Neprozrazujte heslo ani PIN. Jak nesednout na lep internetovým podvodníkům

Kyberzločinci už zjistili, že je mnohem jednodušší vylákat údaje o platební kartě od lidí, než prolomit bezpečnostní systémy banky. Proto se s útoky internetových podvodníků setkáváme stále častěji a v různých formách. Jejich cílem je získat vaše peníze.

„Přišla mi SMS s textem, že můj bankovní účet byl deaktivovaný z důvodu bezpečnosti a pro jeho obnovu mám co nejdřív kliknout na odkaz. Přesměrovalo mě to na falešnou stránku, která vypadala jako pravá. Měla jsem tam vyplnit svůj přístup do internetového bankovnictví.

To jsem udělala a potom mi přišly dvě SMS v angličtině a nějaký kód. Ignorovala jsem to, myslela jsem si, že jde o nějaké doplňkové informace. Pak se nic nedělo, tak jsem volala do banky, jestli mám účet už odblokovaný. Dozvěděla jsem se, že ty esemesky posloužily k aktivaci mobilního bankovnictví, přes které si podvodníci převedli na zahraniční účet mé peníze,“ zlobí se Hana z Plzně s tím, že měla být pozornější.

Nakupujte online bezpečně: pět dobrých rad, jak nikomu nenaletět

Tereza ze Sokolova měla větší štěstí: „Přes internetový bazar jsem chtěla prodat kočárek. Ozvala se mi zájemkyně, se kterou jsem komunikovala přes WhatsApp. Obratem mi od ní přišlo potvrzení o částce zaplacené společnosti DPD a chtěla, abych jí kočárek poslala přes kurýra.

K ověření přijetí peněz požadovala fotku zůstatku na účtu i ostatní údaje z platební karty a vlastně také údaje pro přístup do internetbankingu. To už se mi zdálo podezřelé, tak jsem se podívala na web DPD, kde jsem hned uviděla výstrahu informující přesně o tomhle druhu podvodu.“

Ano, přesně takhle vypadají internetové podvody, které se dnes šíří jako lavina. Zatímco v roce 2015 bylo v Česku spácháno přes pět tisíc kyberzločinů, letos je to skoro devět tisíc. Celkové počty okradených už jdou do statisíců a škody přesahují miliardu korun.

Uvedl to policejní prezident ČR Martin Vondrášek na tiskové konferenci ČSOB týkající se preventivní kampaně Klikač & Volač. „Na základě aktuálního vývoje odhadujeme, že v závěru roku by číslo trestných činů v kyberprostoru mohlo přesáhnout dvacet tisíc,“ doplnil.

Marnotratné ženy jsou mýtus. Častěji sice nakupují, ale muži víc utrácejí

Podle statistik ČSOB se oběťmi útočníků Volače a Klikače stávají hlavně ženy, zřejmě kvůli častějším nákupům v online bazarech, kde se podvodníci hojně vyskytují. Nicméně muži statisticky přicházejí o větší částky, a to v poměru 57 procent ku 43 procentům žen.

„Nejvíc na pozoru by se podle našich údajů měli mít lidé ve věku čtyřiceti let, a to zejména, zazvoní-li jim telefon v pondělí nebo v úterý mezi třináctou a devatenáctou hodinou,“ upozorňuje Petr Vosála, manažer bezpečnosti digitálních kanálů ČSOB.

Kdysi se zločinci zaměřovali na zranitelné, často starší lidi, u kterých byla menší pravděpodobnost, že jsou technologicky zdatní, a podvody nebyly nijak zvlášť sofistikované. Teď jejich počet narůstá a obětí podvodníků se může stát doslova každý z nás. Útočníci se podle mnoha bank stali „experty na psychologii“ a pohrávají si s emocemi svých obětí.

Způsob, jakým využívají technologie, je také stále důmyslnější. Pryč jsou časy nekvalitně napsaných e-mailů, které žádají o zaslání peněz do Nigérie – zločinci teď používají techniky napodobování, aby se zdálo, že vám opravdu volají z vaší banky.

Jak se tedy máte chránit? Přiblížíme vám některé z nejčastějších podvodů a poradíme vám, co dělat, stane-li se to právě vám.

Phishing

Častou metodou útoku s cílem získat vaše citlivá data je takzvaný phishing. Podvodník se vydává za důvěryhodnou instituci, například banku, doručovatelskou službu nebo kohokoli, kdo běžně pracuje s vašimi osobními údaji.

Pojem phishing pochází z anglického výrazu se stejnou výslovností – fishing, tedy rybolov. Návnadou může být například e-mail, který vypadá jako oficiální výzva od dané instituce nebo osoby. Zda budete rybou, která se chytí, je na vás.

Jak se chránit:

• Do elektronického bankovnictví vstupujte jenom přes ověřená připojení.
• Buďte opatrní u nevyžádané pošty. Raději neodpovídejte, zprávu bez přečtení vymažte.
• Neklikejte ve zprávách na odkazy pro přístup do elektronického bankovnictví, ale internetovou adresu raději napište přímo do prohlížeče.
• Ověřte si indikátory bezpečnosti (ikonka visícího zámku, protokol https, bezpečnostní certifikát SSL) během připojení do internetového bankovnictví.
• Používejte selský rozum – pokud něco vypadá až příliš dobře, nejspíš to není pravda.

Rozpoznat, že jde o podvrh, je možné. Zaměřte se na kontrolu adresy odesílatele. Ta obvykle obsahuje nezvyklé jméno a příjmení nebo zkomoleninu názvu společnosti, za kterou se útočníci vydávají. Může tam být vynechané nebo zaměněné písmeno, případně změněná přípona (například místo .cz je uvedeno .com nebo .org.)

Takový e-mail je také typický svou naléhavostí – vyzývá vás, abyste do určeného času klikli na odkaz v něm uvedený. (V té rychlosti a panice si pak nevšimnete, že jde o podvrženou stránku.)

Do schránky vám může přijít v nestandardní hodinu, třeba v noci či velmi brzy ráno. Často obsahuje podivné slovní obraty, hrubky, místy chybí interpunkční znaménka i diakritika. Ovšem na to nelze spoléhat, podvodníci produkují i e-maily, které jsou napsány téměř bez chybičky.

Někdy si útočníci svou oběť pořádně prolustrují, aby připravili ještě důvěryhodnější e-mail. Jedná se o takzvaný spearphishing – lov harpunou (zaměřený přesně na vás). Pokud jsou tyhle útoky zaměřeny na profesně vysoce postavené lidi, jde o whaling – lov velryb (pro výši potenciálního zisku).

Vishing a spoofing

Další formou podvodu je telefonický útok – vishing. Název vznikl spojením anglických slov voice (hlas) a phishing. V tomhle případě se útočník snaží získat vaše důvěrné informace jako přihlašovací údaje, číslo karty či PIN kód pomocí telefonátu. Vydává se za pracovníka banky, obvykle z oddělení bezpečnosti a podvodů.

Jak se chránit:

• Pokud vám zavolá někdo třeba z banky a bude chtít po vás citlivé údaje, zpozorněte. Finanční instituce nikdy po telefonu, e-mailem ani přes SMS nevyžadují hesla, PINy nebo CVV kódy z karet.
• Nikdy nikomu podezřelému nepovolujte vzdálený přístup do vašeho počítače.
• Na počítači průběžně aktualizujte software, antivirový program a bránu firewall.
• Během nebo po podezřelém telefonátu si zapište údaje, které vám útočník řekl (jména, e-mailové adresy, čísla účtů, odkazy na weby).
• Nebojte se takový telefonát ukončit a zavolat přímo na linku vaší banky, dodavatele nebo jiné instituce a hovor si ověřit.

Řekne vám, že vaše karta byla zablokována pro podezřelé transakce a vy musíte prokázat, že ji vlastníte. Požádají vás, abyste zadali trojciferný bezpečnostní kód ze zadní strany platební karty, jednorázový přístupový kód, který vám byl právě zaslán nebo váš PIN kód.

Podvodných schémat je víc, například vám sdělí, že z vašeho účtu se někdo pokouší ukrást všechny peníze, a chce po vás, abyste je urychleně převedli na jiný účet, který označí jako bezpečný.

„Tvrdí přitom, že se jedná pouze o dočasné bezpečnostní opatření. Věrohodnost pokynů fiktivního bankovního úředníka umocňuje často další telefonát, tentokrát osoby vydávající se za policistu. Ten potvrdí volanému tvrzení uvedená v prvním telefonátu a nezbytnost převedení peněz na bezpečnější účet,“ píše se na webu policie.cz.

Z angličtiny pochází i označení jiné formy telefonického podvodu – spoofing, kdy slovo spoof znamená falešný. Jedná se o telefonický hovor z podvržených telefonních čísel, která zdánlivě vypadají jako čísla klientského centra banky.

Volající se obvykle představí jako její pracovník a pod záminkou prověření podezřelé platby, poskytnutí úvěru nebo něčeho jiného se z vás snaží vylákat citlivé údaje o platební kartě, přihlašovací údaje do elektronického bankovnictví či kódy ze SMS zpráv. Cílem podvodníků je s využitím těchto údajů převést peníze z vašeho účtu na ten svůj, případně provést nákup na internetu.

KVÍZ: Vyznáte se v řeči internetových zkratek?

Spoofing se využívá v kombinaci s dalšími typy útoků, nejčastěji se s ním lze setkat v kombinaci s vishingem a phishingem. Existuje také smishing (SMS phishing), což není nic jiného než získání vašich citlivých údajů přes esemesky. Nebezpečí představuje virus, který byste mohli přes odkaz v SMS zprávě nechtěně nainstalovat, nebo odkaz na podvodnou webovou stránku.

Podvody v bazarech a e-shopech

Zbystřete, pokud patříte mezi ty, kteří sem tam prodávají své přebytky v online bazarech. Ano, i když jde třeba jenom o staré boty nebo mobil na náhradní díly, můžete se stát obětí kyberzločince.

Jak se chránit:

• Tady znovu platí – nikomu nesdělujte citlivá data.
• Pokud neznáte prodejce, proklepněte si ho přes Google. Už jenom tak se dá leccos zjistit.
• Vsaďte na jednorázovou platební kartu a kontrolujte, kolik za co platíte.
• Když si objednáte zboží, poštovné platíte většinou hned nebo na dobírku, nikdy ne někde uprostřed.
• Stav své zásilky si raději vždy zkontrolujte přímo u obchodníka nebo kurýrní služby.

Je to snadné: Podvodník projeví falešný zájem o vámi inzerovanou věc a kontaktuje vás, obvykle přes aplikaci WhatsApp nebo Viber. Pak vás požádá o možnost dodání zboží prostřednictvím doručovatelské služby a současně předstírá zájem o náhradu nákladů s tím spojených.

Pošle vám tedy odkaz do SMS zprávy a chce, abyste ho otevřeli. Jestliže to uděláte, budete vyzváni k vyplnění čísla platební karty a dalších citlivých údajů. Stejný scénář bývá i v případě zprávy o vašem „nezastižení“ kurýrem a poplatku za opětovné doručení.

Chcete-li ušetřit, asi často nakupujete online. Některé falešné e-shopy ale využívají důvěry zákazníků a přijímají platby za produkty, které nikdy neodešlou. Případně od nich odejde zboží, které je jiné kvality, než bylo inzerováno. Před nákupem proto vždy zkontrolujte důvěryhodnost obchodu, přečtěte si recenze a raději dejte přednost ověřeným platformám.

Také je vhodné v online obchodech platit pomocí jednorázové bankovní karty, kterou lze vygenerovat v internetovém nebo mobilním bankovnictví vaší banky a která se po zaplacení nákupu sama zničí. Podvodné e-shopy totiž často ukládají údaje z karet do svých databází a později je zneužijí.

Také si při potvrzení platby vždy zkontrolujte částku. Podvodníci také využívají lidskou nepozornost a své oběti obírají o nemalé částky jen díky posunuté desetinné čárce.

Falešné soutěže

Jak se chránit:

• Zkuste napsat název soutěže do vyhledávače a přidejte slova jako recenze, zkušenosti nebo podvod.
• Nikde nevyplňujte telefonní číslo, ani údaje o platební kartě, nepotvrzujte účast v soutěži.
• Zkontrolujte webovou adresu soutěže v prohlížeči a ujistěte se, že jste na skutečných stránkách provozovatele soutěže. Hodně dlouhé, nesrozumitelné adresy plné čísel a písmen nevěstí nic dobrého.

Běžné jsou i pochybné soutěže na sociálních sítích jako Facebook. Lákají na možnost získat peníze a věcné ceny, často drahé luxusní zboží. V případě, že vyhrajete (a vy vyhrajete), chtějí po vás útočníci jako „potvrzení“ údaje ohledně vaší platební karty.

Takové soutěže jsou na stránkách, které mají několik typických rysů: Nejsou ověřeny, takže jim u názvu chybí facebooková značka modrého ozubeného kolečka s „fajfkou“. Obvykle fungují jen krátkou dobu a mají jen několik stovek nebo tisíců fanoušků.

Varovným znakem při podobných podvodech je žádost o citlivé údaje pod záminkou získání cenné výhry. Vězte, že typická falešná soutěž většinou nemá téměř žádný obsah, zato má obrovské množství lajků a působí nedůvěryhodně.

Opatrnost nadevše

Josef Muknšnábl, ředitel informační bezpečnosti Max banky

Jak rozpoznat bankovní podvod? Existují nějaké prvotní jasné signály?
Celkově je nutné být obezřetný a opatrný. Prvotním signálem bývá nečekanost a nevyžádanost kontaktu. Většinou se útočník snaží dostat svou oběť pod tlak či do časové tísně a donutit ji k uskutečnění aktivity, která není běžná (nutnost výběru, přeposlání hesla…).

Jaké útoky registrujete jako banka v poslední době nejčastěji?
Jsou to útoky typu phishing a vishing s pokusem instalovat software, přes který bude možné ovládat klientův účet či počítač.

Jak probíhá prevence z vaší strany?
Soustavně se snažíme klienty i širokou veřejnost vzdělávat, zapojujeme se do osvětových kampaní či přednášek a upozorňujeme na staré i nové druhy podvodů na našich sítích a webu.

Jaká je zodpovědnost poskytovatele platebních karet?
Bohužel u většiny podvodů proběhne řádná autorizace všech kroků ze strany klienta.

Co dělat, když už člověk poskytl podvodníkovi své údaje a zjistí, že se jednalo o podvod? Jak minimalizovat škody?
Rozhodně neprodleně kontaktovat banku, která může udělat spoustu kroků, které můžou zmírnit dopady podvodu. Při ztrátě či podezření na podvody s platební kartou je samozřejmě prvním krokem její okamžitá blokace.