Phishing je podvod, pri ktorom sa útočník tvári ako niekto dôveryhodný, napríklad banka, kolega alebo dodávateľ, a snaží sa vylákať heslo, platbu alebo kliknutie. Je to jeden z najčastejších spôsobov, ako sa útočníci dostanú do firmy, a technika ho sama nezastaví. Zastaviť ho vie informovaný človek.
Aké formy phishing má
- E-mail: falošná faktúra, balík, „upozornenie od banky“ alebo „vaše heslo vyprší“.
- Cielený phishing (spear phishing): správa napísaná konkrétne pre vás, s vaším menom a zmienkou o reálnych veciach.
- Podvod „šéf žiada platbu“ (BEC): falošný e-mail od vedenia s naliehavou požiadavkou na platbu.
- SMS (smishing) a hovor (vishing): falošný kuriér, banka alebo „technická podpora“.
- QR kódy (quishing): odkaz skrytý v obrázku, ktorý e-mailové filtre často neprečítajú.
Päť varovných znakov
- Odosielateľ: adresa len pripomína skutočnú. Skontrolujte celú adresu, nielen zobrazené meno.
- Tlak na rýchlosť: „ešte dnes“, „naliehavé“, „účet bude zablokovaný“.
- Nezvyčajná požiadavka: zmena čísla účtu, nákup darčekových kariet, zadanie hesla cez odkaz.
- Odkaz vedie inam: prejdite myšou cez odkaz a pozrite si skutočnú adresu. Radšej nekliknite vôbec.
- Nečakaná príloha: archív, dokument s makrami alebo dvojitá prípona (.pdf.zip).
Podvodné faktúry a zmena čísla účtu
Finančné oddelenie je obľúbeným cieľom. Útočník pošle faktúru alebo „oznámi“ zmenu účtu dodávateľa. Pomáha jednoduché pravidlo: každú zmenu čísla účtu overte inou cestou, napríklad telefonátom na číslo, ktoré už poznáte, nie na číslo z e-mailu. Pri vyšších platbách sa oplatí schvaľovanie dvoma osobami.
Čo robiť, keď ste klikli
- Odpojte zariadenie od siete (kábel aj Wi-Fi), ale nič nemažte ani neinštalujte.
- Nahláste to ihneď IT alebo bezpečnostnému kontaktu. Čím skôr, tým menšia škoda, a hlásenie sa nemá trestať.
- Zmeňte heslá z iného, nezasiahnutého zariadenia, hlavne k tomu účtu, ktorý ste zadali.
- Skontrolujte prihlásenia a dvojfaktorové overenie k dotknutým účtom a odhláste cudzie relácie.
- Pri platbe kontaktujte banku okamžite. Pri rýchlom zásahu je šanca platbu zastaviť.
Ako sa brániť technicky
- Dvojfaktorové overenie (MFA): ukradnuté heslo samo nestačí.
- Správca hesiel: vyplní heslo len na stránke so správnou doménou, takže falošná stránka ho nedostane.
- SPF, DKIM a DMARC: sťažia podvrhnutie vašej domény. Pozrite si článok o ich nastavení.
- Filtrovanie e-mailov a webu, aktualizácie systémov a zálohy.
Ako sa brániť ľudsky
Technika zachytí väčšinu, no nie všetko. Pomáhajú krátke pravidelné školenia zamestnancov, simulované phishingové kampane s okamžitou lekciou a kultúra, v ktorej sa nahlasovanie podozrivých správ oceňuje. Opakovanie je dôležitejšie než jedno dlhé školenie.
Modelový príklad: faktúra s novým číslom účtu
Účtovníčka dostane e-mail od dodávateľa, s ktorým spolupracuje dlhodobo: „Od tohto mesiaca platíme na nový účet. Faktúra je v prílohe, úhrada je naliehavá.“ E-mail vyzerá presvedčivo, použité je správne logo. Čo je správny postup?
- Nezačať platiť. Nová žiadosť o zmenu účtu je vždy dôvod na kontrolu.
- Pozrieť adresu odosielateľa. Líši sa doména, je tam pomlčka alebo iná koncovka?
- Overiť inou cestou: zavolať na číslo dodávateľa, ktoré už máte v systéme, nie na číslo z e-mailu.
- Požiadať o potvrdenie zmeny od známej kontaktnej osoby.
- Nahlásiť podozrivú správu IT alebo bezpečnostnému kontaktu.
Takýto jednoduchý postup zastaví veľkú časť podvodov. Podvodníci rátajú s tým, že nikto nič nekontroluje a platba sa vykoná ešte dnes.
Kontrolný zoznam pre firmu
- Máme dvojfaktorové overenie na e-maile a dôležitých systémoch?
- Majú zamestnanci jasné tlačidlo alebo adresu na hlásenie podozrivých správ?
- Existuje pravidlo na overovanie zmien čísla účtu a vyšších platieb?
- Je nastavené SPF, DKIM a DMARC a filtrovanie e-mailov?
- Prebehlo školenie zamestnancov a pravidelne sa opakuje?
- Vedia ľudia, čo robiť, keď kliknú na podozrivý odkaz?
- Máme zálohy mimo siete a odskúšanú obnovu?
Otázky, ktoré si klásť pri každej podozrivej správe
- Čakal som túto správu a súvisí s niečím, čo reálne robím?
- Chce odo mňa niekto niečo urgentne, najmä platbu, heslo alebo kliknutie?
- Zodpovedá adresa a spôsob písania tomu, ako sa odosielateľ zvyčajne ozýva?
- Dá sa to overiť inou cestou než odpoveďou na správu?
Slovníček pojmov
- BEC: podvod, pri ktorom sa útočník vydáva za vedenie alebo dodávateľa a žiada platbu.
- MFA: dvojfaktorové overenie, ďalší krok okrem hesla.
- Smishing a vishing: phishing cez SMS a cez telefón.
- Quishing: phishing cez QR kód.
- Simulácia phishingu: kontrolovaný cvičný útok na zamestnancov s okamžitou lekciou.
Často kladené otázky
Čo je spear phishing?
Cielený phishing, pri ktorom je správa prispôsobená konkrétnej osobe alebo firme (meno, funkcia, reálny projekt). Pôsobí presvedčivejšie než hromadné e-maily, preto sa overuje aj to, čo vyzerá dôveryhodne.
Ochráni ma antivírus pred phishingom?
Čiastočne. Antivírus zachytí škodlivé prílohy, no nezabráni tomu, aby ste na falošnej stránke zadali heslo. Dôležité je dvojfaktorové overenie a opatrnosť.
Ako často školiť zamestnancov?
Základné školenie raz ročne doplnené krátkymi pripomenutiami a simuláciami počas roka, plus zaškolenie každého nového zamestnanca hneď na začiatku.
Potrebujete s tým poradiť?
Pozrite si súvisiacu službu Bezpečnostné školenia pre firmy, spočítajte si orientačnú cenu alebo nám napíšte — pripravíme nezáväznú ponuku.
