Čo je to phishing, smishing a spoofing? Aké sú rozdiely, príklady a ako sa chrániť?

Na prvý pohľad to vyzerá len ako podozrivý e-mail, SMS alebo telefonát. V skutočnosti však ide o tri výrazy, ktoré označujú trochu odlišné podvodné techniky. Práve v tom býva problém: ľudia si ich často zamieňajú, a preto nevedia správne odhadnúť riziko ani zvoliť správnu reakciu.

Phishing je podvodná snaha vylákať citlivé údaje alebo prinútiť človeka kliknúť na škodlivý odkaz, smishing je jeho verzia cez SMS a spoofing je technika, pri ktorej útočník falšuje identitu odosielateľa, číslo alebo web, aby pôsobil dôveryhodne. Tieto metódy sa často kombinujú a práve preto bývajú také účinné.

Čo je phishing

Phishing je forma podvodu, pri ktorej sa útočník vydáva za dôveryhodnú osobu, firmu alebo službu a snaží sa od obete získať heslá, prihlasovacie údaje, čísla platobných kariet, bankové informácie alebo iné citlivé dáta. Najčastejšie prichádza e-mailom, ale rovnaký princíp môže fungovať aj cez textové správy, sociálne siete alebo chat. Typický scenár je jednoduchý: príde správa, ktorá tvrdí, že je problém s účtom, platbou alebo bezpečnosťou, a vyzýva na okamžitú reakciu.

Phishing nefunguje preto, že by bol technicky zložitý, ale preto, že cieli na psychológiu. Útočníci vytvárajú pocit naliehavosti, strachu alebo zvedavosti. Správa môže tvrdiť, že niekto zaznamenal podozrivý pokus o prihlásenie, že treba potvrdiť platobné údaje, doplatiť faktúru alebo si prevziať údajný bonus. Cieľom je prinútiť človeka konať skôr, než si overí, či je správa pravá.

Ako vyzerá phishing v praxi

V praxi býva phishing často veľmi presvedčivý. Správa môže niesť logo banky, kuriérskej služby, streamovacej platformy alebo štátnej inštitúcie, pričom na prvý pohľad pôsobí normálne. Federálna obchodná komisia v USA upozorňuje, že podvodné správy často hovoria o probléme s účtom, nečakanej faktúre, podozrivej aktivite alebo potrebe aktualizovať platobné údaje cez odkaz. Práve odkaz je zvyčajne najdôležitejšou pascou.

Čo je smishing

Smishing je phishing cez SMS alebo inú textovú správu v reálnom čase. Názov vznikol spojením slov SMS a phishing. Národný bezpečnostný úrad upozorňuje, že ide o phishingové aktivity šírené cez textové komunikačné kanály, pričom odkaz v správe môže viesť na škodlivú stránku, stiahnuť škodlivý kód alebo od obete vylákať citlivé údaje.

Textové správy bývajú zradné najmä preto, že ľudia ich čítajú rýchlo a na mobile menej kontrolujú detaily. Podvodná SMS sa môže tváriť ako upozornenie od banky, dopravcu, kuriéra, e-shopu alebo úradu. FTC upozorňuje, že takéto správy často sľubujú výhru, riešenie problému s platbou, doručením balíka alebo bezpečnostným incidentom. Niektoré odkazy vedú na falošnú stránku, ktorá vyzerá dôveryhodne, no v skutočnosti zbiera prihlasovacie údaje. Iné môžu do zariadenia dostať škodlivý softvér.

Prečo sú podvodné SMS také nebezpečné

Pri smishingu rozhodujú sekundy. Obeti príde stručná správa, často bez zbytočných detailov, s jedným odkazom a výzvou, aby konala hneď. Na mobile si mnohí nevšimnú celú adresu webu ani drobné nezrovnalosti. Útočníci navyše stavajú na tom, že SMS pôsobí osobnejšie než e-mail a používateľ jej intuitívne viac dôveruje. Aj preto môže byť krátka správa s odkazom nebezpečnejšia než dlhý podozrivý e-mail.

Čo je spoofing

Spoofing znamená falšovanie identity tak, aby správa, web alebo telefonát vyzerali legitímne. Nejde teda nevyhnutne o samotný podvodný obsah, ale o maskovanie, ktoré má zvýšiť dôveryhodnosť útoku. Spoofovať sa dá napríklad telefónne číslo, názov odosielateľa, e-mailová adresa, doména alebo vzhľad webovej stránky. Práve preto môže mať obeť pocit, že komunikuje so známou firmou, hoci v skutočnosti ide o podvodníka.

Najznámejším príkladom je caller ID spoofing, teda situácia, keď sa pri hovore zobrazí číslo, ktoré vyzerá ako banka, polícia, úrad alebo miestne číslo, no v skutočnosti patrí niekomu úplne inému alebo bolo len napodobnené. FTC výslovne upozorňuje, že na identifikáciu volajúceho sa nemožno spoliehať, pretože podvodníci vedia číslo sfalšovať tak, aby vyzerali ako niekto, komu prirodzene dôverujete. Rovnaký princíp platí aj pri falošných stránkach, ktoré napodobňujú vzhľad originálu.

Prečo si ľudia spoofing mýlia s phishingom

Zámena týchto pojmov je pochopiteľná, pretože sa často objavia v jednom útoku naraz. Útočník najprv použije spoofing, aby správa alebo telefonát vyzerali dôveryhodne, a následne spustí phishing, teda pokus získať údaje alebo vylákať kliknutie. Smishing je v tomto modeli len konkrétny spôsob doručenia, konkrétne cez SMS. Inak povedané: phishing je cieľ a forma podvodu, smishing je jeho textová verzia a spoofing je maskovanie, ktoré tomu pomáha.

Ako spoznať podvodnú správu alebo hovor

Najčastejším varovným signálom je tlak na rýchle konanie. Správa tvrdí, že účet bude zablokovaný, platba zlyhala, balík sa vráti, výhra prepadne alebo treba okamžite niečo potvrdiť. Ďalším znakom býva nečakaný odkaz, príloha alebo výzva na zadanie citlivých údajov. FTC zároveň pripomína dôležitú vec: legitímne firmy vám spravidla neposielajú e-mail alebo SMS s odkazom, cez ktorý máte aktualizovať platobné údaje. Pri hovoroch zas netreba veriť ani číslu na displeji, pretože aj to môže byť falošné.

Opatrnosť je na mieste aj vtedy, keď správa vyzerá profesionálne. Dnes už nejde len o lámanú slovenčinu a očividné chyby. Podvod môže mať peknú grafiku, logo, správne farby aj zdanlivo reálnu adresu. Rozhodujú preto detaily: či správu naozaj očakávate, či sa vás snaží vystrašiť, či vás núti konať mimo bežného postupu a či vás nevedie na stránku, ktorú ste si sami nevyhľadali.

Čo robiť, ak si klikol na odkaz alebo prezradil údaje

Prvý krok je zastaviť ďalšiu komunikáciu a nič ďalšie nevypĺňať. Ak ste na správu len narazili, ale nereagovali, najbezpečnejšie je kontaktovať firmu alebo inštitúciu cez oficiálne kontakty, ktoré si nájdete sami, nie cez číslo alebo odkaz zo správy. FTC odporúča použiť web alebo telefónne číslo, o ktorých viete, že sú skutočné, pretože odkazy a prílohy môžu viesť k škodlivému softvéru alebo na falošný web.

Ak ste už zadali citlivé údaje, treba konať bez odkladu. FTC uvádza, že pri úniku údajov, ako sú čísla kariet alebo bankového účtu, je potrebné riešiť konkrétne kroky podľa typu stratených dát, a ak ste klikli na škodlivý odkaz alebo otvorili prílohu, treba aktualizovať bezpečnostný softvér, spustiť kontrolu zariadenia a odstrániť zistené hrozby. Ak sa podvod týka banky alebo peňazí, nečakajte a kontaktujte banku priamo cez oficiálny kontakt, nie spätným volaním na číslo zo správy alebo hovoru.

Ako sa chrániť do budúcna

Úplne najspoľahlivejšia obrana je kombinácia jednoduchých návykov. Neotvárať odkazy z nečakaných správ, nevybavovať citlivé veci cez link poslaný v SMS alebo e-maile, pravidelne aktualizovať zariadenia a zapnúť viacfaktorové overenie tam, kde je dostupné. FTC pripomína, že viacfaktorové overenie sťažuje zneužitie účtu aj v prípade, že útočník získa vaše heslo. Dôležité sú aj zálohy dát, pretože niektoré phishingové kampane nesmerujú len na krádež údajov, ale aj na inštaláciu škodlivého softvéru.

Dobré pravidlo znie: nič citlivé neriešiť pod tlakom. Keď príde správa o probléme s účtom, balíku alebo platbe, netreba konať cez priložený odkaz. Oveľa bezpečnejšie je otvoriť si oficiálnu aplikáciu, ručne zadať adresu webu alebo zavolať na overené číslo. Presne na tomto stoja aj oficiálne odporúčania spotrebiteľských a bezpečnostných autorít: neveriť automaticky tomu, čo vyzerá dôveryhodne, ale overovať si pôvod komunikácie mimo podozrivej správy.

Pozrieť si tému vo videu

Krátke oficiálne video od CISA zrozumiteľne ukazuje, ako phishing funguje a prečo sa neoplatí reagovať unáhlene.

Záver

Phishing, smishing a spoofing nie sú tri úplne oddelené svety, ale prepojené techniky, ktoré sa v praxi veľmi často kombinujú. Podvodník sa najprv zamaskuje ako dôveryhodný subjekt, potom pošle e-mail, SMS alebo zavolá a nakoniec sa pokúsi dostať z obete údaje, peniaze alebo prístup k účtu. Čím lepšie človek rozumie rozdielom medzi týmito pojmami, tým ľahšie rozozná podvod ešte skôr, než stihne napáchať škodu.

Zdroje

1. Federal Trade Commission – How To Recognize and Avoid Phishing Scams
   https://consumer.ftc.gov/articles/how-recognize-avoid-phishing-scams
2. Federal Trade Commission – How to Recognize and Report Spam Text Messages
   https://consumer.ftc.gov/articles/how-recognize-report-spam-text-messages
3. Federal Trade Commission – Scammers can fake caller ID info
   https://consumer.ftc.gov/consumer-alerts/2016/05/scammers-can-fake-caller-id-info
4. Národný bezpečnostný úrad – Chráňte sa pred smishingom
   https://www.nbu.gov.sk/chrante-sa-pred-smishingom/
5. CISA – How to Avoid Phishing! (We Can Secure Our World)
   https://www.youtube.com/watch?v=sg0kQYvTlnc