Vishing (Hlasový phishing)
Co je to Vishing?
Vishing (zkratka pro voice phishing) je forma sociálního inženýrství prováděná prostřednictvím telefonních hovorů. Na rozdíl od běžného e-mailového phishingu, kde máte čas zkontrolovat podezřelé odkazy a odesílatele, vishing sází na přímý psychologický nátlak v reálném čase, autoritu volajícího a vyvolání paniky.
Útočníci velmi často využívají technologii spoofingu telefonního čísla (Caller ID spoofing). Na displeji vašeho telefonu se tak může zobrazit skutečné oficiální číslo vaší banky, klientského centra nebo Policie ČR. V pokročilých případech používají i klonování hlasu pomocí umělé inteligence (deepfake).
Jak útočníci postupují
Útočník obvykle manipuluje obětí pomocí strachu, časového presu nebo předstírané snahy pomoci.
- Příprava a sběr dat: Podvodník získá základní informace z úniků dat nebo sociálních sítí (vaše jméno, banku, telefonní číslo).
- Podvržení telefonního čísla (Spoofing): Útočník nastaví VoIP ústřednu tak, aby vám na displeji zvonilo oficiální číslo banky nebo policie.
- Vyvolání paniky a ohrožení: Volající tvrdí, že váš účet byl napaden, někdo si na vaše jméno bere úvěr, nebo vám hrozí zabavení peněz.
- Instrukce k záchraně peněz: Oběť je přesvědčena převést všechny úspory na tzv. „bezpečný záchranný účet“ nebo nainstalovat program pro vzdálenou správu (AnyDesk, TeamViewer).
- Okamžité vyvedení financí: Jakmile peníze odejdou nebo útočník získá přístup k obrazovce, finance jsou okamžitě přeposlány a vybrány přes síť bílých koní či kryptoautomaty.
Ukázka podvodného hovoru
Takhle zní reálný scénář, se kterým se dnes setkávají tisíce lidí v České republice:
„Dobrý den, pane Nováku, tady bezpečnostní technik z centrály vaší banky. Zaznamenali jsme podezřelý pokus o schválení úvěru na 250 000 Kč z pobočky v Brně. Jste to vy?
Ne? V tom případě byl váš účet zkompromitován. Abychom zablokovali další transakce, musíte mi nadiktovat 6místný autorizační kód, který vám právě dorazil SMS zprávou. Nezavěšujte, jinak banka nemůže nést odpovědnost za ztrátu peněz!“
Jak se účinně bránit
Základní bezpečnostní pravidlo zní: Nikdy neověřujte pravost volajícího v rámci téhož příchozího hovoru.
Ověřené zásady, které vás spolehlivě ochrání před podvodníky.
- Zavěste a zavolejte zpět sami: Pokud vám volá bankéř nebo policista a řeší bezpečnostní incident, hovor ukončete. Vytočte oficiální číslo banky uvedené na zadní straně vaší platební karty nebo na oficiálním webu.
- Banka po telefonu nikdy nechce PIN ani hesla: Žádný zaměstnanec banky od vás nikdy nebude žádat heslo do internetového bankovnictví, PIN ke kartě, CVC kód ani potvrzení v bankovní aplikaci pro „zrušení operace“.
- Neexistuje žádný „bezpečný záchranný účet“: Banky nikdy neinstruují klienty k převodu peněz na účet rezervního fondu nebo do cizí banky za účelem záchrany.
- Neinstalujte žádný software pro vzdálený přístup: Programy jako AnyDesk, TeamViewer nebo RustDesk umožňují útočníkovi plnou kontrolu nad vaším počítačem nebo telefonem.
- Nenechte se vmanipulovat do časového stresu: Nátlak a hrozba okamžité ztráty peněz je nejčastějším varovným signálem manipulace.
Co dělat, pokud jste naletěli
Pokud jste sdělili své přístupové údaje, potvrdili autorizaci nebo odeslali platbu:
- Ihned kontaktujte klientskou linku své banky: Požádejte o okamžitou blokaci platebních karet, zablokování internetového bankovnictví a pokuste se o storno odchozích plateb.
- Odpojte počítač nebo telefon od internetu: Pokud jste instalovali jakoukoli aplikaci na pokyn útočníka, odpojte Wi-Fi i mobilní data, aby útočník ztratil spojení.
- Nahlaste incident Policii ČR: Podejte trestní oznámení. Uchovejte si historii volání, čas hovoru, číslo účtu, na který jste poslali peníze, a veškerou SMS komunikaci.
- Upozorněte firemní IT oddělení: Týká-li se incident firemních zařízení nebo hesel, neprodleně informujte své firemní IT/CSIRT specialisty.
Zdroje a doporučená literatura
- Komerční banka – Podvodné telefonáty (Vishing) – Doporučení banky k ověřování identity volajícího a ochraně úspor.
- Česká bankovní asociace – Kampaň #NePINdej! – Celonárodní vzdělávací projekt o nástrahách kybernetického podvodu a sociálního inženýrství.
- Policie ČR – Pozor na falešné bankéře a policisty – Výstrahy před organizovanými vishingovými skupinami v České republice.
- MITRE ATT&CK – Technika T1566.004: Spearphishing Voice – Mezinárodní klasifikace hlasových útoků.
Phishing (Podvodné e-maily & krádež údajů)
Klamavé e-maily, SMS zprávy nebo zprávy na sociálních sítích, které předstírají, že pocházejí od důvěryhodné instituce, s cílem vylákat přihlašovací údaje, hesla nebo platební karty.
Vyděračský software (Ransomware)
Škodlivý kód, který zašifruje firemní dokumenty, databáze a zálohy, zablokuje provoz organizace a požaduje vysoké výkupné v kryptoměnách pod hrozbou trvalé ztráty či zveřejnění citlivých dat.