Phishing přes SMS, chat, telefon a QR kód
Modul 3: Rozpoznání phishingu · Doba čtení: 12 minut
Cíl lekce: Po této lekci rozpoznáte phishing mimo e-mail: přes SMS a chatovací aplikace, po telefonu (i s napodobeným hlasem), přes QR kódy a přes záplavu přihlašovacích žádostí, a budete vědět, jak ověřit pravost u každého kanálu zvlášť.
Klíčové pojmy: smishing, podvod „kamarád v nouzi“, vishing, spoofing čísel, falešný helpdesk, klon hlasu, quishing, MFA bombing
Proč fungují jiné kanály tak dobře
Vše z lekce 3.1 platí i zde: naléhavost, autorita, strach, zvědavost a odměna. Mimo e-mail ale tyto triky často fungují ještě lépe:
- Na telefonu čtete rychle. Obrazovka je malá, adresy se zkracují a často se nacházíte uprostřed něčeho jiného.
- Je zde méně techniky, která pomáhá. E-mailový server kontroluje SPF, DKIM a DMARC a má spamový filtr. U SMS, chatu a telefonu je toho mnohem méně.
- Působí to osobněji. Zpráva v chatovací aplikaci nebo hlas po telefonu vzbuzuje více důvěry než e-mail.
- Probíhá to naživo. Volající se může doptávat, vyvíjet tlak a vést Vás krok za krokem.
Reflex zůstává stejný: zastavte se, ověřte si to vlastní cestou, zeptejte se. Mění se jen to, jak takové ověření u daného kanálu vypadá.
SMS a chat: smishing a podvod „kamarád v nouzi“
Smishing je phishing přes SMS. Podvodníci se vydávají za organizaci, od které byste SMS mohli čekat: dopravce, banku, orgán veřejné správy, dodavatele energií. Podle nizozemského NCSC se totéž děje i přes chatovací aplikace jako WhatsApp a Telegram.
Typický příklad:
Kurýrní služba: Váš balík nebylo možné doručit kvůli neúplné adrese. Naplánujte si nové doručení:
https://koeriersdienst.track-nl.example/z8K
Přečtěte si odkaz stejně jako v lekci 3.2: registrovatelná doména je track-nl.example, a tedy ne koeriersdienst.example daného dopravce. Na telefonu je to o to obtížnější, protože vidíte jen začátek. Podržte odkaz stisknutý, abyste viděli celou adresu, nebo ho neotevírejte a jděte raději sami do aplikace nebo na web dopravce.
Číslo nebo jméno odesílatele nic nedokazuje. Odesílatelé SMS i telefonní čísla mohou být padělané (spoofing). Falešná zpráva se díky tomu může objevit ve stejném vlákně SMS jako skutečné zprávy od daného odesílatele. Ani známé jméno nad zprávou tedy není důkazem.
Podvod „kamarád v nouzi“ probíhá přes chatovací aplikace:
Ahoj, tohle je moje nové číslo, telefon mi spadl a rozbil se. Mohl/a byste mi něco rychle zaplatit? Zítra Vám to vrátím. Musí to být ještě dnes.
Ve firmě se stejný trik objevuje jako zpráva od „ředitele“ nebo „kolegy“ s novým číslem, který rychle potřebuje provést platbu nebo dárkové poukazy. Ověření: zavolejte nebo napište dané osobě na staré, známé číslo, nebo položte otázku, na kterou dokáže odpovědět jen skutečná osoba.
Telefon: vishing, falešný helpdesk a klonování hlasu
Vishing (voice phishing) je phishing po telefonu. Běžně se vyskytují tři formy.
Bankovní pracovník. Někdo volá jménem banky nebo „oddělení pro odhalování podvodů“: byly zjištěny podezřelé platby, Vaše peníze je třeba „zabezpečit“, nebo musíte sdělit kód či schválit platbu v bankovní aplikaci. Na obrazovce se někdy dokonce zobrazí skutečné číslo banky. I to může být podvržené. Skutečná banka nikdy nežádá o přihlašovací kódy ani o převod peněz na „bezpečný účet“.
Falešný helpdesk. Někdo volá jménem dodavatele softwaru, Vašeho poskytovatele internetu nebo Vaší IT firmy: Váš počítač je napadený, je problém s Vaším účtem. Žádá Vás, abyste nainstalovali program, pomocí kterého se bude moci dívat na dálku. Tím Vám počítač převezme. Nizozemské NCSC to říká jednoduše: nikdy nikomu jen tak nedávejte vzdálený přístup ke svým zařízením.
Napodobený hlas. Pomocí AI lze napodobit hlas na základě zvukových nahrávek, například z videa nebo hlasové schránky. Klon hlasu Vašeho ředitele nebo rodinného příslušníka pak může volat s naléhavou žádostí. Svým uším už tedy nemůžete slepě věřit.
Co funguje u všech tří případů:
- Zavěste, jakmile se objeví tlak nebo žádost o kódy, peníze či přístup. Není to nezdvořilé.
- Zavolejte sami zpět na číslo, které si sami vyhledáte nebo jste je už dříve měli: zadní strana platební karty, oficiální web, Váš vlastní seznam kontaktů. Ne číslo, které uvedl volající.
- Domluvte si ověřovací otázku nebo heslo s lidmi, kteří Vás mohou žádat o peníze, například s vedením firmy a účtárnou. Stanovte také, že platby se nikdy neprovádějí pouze na základě telefonátu (lekce 1.2).
QR kódy: quishing
QR kód je v podstatě jen odkaz, který neumíte přečíst. Quishing je phishing pomocí QR kódu. Dvě formy:
- Na ulici nebo v prostoru. Samolepka s vlastním QR kódem přelepená přes skutečný kód, na parkovacím automatu, nabíjecí stanici, jídelním lístku nebo plakátu. Myslíte si, že platíte přes parkovací aplikaci, ale své údaje o kartě zadáváte na falešném webu.
- V e-mailu nebo pdf. „Naskenujte tento kód a potvrďte svou e-mailovou schránku.“ QR kód v obrázku nemůžete zkontrolovat myší. A skenujete ho telefonem, na kterém se adresy čtou hůře.
Nizozemské NCSC mimo jiné doporučuje:
- Neskenujte QR kód bez doprovodného textu nebo obrázku a buďte opatrní u kódů na veřejných místech.
- Podívejte se, zda je kód skutečně vytištěný přímo na plakátu nebo tabuli, nebo zda je na něm nalepená samolepka.
- Používejte skener, který nejprve zobrazí, na jakou adresu nebo doménu se dostanete. V novějších verzích systémů Android a iOS to dělá fotoaparát automaticky.
- Pokud adresu nerozpoznáte, nepokračujte dál. Nezadávejte heslo ani platební údaje, pokud si nejste jisti, že web je skutečně pravý.
U adresy, kterou fotoaparát zobrazí jako náhled, se podívejte na registrovatelnou doménu, přesně jako v lekci 3.2. U parkovacího automatu můžete také použít oficiální parkovací aplikaci nebo adresu uvedenou přímo na tabuli.
MFA bombing: když Vám telefon stále píská
Mnoho služeb při přihlašování posílá upozornění do telefonu: „Pokoušíte se přihlásit? Schválit nebo odmítnout.“ Pokud útočník už má Vaše heslo, zkouší se přihlásit stále znovu. Telefon dostává jedno upozornění za druhým, někdy uprostřed noci. Tomu se říká MFA bombing (také MFA únava). Útočník doufá, že z podráždění nebo omylem stisknete Schválit. Někdy k tomu ještě zavolá nebo napíše jako „helpdesk“: „Obnovujeme Váš účet, jen stiskněte schválit.“
Co dělat:
- Nikdy neschvalujte upozornění, které jste sami nezaložili. Ani když o to někdo žádá.
- Berte to jako poplach. Neočekávané přihlašovací upozornění znamená, že někdo má Vaše heslo. Okamžitě změňte heslo daného účtu, přímo přes web nebo aplikaci.
- Zkontrolujte aktivní relace a odhlaste neznámé relace (lekce 2.5).
- Zvolte silnější formu dvoufázového ověření (2FA), pokud je k dispozici. U párování čísel (number matching) musíte opsat číslo z přihlašovací obrazovky do aplikace; upozornění bez této obrazovky před sebou pak nemůžete jen tak schválit. Passkeys a bezpečnostní klíče (lekce 2.4) jsou ještě silnější, protože na falešném webu nefungují.
V praxi: takhle to vypadá
V Můj WebOké vidíte u aktivních relací, kde a kdy jste byli přihlášeni, a můžete ostatní relace odhlásit (návod WebOké 3.6). Jiné služby, jako Váš e-mailový program, účetní software nebo Nextcloud, mají podobný přehled v nastavení zabezpečení účtu. Po neočekávaném přihlašovacím upozornění se tam podívejte jako první.
Shrnutí
- Mimo e-mail fungují stejné triky, ale je méně techniky, která pomáhá, a čtete rychleji.
- Číslo nebo jméno odesílatele na obrazovce nic nedokazuje: dají se podvrhnout.
- Po telefonu: zavěste, zavolejte sami zpět na známé číslo, nikdy nesdělujte kódy, peníze ani vzdálený přístup. I známý hlas může být napodobený.
- QR kódy: sledujte samolepky, nechte fotoaparát zobrazit adresu a přečtěte si registrovatelnou doménu.
- Neočekávané přihlašovací upozornění je poplach: odmítněte ho, změňte heslo, zkontrolujte relace.
Kvíz
Úkol
Úkol A3.4: Přečtení QR kódu bez otevření. Program zobrazí QR kód. Naskenujte ho fotoaparátem svého telefonu, ale odkaz neotevírejte. Přečtěte si adresu, kterou fotoaparát zobrazí, zapište registrovatelnou doménu a uveďte, zda byste odkaz otevřeli. Program to zkontroluje.
Úkol D3.4: Pravidla pro telefon, chat a oznámení o přihlášení. Domluvte se s týmem na pravidlech pro zpětné volání, ověřovací otázku nebo heslo, a na postupu při neočekávaném přihlašovacím upozornění. Poté si na vlastním telefonu ověřte, zda fotoaparát zobrazí adresu QR kódu dříve, než cokoliv otevře.
Úkol D3.4: Pravidla pro telefon, chat a oznámení o přihlášení
Postupujte takto: (1) Domluvte se s lidmi, kteří provádějí nebo schvalují platby, že žádost o peníze, změnu čísla účtu nebo kódy se nikdy nevyřizuje jen po telefonu, sms nebo chatu. Zpětné volání se vždy provádí na číslo z Vaší vlastní evidence nebo seznamu kontaktů. (2) Domluvte si kontrolní otázku nebo heslo pro naléhavé požadavky od vedení nebo od rodiny. Heslo nikde digitálně nezapisujte na místo, kde by ho mohl číst útočník. (3) Domluvte se, co má každý dělat při neočekávaném oznámení o přihlášení nebo při sérii takových oznámení: odmítnout, nahlásit, změnit heslo, zkontrolovat relace (lekce 2.5). (4) Zkontrolujte na svém telefonu, zda kamera při skenování QR kódu nejprve zobrazí adresu a otevře ji až po Vašem klepnutí. Použijte k tomu QR kód ze známého, vlastního zdroje (například kód, který si sami vytvoříte pro https://www.example.com). (5) Zkontrolujte, zda Vaše chatovací aplikace a nejdůležitější účty mají dodatečné zabezpečení, které ještě nepoužíváte (například dvoufázové ověření s PIN kódem, párování čísel při oznámeních o přihlášení nebo passkey), a zapněte je.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
- Příručka k Nextcloud 3.6: Zobrazení, odvolání nebo vzdálené vymazání zařízení a sezení
- Nizozemské NCSC, Sms-phishing („smishing“): https://www.ncsc.nl/phishing/sms-phishing-smishing
- Nizozemské NCSC, Jak rozpoznám falešný telefonát?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- Nizozemské NCSC, QR kódy: https://www.ncsc.nl/phishing/qr-codes
- Nahlásit podvodný e-mail nebo SMS národnímu týmu CSIRT.CZ: https://csirt.cz/