Ako rozpoznať phishing: varovné signály a znaky podvodu

Prečo je phishing taký ťažko odhaliteľný

Dnešný phishing je presvedčivý zámerne. Útočníci kopírujú pravé logá, presné firemné formulácie aj reálne mená odosielateľov a pri písaní si čoraz častejšie pomáhajú umelou inteligenciou, takže správy chodia v bezchybnej slovenčine. Podľa európskych prehľadov o riešení incidentov je práve phishing najčastejším spôsobom, ako si útočník otvorí prvé dvere do organizácie. Inými slovami, na rozbehnutie celého incidentu môže stačiť jediný uveriteľný email.

Veľkú úlohu zohráva aj načasovanie. Keď vám správa príde vo chvíli, keď ste v zhone, niečo riešite alebo práve čakáte na balík, faktúru či obnovenie hesla do Microsoft 365, pravdepodobnosť, že na ňu naletíte, prudko stúpa. Útočníkovi stačí, aby ste pár sekúnd konali zo zvyku, takpovediac na autopilota.

Ak vám pomôže najprv širší obraz, oplatí sa pochopiť, čo je phishing a aké má podoby, od klasického emailu cez podvodné SMS (smishing) a telefonáty (vishing) až po útoky cez QR kódy. Keď viete, akú tvár tieto útoky najčastejšie nasadia, ich rozpoznávanie ide samo.

Varovné signály phishingu: rýchly kontrolný zoznam

Žiadny jediný znak ešte neznamená podvod, no keď sa ich zíde viac naraz, je to jasný pokyn zastaviť sa a overiť. Každú nečakanú správu, email aj SMS, si v hlave preverte podľa tohto zoznamu.

• Príde nečakane a bez súvislostí: správa, ktorú ste nevyžiadali, o účte, zásielke alebo faktúre, ktorú vôbec nepoznáte.
• Naliehavosť a tlak: „konajte ihneď“, „účet bude zablokovaný“, „posledná výzva“ alebo strašenie poplatkami či súdnym vymáhaním.
• Hra na emócie: strach, zvedavosť, vidina výhry alebo autorita (požiadavka, ktorá akoby prišla od šéfa alebo vedenia).
• Neosobné oslovenie: „Vážený zákazník“ namiesto vášho mena, hoci skutočná firma by vás oslovila menom.
• Podozrivá adresa odosielateľa: dôveryhodné meno na obrazovke spojené s čudnou alebo iba na pohľad podobnou doménou.
• Odkazy, ktoré nesedia: text odkazu sľubuje jedno, no v skutočnosti vedie inam.
• Nečakané prílohy: faktúry, potvrdenky či „zabezpečené dokumenty“, najmä súbory ZIP, HTML alebo dokumenty, ktoré od vás chcú „povoliť obsah“.
• Žiadosti o prihlasovacie údaje alebo kódy: akákoľvek stránka či osoba, ktorá si pýta heslo, kód z MFA alebo platobné údaje.
• Jazykové a grafické nedostatky: kostrbaté vety, prehodené diakritické znamienka, nesprávne logo alebo mierne rozhádzané rozloženie.

Ako overiť odosielateľa a doménu

Útočníci stavajú na tom, že väčšina ľudí prečíta len meno odosielateľa zobrazené tučným písmom. Lenže toto meno si môže ktokoľvek nastaviť na čokoľvek. Rozhodujúca je až samotná emailová adresa, a najmä doména za zavináčom.

Dajte si pozor na domény, ktoré vyzerajú „skoro správne“

Obľúbený trik je doména, ktorá pôsobí takmer dôveryhodne. Útočník v nej vymení či pridá jedno písmeno, použije inú koncovku alebo skutočnú značku skryje do dlhšej adresy. Email, ktorý sa tvári, že je od vašej banky (napríklad SLSP, Tatra banky či VÚB) alebo od Slovenskej pošty, tak môže prísť z domény, ktorá je tej pravej na nerozoznanie podobná, no predsa len iná. Porovnajte ju písmeno po písmene s adresou, ktorej už dôverujete.

• Rozkliknite si odosielateľa, aby ste videli celú adresu, nielen meno zobrazené v zozname správ.
• Pozorne si prečítajte doménu hneď za zavináčom a porovnajte ju znak po znaku s pravou.
• Buďte ostražití pri subdoménach, ktoré pravú značku len predstierajú, teda keď je dôveryhodné meno nalepené pred úplne cudzou doménou.
• Majte na pamäti, že aj poctivo vyzerajúca adresa môže byť sfalšovaná alebo odoslaná z napadnutého účtu, takže samotný odosielateľ nikdy nie je stopercentný dôkaz.

Ako bezpečne overiť odkaz v emaile aj v SMS

Ide o jediné: zistiť, kam odkaz naozaj vedie, a pritom ho neotvoriť. Najlepší návyk je veľmi jednoduchý. Najprv neklikajte, najprv sa pozrite.

1. Na počítači prejdite myšou nad odkaz (neklikajte) a prečítajte si skutočnú adresu, ktorá sa ukáže dole v okne prehliadača alebo v bublinke.
2. Na telefóne odkaz pridržte prstom, kým sa neukáže náhľad cieľa, namiesto toho, aby ste naň hneď ťukli.
3. Doménu z tejto adresy porovnajte s oficiálnou, ktorú poznáte. Ak sa nezhodujú, ďalej nechoďte.
4. Mimoriadne pozor dávajte na skrátené alebo čudné odkazy, ktoré pravý cieľ schovávajú, a na odkazy, ktoré vás zrazu privedú na prihlasovaciu stránku, hoci ste o ňu nežiadali.
5. Keď máte čo i len tieň pochybnosti, odkaz vôbec nepoužite. Otvorte si novú kartu, oficiálnu adresu napíšte ručne, alebo použite svoju uloženú záložku.

Heslo ani kód z MFA nikdy nezadávajte na stránke, na ktorú ste sa dostali cez odkaz v správe. Seriózna služba od vás takouto cestou potvrdenie údajov nikdy nevyžaduje a zadanie hesla na podvrhnutej stránke je presne to, na čo útočník čaká.

Pozor na nezvyčajné žiadosti o peniaze a údaje

Tie najdrahšie útoky často neobsahujú žiadny škodlivý kód ani nápadný odkaz. Jednoducho vás o niečo poprosia. Práve na tom stojí podvod typu BEC (kompromitácia firemného emailu), keď sa útočník vydáva za riaditeľa, kolegu alebo dodávateľa, aby z vás vymámil platbu či citlivé údaje.

• Náhla výzva uhradiť faktúru alebo „aktualizovať“ číslo bankového účtu dodávateľa.
• „Rýchla láskavosť“ od nadriadeného, ktorý je práve veľmi príhodne nedostupný na telefóne.
• Tlak, aby ste transakciu nechali v tajnosti alebo obišli bežný proces schvaľovania.
• Žiadosť o nákup darčekových kariet, urgentný presun peňazí alebo poslanie údajov o zamestnancoch či mzdách.
• Ktokoľvek, zvnútra aj zvonka, kto si pýta vaše heslo, schválenie MFA alebo jednorazový kód.

Žiadne seriózne IT oddelenie, banka ani poskytovateľ služby vás nikdy nepožiada, aby ste prezradili heslo alebo schválili prihlásenie cez MFA, ktoré ste sami nespustili. Ak vám dorazí nečakaná výzva na potvrdenie MFA, zamietnite ju a nahláste. Môže to totiž znamenať, že vaše heslo už niekto má.

Čo robiť pri podozrení na phishing

Keď správa spustí čo i len jeden z týchto signálov, nemusíte mať istotu, že ide o podvod. Správny postup je v oboch prípadoch rovnaký: nereagujte, nahláste a rozhodnutie nechajte na bezpečnostný tím.

1. Neklikajte na odkazy, neotvárajte prílohy, neskenujte QR kódy a neodpovedajte.
2. Nikam, kam vás správa nasmerovala, nezadávajte prihlasovacie údaje, kódy ani platobné informácie.
3. Nahláste správu cez tlačidlo na nahlasovanie vo vašej firme alebo ju prepošlite IT či bezpečnostnému tímu, ideálne ešte predtým, než ju vymažete.
4. Ak ste už klikli alebo zadali údaje, okamžite to nahláste a zmeňte dotknuté heslo, potom s IT dokončite, čo treba. Rýchlosť tu rozhoduje o výške škody a rozhodne nie je dôvodom na hanbu.
5. Po nahlásení správu zmažte, aby ste s ňou neskôr omylom predsa len nepracovali.

Rozpoznávanie phishingu je zručnosť, ktorá rastie s praxou. Firmy si budujú merateľnú odolnosť tak, že toto povedomie spoja s pravidelnými, realistickými phishingovými simuláciami a krátkym školením priamo v okamihu pochybenia, čo je prístup, na ktorom stoja platformy ako PhishGun, aby sa správna reakcia stala reflexom. Ak chcete ísť ešte ďalej, pozrite si, ako sa pred phishingom chrániť a aké vrstvené opatrenia stoja za ostražitými zamestnancami.