklonovat z pár vteřin zvuku staženého z veřejného videa. Přihlašovací stránku lze pixel po pixelu zkopírovat za pár minut. Nástroje pro padělání se staly téměř zadarmo; instinkt důvěřovat výsledku se nepřizpůsobil stejnou rychlostí.
Právě tahle mezera — mezi tím, jak přesvědčivý dnes padělek dokáže být, a tím, jak rychle jsme naučení mu věřit — je vlastně celý příběh toho, proč phishing pořád funguje i na chytré, obezřetné lidi. Není to charakterová slabina. Je to starý systém důvěry, který narazil na novou, téměř nulovou cenu padělání, a systém to zatím nedohnal. Jediná věc, která tuhle mezeru spolehlivě uzavírá, není chytrost ani nedůvěra ke všem; je to jediný návyk — zastavit se a ověřit si věc kanálem, kterému už důvěřujete, ne tím, který vám právě podala zpráva.
K zamyšlení
Vzpomeň si na poslední zprávu nebo hovor, který v tobě vyvolal záblesk naléhavosti. Ověřil sis to nezávisle předtím, než jsi jednal, nebo až potom?
Kdo v tvém životě — rodič, prarodič, zaměstnanec — nejspíš důvěřuje hlasu v telefonu, a mluvil jsi s ním vůbec někdy o tom, jak si ho ověřit?
Jedna věc na dnešek: ulož si skutečná telefonní čísla své banky, vydavatele karty a jednoho úřadu, se kterým jednáš — přímo z karty nebo z jejich oficiálních stránek — abys se nikdy nemusel spoléhat na to, že ti volající řekne, komu zavolat zpátky.
Zdroje
- Wikipedia — Phishing — https://en.wikipedia.org/wiki/Phishing
- Wikipedia — Voice phishing — https://en.wikipedia.org/wiki/Voice_phishing
- Wikipedia — The Beekeeper (2024 film) — https://en.wikipedia.org/wiki/The_Beekeeper_(2024_film)
Fakta přebíráme z uvedených zdrojů vlastními slovy a odkazujeme na originály. Výklad je náš, ne jejich.
♻︎ Volně k převzetí
Zkopírujte HTML do svého systému. Uvedení zdroje i licence je součástí. Převezměte naše články — zdarma
Za každým titulkem je hlubší příběh. Tohle je ten náš.
Co tady vlastně děláme