Bankovní phishing

Mimo svět Travianu připravujeme obsah i pro naše další projekty. Tentokrát jde o téma bankovní bezpečnosti, kterému se podrobněji věnuje náš web mojebanka-online.cz.

Proč jsou bankovní účty tak lákavým cílem podvodníků

Útoky cílené na uživatele internetového bankovnictví patří dlouhodobě k nejrozšířenějším typům online podvodů, a to z jednoho prostého důvodu – pokud se útočníkovi podaří obejít přihlašovací údaje k bankovnímu účtu, má přímý přístup k penězům, ne jen k nějakému dalšímu online profilu. Na rozdíl od ukradeného hesla k sociální síti, kde škoda bývá spíš nepříjemná než finančně zničující, zneužití bankovního přístupu může znamenat vyprázdněný účet během několika minut. Proto se phishingové kampaně zaměřené na banky neustále zdokonalují a napodobují skutečnou komunikaci bank do nejmenších detailů – od grafiky e-mailu až po formulaci textu SMS zpráv.

Jak vypadá typický phishingový útok na bankovního klienta

Nejčastější varianta začíná SMS zprávou, která tvrdí, že účet byl z bezpečnostních důvodů „omezen“ nebo „zablokován“ a je potřeba ho „ověřit“ kliknutím na přiložený odkaz. Zpráva bývá odeslaná tak, aby se v telefonu zobrazila ve stejném vlákně jako předchozí legitimní zprávy od banky – útočníci k tomu zneužívají takzvaný SMS spoofing, kdy si libovolně nastaví jméno odesílatele. Odkaz v SMS pak vede na falešnou stránku, která je vizuálně kopií přihlašovací obrazovky internetového bankovnictví, často i se stejným logem, barvami a rozvržením, jaké klient zná ze své banky.

Druhá běžná varianta jde přes e-mail, který se tváří jako upozornění od banky na podezřelou transakci, nutnost aktualizace bezpečnostních údajů nebo na vrácení přeplatku. Tyto e-maily často obsahují tlačítko „Přihlásit se a ověřit“, které opět vede na podvodnou kopii přihlašovací stránky. Třetí, méně technická ale stejně nebezpečná varianta je tzv. vishing – telefonát, při kterém se volající vydává za pracovníka banky, bezpečnostního oddělení nebo dokonce policie, a klienta přesvědčuje, aby nadiktoval přihlašovací údaje, kód z SMS nebo přímo provedl „bezpečnostní“ platbu na jiný účet.

Proč jsou tyto útoky čím dál těžší rozpoznat

Dřív se phishingové e-maily a SMS poznaly relativně snadno podle křiklavých gramatických chyb nebo nesmyslně přeloženého textu. Dnes útočníci často používají překladače a jazykové modely, které text výrazně vylepšily, a napodobují i drobné detaily jako konkrétní formulace, se kterými banka skutečně komunikuje (např. přesný název interní aplikace, konkrétní jméno zaměstnance podpory, nebo reálné poslední čtyři číslice karty získané z dřívějšího úniku dat). Kombinace důvěryhodně vypadajícího formátu a psychologického tlaku (strach ze ztráty peněz, časová tísně) je přesně to, co dělá tyto útoky účinné i na zkušené uživatele internetu.

Konkrétní varovné signály, na které se vyplatí dávat pozor

I přes rostoucí sofistikovanost útoků existuje několik signálů, které se u opravdu legitimní komunikace banky prakticky nevyskytují. Prvním je adresa, na kterou odkaz ve zprávě skutečně vede – ne text odkazu, který se zobrazuje, ale skutečná cílová URL, kterou lze u většiny e-mailových klientů i prohlížečů zobrazit přejetím myší nad odkazem (na mobilu dlouhým podržením prstu na odkaz bez kliknutí). Pokud doména neodpovídá přesně skutečné adrese banky (například obsahuje překlep, pomlčku navíc, jinou koncovku nebo úplně jiný název), jde téměř jistě o podvod. Banky navíc standardně nikdy nežádají o zadání celého přihlašovacího hesla, PIN kódu nebo autorizačního kódu z SMS na webové stránce, na kterou se dostanete z odkazu v e-mailu nebo SMS zprávě – tyto údaje se zadávají výhradně přímo v oficiální mobilní aplikaci nebo po manuálním zadání adresy banky do prohlížeče.

Dalším typickým signálem je silný časový tlak – zpráva zdůrazňuje, že je nutné jednat „okamžitě“, „do 24 hodin“ nebo že účet bude bez rychlé reakce „trvale zablokován“. Tento tlak má zabránit tomu, aby si člověk situaci v klidu promyslel nebo si ji ověřil jinou cestou. Podezřelé jsou i zprávy, které žádají o sdělení údajů telefonicky tomu, kdo volá – skutečná banka nikdy neočekává, že jí nadiktujete svůj PIN, celé heslo nebo autorizační kód, protože tyto údaje už z principu nepotřebuje znát a technicky k nim nemá důvod se ptát. Stejně podezřelé jsou přílohy v e-mailech, které tvrdí, že obsahují „výpis“ nebo „fakturu“ – otevření takové přílohy může nainstalovat škodlivý software, nikoliv jen zobrazit dokument.

Co dělat, pokud si nejste jistí

Nejbezpečnější postup u jakékoliv zprávy, která vyvolává pochybnosti, je na odkaz v ní vůbec neklikat. Místo toho otevřete mobilní aplikaci banky, kterou máte už nainstalovanou a ověřenou, nebo do prohlížeče zadejte adresu banky manuálně – přímo napsáním, ne kliknutím na odkaz ani přes výsledek vyhledávače, kde se mohou objevit i placené podvodné reklamy napodobující skutečnou adresu banky. Pokud po přihlášení do skutečné aplikace nevidíte žádné upozornění ani problém s účtem, zpráva byla podvodná. V případě nejistoty je také možné kontaktovat banku na telefonním čísle, které je uvedené na zadní straně platební karty nebo na oficiálních stránkách banky zadaných manuálně – nikdy na čísle uvedeném v podezřelé zprávě samotné, protože i to může být podvodné.

Co dělat, pokud už jste na odkaz klikli nebo údaje zadali

Pokud se stane, že už jste na podvodné stránce zadali přihlašovací údaje, PIN nebo kód z SMS, je důležité jednat rychle. Prvním krokem je okamžitě kontaktovat banku (nejlépe telefonicky na ověřeném čísle, většina bank má nepřetržitou linku pro blokaci karet a účtů) a nechat si zablokovat kartu i internetové bankovnictví, než se stihne provést neautorizovaná platba. Dále je potřeba změnit hesla ke všem službám, kde bylo stejné nebo podobné heslo použité i jinde – útočníci běžně zkoušejí stejné přihlašovací údaje i na jiných účtech. Po vyřešení bezprostředního rizika je vhodné incident nahlásit i policii, zejména pokud už došlo ke skutečné finanční ztrátě, protože to může pomoci jak při vymáhání škody, tak při vyšetřování širší podvodné kampaně. Podrobný návod, jak postupovat konkrétně v případě zneužití platební karty včetně lhůt na reklamaci a možnosti obrátit se na finančního arbitra, najdete v článku co dělat při podvodu s platební kartou na webu mojebanka-online.cz.

Silné ověření plateb jako další vrstva ochrany

Užitečné je také rozumět principu silného ověření plateb (PSD2/SCA), které dnes banky ze zákona používají u většiny online plateb a přihlášení – jde o kombinaci alespoň dvou nezávislých faktorů (např. heslo plus potvrzení v mobilní aplikaci, nebo otisk prstu plus kód). Tento mechanismus výrazně snižuje riziko zneužití samotného hesla, pokud ho útočník získá, protože bez druhého faktoru (vašeho telefonu s aplikací) se k účtu nedostane. Víc o tom, jak silné ověření funguje a proč ho banky vyžadují, popisuje článek co je silné ověření plateb (PSD2).

Bezpečné přihlašování k internetovému bankovnictví i přehled jednotlivých bank a jejich přihlašovacích aplikací najdete na webu mojebanka-online.cz.