Ako funguje phishingová správa

Modul 3: Rozpoznanie phishingu · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete rozpoznať psychologické triky a stále znaky phishingovej správy, aj keď je text bezchybný, a budete reagovať reflexom zastaviť, overiť, spýtať sa.
Kľúčové pojmy: urgencia, autorita, strach, zvedavosť, odmena, pretext, phishing napísaný pomocou AI, reflex „zastaviť, overiť, spýtať sa“

Phishing je príbeh, nie technika

Phishing je správa, ktorá vás má prinútiť urobiť niečo, čo je dobré pre odosielateľa a zlé pre vás: kliknúť na odkaz, prihlásiť sa na falošnú stránku, otvoriť prílohu, zaplatiť platbu alebo odovzdať kód. Technika, ktorá stojí v pozadí, je väčšinou jednoduchá. To, čo odvedie prácu, je príbeh.

Tento príbeh sa nazýva pretext: dôveryhodná zámienka. „Váš balík sa nepodarilo doručiť.“ „Vaša schránka je plná.“ „Máte neuhradenú faktúru.“ „Váš účet bude zablokovaný.“ Dobrý pretext zodpovedá vašej situácii. Pekáreň dostane mail o dodávateľovi múky, advokátska kancelária o predvolaní, e-shop o zablokovanej platbe.

Cieľom je takmer vždy jedna z týchto štyroch vecí:

Pri poslednom type sa v danej chvíli nič zlé nestane. „Kto u vás vybavuje platby?“ pôsobí ako bežná otázka. Ale s odpoveďou môže útočník neskôr poslať oveľa presvedčivejší mail, adresovaný presne tej osobe. Toto sa nazýva spear phishing (lekcia 1.2).

Päť tlačidiel, na ktoré phishing tlačí

Phishing funguje preto, lebo vás necháva konať skôr, než si to premyslíte. Na to tlačí na pár stálych tlačidiel v našej hlave. Takmer každá phishingová správa ich používa aspoň dve.

1. Urgencia. „Do 24 hodín“, „ešte dnes“, „posledné upozornenie“. Časový tlak je najdôležitejší trik, pretože si vtedy nenájdete čas na overenie.
2. Autorita. Správa údajne pochádza od niekoho, koho beriete vážne: banka, daňový úrad, riaditeľ, polícia, vaša hostingová spoločnosť, advokát.
3. Strach. Váš účet bude zablokovaný, dostanete pokutu, vaše údaje unikli, vaša doména vyprší, na vašom účte je vlámanie.
4. Zvedavosť. „Pozrite si fotky z podujatia“, „dostali ste zdieľaný dokument“, „máte hlasovú správu“, „vyúčtovanie mzdy 2026.pdf“.
5. Odmena. Vrátenie peňazí, poukaz, vyhraná cena, bezplatný upgrade, veľká objednávka od nového zákazníka.

Pozor: tieto tlačidlá sa objavujú aj v skutočných správach. Skutočná faktúra má dátum splatnosti, skutočná banka niekedy pošle upozornenie. Jeden trik teda ešte neznamená, že správa je falošná. Podozrivé je, keď je tlak vysoký a zároveň správa žiada niečo, čo by ste bežne takto nerobili.

Stále znaky, nezávislé od textu

Okrem trikov majú phishingové správy niekoľko znakov, ktoré sa opakujú takmer vždy:

• Výzva urobiť niečo hneď teraz (call to action): tlačidlo, odkaz, príloha, telefónne číslo, na ktoré treba zavolať.
• Kanál, ktorý nesedí. Vaša banka žiada mailom prihlásenie, váš dodávateľ žiada cez WhatsApp o platbu, váš kolega žiada cez sms o poukazy.
• Žiadosť, ktorá nesedí. Odovzdanie hesla alebo prihlasovacieho kódu, zmena IBAN, platba mimo bežného postupu, inštalácia softvéru na žiadosť volajúceho.
• Odchýlka v odosielateľovi alebo odkaze. Adresa alebo odkaz práve tak nesedí k organizácii, ktorú očakávate. Ako to presne rozpoznať, sa naučíte v lekcii 3.2 a 3.3.
• Utajenie alebo obchádzanie postupu. „Zatiaľ to nehovorte ostatným“, „som na porade, nevolajte mi“, „urobte to mimo systému“.

Posledný znak je najsilnejším signálom pri CEO podvode a podvode s faktúrami: skutočný riaditeľ nemá záujem na tom, aby ste preskočili bežnú kontrolu.

Prečo pravopisné chyby už nie sú dobrým znakom

Kedysi ste phishing rozpoznali podľa krivého slovenčiny, čudného oslovenia a škaredej úpravy. To už nefunguje. Pomocou jazykových modelov (AI) napíše útočník za pár sekúnd bezchybný, priateľský mail v akomkoľvek jazyku, v štýle organizácie, ktorú napodobňuje. Holandské NCSC tiež upozorňuje, že phishing vďaka AI je čoraz ťažšie rozpoznať: menej jazykových chýb a prihlasovacie stránky, ktoré vyzerajú čoraz skutočnejšie.

K tomu sa pridáva, že phishing niekedy prichádza zo skutočnej schránky. Ak je schránka dodávateľa prevzatá, útočník jednoducho odpovie v existujúcej mailovej komunikácii, s podpisom, tónom a predchádzajúcimi správami. Toto sa nazýva thread hijacking (prevzatie vlákna). Odosielateľ, úprava aj jazyk sú vtedy všetky skutočné. Nesedí len žiadosť: „Máme nové bankové číslo, môžete na neho prosím zaplatiť nevybavenú faktúru?“

Preto sa nepozerajte na to, ako správa vyzerá, ale na to, čo od vás žiada. Phishing len zriedka rozpoznáte podľa jedného znaku, ale podľa celkového obrazu.

Reflex: zastaviť, overiť, spýtať sa

Nemusíte poznať každý trik. Potrebujete jeden reflex, ktorý použijete vždy, keď od vás správa niečo žiada.

Zastavte sa. Cítite náhlenie, úľak, zvedavosť alebo radosť? To je presne ten moment, kedy nemáte klikať. Správu na chvíľu odložte. Skutočné organizácie vám takmer vždy dajú dostatok času na overenie.

Overte si to vlastnou cestou. Nepokračujte cez samotnú správu. Neklikajte na odkaz, nevolajte na číslo zo správy a neodpovedajte na mail. Choďte sami na stránku cez vašu záložku alebo zadaním adresy, alebo zavolajte na číslo, ktoré ste už mali (vaša vlastná evidencia, zadná strana vašej platobnej karty, oficiálna stránka). Je faktúra naozaj tam? Je balík naozaj na ceste?

Spýtajte sa. Ak stále pochybujete, spýtajte sa kolegu alebo osoby, ktorá správu údajne poslala, cez iný kanál. Dohodnite sa vo svojom tíme, že takáto otázka nie je nikdy na ťarchu. Radšej desaťkrát zbytočne sa spýtať, než raz zaplatiť.

Tento reflex funguje aj pri dokonalom maile z hacknutej schránky. Overenie vlastnou cestou úplne obíde útočníka, pretože ten nie je vo vašej záložke ani na telefóne vášho dodávateľa.

V praxi: takto to vyzerá

Tri napodobené správy, ktoré Pekáreň Example (info@example.com) dostane v priebehu jedného rána. Všetky mená sú vymyslené.

Správa 1: balík

Od: Kuriérska služba <service@koeriersdienst-track.example>
Predmet: Doručenie zlyhalo: vyžaduje sa akcia
Vážený zákazník, dnes sme sa pokúsili doručiť balík. Adresa bola neúplná. Naplánujte si do 48 hodín nové doručenie a zaplaťte poplatok za opätovné doručenie vo výške 1,95 eura, inak sa balík vráti odosielateľovi.

Triky: urgencia (48 hodín), strach (balík sa vráti), malá suma, aby ste sa nad tým nezamýšľali. Cieľom sú údaje vašej karty. Overenie: čakáte balík? Vyhľadajte si zásielku cez stránku alebo appku samotného prepravcu.

Správa 2: dodávateľ

Od: Dodávateľ múky <administratie@leverancier.example>
Predmet: RE: faktúra 2026-0412
Ahoj, ako sme sa dohodli, v prílohe posielam faktúru. Pozor: kvôli zmene banky odteraz prosím platte na náš nový účet. Môžete to urobiť ešte dnes? Potom budeme môcť naplánovať dodávku na piatok.

Triky: autorita (známy dodávateľ, existujúca mailová komunikácia), urgencia, odmena (dodávka). Odosielateľ môže byť skutočný: schránka dodávateľa mohla byť prevzatá. Overenie: zavolajte dodávateľovi na číslo z vlastnej evidencie, nie z tohto mailu.

Správa 3: účtovný softvér

Od: Účtovný softvér <noreply@boekhoudpakket.example>
Predmet: Vaše predplatné bude pozastavené
Vašu poslednú platbu sa nám nepodarilo spracovať. Prihláste sa do 24 hodín a aktualizujte platobné údaje, inak stratíte prístup k svojej evidencii.
[Prihlásiť sa]

Triky: strach, urgencia, autorita. Či odosielateľ sedí, sa dočítate v lekcii 3.3; kam vedie tlačidlo, v lekcii 3.2. Overenie: otvorte si sami appku alebo záložku účtovného softvéru. Ak tam nie je žiadne upozornenie, mail je falošný.

Zhrnutie

• Phishing funguje cez príbeh (pretext), ktorý vám sedí, s cieľom získať prihlasovacie údaje, peniaze, prístup k zariadeniu alebo informácie.
• Päť tlačidiel: urgencia, autorita, strach, zvedavosť a odmena. Väčšinou sú to dve alebo viac naraz.
• Pravopisné chyby už nie sú spoľahlivým znakom: AI píše bezchybné maily a hacknuté schránky posielajú skutočné správy.
• Sledujte, čo od vás správa žiada a cez aký kanál, nie ako vyzerá.
• Reflex: zastavte sa, overte si to vlastnou cestou, pri pochybnostiach sa spýtajte.

Kvíz

Úloha

Úloha A3.1: Rozpoznávanie trikov. Dostanete šesť napodobených správ. Pri každej z nich vyberte, ktoré triky v nej sú (urgencia, autorita, strach, zvedavosť, odmena) a čo urobíte: jednoducho ju vybavíte, alebo si ju najprv overíte vlastnou cestou. Program vaše odpovede skontroluje a pri každej správe vysvetlí, čo ste prehliadli.

Ďalšie čítanie

Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Je skutočne tento e-mail od spoločnosti WebOké? Ako rozpoznať phishing a použiť akčný kód
• NBÚ, odporúčania SK-CERT ako rozpoznať phishingový e-mail: https://www.sk-cert.sk/
• SK-CERT, Phishing: https://www.sk-cert.sk/
• Polícia SR a SK-CERT, na nahlásenie podvodu a phishingu: https://www.minv.sk/?policia