Ochrana pred phishingom vo firme: viacvrstvová obrana, ktorá funguje

Prečo funguje len viacvrstvová ochrana pred phishingom

Na phishing neexistuje jedno univerzálne riešenie. Filtre prepustia novú, ešte neznámu návnadu, technika nezastaví presvedčivý telefonát a aj skúsený, dobre vyškolený človek raz za čas klikne tam, kam nemal. Práve preto sa oplatí budovať obranu do hĺbky: poskladať nezávislé vrstvy tak, aby v okamihu, keď jedna zlyhá, škodu zachytila ďalšia. Ak ste v téme noví, dobrým východiskom sú naše články o tom, čo je phishing a ako rozpoznať phishing.

Osvedčený model stojí na štyroch vrstvách, ktoré sa navzájom dopĺňajú. Najprv zachytíte čo najviac útokov technicky, pomocou e-mailovej autentifikácie a filtrovania. Potom posilníte identity tak, aby ukradnuté heslo útočníkovi nebolo nič platné. Ďalej pripravíte ľudí, aby spoznali a ustáli to, čo cez filtre predsa len prejde. A nakoniec dokážete rýchlo odhaliť hrozbu a zareagovať vďaka tomu, že zamestnanci podozrivé správy spoľahlivo nahlasujú. Každá vrstva znižuje riziko aj sama o sebe, no spolu dokážu z jednej ľudskej chyby spraviť bezvýznamnú epizódu namiesto bezpečnostného incidentu.

Technické opatrenia: autentifikácia a filtrovanie e-mailov

Prvá vrstva ochrany pred phishingom má jeden cieľ: zastaviť podvrhnutú a škodlivú správu skôr, než ju vôbec uvidí človek. Začnite e-mailovou autentifikáciou. Tá útočníkom výrazne sťaží, aby sa vydávali za vašu doménu alebo za známe značky, ktorým vaši ľudia dôverujú, napríklad za banku, Slovenskú poštu či Finančnú správu.

SPF, DKIM a DMARC v praxi

• SPF určuje, ktoré poštové servery smú odosielať poštu za vašu doménu. Podvrhnutý odosielateľ tak touto kontrolou neprejde.
• DKIM správy kryptograficky podpisuje, takže si príjemca overí, že obsah cestou nikto nezmenil.
• DMARC prepája SPF a DKIM s adresou, ktorú adresát reálne vidí v poli Od, určuje politiku (none, quarantine alebo reject) a posiela vám prehľadové reporty. Prechod na vynútenú politiku reject patrí k vôbec najúčinnejším krokom proti phishingu.
• Moderné bezpečnostné brány a filtre zabudované v Microsoft 365 či Google Workspace k tomu pridávajú prepisovanie odkazov, otváranie príloh v izolovanom prostredí (sandbox) a detekciu vydávania sa za konkrétne osoby.

Doplňte to rozumnými pravidlami pre prichádzajúcu poštu: viditeľne označujte správy od externých odosielateľov, odstraňujte rizikové prílohy a upozorňujte na domény, ktoré sa na prvý pohľad podobajú tým vašim. Majte však na pamäti, že útoky typu adversary-in-the-middle aj phishing cez QR kódy (quishing) sú priamo navrhnuté tak, aby filtre obišli. Technika preto objem hrozieb výrazne zníži, no nikdy nie na nulu.

Posilnenie identity: dvojfaktorová autentifikácia a passkeys odolné voči phishingu

Ukradnuté prihlasovacie údaje sú jedným z najčastejších spôsobov, akými sa útočník dostane dovnútra. Cieľ tejto vrstvy je preto jednoduchý: spraviť z vyphishovaného hesla bezcennú informáciu. Základom je viacfaktorové overovanie, teda MFA, ktoré by malo byť povinné všade, no v prvom rade pri e-maile, VPN a administrátorských účtoch. Dvojfaktorová autentifikácia vo firme dnes nie je nadštandard, ale minimum.

Nie každá MFA je však rovnako odolná. Slabšie faktory dokážu útočníci obísť postupmi, s ktorými treba vopred počítať:

• MFA fatigue (push bombing): útočník zahltí používateľa výzvami na schválenie tak dlho, kým z únavy alebo otrávenosti niektorú jednoducho potvrdí.
• Adversary-in-the-middle (AiTM): proxy server prihlásenie v reálnom čase preposiela ďalej a zachytí pritom heslo aj prihlásenú reláciu (session token). Tým obíde jednorazové kódy aj potvrdzovanie cez aplikáciu.
• OAuth consent phishing: používateľa naláka, aby škodlivej aplikácii udelil prístup cez token, takže útočník nepotrebuje ukradnúť ani heslo.

Najsilnejšou odpoveďou je autentifikácia odolná voči phishingu. Passkeys a štandard FIDO2/WebAuthn stoja na kryptografii verejného kľúča, ktorá je naviazaná priamo na adresu legitímnej stránky. Prihlasovacie údaje sa tak na podvrhnutej stránke jednoducho nedajú zneužiť. Nasaďte ich najprv pre najrizikovejšie roly, obmedzte udeľovanie súhlasu OAuth aplikáciám a nastavte pravidlá podmieneného prístupu, ktoré povolia prihlásenie len zo spravovaných zariadení a očakávaných lokalít.

Ľudská vrstva: školenia zamestnancov a realistické simulácie phishingu

Zamestnanci nie sú najslabší článok. Naopak, sú vrstvou, ktorá zachytí to, čo technika prehliadla. Cieľom je dať im vedomosti aj istotu, aby sa pri podozrivej správe dokázali zastaviť a zamyslieť. Jedna prezentácia raz za rok správanie nezmení, krátke, časté a praxi blízke školenie áno.

Priebežné školenia zamestnancov o kybernetickej bezpečnosti spojte s realistickými simuláciami phishingu zasadenými do slovenských reálií, ktoré napodobnia návnady, s akými sa vaši ľudia naozaj stretávajú: falošné prihlásenie do Microsoft 365, smishingovú SMS o doručení balíka v mene Slovenskej pošty alebo kuriéra, prípadne žiadosť o úhradu faktúry mierenú na účtovníčky. Najúčinnejšie programy podajú krátke mikroškolenie hneď v okamihu, keď niekto klikne, a tým z chyby spravia zapamätateľnú lekciu bez následkov namiesto pokarhania. Platformy ako PhishGun takéto lokalizované simulácie spájajú so školením v správnej chvíli a postupne budujú merateľnú odolnosť firmy. Nezabudnite ani na cielené hrozby, pretože spear phishing a podvody typu BEC obídu obranu proti hromadnej pošte a spoliehajú sa výhradne na ľudský úsudok.

Vybudujte kultúru rýchleho nahlasovania phishingu

O výsledku rozhoduje rýchlosť, akou hrozbu odhalíte. Phishingový e-mail nahlásený v priebehu pár minút stihnete stiahnuť zo všetkých schránok skôr, než naň klikne viac ľudí. Ten istý e-mail zachytený o niekoľko dní už môže byť plnohodnotným incidentom. Najužitočnejším nástrojom je preto tlačidlo na nahlásenie jedným klikom priamo v poštovom klientovi, ktoré podozrivú správu pošle rovno bezpečnostnému tímu.

• Dajte každému jednoduchý a bezproblémový spôsob nahlasovania, ideálne zabudované tlačidlo namiesto adresy, na ktorú treba správu preposielať.
• Potvrďte každé nahlásenie vrátane planých poplachov, aby ľudia mali motiváciu nástroj naozaj používať.
• Automatizujte triedenie, aby sa nahlásené správy dali zoskupiť, analyzovať a rýchlo odstrániť aj z ostatných schránok.
• Uzavrite kruh: nahlasovateľovi dajte vedieť, keď jeho upozornenie pomohlo zastaviť reálny útok.

Zdravá kultúra nahlasovania zároveň živí vaše metriky. Každé hlásenie je dôkazom, že školenia fungujú a že vaši ľudia firmu aktívne bránia, nielen pasívne dúfajú, že filtre všetko podchytia.

Meranie pokroku: metriky, na ktorých naozaj záleží

Prevencia phishingu vo firme zlepší len to, čo skutočne meriate. Posuňte sa za jediný údaj o miere kliknutí a sledujte správanie ľudí v čase. Len tak vedeniu aj audítorom doložíte, že riziko reálne klesá.

• Miera kliknutí (click rate): podiel príjemcov, ktorí klikli na simulovanú návnadu, sledovaný v čase a rozdelený podľa oddelení.
• Miera nahlásení (report rate): koľko ľudí simuláciu nahlásilo a ako rýchlo. Rastúca miera nahlásení býva lepším znakom vyspelosti než samotný pokles kliknutí.
• Čas do nahlásenia: medián času od doručenia po prvé hlásenie. Práve rýchlosť totiž najviac obmedzuje reálnu škodu.
• Riziko opakovane klikajúcich: kto klikne znova a znova, aby sa doškolenie zameralo tam, kde pomôže najviac.
• Pokrytie a dokončenie školení: ktoré tímy majú školenie aktuálne, namapované na váš rozsah rizika a regulačných povinností.

Súlad s reguláciou: NIS2, ISO 27001 a DORA

Pre mnohé firmy v EÚ už školenie proti phishingu nie je dobrovoľné. Viaceré rámce dnes vyžadujú preukázateľnú osvetu a riadenie rizík vrátane jasnej zodpovednosti na úrovni vedenia.

• NIS2 (smernica (EÚ) 2022/2555) vyžaduje základnú kybernetickú hygienu a školenia kybernetickej bezpečnosti pre všetkých zamestnancov vrátane phishingu a sociálneho inžinierstva. Zodpovednosť za dohľad nad opatreniami kladie na riadiace orgány, ktoré sa musia školiť aj samy. Slovensko smernicu prebralo zákonom č. 366/2024 Z. z. (účinný od 1. januára 2025), Česko zákonom č. 264/2025 Sb. (účinný od 1. novembra 2025).
• ISO 27001 očakáva zdokumentovanú bezpečnostnú osvetu ako súčasť systému riadenia informačnej bezpečnosti, a to spolu s dôkazmi o priebežnej spôsobilosti zamestnancov.
• DORA (nariadenie (EÚ) 2022/2554) sa od 17. januára 2025 vzťahuje na finančné subjekty a nariaďuje im programy osvety v oblasti bezpečnosti IKT aj školenia digitálnej odolnosti, ktoré sa týkajú aj vrcholového manažmentu.
• GDPR zostáva v hre stále: porušenie ochrany osobných údajov spôsobené phishingom treba dozornému orgánu nahlásiť bez zbytočného odkladu, a ak je to možné, do 72 hodín od zistenia.

Praktický záver znie jednoducho: udržujte si dôkazy pripravené na audit. Záznamy o školeniach, výsledky simulácií a metriky nahlasovania ukážu, že vaša ochrana pred phishingom je riadené a merané opatrenie, nie jednorazová akcia, a presne to chcú posudzovatelia vidieť.