Statistiky bank potvrzují, že problém nabírá na intenzitě. Podle údajů Air Bank se za první polovinu letošního roku odehrálo o pětinu více podvodů než za celý loňský rok dohromady.
Zatímco dříve útočníci spoléhali na jednoduché prokliknutí falešných stránek, dnes pracují s dlouhodobým psychologickým nátlakem. Na odděleních bezpečnosti bank proto vznikají specializované týmy, které se věnují výhradně prevenci a odhalování rizikových transakcí.
Mluvila s podvodníky celý den, poslala milion
Aleš Černý v Air bank šéfuje oddělení expertů, kteří se snaží lidem peníze zachránit. Uvádí, že jen v jejich bance se denně ocitá v ohrožení zhruba čtyřicítka klientů. S řadou z nich vedou pracovníci banky dlouhé rozhovory, jejichž průměrná délka se pohybuje kolem osmnácti minut.
Pět expertů se celý den nevěnuje ničemu jinému než jenom přemlouvání lidí, aby neposílali své peníze podvodníkům
S velkou částí lidí sice dokážou bankéři problém vyřešit rychle, ale každý den se najde někdo, kdo jim nevěří. S takovými klienty tráví experti na telefonu i hodiny, v krajních případech si je zvou dokonce na pobočku. „Přesto se občas stává, že se lidi nepodaří přesvědčit – peníze si pak buď převedou přes jiný účet, aby je podvodníkům mohli poslat, nebo je dokonce vyberou a předají osobně,“ lituje Černý.
Sám měl nedávno možnost hovořit se ženou, která se od něj v minulosti přesvědčit nenechala a podvodníkům poslala skoro milion. „Když jsme se jí ptali, jestli jsme mohli udělat něco líp, velmi rezignovaně konstatovala, že byla v tu chvíli bohužel už po mnoha a mnoha hodinách kontaktu s podvodníky tak zpracovaná, že nedokázala rozlišit, kdo z nás ji chce vlastně připravit o peníze.“ Právě ztráta smyslu pro realitu je to nejhorší, s čím se podle Černého zaměstnanci bank musejí potýkat.
Pětatřicet potvrzení a peníze byly pryč
Že útočníci k úspěchu nepotřebují prolomit bezpečnostní kódy bank, ani stavět složité falešné weby, ale spoléhají na nepozornost a nepochopení funkcí aplikací, dokládá aktuální případ z jižních Čech. Pachatelé kontaktovali oběť přes aplikaci WhatsApp a posílali jí QR kódy s tvrzením, že po jejich potvrzení obdrží peníze na účet.
Princip fungování je však opačný. Aleš Černý upozorňuje na častý omyl:„Potvrzením QR kódu není možné peníze přijmout. Bankovní aplikace vždy ukáže, komu a kolik posíláme. Je dobré těch několik sekund využít a údaje si opravdu přečíst.“
Potvrzením QR kódu není možné peníze přijmout
V jihočeském případu oběť v domnění, že peníze přijímá, postupně autorizovala 35 QR kódů. Teprve poté, co zkontrolovala stav účtu, zjistila úbytek více než 400 tisíc korun. Případ nyní prověřují policisté.
Okradení lidé kumulují chyby
Černý uklidňuje, že jen prokliknout se na falešný web k ukradení peněz nestačí. „Veškeré větší platby musejí být ověřeny dvoufázově – na mobilní telefon nejprve přijde požadavek na potvrzení, kde je jasně napsáno, že se chystáte poslat peníze a kolik.“
Pokud se podvodníci chtějí přímo zmocnit konkrétního účtu a sami si z něj vybrat peníze, musí jim nejprve klient v aplikaci potvrdit spárování druhého mobilního telefonu. Aplikace požaduje u tohoto požadavku vícenásobné ověření. „Nutné je odkliknout také speciální varovnou zprávu, že klient druhému povoluje prostřednictvím přidání jeho mobilního telefonu nakládat se svými penězi,“ upozorňuje Černý, že banky se snaží dát klientům hned několik příležitostí k zastavení transakce. „Lidé však často kumulují chyby: posílají peníze cizím lidem, potvrzují platby, kterým nerozumí, a neznají základní funkce bankovních aplikací.“
Quishing se navíc nešíří jen na internetu nebo prostřednictvím zpráv. Někdy se podstrčené QR kódy objevují u stánků nebo v baru. V takovém případě jde ale spíše o potíž okradených obchodníků než samotných zákazníků. „Naopak značné potíže pro klienta může způsobit zaplacení parkovného nebo pokuty na falešný účet,“ varuje Černý. Bude pak nejen opakovaně vyzván k platbě dluhu, ale ještě mu hrozí penále.
Jak se před quishingem chránit
QR kódy dnes běžně slouží k placení, jsou na fakturách či jídelních lístcích. Útočníci však jejich jednoduchost zneužívají:
- Do bankovnictví nikdy nechoďte přes odkaz: pro přihlašování se do bankovnictví vždy používejte aplikaci banky.
- Samotný QR kód podvod neprozradí: Na rozdíl od e-mailů s gramatickými chybami je u QR kódu cílová adresa ukrytá v obrazci a na mobilu se zobrazí jen její část. Před zaplacením je nutné zkontrolovat kam peníze posíláte.
- Falešný QR kód na faktuře: Platební kódy na fakturách mohou obsahovat pozměněné číslo účtu. Před potvrzením platby je nutné zkontrolovat účet příjemce a částku.
- Pozor na přelepené kódy na veřejných místech: Kódy na parkovacích automatech, plakátech či nabíjecích stanicích mohou podvodníci přelepit vlastní samolepkou. Pokud kód vypadá dodatečně nalepený nebo poškozený, raději využijte oficiální aplikaci provozovatele.
- Když volá ČNB zavěste: Do podvodných scénářů se stále častěji zapojují i pachatelé vydávající se za zaměstnance České národní banky či Policie ČR. Centrální banka opakovaně připomíná, že její zaměstnanci nikdy netelefonují se žádostí o převody peněz na „bezpečné účty“, instalaci softwaru ani sdělení přihlašovacích údajů.
