Jak funguje phishingová zpráva

Modul 3: Rozpoznání phishingu · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete rozpoznat psychologické triky a typické znaky phishingové zprávy, i když je text bez chyby, a budete reagovat zásadou zastavit, ověřit, zeptat se.
Klíčové pojmy: urgence, autorita, strach, zvědavost, odměna, pretext, phishing napsaný pomocí AI, reflex „zastavit, ověřit, zeptat se“

Phishing je příběh, ne technika

Phishing je zpráva, která Vás přiměje udělat něco, co je výhodné pro odesílatele a nevýhodné pro Vás: kliknout na odkaz, přihlásit se na napodobenou stránku, otevřít přílohu, provést platbu nebo sdělit kód. Technika v pozadí bývá jednoduchá. Práci odvádí příběh.

Tomuto příběhu se říká pretext: věrohodná záminka. „Vaši zásilku se nepodařilo doručit.“ „Vaše schránka je plná.“ „Máte neuhrazenou fakturu.“ „Váš účet bude zablokován.“ Dobrý pretext odpovídá Vaší situaci. Pekárna dostane e-mail o dodavateli mouky, advokátní kancelář o předvolání k soudu, internetový obchod o zablokované platbě.

Cíl je téměř vždy jeden ze čtyř:

U posledního typu se v daný okamžik nic špatného nestane. „Kdo u Vás řeší platby?“ vypadá jako běžná otázka. S odpovědí ale útočník může později poslat mnohem přesvědčivější e-mail, zaměřený přímo na danou osobu. Tomu se říká spear phishing (lekce 1.2).

Pět tlačítek, na která phishing tlačí

Phishing funguje tak, že Vás přiměje jednat dřív, než začnete přemýšlet. Proto tlačí na několik stálých tlačítek v naší hlavě. Téměř každá phishingová zpráva jich používá alespoň dvě.

1. Urgence. „Do 24 hodin“, „ještě dnes“, „poslední upomínka“. Časový tlak je nejdůležitější trik, protože si pak neuděláte čas na ověření.
2. Autorita. Zpráva údajně pochází od někoho, koho berete vážně: banka, finanční úřad, ředitel, policie, Váš poskytovatel hostingu, advokát.
3. Strach. Váš účet bude zablokován, dostanete pokutu, Vaše údaje unikly, Vaše doména vyprší, došlo k vniknutí na Váš účet.
4. Zvědavost. „Podívejte se na fotky z akce“, „byl Vám sdílen dokument“, „máte hlasovou zprávu“, „vyúčtování mzdy 2026.pdf“.
5. Odměna. Vrácení peněz, dárkový poukaz, výhra v soutěži, bezplatný upgrade, velká objednávka od nového zákazníka.

Pozor: tato tlačítka se objevují i ve skutečných zprávách. Opravdová faktura má datum splatnosti, opravdová banka někdy posílá upozornění. Jediný trik tedy zprávu nedělá podvodnou. Podezřelá je tehdy, když je tlak vysoký a zpráva zároveň žádá o něco, co byste normálně neudělali.

Stálé znaky, bez ohledu na text

Kromě triků mají phishingové zprávy několik znaků, které se objevují téměř vždy:

• Výzva k okamžité akci (call to action): tlačítko, odkaz, příloha, telefonní číslo, na které máte zavolat.
• Kanál, který nesedí. Vaše banka žádá e-mailem o přihlášení, Váš dodavatel žádá přes WhatsApp o platbu, kolega žádá přes SMS o dárkové poukazy.
• Požadavek, který nesedí. Sdělení hesla nebo přihlašovacího kódu, změna IBAN, platba mimo běžný postup, instalace softwaru na žádost volajícího.
• Odchylka v odesílateli nebo odkazu. Adresa nebo odkaz právě tak nepatří organizaci, kterou očekáváte. Jak to přesně poznat, se naučíte v lekci 3.2 a 3.3.
• Utajení nebo obcházení postupu. „Zatím to nikomu neříkejte“, „jsem na schůzce, nevolejte mi“, „udělejte to mimo systém“.

Poslední znak je nejsilnějším signálem u podvodu typu CEO fraud a podvodné faktury: skutečnému řediteli nijak neprospívá, když vynecháte běžnou kontrolu.

Proč pravopisné chyby už nejsou spolehlivým znakem

Dříve jste phishing poznali podle kostrbaté češtiny, podivného oslovení a nevzhledné úpravy. To už nefunguje. S jazykovými modely (AI) dokáže útočník během pár sekund napsat bezchybný, přátelský e-mail v jakémkoli jazyce, ve stylu organizace, kterou napodobuje. Nizozemský NCSC také upozorňuje, že phishing díky AI je stále hůře rozpoznatelný: méně jazykových chyb a přihlašovací stránky, které vypadají čím dál věrohodněji.

K tomu přistupuje fakt, že phishing někdy pochází ze skutečné e-mailové schránky. Pokud je schránka dodavatele napadená, útočník jednoduše odpoví v existující e-mailové konverzaci, i s podpisem, tónem a předchozími zprávami. Tomu se říká thread hijacking. Odesílatel, formátování i jazyk jsou pak skutečné. Nesedí pouze požadavek: „Máme nové bankovní číslo, mohli byste na něj prosím uhradit neuplacenou fakturu?“

Proto se nedíváte na to, jak zpráva vypadá, ale na to, co po Vás žádá. Phishing málokdy poznáte podle jednoho znaku, ale podle celkového obrazu.

Reflex: zastavit, ověřit, zeptat se

Nemusíte znát každý trik. Potřebujete jeden reflex, který použijete pokaždé, když po Vás nějaká zpráva něco žádá.

Zastavit. Cítíte spěch, úlek, zvědavost nebo radost? To je přesně ten okamžik, kdy neklikat. Zprávu na chvíli odložte. Skutečné organizace Vám téměř vždy dají dost času na ověření.

Ověřit vlastní cestou. Nepokračujte přes samotnou zprávu. Neklikejte na odkaz, nevolejte na číslo ze zprávy a neodpovídejte na e-mail. Jděte na stránku sami přes svou záložku nebo tak, že adresu napíšete, nebo zavolejte na číslo, které jste již měli (vlastní evidenci, zadní stranu platební karty, oficiální web). Je faktura skutečně vystavená? Je zásilka opravdu na cestě?

Zeptat se. Pokud stále váháte, zeptejte se kolegy nebo osoby, od které zpráva údajně pochází, jiným kanálem. Dohodněte se v týmu, že taková otázka nikdy není otravná. Lepší desetkrát zbytečně se zeptat, než jednou zaplatit.

Tento reflex funguje i u dokonalého e-mailu z napadené schránky. Ověření vlastní cestou útočníka zcela obchází, protože se nenachází ve Vaší záložce ani na telefonu Vašeho dodavatele.

V praxi: takto to vypadá

Tři napodobené zprávy, které Pekárna Example (info@example.com) obdrží během jednoho dopoledne. Všechna jména jsou smyšlená.

Zpráva 1: zásilka

Od: Kurýrní služba <service@koeriersdienst-track.example>
Předmět: Doručení se nezdařilo: vyžadována akce
Vážený zákazníku, dnes jsme se pokusili doručit zásilku. Adresa byla neúplná. Naplánujte si do 48 hodin nové doručení a uhraďte poplatek za opětovné doručení ve výši 1,95 eura, jinak se zásilka vrátí odesílateli.

Triky: urgence (48 hodin), strach (vrácení zásilky), malá částka, abyste nad tím nepřemýšleli. Cílem jsou údaje o Vaší platební kartě. Ověření: očekáváte zásilku? Vyhledejte si zásilku přes web nebo aplikaci přímo přepravce.

Zpráva 2: dodavatel

Od: Dodavatel mouky <administratie@leverancier.example>
Předmět: RE: faktura 2026-0412
Dobrý den, jak jsme domluvili, zasíláme fakturu. Upozorňujeme: z důvodu změny banky prosím od nynějška plaťte na náš nový účet. Mohli byste to zařídit ještě dnes? Pak budeme moci naplánovat páteční dodávku.

Triky: autorita (známý dodavatel, existující e-mailová konverzace), urgence, odměna (dodávka). Odesílatel může být skutečný: schránka dodavatele mohla být napadena. Ověření: zavolejte dodavateli na číslo z Vaší vlastní evidence, ne z tohoto e-mailu.

Zpráva 3: účetní program

Od: Účetní program <noreply@boekhoudpakket.example>
Předmět: Vaše předplatné bude pozastaveno
Nepodařilo se nám zpracovat Vaši poslední platbu. Přihlaste se do 24 hodin a aktualizujte platební údaje, jinak přijdete o přístup ke své evidenci.
[Přihlásit]

Triky: strach, urgence, autorita. Zda odesílatel sedí, se dozvíte v lekci 3.3; kam vede tlačítko, v lekci 3.2. Ověření: otevřete si sami aplikaci nebo svou záložku účetního programu. Pokud tam žádné upozornění není, je e-mail podvodný.

Shrnutí

• Phishing funguje prostřednictvím příběhu (pretextu), který odpovídá Vaší situaci, s cílem získat přihlašovací údaje, peníze, přístup k zařízení nebo informace.
• Pět tlačítek: urgence, autorita, strach, zvědavost a odměna. Obvykle jsou použita dvě nebo více najednou.
• Pravopisné chyby už nejsou spolehlivým znakem: AI píše bezchybné e-maily a napadené schránky posílají skutečné zprávy.
• Dívejte se na to, co po Vás zpráva žádá a jakým kanálem, nikoli na to, jak vypadá.
• Reflex: zastavit, ověřit vlastní cestou, při pochybnosti se zeptat.

Kvíz

Úkol

Úkol A3.1: Rozpoznávání triků. Dostanete šest napodobených zpráv. U každé zprávy vyberte, které triky obsahuje (urgence, autorita, strach, zvědavost, odměna) a co uděláte: běžně ji vyřídit, nebo nejprve ověřit vlastní cestou. Program Vaše odpovědi vyhodnotí a u každé zprávy vysvětlí, co Vám uniklo.

Další čtení

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• Je jedná o e-mail skutečně od WebOké? Jak rozpoznat phishing a použít akční kód
• Nizozemský NCSC, Jak poznám phishingový e-mail?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Nizozemský NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• Pro nahlášení podvodu nebo phishingu se obraťte na Policii ČR a národní tým CSIRT.CZ: https://csirt.cz/