Tváří se jako vaši známí, kolegové, banky nebo zavedené firmy. Působí důvěryhodně, často spěchají a vyvolávají dojem, že je nutné jednat okamžitě. Ve skutečnosti vás ale neznají – jejich cílem jsou vaše přístupové údaje, citlivá data nebo peníze.

Řeč je o phishingu. Co to phishing je, proč stále funguje a jak ho v praxi rozpoznat?

Co je phishing a proč je tak úspěšný

Phishing patří mezi nejrozšířenější typy kyberútoků a je založený na tzv. sociálním inženýrství. Útočník se vydává za někoho, komu běžně důvěřujete – například za banku, kurýrní společnost nebo kolegu z práce – a snaží se vás přimět k tomu, abyste sami poskytli citlivé informace.

Útok může přijít e-mailem, SMS zprávou, přes sociální sítě nebo telefonicky. Neútočí na technická zabezpečení systémů, ale na lidskou pozornost, důvěru a emoce. Právě proto phishing funguje i dnes, kdy jsou lidé obecně obezřetnější než dříve.

Phishing reaguje na situaci a roční období

Phishingové kampaně se často vážou na konkrétní období nebo aktuální dění. Typickým příkladem jsou svátky, výprodeje nebo zvýšený objem zásilek. Zprávy pak informují o údajně nedoručeném balíku, nutnosti zaplatit clo nebo potvrdit platbu.

Často se pracuje s velmi malými částkami, které nepůsobí podezřele. Právě to zvyšuje pravděpodobnost, že člověk zareaguje impulzivně a bez ověření. Zkušenější uživatelé mohou rozpoznat nesrovnalosti, ale phishingové zprávy jsou dnes stále propracovanější.

Útočníci navíc nemusí vystupovat jen jménem instituce. Stále častěji se vydávají za konkrétní osoby – kolegy, nadřízené nebo obchodní partnery. Zfalšovat odesílatele e-mailu dnes pro zkušeného útočníka nepředstavuje zásadní problém.

Důvěryhodnost a urgence: základ phishingu

Každý phishingový útok stojí na dvou pilířích – důvěryhodnosti a naléhavosti. Zpráva se snaží působit oficiálně a zároveň vás nutí jednat rychle.

Typické formulace pracují s výhrůžkou nebo tlakem na okamžité rozhodnutí. Pokud nezaplatíte, balík bude vrácen. Pokud si ihned nezměníte heslo, váš účet nebude v bezpečí. Cílem je, abyste neměli čas se zastavit a ověřit si informace.

Pozor na vizuální podobu zpráv

Moderní phishing už dávno není o špatně napsaných e-mailech bez diakritiky. Útočníci často používají oficiální loga, barvy i styl komunikace, který odpovídá skutečným newsletterům nebo systémovým zprávám. Na první pohled tak může e-mail působit zcela legitimně.

Právě proto je důležité dívat se nejen na vzhled, ale i na detaily.

Jak phishing v praxi rozpoznat

Žádný jednotlivý znak není stoprocentním důkazem phishingu. Podezřelých signálů je ale více a často se kombinují.

Zamyslete se například nad tím, zda je zpráva vůbec očekávaná. Skutečně čekáte e-mail o změně hesla, zásilce nebo faktuře? Útočníci si dnes dokážou o obětech zjistit řadu informací, takže ani kontext nemusí být vždy náhodný.

Dále se vyplatí vnímat jazyk a styl komunikace. I když jsou dnešní phishingové zprávy často jazykově kvalitní, podivné formulace nebo neobvyklý tón mohou být varováním. Stejně tak obecné oslovení. Seriózní služby vás obvykle oslovují jménem, nikoli jen „Dobrý den“ nebo „Vážený zákazníku“.

Velmi důležitým krokem je kontrola e-mailové adresy odesílatele, zejména domény. I drobná odchylka může znamenat problém. Běžnou praktikou jsou například domény typu micros0ft.com, kde je písmeno nahrazeno číslicí, nebo rnicrosoft.com, kde je písmeno „m“ nahrazeno kombinací „r“ a „n“. Na podobné triky dlouhodobě upozorňuje například podpora společnosti Microsoft.

Řada firem také aktivně informuje své uživatele o tom, jak oficiální komunikace vypadá. Například PayPal v minulosti upozorňoval, že zákazníky v e-mailech oslovuje jménem, a zprávy bez personalizace mohou být podezřelé.

Co dělat, když phishingový e-mail otevřete

Samotné doručení nebo otevření phishingové zprávy obvykle neznamená problém. Riziko nastává ve chvíli, kdy kliknete na odkaz, otevřete přílohu nebo zadáte své přihlašovací údaje.

Pokud se to stane, je klíčové jednat rychle. V první řadě je potřeba se přihlásit do dané služby oficiální cestou a okamžitě změnit heslo. Pokud používáte stejné heslo i jinde – což se nedoporučuje – je nutné ho změnit i u dalších služeb.

Dále je vhodné incident nahlásit provozovateli služby nebo internímu IT oddělení. Ve firemním prostředí se osvědčuje využití tiketovacího systému, který umožní bezpečnostní incident rychle zaevidovat a řešit.

Phishing se vyvíjí. Obezřetnost zůstává klíčová

Phishing není v IT prostředí žádnou novinkou. Přesto dokáže i dnes způsobit značné škody. Útočníci se neustále přizpůsobují, zdokonalují své metody a reagují na to, že uživatelé jsou obezřetnější než dříve.

Základem kyberbezpečnosti proto není strach, ale informovanost a schopnost se na chvíli zastavit a ověřit si, s kým vlastně komunikujete.

Za celý tým E LINKX vám přejeme, aby vaše citlivá data zůstala v bezpečí – doma i ve firemním prostředí.