Features banner

Phishing

Reading time icon

Přečtení zabere 5 minut.

Reading time icon

5 minut čtení

Co je phishing?

Phishing je forma útoku s pomocí technik sociálního inženýrství, kdy se útočník vydává za důvěryhodnou autoritu s cílem získat citlivá data oběti.

Možná jste také někdy dostali e-mail, který se na první pohled tvářil jako oficiální zpráva vaší banky, nicméně při bližším pohledu už nesedělo několik věcí. Adresa byla jiná, text byl napsán špatnou češtinou, případně obsahoval i nepřeložená cizí slova s požadavkem na zadání údajů o bankovní kartě nebo hesla k internetovému bankovnictví. Pokud jste už takový e-mail viděli, pak jste se stali terčem phishingového útoku. Cíle takového útoku jsou citlivá data uživatele, které útočník později může prodat na černém trhu nebo rovnou použít k vydírání oběti a zisku finančních prostředků.

Původ termínu

První zmínku o phishingu resp. o celém konceptu útoku můžeme najít v dokumentu „System Security: A hacker´s perspective“, v češtině „Bezpečnost systému: Pohled hackera“, od autorů Jerryho Felixe a Chrise Haucka. Dokument se věnuje technice útoku, kdy útočník imituje důvěryhodnou autoritu nebo službu. Slovo phishing je lehká zkomolenina anglického slova pro lov ryb neboli fishing. Analogie je zřejmá – útočník (lovec) nahodí háček s návnadou například v podobě neodolatelné nabídky a čeká na oběť. Záměna písmena f za ph má původu ze slova „phreaks“, což byla hackerská skupina v USA, která ilegálně experimentovala s telekomunikačními systémy v devadesátých letech.

Phishing image

Jak phishing funguje?

Phishingový útok je mezi kyber živly velmi oblíbenou technikou, a proto se ji snaží stále vylepšovat a optimalizovat.

Nejčastějším phishingem je pokus o zisk citlivých informací o kreditní kartě nebo internetovém bankovnictví oběti s pomocí podvodného e-mailu. Ten obvykle obsahuje formulář na zadání čísla kreditní karty a CVV kód nebo odkazuje na externí webové stránky se stejným obsahem. Pokud se oběť nachytá a následně nainstaluje na mobilní telefon i podvodnou aplikaci, která dokáže obejít dvoufaktorové SMS ověření, pak má útočník všechny potřebné údaje pro vybílení účtu daného uživatele.

V minulosti se dal phishing jednoduše odhalit na první pohled. Text byl psán špatnou češtinou a doména neodpovídala doméně finanční instituce. V dnešní době se však můžeme setkat i s téměř dokonalými phishingovými zprávami, které od běžné komunikace dokáže odhalit pouze velmi pozorný nebo zkušený uživatel. Nicméně stále platí, že banka po vás nikdy nebude chtít zadávat citlivé informace do e-mailu.

Co je Spearphishing?

Zvláštním a velmi nebezpečným druhem phishingu je spearphishing.

Spearphishing

Jde o cílený phishingový útok, kdy si útočník dopředu získá veškeré dostupné informace o cílové skupině či jednotlivci (například manažeři nebo majitelé firem) a vytvoří phishingovou zprávu přesně na míru. Přirovnat bychom to mohli k perfektně vyrobenému padělku. Je tedy jasné, že odhalit takto sofistikovaný phishing je obvykle obtížné.

Jak phishing poznat?

E-mailová zpráva může obsahovat oficiální logo i další prvky legitimní komunikace a přesto může jít o phishing. Níže naleznete několik rad, které vám pomohou phishing rozpoznat.

7 rad na rozpoznání

  1. Obecné nebo neformální oslovení – I když to nemusí být nutně znak phishingu, banky a úřady většinou používají personifikované oslovení.
  2. Požadavek na citlivé informace – Žádná seriózní banka nebo finanční situace po vás nebude chtít vyplnění hesla do internetového bankovnictví v e-mailu. Jednoznačný znak phishingu.
  3. Špatná gramatika – Pokud vám zrovna nenapsal váš známý dysgrafik, pak je špatná čeština varovným signálem, který by mohl znamenat podvodnou zprávu.
  4. Neočekávaný e-mail – Nevyžádané e-maily od neznámých osob není nutné otevírat. A když už, pak rozhodně se zvýšenou pozorností.
  5. Přílišná naléhavost – Útočníci chtějí uživatele donutit provést požadovanou akci co nejrychleji, aby o tom neměl čas přemýšlet. Pokud tedy na vás e-mail příliš tlačí a nutí kliknout na tlačítko či odkaz, buďte ve střehu.
  6. Velmi výhodná nabídka – Zboží zadarmo, služba za nesmyslnou cenu, nově nalezený příbuzný milionář z Afriky, to vše je typické pro phishing.
  7. Podezřelá doména – České banky určitě nebudou používat německou nebo čínskou doménu.

Jak se chránit?

Obrana proti phishingu není žádná atomová věda. Ve většině případů stačí dodržovat následující pravidla.

3 zásady ochrany

  1. Neposkytujte citlivé údaje – Platí hlavně pro případy e-mailové nebo jiné digitální komunikace bez možnosti ověření identity druhé strany.
  2. Zkuste se nejprve zamyslet – Předtím než kliknete na odkaz nebo tlačítko, zamyslete se, zda e-mail nebo webová stránka nenese některý ze znaků phishingu, které jsme si popsali výše.
  3. Kvalitní bezpečnostní řešeníPořádný „antivirák“ je základním kamenem zabezpečení počítače a dokáže si poradit i s velkým množstvím phishingu.
History of phishing image

Zajímavé příklady

Tvůrci moderního malwaru se neomezují pouze na jeden druh útoku. Většinou kombinují několik metod a phishing je většinou jednou z nich. Zajímavým případem v České republice byl v roce 2016 malware Nemucod, který se šířil prostřednictvím infikovaných příloh e-mailových zpráv. Ty byly označeny jako nezaplacená faktura nebo pozvání k soudu. No kdo z nás by takový e-mail neotevřel, že? Pokud se uživatel nachytal a otevřel infikovanou přílohu, pak se do počítače instalovat Nemucod, který umožňoval útočníkovi na infikovaný počítače posílat další škodlivý kód. V případě Nemucodu šlo o ransomware. Došlo tedy k zašifrování dat na počítači a požadavku na výpalné.

ESET vás ochrání před phisingem

ESET Smart Security Premium

ESET Smart Security Premium

Kompletní ochrana vašeho počítače

Stáhnout zdarma
ESET Smart Security Premium
ESET Smart Security Premium

ESET Smart Security Premium

Kompletní ochrana vašeho počítače

ESET Smart Security Premium

Naše technolgie Anti-Phising a Firewall
vás spolehlivě ochrání před phisingem.

Stáhnout zdarma