Telefon cinkne, na displeji stojí, že vám nemohl být doručen balík a že stačí kliknout a doplatit pár korun. Nebo přijde zpráva „z banky“, že vaše karta byla zablokována a musíte ji potvrdit. Obě zprávy mají stejný cíl: dostat vás na falešnou stránku, kde svými vlastními rukama vyplníte číslo karty, přihlašovací údaje nebo kód z bankovní aplikace. Odborně se tomu říká smishing, tedy phishing, který k vám doputuje přes SMS. Tenhle text vysvětluje, podle čeho ho poznáte, a hlavně co udělat, když jste už klikli.
Proč podvodníci píšou právě SMS
Textová zpráva působí důvěryhodně a naléhavě. Čteme ji hned a mobil nás nutí rozhodnout se jedním palcem. Na malém displeji se navíc špatně kontroluje adresa odkazu. Encyklopedické shrnutí smishingu upozorňuje, že adresu v mobilním prohlížeči vidíme jen zkrácenou, takže podvodný odkaz rozpoznáme hůř než v počítači. K tomu přichází další věc: SMS zprávy neprocházejí takovou kontrolou jako e-maily, takže je mnohem snazší je masově rozesílat.
Podvodníci zároveň nepotřebují znát vás osobně. Rozešlou zprávu na tisíce čísel a spoléhají na to, že někdo zrovna čeká balík nebo skutečně má účet u dané banky. Proto je zpráva o zásilce tak účinná: internetové nakupování je běžné a čekání na kurýra zná skoro každý.
Typické scénáře, které se opakují
Zpráva o zásilce
Text bývá krátký: balík čeká, adresa je neúplná, zásilku nelze doručit, uhraďte poplatek. Odkaz vede na stránku, která napodobuje kurýra nebo poštu, a po vás chce údaje o platební kartě „na doplatek“. Podvodníkovi přitom nejde o pár korun, ale o číslo karty a kód, kterým platbu potvrdíte.
Zpráva „z banky“
Tady se hraje na strach: karta byla zablokována, účet je omezen, zaznamenali jsme podezřelou platbu, přihlaste se a ověřte totožnost. Odkaz vede na napodobeninu internetového bankovnictví. Vše, co tam zadáte, jde přímo podvodníkům. Podobně varuje i web Hoax.cz: banka nemá důvod rozesílat zprávy s odkazy na formuláře, do kterých se zadávají důvěrné údaje.
Zpráva s telefonním číslem
Někdy v SMS žádný odkaz není, jen prosba, abyste zavolali „bezpečnostní lince“. Na druhém konci pak sedí člověk, který vás postupně vede k převodu peněz na „bezpečný účet“. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) k podobným hovorům uvádí, že podvodníci vyvíjejí nátlak a mohou zfalšovat i důvěryhodné telefonní číslo. Samotné číslo volajícího tedy o ničem nerozhoduje.
Jak taková zpráva vypadá v praxi
Vymyšlený, ale typický příklad: „Vaše zásilka je zadržena z důvodu neúplné adresy. Aktualizujte údaje do 24 hodin, jinak bude vrácena odesílateli“, a pod tím zkrácený odkaz. Co je na něm špatně? Nepíše se v ní, od koho zásilka je ani kdo ji vezl. Tlačí na čas. Chce, abyste kliknuli a zadali údaje. A pokud zrovna nic neobjednáváte, nesedí ani kontext. Stačí jediný z těchto signálů, abyste odkaz nechali být a zásilku zkontrolovali ve své objednávce nebo aplikaci obchodu.
U zprávy „z banky“ je princip stejný. Pravá informace o problému s účtem se dá ověřit v aplikaci, kterou už máte nainstalovanou. Pokud tam žádné upozornění není, zpráva byla s největší pravděpodobností podvod.
Podle čeho zprávu poznáte
- Tlak na rychlost. „Do 24 hodin“, „poslední upozornění“, „jinak bude zásilka vrácena“. Klid je nejlepší obrana. Skutečný problém počká, než si ho ověříte.
- Odkaz v SMS a žádost o údaje. Kdykoli vás zpráva posílá na stránku, kde máte zadat kartu, heslo nebo kód, berte ji jako podezřelou.
- Adresa stránky. Podívejte se na hlavní část adresy před prvním lomítkem. Pokud jméno firmy stojí uprostřed delšího, nesmyslného názvu nebo adresa nesedí s tím, co znáte z jejího skutečného webu, stránku nezadávejte. Zkrácené odkazy jsou o to horší, že cíl nevidíte vůbec.
- Nesedí kontext. Čekáte vůbec nějaký balík? Máte účet u banky, která vám píše? Zpráva, která přijde bez souvislosti s vaším životem, je varování.
- Neosobní oslovení a drobné chyby. „Vážený zákazníku“, podivná čeština, chybějící diakritika. Nedá se na to spolehnout jako na jistotu, protože podvodné zprávy se zlepšují, ale bývá to další signál.
- Žádost o kód z SMS. Policie ČR v radách k phishingu výslovně uvádí, že potvrzovací SMS s jednorázovými kódy nemáte nikomu přeposílat, pokud jste danou transakci sami nezahájili.
Jak si zprávu ověřit bez rizika
Základní pravidlo zní: nikdy nepoužívejte kontakt z podezřelé zprávy, ověřte si informaci vlastní cestou. Přesně to doporučuje i NÚKIB: nepodléhat nátlaku, hovor ukončit, navštívit osobně pobočku banky nebo si kontakt dohledat sami na oficiálních stránkách.
- Zprávu neotevírejte odkazem. Pokud čekáte zásilku, otevřete aplikaci nebo web obchodu, kde jste objednávali, a stav sledujte tam.
- U banky se přihlaste přes aplikaci, kterou už máte v telefonu, nebo ručně zadejte adresu bankovnictví. Pokud je s účtem opravdu něco v nepořádku, uvidíte to tam.
- Kontakt na banku hledejte na zadní straně karty nebo na jejím oficiálním webu, ne ve zprávě.
- Pochybnosti můžete ověřit i na stránkách Hoax.cz, které shromažďují a popisují známé podvodné zprávy. Policie ČR ho v radách k phishingu také doporučuje.
- Zprávu nepřeposílejte dál, jen ji smažte nebo nahlaste.
Co dělat, když jste už klikli nebo zadali údaje
Stane se to i opatrným lidem, protože podvodné stránky vypadají věrohodně. Podstatné je jednat hned a v klidu. Policie ČR radí kontaktovat ihned banku, pokud byl kompromitován bankovní účet, a událost bez váhání oznámit policii. Praktický postup může vypadat takto:
| Co se stalo | Co udělat hned |
|---|---|
| Jen jste kliknuli na odkaz a nic nezadali | Stránku zavřete, nic nestahujte ani neinstalujte. Pokud se po kliknutí něco stáhlo nebo se změnilo v telefonu, nechte telefon zkontrolovat a odinstalujte neznámé aplikace. |
| Zadali jste číslo karty | Kartu ihned zablokujte v bankovní aplikaci nebo na lince banky a domluvte se na vydání nové. Zkontrolujte pohyby na účtu. |
| Zadali jste přihlašovací údaje k bankovnictví | Zavolejte bance na číslo, které jste si dohledali sami, změňte přístupové údaje a nechte zkontrolovat platby a nastavení. |
| Přeposlali jste kód z SMS nebo potvrdili platbu v aplikaci | Neprodleně volejte bance a požádejte o zablokování přístupu a o zastavení platby, pokud ještě lze. Čas je tady rozhodující. |
| Použili jste stejné heslo i jinde | Změňte ho všude, kde ho používáte, začněte e-mailem a účty, které zveřejňují platební údaje. Pokud to služba nabízí, zapněte dvoufázové přihlášení. |
Po zablokování všeho potřebného si uložte screenshoty zprávy, odkazu a případných výpisů. Budou se hodit bance i policii. Událost pak oznamte policii, která uvádí linku 158 a možnost nahlášení kyberkriminality na svém webu. Bance co nejdřív popište, jak k události došlo. Nevíte-li, jaký postup vaše banka očekává, zeptejte se přímo na její lince.
Jak snížit riziko do budoucna
- Nastavte si limity karty pro platby na internetu. Většina bank to umožňuje v aplikaci a případná škoda bude menší.
- Zapněte upozornění na každou platbu. Uvidíte hned, když se něco děje.
- Nesdílejte údaje po telefonu. Policie ČR doporučuje nikdy nesdělovat osobní údaje, číslo účtu ani údaje z platební karty po telefonu.
- Používejte ochranu telefonu. Policie doporučuje mít v zařízení antivirový program.
- Nahlaste podvodnou SMS. Podvodné zprávy lze podle dostupných informací o smishingu hlásit na bezplatné číslo 7726. Pro jistotu si ověřte u svého operátora, jak hlášení funguje.
- Řekněte to blízkým. Nejčastěji na to naletí rodiče a prarodiče. Domluvte se v rodině, že o žádných zprávách „z banky“ nebo „od kurýra“ se nejdřív mluví s někým druhým.
Časté otázky
Stačí, že jsem na odkaz jen klikl, abych přišel o peníze?
Největší riziko je zadání údajů nebo instalace něčeho, co stránka nabídne. Přesto je nejlepší stránku hned zavřít, nic neinstalovat a zkontrolovat telefon i účet.
Odkud podvodníci znají moje číslo?
Často je vůbec neznají. Zprávy se rozesílají hromadně a podvodník spoléhá na to, že se trefí do někoho, kdo právě čeká balík nebo má účet u dané banky. To, že vám zpráva přišla, nemusí znamenat, že o vás někdo ví víc.
Může mi banka poslat SMS s odkazem?
Ověřte si to u své banky předem a její pravidla dodržujte. Obecná rada je nikdy se nepřihlašovat přes odkaz ze zprávy, ale přes aplikaci nebo ručně zadanou adresu. Web Hoax.cz uvádí, že banka nemá důvod rozesílat zprávy s odkazy na formuláře s důvěrnými informacemi.
Komu zprávu nahlásit?
Zprávu můžete nahlásit na číslo 7726, podle potřeby policii a s bankou řešit případnou platbu. Pokud jste uvedli údaje, kontaktujte banku okamžitě, nečekejte na odpověď z jiné strany.
Mám podat trestní oznámení, i když jsem o nic nepřišel?
Policie ČR radí události oznamovat bez váhání, protože dohledání pachatelů bývá složité a pomáhá každá informace. Pokud jste nic neztratili, stačí zprávu smazat a případně nahlásit.
