Phishing (Podvodné e-maily & krádež údajů)
Co je to Phishing?
Phishing (rybaření údajů) patří k nejrozšířenějším a nejnebezpečnějším kybernetickým útokům na světě. Útočníci rozesílají zprávy, které se tváří jako oficiální sdělení od známých organizací – např. Microsoft 365, České pošty, kurýrní služby (Zásilkovna, DPD, DHL), Finanční správa nebo streamovací platformy.
Cílem je přimět oběť kliknout na přiložený odkaz a vstoupit na dokonalou kopii přihlašovací stránky, kde zadané přihlašovací jméno, heslo nebo údaje z platební karty okamžitě zachytí útočník.
Jak útok probíhá
- Příprava návnady: Útočník vytvoří šablonu zprávy věrně kopírující firemní grafiku (např. „Vaše heslo vyprší za 24 hodin“ nebo „Doplatit celní poplatek za balíček 45 Kč“).
- Registrace podobné domény: Zaregistruje adresu, která se na první pohled podobá originálu
(
ceskap0sta-sledovani.cz,login-microsoft-secure.com). - Rozeslání zpráv: Hromadně nebo cíleně (spear phishing) odešle tisíce e-mailů s důrazem na okamžitou reakci.
- Odchyt údajů: Uživatel vstoupí na falešnou stránku a zadá přihlašovací údaje. Pokud je vyžadován SMS kód, útočník jej v reálném čase přepošle do skutečné služby.
- Převzetí účtu (Account Takeover): Útočník se přihlásí k účtu, nastaví pravidla pro skryté přeposílání e-mailů a pokračuje v útoku hlouběji do sítě.
Příklad phishingového e-mailu
„Předmět: DŮLEŽITÉ Vypršení platnosti bezpečnostního certifikátu účtu
Vážený uživateli,
V rámci plánované údržby serveru došlo k vypršení vašeho hesla do Microsoft 365. Pokud neprovedete revalidaci do 60 minut, bude váš přístup k poštovní schránce zablokován.
Klikněte zde pro potvrzení identity a obnovu přístupu
Oddělení správy firemních systémů.“
Všimněte si urgentnosti (DŮLEŽITÉ apod.), kterou útočník klade. Snaží se vás dostat do časového tlaku, ve kterém si
možná nevšimnete podezřelých detailů a chyb v emailu.
Zásady spolehlivé ochrany
- Vždy kontrolujte skutečnou adresu odesílatele: Nespoléhejte se na zobrazované jméno. Důkladně prozkoumejte doménu
za zavináčem
@– hledejte překlepy, záměnu písmen (např.rnmístom- @microsoft.com vs @rnicrosoft.com) nebo neobvyklé koncovky. - Přejeďte myší přes odkaz před kliknutím: Než na jakýkoli odkaz kliknete, najeďte na něj kurzorem myši a zkontrolujte skutečnou cílovou URL adresu v dolním rohu prohlížeče.
- Nikdy se nepřihlašujte přes odkazy v nevyžádaných e-mailech: Otevřete nový panel prohlížeče a zadejte známou oficiální adresu přímo, nebo použijte své uložené záložky.
- Používejte moderní vícefaktorové ověření (FIDO2 / Passkeys): Hardwarové klíče (YubiKey) a passkeys jsou technicky imunní vůči odchycení na falešné doméně.
- Pozor na podvodné QR kódy (Quishing): Nikdy neskenujte QR kódy v e-mailech požadujících obnovení hesla či ověření bankovnictví.
První pomoc při zadání údajů
Pokud jste zadali heslo, poslali peníze nebo kliknuli na odkaz, jednejte okamžitě.
- Okamžitě změňte heslo z čistého prohlížeče: Otevřete oficiální web dané služby přímo (nikoli z podezřelého e-mailu) a změňte si heslo.
- Odhlaste všechny aktivní relace: Ve správě účtu (Microsoft, Google, Apple) zvolte možnost „Odhlásit ze všech zařízení“.
- Zkontrolujte pravidla poštovní schránky: Prověřte, zda útočník nevytvořil skrytá pravidla pro přeposílání či mazání pošty.
- Informujte správce IT / Bezpečnostní tým: Včasné hlášení umožní zablokovat škodlivou doménu pro celou organizaci a ochránit ostatní kolegy.
Zdroje a doporučená literatura
- Komerční banka – Typy útoků a podvodné zprávy – Edukační rozbor podvodných e-mailů, falešných webů a SMS podvodů.
- NÚKIB – Doporučení k ochraně před phishingem – Oficiální metodika a varování Národního úřadu pro kybernetickou a informační bezpečnost.
- CSIRT.CZ – Národní bezpečnostní tým ČR – Analýza phishingových kampaní a hlášení incidentů v českém internetu.
- MITRE ATT&CK – Technika T1566: Phishing – Globální znalostní báze taktik kybernetických útočníků.