Phishing

Oznam na háčiku: potrebujeme overiť číslo vašej kreditnej karty. Ryba hovorí: nezožer každú návnadu. Chráň svoje dôverné (finančné) informácie.

Phishing je „pokus o podvodné získanie citlivých informácií, ako sú heslá a podrobnosti o kreditných kartách, maskovaním sa za dôveryhodnú osobu alebo dôveryhodný obchod (alebo banku^[1]) pri elektronickej komunikácii“^[2].

Národný bezpečnostný úrad (NBÚ) pripravil Správu o kybernetickej bezpečnosti v Slovenskej republike, z ktorej z konkrétnych bezpečnostných hrozieb Slovákov počas celého roka 2022 obťažovali hlavne phishingové kampane šírené nielen cez e-mail, ale aj telefónom a cez SMS správy.^[3]

Názov

Výraz „phishing“ je v angličtine novotvar, ktorý vznikol na základe homofónnej podoby so slovom „fishing“, ktoré znamená rybolov, a naznačuje podobný význam chytania obete na návnadu. (Tiež zjednodušene interpretované aj ako angl. password fishing – doslova (rybo)lovenie hesiel.) Začiatočné písmená „ph-“ sú odkazom na "phreaking”, ktorý využívali v minulom storočí pri svojom experimentovaní s možnosťami telekomunikačných systémov hakeri, ktorí zašli až za hranice legálnosti.^[4] Do slovenčiny sa zatiaľ neprekladá. Podvodník, ktorý využíva phishing sa nazýva phisher.

Princíp

Existuje viacero spôsobov „lovenia hesiel“. Najčastejšie phishing prebieha tak, že podvodník (útočník) sa pomocou podvodného (klamlivého) e-mailu (z angl. email spoofing – doslova vodiť za nos, všeobecnejšie email od falošného odosielateľa) alebo instant messagingu, SMS (smishing) alebo inej komunikácie napríklad na sociálnej sieti alebo weboch alebo v internetových reklamách alebo v malware snaží nasmerovať používateľa na webstránku alebo všeobecnejšie URL adresu, ktorú pripravil práve na tento podvodný účel. Takáto falošná webstránka môže vyzerať ako presná kópia už existujúcej dôveryhodnej stránky, ktorú bežne používateľ navštevuje (napríklad stránka banky^[5] vrátane loga a pod.) alebo ponúka nejaké výhody po prihlásení. Meno a heslo a ostatné údaje zadané do takejto phishingovej stránky, sa dostanú k podvodníkovi, ktorý ich môže zneužiť sám alebo predať iným. Inou častou možnosťou je formulár (zameraný podobne ako spomínaná falošná webstránka na zistenie osobných údajov), ktorý je priamo v e-mailovej správe alebo v jej prílohe.^[6]

Ukradnuté osobné údaje môže podvodník využiť priamo napríklad na komunikáciu s vašou bankou, ale často sa pokúšať zároveň infikovať váš počítač (smartfón) škodlivým kódom (malware),^[7] čo mu umožní zneužívať zariadenie viacnásobne alebo dlhodobo. Na tomto princípe bola založená telefonická forma phishingu, v ktorej od roku 2020 telefonovali údajní zástupcov spoločnosti Microsoftu a žiadali o inštaláciu aplikácií, ktoré umožnia vzdialený prístup k vášmu zariadeniu.^[8]

Phishing môže byť súčasťou kampane - série viacerých útokov. Napríklad kampaň EMOTET, šíriaca sa v septembri 2020, začína phishingom a končí poslednou fázou, ktorou je inštalácia ransomvéru Ryuk, ktorý zašifruje vybrané súbory na zariadeniach a vyžaduje platbu v bitcoinoch.^[9] SK-CERT varuje, že EMOTET sa primárne šíri prostredníctvom vierohodne vyzerajúcej správy od organizácie, v ktorej vás upozorňujú na rôznu škálu podnetov – od neuhradenej faktúry, až po nové pravidlá týkajúce sa šírenia ochorenia Covid-19. Infikovanie napadnutého systému sa následne vykonáva prostredníctvom škodlivého skriptu, dokumentov s povolenými makrami alebo prostredníctvom iného škodlivého obsahu. (Po vypnutí makier v základnom nastavení produktov Microsoftu sa namiesto škodlivých makier začali používať iné formy nebezpečných príloh ako sú LNK, ISO a RAR.^[3]) E-maily sa obsahom a odosielateľom môžu javiť ako legitímne a často nabádajú k okamžitému otvoreniu správy resp. prílohy bez preverenia. Po infekcii sa prehľadá zoznam kontaktov a rozošlú ďalšie phishingové e-maily, typicky adresátom z okruhov rodina, známi a kolegovia. Keďže e-mail príde od známeho a legitímneho odosielateľa, adresáti sú potom náchylnejší ho otvoriť.^[9]

Osobné informácie, na ktoré býva phishing zameraný

Podľa Google^[5] ide o snahu neoprávnene získať najmä tieto údaje:

• používateľské meno a heslo (najmä do internetbankingu),
• rodné číslo,
• čísla bankových účtov,
• PIN kód (osobné identifikačné číslo),
• čísla platobných kariet a ich CVC kódy (z angl. Card Verification Code),
• rodné priezvisko matky,
• dátum narodenia.

Typické znaky phishingu

Phishing môže prebiehať aj tak, že sa rozposielajú správy, ktoré oznamujú používateľom zmenu účtu alebo jeho obnovenie a tak lákajú citlivé údaje. Phishingové stránky môžu po registrácii ponúkať rôzne „skvelé“ služby alebo výhody (napr. vzácne predmety do MMORPG hier, download hier zdarma atď.) alebo vás phisher kontaktuje ako člen support teamu (podpora), admin a podobne a chce od vás údaje (heslá, čísla účtov), pre overenie. Ponuka, ktorá sa neodmieta: “Vážený zákazník. Gratulujeme! Vyhrali ste najnovší smartfón. Zašlite nám Vaše kontaktné údaje.” znie až príliš dobre na to, aby to bola pravda, takmer vždy ide o podvod.^[6]

V skutočnosti ide útočníkovi o získanie používateľské mena a hesla, ktoré potom skúša na prístup do banky (alebo viacerých bánk). Banky sa bránia proti phishingu tak, že verejne oznamujú, že nikdy osobné údaje nežiadajú týmto spôsobom.

Typickými znakmi phishingu sú:

• Falošná emailová adresa odosielateľa. Doména v adrese nezodpovedá organizácii, za ktorú odosielateľ píše. Viditeľný je nesúlad medzi textovou časťou adresy a domény. V dole uvedených príkladoch sú v textovej časti adresy uvedené slovenské banky avšak domény im nezodpovedajú, ba dokonca ani doména najvyššej úrovne nie je .sk.
• Obsah sa týka informácií, na ktoré býva phishing zameraný (pozri hore).
• V prípade e-mailu chýba v správe osobnejší prístup - obsahuje všeobecné oslovenie, napr. „Vážený zákazník, nie vaše konkrétne meno”.^[6]
• Obsah môže byť skomolený, pretože často býva len strojovým prekladom do slovenčiny (pozri príklady). Eset v roku 2020 píše, že slovenčina v niektorých mailoch sa zlepšila.^[10]
• Je zdôrazňovaná urgentnosť správy, tak aby používateľ nad textom veľmi nerozmýšľal a hneď emocionálne konal.^[1] Väčšinou na konci býva vyzýva k akcii, ktorá spočíva v kliknutí na link (odkaz URL, obrázok, text a pod.). Namiesto kliknutia je však najlepšou akciou nahlásiť^[5] podozrivý email (komunikáciu) prevádzkovateľovi (napríklad ako spam).
• Spomínaný odkaz URL zvyčajne nevyužíva zabezpečené, šifrované spojenie – adresa sa nezačína reťazcom „https“ (ale len http).^[1] Ak adresa nezačína „https“, tak v adresnom riadku prehliadača chýba ikona (zvyčajne zeleného) zámku.^[1]
• Po kliknutí na spomínaný odkaz URL sa môže zobraziť web stránka, ktorá môže byť graficky nedokonalá, pôsobí ako zle načítaná, nefungujú na nej všetky odkazy alebo obsahuje gramatické chyby.

Ochrana pred phishingom

• Nepoužívať to isté heslo (PIN) pre viacero služieb. (Pozri hore phishingové stránky môžu po registrácii ponúkať rôzne „skvelé“ služby alebo výhody...) Najmä pre operácie s peniazmi (internetbanking) majte jedinečné heslo, ktoré je dostatočne "silné" a bezpečne uchované.
• Najlepšia ochrana proti phishingu je nedôverovať stránkam a správam, ktoré chcú vylákať citlivé údaje, hlavne heslá. Zároveň sa odporúča nepoužívať rovnaké prihlasovacie údaje do rôznych služieb. (Chráňte si svoje heslá a nikomu ich neprezrádzajte. Nezverejňujte vaše citlivé osobné informácie na webe, po telefóne, osobne ani emailom v žiadnom prípade, aj keď výzva môže pôsobiť veľmi urgentne.) Podozrivé požiadavky emailom, telefonicky alebo SMS na poskytnutie citlivých informácií radšej najprv overiť na zákazníckej linke banky^[11] alebo ich ignorovať.^[12]
• Mimoriadnu pozornosť by ste mali venovať skráteným odkazom (napr. Bit.ly) či už v správach, ale aj v statusoch na sociálnych sieťach. Za žiadnych okolností na ne neklikajte.^[13]
• Niekde už po prezretí URL adresy, ktorú vyžaduje phisher navštíviť, je zrejmé že ide o podvod (adresa nie je na doméne firmy, ktorej by mala byť, text odkazu nezodpovedá URL adrese). Po zájdení myšou nad adresu sa táto zobrazuje celá na spodku prehliadača (v stavovom riadku). Deje sa tak však len na počítačoch (a nie na mobiloch) a existujú možnosti ako v niektorých prehliadačoch skutočnú adresu zmeniť alebo zamaskovať.
• Do internetbankingu vstupujte na počítači manuálnym vypísaním web adresy banky do prehliadača, napríklad www.mbank.sk. Nikdy sa do svojho bankového účtu neprihlasujte cez zaslané odkazy, ani cez odkazy nájdené ako výsledky vo vyhľadávačoch (podvodné weby sa môžu zobraziť medzi prvými, pretože si na ne podvodníci platia reklamu). Ak takýto falošný odkaz otvoríte, a stránka sa môže javiť ako stránka vašej banky, nikdy sa do účtu neprihlasujte^[14] a odíďte odtiaľ. Bezpečný postup, okrem vypísania adresy, je aj výber záložky (pridať medzi obľúbené) v prehliadači, ktorú ste si sami pre tento účel vytvorili. Záložku môžete použiť aj na mobile alebo tablete, ale tam je lepšie nainštalovať aplikáciu banky určenú na internetbanking (ak to zariadenie a banka umožňujú).
• Pri práci s internetbankingom používajte len šifrované spojenie - stránky s adresou začínajúcou https:// . V prípade pochybností skontrolujte (platnosť) bezpečnostného certifikátu (zvyčajne kliknutím na zobrazený zámok).^[11]
• Nikdy nepoužívajte internetbanking cez nezabezpečené wifi siete (tzv. freewifi).^[11]
• Niektoré prehliadače a emailové klienty (s funkciou DMARC) ako napr. Gmail^[15] obsahujú ochranu proti phishingu, ktorú tiež ponúkajú výrobcovia antivírusového softvéru^[4] (napr. Eset^[16]). Napriek tomu, neotvárajte a nesťahujte prílohy z podozrivých e-mailov.^[13]
• Viaceré prehliadače obsahujú ochranu proti phishingu.^[5] Po kliknutí najprv zobrazia upozornenie, že užívateľ sa chystá prejsť na nebezpečné alebo klamlivé webové stránky.^[17]
• Pravidelne aktualizujte operačný a antivírusový systém.^[12]
• Neplaťte na internetových bazároch (napr. Bazoš alebo Facebook) pomocou kreditnej karty. Pri nákupe alebo predaji tovaru cez internetový bazár nikdy nezadávajte údaje k platobnej karte. Ak nie je možný realizovať obchod osobne prípadne na dobierku, tak peniaze posielajte na účet len osobám, ktorých identitu máte overenú. Neobchodujte s osobami, ktoré nie sú ochotné poskytnúť ani telefonický kontakt.^[18]
• Ak v e-shope nakupujete prvýkrát, poučte sa zo skúseností ostatných a nájdite nezávislé recenzie e-shopu. Napríklad Slovenská obchodná inšpekcia zverejňuje na svojich stránkach zoznam rizikových e-shopov.^[19][20] Prvou známkou nedôveryhodnosti sú chýbajúce informácie o prevádzkovateľovi e-shopu/predávajúcom: z webovej stránky nie je jasné, s kým uzatvárate kúpnu zmluvu a voči komu si tak môže uplatňovať svoje spotrebiteľské práva.^[20]
• Neplaťte z účtu, kde máte všetky úspory. Stanovte si limit alebo môžete využiť namiesto kreditnej karty iné spôsoby.^[19]
• Majte nastavené notifikácie prevodov na vašom účte. Ak spozorujte podozrivú transakciu, okamžite sa spojte s vašou bankou. V určitých prípadoch a do určitého času sa dá transakcia zastaviť.^[13]

Obete phishingu

Klientov, ktorí majú podozrenie, že na podvod naleteli, banky vyzývajú, aby:

• Pokiaľ si nie sú istí, ako postupovať, kontaktovali banku.^[12]
• Túto okolnosť banke nahlásili.^[21] (Banka sa môže snažiť falošné weby zablokovať.)
• Skontrolovali si stav svojho účtu (napríklad pozrieť SMS notifikácie).^[21]
• Zmenili si prihlasovacie údaje.
• Prípadne zvýšili stupeň overenia identity na dvojstupňové overenie, čo však od bánk už od 14. septembra 2019 vyžaduje Európska smernica o platobných službách týkajúca sa bezkontaktných platieb a platieb prostredníctvom internetu.^[22]
• Polícia nabáda k obozretnosti, avšak nevyzýva k nahlasovaniu podozrení z phishingu (stačí nahlásiť banke). Polícii treba nahlásiť podvodné prevody peňazí.^[23]

Iné spôsoby krádeže identity

Spear phishing

Phishing je príkladom techniky sociálneho inžinierstva^[24] používanej na oklamanie používateľov zameraný na využitie slabých miest súčasných bezpečnostných technológií (a ich implementácií). Špeciálnym prípadom phishingu je spear phishing, ktorý je útokom na úzku skupinu potenciálnych obetí alebo jednotlivcov (spear phishing = lovenie harpúnou), väčšinou takých, ktorí majú prístup k citlivým informáciám o organizácii a spravidla sú v organizačnom rebríčku vyššie postavení. Takéto emaily sú úzko zamerané a personalizované. Útočníci sa pri tejto technike zvyčajne spoliehajú na diery v systéme (tzv. „exploity“), čiže škodlivé kódy, ktoré využívajú zraniteľnosti softvéru v napadnutom počítači“^[25] alebo systéme.

Spear phishing je na rozdiel od obyčajného phishingu cielený pokus, ktorý vyzerá dôveryhodne pre jeho obete a teda má vyššiu pravdepodobnosť úspechu; napríklad napadnutie nevyžiadanou elektronickou poštou môže napodobniť správu od organizácie alebo jednotlivca, ktorého prijímateľ skutočne pozná.^[2]

Iné spôsoby phishingu

Na podobnom princípe ako phishing sú založené aj ďalšie podvody, keď sa podvodníci snažia vylákať dáta prostredníctvom telefonické phishingu (vishing - voice phishing), či cez sms správu s URL odkazom na podvodnú stránku alebo výzvou na odpovedanie na telefónne číslo (smishing - SMS phishing^[6]). Útočníci môžu skúšať získať citlivé údaje aj cez zavírený počítač alebo mobilné zariadenie prostredníctvom podvodného presmerovania web stránok (pharming).^[11]

Dobíjanie kreditu mobilného operátora cez web

Tí, ktorí pri dobíjaní použili vyhľadávač a zadali kľúčové slová ako napríklad „dobitie kreditu“ a názov operátora, boli podvedení. Prvá stránka, ktorá sa im zobrazila nebola skutočná, ale podvodná. Klient netušiac, že ide o podvod, zadal prihlasovacie údaje a podvodníci paralelne s ním stiahli aplikáciu mobilného bankovníctva danej banky do svojho zariadenia. Klientovi prišla autorizačná SMS a ten v domnienke, že ide o bežnú operáciu odovzdal autorizačný kód do podvodnej stránky.^[26]

Telefonická forma phishingu (vishing)

Falošný telefonát z banky

V lete 2023 viaceré banky oznámili, že sa rozmáhajú podvodné telefónne hovory, pri ktorých sa volajúci vydáva za zamestnanca banky, polície alebo inej inštitúcie pričom číslo z ktorého volajú je sfalšované tak, že sa na displeji telefónu naozaj môže zobraziť, že vám volá banka (polícia).^[27]

Že ide o podvodníkov zistíte tak, že:

• banka od vás telefonicky nikdy nežiada heslá, údaje z platobnej karty, SMS kódy či iné citlivé údaje,
• banka vás nikdy nebude žiadať, aby ste peniaze prevádzali alebo vkladali na iný účet.^[27]

Viaceré banky ponúkajú telefonické spojenie s bankou ako bezpečnú formu komunikácie a preto zaviedli dodatočné bezpečnostné opatrenia súvisiace s telefonovaním so zamestnancom banky: klientovi pošlú do jeho mobilnej bankovej aplikácie požiadavku na autorizáciu hovoru. Keď klient notifikáciu potvrdí, môže pokračovať v rozhovore. Pracovník banky nebude klásť žiadne ďalšie overovacie otázky. Služba funguje v aplikácii automaticky. Táto banka preto radí, aby v prípade potreby na jej kontaktovanie klienti uprednostnili telefonovanie cez mobilnú aplikáciu namiesto obyčajného hovoru. Druhá banka počas hovoru pošle správu, ktorú si klient vie pozrieť v internetbankingu alebo mobilnej aplikácii. V správe sa nachádza meno zamestnanca banky, dátum a čas telefonátu a zároveň jedinečný bezpečnostný kód. Na overenie pravosť telefonujúceho zamestnanca ho stačí požiadať, aby kód povedal.^[27]

Vo všeobecnosti banka má viacero možnosti, ako vás kontaktovať a nemôže sa spoliehať len telefonický hovor. Ak sa vám zdá hovor podozrivý požiadajte aby vás kontaktovali iným spôsobom a zložte.

Falošná polícia

Oveľa zradnejšie sú volania, pri ktorých sa volajúci predstaví ako pracovník polície, čo samo o sebe dokáže človeka vystrašiť. Svojej obeti oznámi, že jej bankový účet je v ohrození a je potrebné zrealizovať buď dodatočné zabezpečenie účtu alebo presun peňazí na iný účet. Hovor potom presmeruje na falošné call centrum. V takom prípade si obeť útoku myslí, že volá s pracovníkom banky a ochotne diktuje svoje údaje vrátane prihlasovacích kódov do internetbankingu.^[28]

Falošný support

Častým a už pomerne známym podvodom je telefonické predstieranie, že máte ohrozené zabezpečenie vášho počítača. Od roku 2020 telefonovali aj na Slovensko údajní zástupcov spoločnosti Microsoftu a žiadali o inštaláciu aplikácií, ktoré umožnia vzdialený prístup k vášmu zariadeniu. Podvodníci môžu taktiež poskytovať falošné riešenia problémov a žiadať vás o platbu v podobe jednorazového poplatku alebo predplatné za službu alebo podporu.^[8]

Ak vám niekto telefonuje, máte len veľmi malú možnosť overiť si pravosť jeho identity ak ho nepoznáte. Ak dotyčný tvrdí, že je napríklad z Microsoftu, malo by byť jeho číslo zverejnené v oficiálnom telefónnom zozname. Ak je volajúce číslo zahraničné, z iného mesta alebo nie je dohľadateľné na internete, považujte ho za podvodné a nevolajte naň. Podozrivého volajúceho môžete tiež požiadať, aby vám požiadavku poslal e-mailom alebo listom. Uveďte, že danú záležitosť nechcete riešiť telefonicky. Ak volajúci z akéhokoľvek dôvodu nebude chcieť poslať požiadavku e-mailom alebo písomne, považujte jeho žiadosť za podvodnú.^[7]

Ako sa chrániť pred falošnou technickou podporou:

• Microsoft neposiela nevyžiadané e-mailové správy ani neuskutočňuje nevyžiadané hovory na to, aby od vás vyžadoval osobné či finančné informácie, prípadne vám poskytol technickú podporu na opravu počítača.
• Akákoľvek komunikácia so spoločnosťou Microsoft musí začať od vás.
• Ak sa zobrazí automaticky otváraná správa s telefónnym číslom, na toto číslo nevolajte. Chybové hlásenia a upozornenia od spoločnosti Microsoft nikdy neobsahujú telefónne číslo.
• Neočakávanému volajúcemu nepovoľujte prístup na vzdialené ovládanie počítača a neprezrádzajte mu svoje prihlasovacie údaje.^[7]

Skimming bankových kariet

V roku 2014 slovenské banky zaznamenali 52 prípadov skimmingu (v bankomate nainštalované podvodné zariadenie na snímanie platobných kariet).^[29] V roku 2017 v Bulharsku a Španielsku zadržali podvodníkov, ktorí inštalovali zariadenia na skimming kariet do viac než štyroch stoviek bankomatov ročne. Kopírovali a klonovali kreditné karty a použili ich na nelegálne transakcie. Počty skimmingových útokov v Európe postupne klesajú a počet incidentov v roku 2019 bol najnižší od roku 2005. V roku 2015 ich bolo zhruba 3 300.^[30] Slovenská banková asociácia odporúča tieto základné opatrenia ako sa brániť proti skimmingu:^[29]

• Pri zadávaní PIN čísla treba druhou rukou dôsledne zakryť klávesnicu, aby kód nedokázala nasnímať prípadná skrytá kamera.
• Pred použitím bankomatu ho vizuálne skontrolovať, či nebol upravený (pohyblivé časti, ťažšia manipulácia s kartou a pod.).
• Pravidelne kontrolovať obraty na svojom účte. Nastaviť si sms notifikácie o pohyboch na účte a zároveň kontrolovať aktuálnosť telefonického kontaktu uvedeného v banke.

Scam

Podvodné alebo zavádzajúce správanie alebo činnosť.^[31] Na rozdiel od Spamu je Scam vždy úmyselný a zameraný na podvádzanie.^[32]

Príklady podvodného e-mailu (niektoré údaje sú zmenené)

Správy z banky: nová funkcia, zabezpečenie, chybná platba

Falošná správa 1 - url adresa otvorí elektronické bankovníctvo ak ste klientom tejto banky a snaží sa previesť z vášho účtu 1,34€

Od:	Tatra banka < a @ japanlokad.com >
Predmet:	Nova funkcia
Dátum:	Sob, 5.Jan 2019 04:38:10

Vážený pán / pani,

Radi by sme Vás informovali, že sme pridali novú funkciu na ochranu vášho účtu pred podvodným pokusom a neoprávneným používaním vašej bankovej karty.
Táto prísada je veľmi dôležitá pre vašu ochranu a pohodlie našich zákazníkov.
Aktivujte ho na svojej banke a odpočítajte veľmi jednoduchú sumu:
1,34 EUR
Ak chcete svoju kreditnú kartu overiť a aktivovať ju vo svojom účte.
Na platbu a aktiváciu :
https: / / moja.tatrabanka.sk/cgi-bin/blablablablablablablablab
Funkcia sa po zaplatení automaticky aktivuje.
Zuzana Povodová

Falošná správa 2 - url adresa otvára nib.vub.sk, ktorý je presmerovaný na ib.vub.sk

Od:	VUB Banka <test @ wizgreeting.company>
Predmet:	oznámenia
Dátum:	Sob, 29.Dec 2018 11:09:47
Komu:	<monika.perez @ gmail.com>

Vážený zákazník,

Teraz sme aktualizovali naše ďalšie bezpečnostné prvky v bezpečné a bezpečné zabezpečenie online bankovníctva. Ostatní, ktorí čakajú na aktualizáciu, by mali posilniť autentifikáciu prostredníctvom on-line bankovníctva. Ak chcete potvrdiť svoju totožnosť a zabrániť blokovaniu účtu, navštívte stránku:

https: // nib.vub.sk/portal/blablablb

Toto sú pokyny zaslané všetkým klientom VUB a musia byť dodržané.

Vďaka,
VÚB Banka

Falošná správa 3 - Slovenska Sporitelna - zrušený prevod

Od:	SLSP <[e-mail]>

Predmet: 	Slovenska Sporitelna

Dátum:	Ned, 22.Mar 2020 08:01:22

Vazeny klient,

Vas posledny bankovy prevod bol zruseny z bezpecnostnych dovodov. Kliknite sem a postupujte podla pokynov na okamzite vratenie vasich penazí.

Dolezite: Ak nebudete postupova podla pokynov do 24 hodín, vase peniaze v nas zostanu v bezpecí, kym nevykonate potrebne kroky.

S pozdravom.

Falošná správa 4 - OTP BANKA - DÔLEŽITÉ SPRÁVY

Od:	OTP BANKA SK <[e-mail]>  
Predmet:	DÔLEŽITÉ SPRÁVY  
Dátum:	Pia, 20.Sep 2019 13:37:23
Vážený zákazník,  Z dôvodu našej nedávnej bezpečnostnej kontroly vašich služieb OTP BANKA požadujeme, aby ste si overili údaje o vašom účte zaregistrované u nás, aby ste sa uistili, že váš účet nebol porušený. Jednoducho kliknite na náš odkaz na zabezpečený server a prihláste sa a overte svoje údaje.  ZOBRAZIŤ NA BEZPEČNÝ SERVER:https: //otpdirekt.otpbanka.sk/login/login_main_jelszoalapu.jsp  Zabezpečenie účtu je jednou z našich najvyšších priorít. Ak neoveríte svoj účet do 48 hodín, povedie to k pozastaveniu prístupu k vášmu online účtu. Ospravedlňujeme sa za nepríjemnosti.  S pozdravom,  OTP BANK SK

Vydieranie e-mailom

Falošná správa 5 - "návšteva webu pro dospělé" (sex blackmail) - môže byť anglicky a obsahovať aj vaše heslo)^[10][33]

Predmet:	Bezpečnostní upozornění
Dátum:	Február 2019

Ahoj! Jak jste si možná všimli, poslal jsem vám e-mail z vašeho účtu.  To znamená, že mám plný přístup k vašemu účtu.  Díval jsem se na tebe už několik měsíců.  Skutečnost je, že jste byli nakaženi škodlivým softwarem prostřednictvím webu pro dospělé, který jste navštívili.

...

Pokud to chcete zabránit, přeneste částku 252€ na svou adresu bitcoin (pokud nevíte, jak to udělat, pak napište na Google: "Koupit Bitcoin").
...

S pozdravem!

Falošný e-mailový oznam napodobňujúci online platformu

Falošný oznam 6 - upozornenie z platformy Microsoft Teams

Subject:	Offline Message in Teams
Sender:	Chat Content <_...

Od apríla 2020 sa šíri phishing (okolo 15 000 prípadov do prvého mája 2020)[34][35], ktorý sa snaží pôsobiť ako oficiálne e-mailové upozornenie z platformy Microsoft Teams o file share (zdieľané súbory) alebo offline audio chat (nevypočuté audio správy). Zatiaľ len po anglicky (slovenský preklad môže byť odlišný). Po kliknutí je užívateľ (bez ohľadu na to, či je prihlásený alebo nie) presmerovaný na presnú kópiu prihlasovacej stránky Open (Otvoriť) Microsoft Teams, ktorá ďalej smeruje na vizuálne presnú kópiu prihlásenia do Microsoftu Office 365 account. Podľa Zive.sk[36]: "Prihlasovacia stránka predstavuje naozaj vydarený podvrh. Odlíšiť sa dá len URL adresou." Skutočné prihlasovacie stránky majú adresy „login.microsoftonline.com“ alebo „login.live.com“, ľubovoľná iná adresa znamená, že ide o phishing.[36][34][35]

Falošný odkaz, prekrytý iným

Falošný oznam 7 - Váš balík čaká na potvrdenie platby^[37]

Subject:	Predmet:	Váš balík čaká na potvrdenie platby
Sender:	Slovenská pošta <[e-mail]> Dátum:	Uto, 6.Okt 2020 05:31:06


Vážený zákazník,

Vaše balenie čaká na doručenie

Prepravný kód: 293845678

Posledná aktualizácia: prijaté na pošte (08:15AM | 06-10-2020).

Stav zásielky: čaká na platbu.

Platbu 4,99 EUR potvrďte nasledujúcim odkazom:

https://www.posta. blablabla adresa na ktorú odkaz skutočne smeruje (bit.ly/3lcabzn) je prekrytá adresou akože textu na stránke pošty https://www.posta.sk/Track=2938456778

Poznámka: Do odoslania vám neúčtujeme žiadne poplatky.

©Slovenská pošta

Pošta sama upozorňuje na tento podvod.^[37] Podobný e-mail je vidieť nižšie.

„Vážený zákazník, váš balík sa nedávno dostal do nášho triediaceho centra Slovenská pošta. Aby ste dostali balík, je dôležité zaplatiť náklady na dopravu. Po zaplatení nákladov na dopravu pošleme váš balíček,“ píše sa v podvodnej správe.[38]

Referencie

1. KOSNO, Lukáš. Tatra banka eviduje nárast podvodných e-mailov, vystríha klientov [online]. Živé.sk, [cit. 2019-01-18]. Dostupné online.
2. phishing. In: Výkladový terminologický slovník elektronických komunikácií. [Banská Bystrica] : Výskumný ústav spojov, 2022. Dostupné online. ISBN 978-80-89906-12-3.
3. KOSMO, Lukáš. Akým kyberhrozbám čelila SR v roku 2022? NBÚ spravilo sumár, za riadenie bezpečnosti kritizuje aj štátne inštitúcie [online]. Živé.sk, 2023-05-31, [cit. 2023-06-28]. Dostupné online.
4. What are Phishing scams and anti-phishing protection [online]. www.eset.com, [cit. 2019-05-05]. Dostupné online.
5. Zabránenie phishingovým útokom a ich nahlásenie [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
6. Ako rozpoznať phishing? [online]. eset.com, [cit. 2020-05-13]. Dostupné online.
7. BRATISLAVA, S. T. U.. Phishing [online]. www.stuba.sk, [cit. 2021-06-02]. Dostupné online.
8. Volá Vám technická podpora Microsoftu? Môže ísť o podvod [online]. SK-CERT, 2020-09-11, [cit. 2021-06-02]. Dostupné online.
9. SK-CERT varuje – EMOTET je znova na vzostupe [online]. SK-CERT, 2020-09-24, [cit. 2020-09-25]. Dostupné online.
10. TASR. Vydierači pornom si zlepšili slovenčinu. Pravda (Bratislava: Perex), 2020-01-14. Dostupné online [cit. 2020-01-14]. ISSN 1336-197X.
11. Ako to je naozaj. Opatrenia proti phishingu [online]. www.sbaonline.sk, [cit. 2019-09-23]. Dostupné online.
12. Nenechajte sa dolapiť lovcami údajov | mBank.sk [online]. www.mbank.sk, [cit. 2019-10-02]. Dostupné online.
13. 5 najčastejších podvodov pri online nakupovaní | ESET [online]. 2020-12-01, [cit. 2023-09-05]. Dostupné online.
14. Bezpečnosť - Phishing a podvodné maily | mBank.sk [online]. www.mbank.sk, [cit. 2023-07-19]. Dostupné online.
15. Manage suspicious emails with DMARC - G Suite Admin Help [online]. support.google.com, [cit. 2019-05-05]. Dostupné online.
16. Ako funguje Anti-Phishing v produktoch ESET Smart Security a ESET NOD32 Antivirus? [online]. support.eset.com, [cit. 2019-12-11]. Dostupné online.
17. Manage warnings about unsafe sites - Computer - Google Chrome Help [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
18. Polícia SR varuje pred absurdnými podvodmi v internetových bazároch [online]. MojAndroid.sk, 2021-05-12, [cit. 2022-01-18]. Dostupné online.
19. Bezpečnosť - Nakupovanie v e-shopoch [online]. www.mbank.sk, [cit. 2022-01-18]. Dostupné online.
20. Rizikové e-shopy – informatívny zoznam (jan 2022) [online]. SOI, [cit. 2022-01-17]. Dostupné online.
21. Martin Hodás: Podvodníci vraj zlepšili svoju slovenčinu, Zive.sk, 2019/01/19 online
22. PSD2: Aké novinky v platobných službách prináša? [online]. banky.sk, [cit. 2019-12-11]. Dostupné online.
23. Podvodné prevody peňazí [online]. Bratislava: Ministerstvo vnútra SR, [cit. 2020-06-01]. Dostupné online.
24. Bezpečnostná študovňa » Bezpečnostné hrozby a zraniteľnosti » Sociálne inžinierstvo [online]. Computer Security Incident Response Team Slovakia - csirt.gov.sk, [cit. 2019-10-09]. Dostupné online. Archivované 2019-10-09 z originálu.
25. ŽIVÉ.SK. Spear phishing: Cielený podvod priamo na vás [online]. Živé.sk, 2019-10-09, [cit. 2019-10-09]. Dostupné online.
26. ŽIVÉ.SK. Radomír Adamkovič: Ak si nie ste istí, či komunikujete s bankou alebo podvodníkom, zavolajte na zákaznícku linku [online]. Živé.sk, 2023-08-16, [cit. 2023-09-05]. Dostupné online.
27. KOSNO, Lukáš. Ďalšia banka bude potvrdzovať pravosť telefonátu so svojimi zamestnancami. Využije mobilnú appku [online]. Živé.sk, 2023-06-22, [cit. 2023-06-28]. Dostupné online.
28. Sociálne inžinierstvo v online dobe: Ako nenaletieť zlodejom [online]. Tatrabanka, 2021-10-11, [cit. 2021-10-11]. Dostupné online.
29. Ako ochrániť svoje peniaze. Opatrenia proti skimmingu [online]. www.sbaonline.sk, [cit. 2019-09-23]. Dostupné online.
30. TREND.SK. Zatkli kartový gang. Na klonovanie zneužíval bankomaty [online]. www.etrend.sk, [cit. 2019-05-05]. Dostupné online.
31. Definition of SCAM [online]. www.merriam-webster.com, [cit. 2022-01-03]. Dostupné online. (po anglicky)
32. Detail tlačovej správy - SCAM [online]. www.nbs.sk, [cit. 2022-01-03]. Dostupné online. Archivované 2022-01-03 z originálu.
33. SLÍŽEK, David. "Poslal jsem vám e-mail z vašeho účtu." E-maily se šíří další vlna vyděračského spamu [online]. Lupa.cz, [cit. 2019-06-19]. Dostupné online. (po česky)
34. GATLAN, Sergiu. Convincing Office 365 phishing uses fake Microsoft Teams alerts [online]. bleepingcomputer.com, [cit. 2020-05-13]. Dostupné online.
35. Tricky phishing attack targets Microsoft Teams users — here's how to protect yourself [online]. windowscentral.com, 2020-05-04, [cit. 2020-05-13]. Dostupné online.
36. Pozor na phishingové e-maily akoby z Microsoft Teams, kradnú údaje. Aktuality.sk (Bratislava: Ringier Axel Springer Slovakia), 2020-05-04. Dostupné online [cit. 2020-05-13].
37. Slovenská pošta - Pozor na podvody! [online]. www.posta.sk, [cit. 2020-10-07]. Dostupné online.
38. ŽIVÉ.SK. E-mailový podvod zneužívajúci Slovenskú poštu naďalej úraduje, buďte opatrní [online]. Živé.sk, 2020-11-16, [cit. 2020-11-18]. Dostupné online.

Pozri aj

• Malware
• Počítačový vírus
• Trójsky kôň (informatika)
• Pharming
• Sociálne inžinierstvo
• Falošná správa
• Spam