Kybernetické útoky a podvodné investice jdou odhalit včas

Pět scénářů se opakuje stále dokola, i když v různých „baleních“

Když se na kyberpodvody podíváte z odstupu, zjistíte, že jsou stále stejné. Mají jediný cíl: dostat z vás peníze. A to jde několika cestami: kartou, přístupem do online bankovnictví, přístupem do vašeho PC, fyzickým předáním peněz (do automatu) nebo jejich zasláním na účet. 

Proto mají kyberútoky sice vždycky trochu jiný úvod, malinko odlišný scénář, ale pokaždé vedou k jednomu z těchto “cílových” kroků. Právě podle pokynů, kterými vás podvodníci instruují, můžete snadno poznat, že jde o manipulaci k jedinému cíli: otevření cesty pro odcizení vašich peněz. Většinou se střídají pokyny z následující pětice:

1. Vyberte peníze a nasázejte je do kryptomatu

Telefonát z vaší banky (ukáže se název banky na displeji):

„Pozor, útočí vám na účet! Berou si na vás půjčku! Volám z banky, honem z účtu vyberte peníze a vložte je na účet depozitní, kde budou v bezpečí! Depozitní účty jsou bezpečně dosažitelné jedině přes automaty na kryptoměnu!“

Nebo...

„Tady Policie ČR. Sledujeme situaci. Postupujte podle pokynů, které jste dostali od svého bankéře. Ještě vás bude kontaktovat, abyste z nervozity nedělali zbytečné chyby. Pak s námi přijdete na služebnu sepsat protokol.“

Je to jen jeden ze scénářů, které v bance nebo na Policii líčili podvedení lidé. Podvodníci volali z „opravdových“ čísel banky a čísel Policie ČR. Nebyl důvod jim nevěřit…. 

Ale byl tu důvod k nedůvěře. Pokyn k výběru peněz a jejich vložení kamkoliv, nota bene do no-name bankomatu, by měl být podezřelý vždycky. A když vám bankéř volá, rozlučte se s ním. A zavolejte do banky vy. Nebo, kde to jde, si totožnost bankéře ověřte v mobilní bankovní aplikaci.

2. Vyplňte přihlašovací údaje do bankovnictví

Email od České pošty nebo dopravce, kterého pravidelně využíváte:

„Cestuje k vám objednaný balíček, ale zasekl se v depu. Abychom jej mohli vyzvednout a doručit až k vám domů, je nezbytné se identifikovat vaším bankovním účtem.“ „Na váš účet dorazil přeplatek. Vzhledem k tomu, že pochází od XYZ, je nutné nejprve se zde přihlásit do vašeho internetového bankovnictví a tam přijetí přeplatku povolit, dle následujícího návodu.“

Už v tom „čicháte“ podvod? To je dobře! Když už do bankovnictví, tak jedině přes webovky vaší banky! A rozhodně tam nepotřebujete povolovat přijetí platby nebo pokračování v doručování vašeho balíku!

3. Zadejte veškeré údaje ke své platební kartě

„Ráda bych koupila inzerované věci, co prodáváte po dětech. Sama si přijet pro věci nemohu, ale pošlu si dopravce. Zde je link na objednání přepravy. Nákup uhradím prostřednictvím dopravce, ale on pro realizaci převodu potřebuje číslo vaší karty, její platnost a ověřovací kód.“

Nebo...

„Zde je banka XYZ. Na účet našeho klienta dorazily tři platby zadané rychle po sobě a v poměrně vysoké částce. Všechny tři z vašeho účtu. Vypadá to, že vám někdo zkopíroval kartu, a teď ji zneužívá. Pro ověření porovnáme číslo vaší karty s údaji z příchozích plateb. Ale protože nejsme vaší bankou, k originálu vaší karty se nedostaneme. Nadiktujte nám číslo vaší karty, její platnost a ověřovací kód.“

Další skoro uvěřitelný scénář, že? Ale údaje o vaší kartě nemá nikdo co chtít, dokud vy sami nejdete platit za cokoliv přes zabezpečenou platební bránu.

4. Pošlete nám své peníze (na investice, či na pomoc v nouzi)

„Moc hezky se mi s tebou povídá. Rád bych se s Tebou viděl osobně, ale nemám teď dost peněz na cestu, ani na ubytování někde blízko Tebe. Ještě teď doma řeším průšvih s XYZ (s bytem, s dluhem za studium, za léčení, za…). Mohla bys mi poslat padesát tisíc? Všechno tady urovnám, a budu u Tebe coby dup!“

No to je milionový chlap! Do slova a do písmene!

Jeden telefonát za všechny:

„Jsme zástupci české společnosti s výjimečným postavením na českém trhu. Věnujete se nejnovějších technologiím a brzy nás čeká patentové řízení. Na rozšíření naší činnosti a expanzi do zahraničí potřebujeme finanční prostředky, které nám pomohou právě teď využít nebývalé tržní příležitosti. Vydáváme ZAJIŠTĚNÉ dluhopisy, s prospektem schváleným Českou národní bankou. Výnos dluhopisů je 20 %, s dobou investice na 5 let. Ale dluhopisy můžete firmě kdykoliv odprodat zpátky.“

5. Nainstalujte si do počítače aplikaci pro vzdálený přístup, my už se o všechno postaráme

Telefonát falešného poradce:

„S tou investiční aplikací se nemusíte učit, ničeho se nebojte. Do počítače si jen stáhnete aplikaci pro vzdálený přístup, odsouhlasíte nám do něj vstup. Přihlásíte se (nebojte, u sebe) do internetového bankovnictví. A my už se o všechno ohledně vašeho investování postaráme.“

Ti jsou tak vstřícní, že? Asi už tušíte, jak to dopadne…

6. SMS nebo WhatsApp prosba o pomoc

Nejjednodušší varianta podvodu na blízké, která je ale stále velmi účinná:

„Ahoj mami, píšu ti z jiného čísla, upustil jsem telefon do vody a tohle je mobil kamarádky. Prosím, dneska musím zaplatit něco důležitého a nemám teď kvůli nefungujícímu mobilu přístup k účtu, mohla bys mi poslat na účet kamarádky 8 000 Kč? Vrátím ti to hned, jakmile si to vyřeším.“

Text je záměrně neurčitý. Vágní důvod, proč nejde zavolat, a prosba o menší, „rozumnou“ částku, která nepůsobí podezřele. Když se oběť zeptá, kdo přesně píše, podvodník odpoví přirozeně, třeba:

„No já, kdo jiný, prosím tě nedělej z toho vědu, fakt to teď potřebuju vyřešit.“

Tón lehké dotčenosti má odradit od dalšího vyptávání. Celý podvod počítá s tím, že jej najednou dostanou stovky lidí najednou – stačí, aby na něj naletělo jen pár procent. A kdo pošle počáteční nízkou částku, jistě dítěti rád pošle za chviličku i vyšší částku.

Jak se bránit: 

Na zprávu z neznámého čísla, která tvrdí, že je od blízkého, nikdy neodpovídejte penězi. Zavolejte danému člověku na číslo, které máte uložené vy sami – ne na to, ze kterého zpráva přišla. Pokud nezvedá, ověřte si to přes jiného rodinného příslušníka. Potřeba něco zaplatit klidně počká, než si vše důkladně prověříte.

7. Ještě uvěřitelnější varianta: Deepfake hlas, co zní jako vaše dítě

Umělá inteligence dnes z pár vteřin nahrávky na sociálních sítích vytvoří hlas, který je k nerozeznání od skutečného člověka. Telefonát, zdánlivě od syna:

„Mami, prosím tě, potřebuju rychle poslat peníze, stala se mi nehoda a nemůžu teď mluvit dlouho, pošli to prosím hned, vysvětlím to pak… Pošlu ti číslo účtu.“

Hlas zní úplně stejně, tón je vystrašený, spěchá to. Znervózní vás fakt, že je vaše dítě v takových nesnázích. A přesně na to podvodník sází. 

Jak se bránit:

Zavěste a zavolejte dítěti sami, na číslo, které máte uložené vy. Nebo volejte někomu z jeho aktuálního okolí.

8. Quishing – QR kód, který vede jinam, než čekáte

Jedna mnoha možností na příkladu parkování: Podvodníci nalepí vlastní kód přes originál, nejčastěji na parkovacích automatech. Řidič si myslí, že platí parkovné, ve skutečnosti posílá peníze rovnou útočníkovi. Podobně je tomu u lístku za stěračem nebo u zprávy od sociálky, že máte nárok na přeplatek. Falešný QR kód vás zanese jinam, než si myslíte. A buď vás přinutí zaplatit podvodníkům, nebo vyplnit údaje o kartě či z bankovnictví.

Může přijít například tato SMS:

„OSSZ: Na základě přepočtu vám vznikl nárok na doplatek sociální dávky ve výši 3 240 Kč. Pro urychlené vyplacení potvrďte údaje a nechte si částku zaslat přes QR kód: [odkaz]. Platnost žádosti 48 hodin.“

Působí to důvěryhodně – oficiální zkratka úřadu, konkrétní částka, časový tlak a příslib peněz. Takže člověk má radost, že dostane peníze, a neřeší, že by o ně vlastně mohl přijít. Jenže odkaz ve skutečnosti vede na falešnou platební bránu, kde po zadání údajů k platební kartě "pro ověření totožnosti" útočník peníze naopak vybere z účtu oběti.

Jak se bránit:

OSSZ ani žádný jiný úřad nikdy nezasílá výzvy k „přijetí platby“ přes QR kód nebo odkaz v SMS. Skutečné jednání s úřadem probíhá přes datovou schránku, písemně, nebo osobně. Nejjistější je zavolat přímo na oficiální číslo OSSZ, které si sami dohledáte.

9. Pig butchering: podvody založené na dlouhodobější důvěře

Seznámení na seznamce, měsíce běžného povídání, žádný spěch. Až pak přijde návrh:

„Víš, já vlastně kromě práce ještě obchoduji s kryptoměnami, mám na to platformu od bratrance, který v tom dělá profesionálně. Za poslední tři měsíce jsem si takhle vydělal desítky procent. Klidně ti ukážu, jak na to, začít můžeš i s málem.“

Web vypadá profesionálně, grafy rostou, první výběr dokonce projde. Ale tím to dobré končí. Vy systému uvěříte, zainvestujete víc, a následně už se k penězům nedostanete.

Podobně fungují žádosti o peníze po delší „známosti“.

Jak se bránit: 

Tady je obrana zdaleka nejtěžší, protože s útočníkem už jste navázali poměrně osobní vztah a věříte mu ne kvůli jeho domnělé autoritě, ale proto, že zkrátka chcete. Pomůže jedině obezřetnost a konzultace jakéhokoliv finančního kroku s jinými (ale skutečnými) lidmi z vašeho okolí.

10. V práci: požadavek od šéfa na odeslání peněz

Firmy jsou pro podvodníky stále lákavější cíl. Mají na účtech víc peněz a jejich zaměstnanci jsou jen obyčejní lidé, náchylní ke slepé důvěře v nadřízeného i k jakékoliv jiné chybě. 

Takto může vypadat e-mail pro účetní oddělení, zdánlivě od jednatele:

„Potřebuji, abyste ještě dnes odpoledne odeslala platbu na účet, který posílám v příloze. Jde o důvěrnou záležitost spojenou s novým projektem, o kterém budeme mluvit až zítra. Prosím vyřešte to co nejdřív.“

Podobně to funguje i s fakturami: útočník se dostane do e-mailové komunikace mezi dvěma firmami a jen nenápadně pozmění číslo účtu. 

Jak se bránit:

Zavedením pravidla dvou nezávislých ověření u každé platby nad určitou částku a pravidelným proškolováním zaměstnanců, které si zajistíte u odborníků. Klást důraz na typické znaky u podvodů: naléhavost, pozice síly (nadřízený), tlak na mlčenlivost, neobvyklá žádost o změnu účtu.