Phishing

Phishing je typ podvodu, pri ktorom útočník predstiera, že je niekto dôveryhodný – banka, kuriérska služba, daňový úrad, kryptoburza alebo kolega z práce. Pošle správu, ktorá vyzerá oficiálne, a snaží sa vás prinútiť kliknúť na odkaz, otvoriť prílohu alebo prezradiť údaje. Cieľom sú heslá, údaje platobnej karty, prihlasovacie kódy alebo priamo peniaze.

Názov vychádza z anglického „fishing“ (rybárčenie): útočník rozhodí návnadu a čaká, kto zaberie. Phishing je najčastejší spôsob, ako sa útočníci dostanú k cudzím účtom, pretože obchádza technickú ochranu a útočí na človeka. Je preto jadrom celej kyberbezpečnosti bežného používateľa.

Ako phishing funguje

Typický útok má tri kroky. Najprv príde správa – e-mail, SMS, správa na sociálnej sieti alebo telefonát. Potom nasleduje tlak: zablokovaný účet, nezaplatená zásielka, podozrivé prihlásenie, výhra alebo pokuta. Nakoniec odkaz vedie na stránku, ktorá vyzerá presne ako skutočná, no beží na inej doméne. Čo tam zadáte, putuje priamo útočníkovi.

Pokročilejšie stránky fungujú ako sprostredkovateľ: vaše heslo aj jednorazový kód z SMS okamžite prepošlú na skutočnú službu a útočník sa prihlási skôr, ako kód vyprší. Preto ani dvojfaktorové overenie cez SMS či aplikáciu nie je proti phishingu úplná ochrana. Odolné sú až bezpečnostné kľúče a passkey, ktoré sa na falošnej doméne vôbec neaktivujú.

Druhy phishingu: spear phishing, smishing a vishing

Hromadný phishing sa posiela tisícom ľudí naraz a spolieha sa na to, že niekto zaberie. Spear phishing je cielený útok na konkrétneho človeka alebo firmu: útočník si najprv zistí mená kolegov, dodávateľov či rozpracované projekty a správa potom pôsobí veľmi dôveryhodne. Variant zameraný na riaditeľov a účtovníkov sa často točí okolo falošnej faktúry alebo zmeny čísla účtu.

Smishing je phishing cez SMS, typicky o nedoručenom balíku alebo dlhu. Vishing prebieha telefonicky – volajúci sa predstaví ako banka či polícia a nahovára vás, aby ste peniaze presunuli na „bezpečný účet“. V krypte sú bežné falošné stránky peňaženiek, podvodné airdropy a „podpora“, ktorá pýta seed frázu. Nikto legitímny vás nikdy nepožiada o seed frázu – ani burza, ani výrobca peňaženky.

Ako spoznať phishingový e-mail alebo SMS

Najspoľahlivejšie je pozrieť sa na adresu odkazu a odosielateľa, nie na logo. Podvodné domény sa líšia jedným písmenom, majú navyše slovo („-overenie“, „-support“) alebo inú koncovku. Ďalšie znaky: naliehavosť a strašenie, neosobné oslovenie, nečakaná príloha, žiadosť o heslo, PIN alebo údaje karty a odkaz skrátený cez službu na skracovanie adries. Banka ani úrad nikdy nechcú heslo e-mailom.

Najlepší zvyk je neklikať vôbec. Ak správa tvrdí, že máte problém s účtom, otvorte službu sami – cez záložku alebo aplikáciu – a skontrolujte to tam. Pri neznámej burze, e-shope alebo investičnej ponuke si službu najprv preverte v nástroji Over si.

Čo robiť, ak ste klikli alebo zadali údaje

Samotné otvorenie stránky zvyčajne veľa nespôsobí, rozhoduje, čo ste zadali. Ak heslo, okamžite ho zmeňte na skutočnej stránke a všade, kde ste používali rovnaké, a odhláste všetky ostatné relácie. Ak údaje karty alebo internetbankingu, ihneď volajte banku (číslo z jej webu alebo karty) a nechajte kartu zablokovať. Ak ste stiahli prílohu, skontrolujte zariadenie antivírusom.

Ak ste prišli o peniaze, podajte trestné oznámenie na polícii a uschovajte správy, odkazy a výpisy. Phishingové kampane môžete nahlásiť aj národnému tímu SK-CERT pri Národnom bezpečnostnom úrade. Pri kryptomenách sa odoslané prostriedky vrátiť nedajú – ak útočník získal seed frázu, zvyšok čo najskôr presuňte do novej peňaženky.

Časté otázky

Čo je to phishing jednoducho povedané?

Je to podvodná správa, ktorá sa tvári ako od dôveryhodnej firmy a snaží sa vás dostať na falošnú stránku, kde zadáte heslo alebo údaje karty.

Aký je príklad phishingu?

SMS „Vaša zásielka čaká na doplatenie 1,50 €“ s odkazom na stránku, ktorá vyzerá ako kuriér, no v skutočnosti zbiera údaje karty. Alebo e-mail o „zablokovanom účte“ na burze s odkazom na kópiu prihlasovacej stránky.

Čo je spear phishing?

Cielený phishing na konkrétneho človeka alebo firmu. Útočník používa skutočné mená, projekty a súvislosti, takže správa pôsobí oveľa dôveryhodnejšie ako hromadný e-mail.

Ochráni ma pred phishingom 2FA?

Čiastočne. Kód z SMS alebo aplikácie môže falošná stránka zachytiť a hneď použiť. Proti phishingu najlepšie chránia passkey a hardvérové bezpečnostné kľúče, pretože fungujú iba na skutočnej doméne.