Modul 1 · 1.2
Phishing, podvod na CEO a podvod s faktúrou
Modul 1: Prečo ste cieľom práve vy · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii dokážete rozpoznať spôsob fungovania phishingu, podvodu na CEO a podvodu s faktúrou (BEC) a nastaviť platobný postup so spätným overením.
Kľúčové pojmy: phishing, spear phishing, podvod na CEO, podvod s faktúrou, Business Email Compromise, princíp štyroch očí, spätné volanie na známe číslo
Tri formy toho istého triku
Všetky tri útoky v tejto lekcii fungujú na klamaní. Nikto sa nenabúra do počítača; niekoho sa presvedčí, aby sám niečo urobil: klikol na odkaz, zadal heslo, odoslal platbu. Tomu sa hovorí social engineering. Funguje to preto, lebo to využíva bežné ľudské reakcie: chcete pomôcť svojmu nadriadenému, zaplatiť dodávateľovi včas, rýchlo vyriešiť problém.
| Forma | Čo útočník chce | Typická správa |
|---|---|---|
| Phishing | Prihlasovacie údaje, platobné údaje alebo kliknutie, ktoré spustí škodlivý softvér | "Vaša schránka je plná, prihláste sa, aby ste si zachovali správy" |
| Podvod na CEO | Urgentná platba | "Som na porade, vieš toto dnes ešte preposlať? Nehovor to nikomu inému" |
| Podvod s faktúrou | Zaplatenie skutočnej faktúry na nesprávny účet | "Upozornenie: naše číslo účtu sa zmenilo" |
Podvod na CEO a podvod s faktúrou spadajú spoločne pod anglický zastrešujúci pojem Business Email Compromise (BEC): podvod, pri ktorom je zneužitá firemná e-mailová komunikácia a podvodník sa vydáva za niekoho iného.
Phishing a spear phishing
Phishing je správa, ktorá sa vydáva za dôveryhodného odosielateľa, aby ste urobili niečo, čo by ste inak neurobili. Zvyčajne ide o odkaz na podvrhnutú prihlasovaciu stránku, napríklad rnijnbank.example (s „rn“ namiesto „m“), alebo o prílohu so škodlivým softvérom. Bežný phishing sa posiela naraz veľkému množstvu ľudí, s všeobecným príbehom.
Pri spear phishingu je správa prispôsobená práve vám. Útočník použije vaše meno, vašu funkciu, meno skutočného kolegu alebo dodávateľa, projekt, na ktorom pracujete. Tieto informácie nájde na vašej webovej stránke, LinkedIn, v obchodnom registri alebo v predtým uniknutej e-mailovej schránke. Pretože správa sedí s tým, čo očakávate, oveľa menej vám to padne do oka.
Pravopisné chyby už nie sú spoľahlivým znakom. Pomocou prekladačov a AI generátorov textu vie podvodník písať bezchybne po slovensky. V module 3 sa naučíte rozpoznávať phishing podľa vecí, ktoré podvodník nedokáže napodobniť: skutočnú doménu odkazu a technického odosielateľa e-mailu.
Podvod na CEO
Pri podvode na CEO dostane osoba, ktorá vykonáva platby, správu, ktorá vyzerá, že prichádza od riaditeľa alebo majiteľa. Typické znaky sú:
- Autorita: ide o príkaz, nie o žiadosť.
- Utajenie: „toto zatiaľ s nikým nerieš, ide o akvizíciu.“
- Časový tlak: musí to byť dnes, ešte pred zatvorením banky.
- Odosielateľ, ktorý takmer sedí: napríklad
directie@example-com.example, čo na prvý pohľad pripomína vašu vlastnú doménu, alebo súkromná adresa „pretože som na ceste“.
Niekedy sa do hry zapojí aj „advokát“ alebo „účtovník“, ktorý príkaz potvrdí; aj ten patrí k podvodníkom. Takto sú oslovované aj združenia a malé firmy: pokladník dostane e-mail od „predsedu“.
Prečo to funguje? Pretože v malej firme sa všetci poznajú a dôverujú si. Zamestnanec chce pomôcť a utajenie zariadi, že si to nejde overiť u kolegu. Utajenie je presne cieľom podvodníka.
Podvod s faktúrou: iné je iba IBAN
Podvod s faktúrou je ťažšie rozpoznať, pretože faktúra je často skutočná. Suma, číslo objednávky, logo, formátovanie: všetko sedí. Zmenené je iba číslo účtu. K tomu dochádza rôznymi spôsobmi: faktúra je zachytená a upravená, príde samostatný list „naše číslo účtu sa zmenilo“, alebo je samotná firma napadnutá a podvodník posiela e-mail priamo zo skutočnej schránky.
To posledné je dôležité pochopiť. Ak je schránka vášho dodávateľa leverancier.example prevzatá, e-mail prichádza naozaj zo správnej adresy. Všetky technické kontroly (SPF, DKIM, DMARC z modulu 4) vyjdú v poriadku. Podvodník niekedy sleduje schránku celé týždne, vie, ktoré faktúry sú otvorené, a svoju správu posiela presne v správnom momente, v tej istej e-mailovej konverzácii. Kontrola adresy odosielateľa tu teda nepomôže.
Bolestivý detail: ak ste zaplatili podvodníkovi, skutočnému dodávateľovi v zásade stále dlhujete danú sumu.
Príklad
Pekáreň Example si objednáva novú pec u leverancier.example. Ponuka, potvrdenie objednávky aj faktúra prídu všetky v poriadku. O dva dni neskôr príde v tej istej e-mailovej konverzácii toto:
Vážená Petra, v dôsledku prechodu na inú banku sa naše číslo účtu s okamžitou platnosťou zmenilo. Môžete prosím faktúru za pec uhradiť na nové číslo? Staré číslo bude budúci týždeň zrušené. S pozdravom, Joost
Adresa je správna, meno Joost je správne, číslo objednávky sedí. Jediné, čo podvod prezrádza, je samotná žiadosť: zmena čísla účtu. To je vždy moment na overenie, nikdy moment, kedy sa máte spoliehať iba na e-mail.
Platobný postup, ktorý tomu zabráni
Nie každý podvodný e-mail dokážete rozpoznať. Môžete však zariadiť, aby podvodný e-mail sám osebe nestačil na odoslanie platby. Dosiahnete to pomocou niekoľkých pevných dohôd.
- Spätné volanie na známe číslo. Pri každej zmene čísla účtu a pri každej neobvyklej platobnej žiadosti zavolajte odosielateľovi. Nie na číslo uvedené v e-maile alebo na faktúre, lebo aj to môže byť podvrhnuté, ale na číslo, ktoré ste už mali: z vlastnej evidencie, zo zmluvy alebo z oficiálnej webovej stránky, ktorú si sami zadáte.
- Neodpovedajte na e-mail. Ak chcete overiť e-mailom, adresu si napíšte sami. Pri použití funkcie „odpovedať“ môžete skončiť u podvodníka, napríklad cez pole Reply-To, ktoré smeruje na inú adresu (lekcia 3.3).
- Princíp štyroch očí. Platby nad určitú sumu, noví príjemcovia a zmenené čísla účtov kontrolujú dvaja ľudia. V jednoosobovej firme to znamená: pevná čakacia doba a spätné zavolanie pred platbou.
- Žiadne výnimky cez e-mail alebo chat. Riaditeľ nikdy nežiada e-mailom ani cez WhatsApp o preskočenie postupu. Dohodnite si to, aj priamo s riaditeľom. Potom každý vie: správa s „len tentoraz mimo bežného postupu“ je automaticky podozrivá.
- Zaznamenávajte údaje. Číslo účtu dodávateľa máte vo svojom účtovníctve. Porovnajte číslo na každej faktúre s tým, ktoré ste už mali. Od októbra 2025 banky v eurozóne pri prevode kontrolujú, či meno, ktoré zadáte, zodpovedá číslu účtu (po anglicky Verification of Payee). Upozornenie z tejto kontroly berte vážne. Zelený výsledok však len hovorí, že meno a účet si zodpovedajú, nie že je príjemca čestný.
| Situácia | Postup |
|---|---|
| Nové číslo účtu existujúceho dodávateľa | Spätné zavolanie na známe číslo, súhlas druhej osoby |
| Urgentná platba na žiadosť vedenia | Zavolať alebo sa osobne spýtať, bežne dodržať postup |
| Nový dodávateľ, prvá faktúra | Overiť údaje z oficiálneho zdroja, súhlas druhej osoby |
| Faktúra, ktorá vyzerá inak ako obvykle | Spýtať sa pred zaplatením |
Keď sa to predsa len pokazí
Zaplatili ste a už tomu nedôverujete? Vtedy záleží na každej hodine.
- Okamžite zavolajte svojej banke a spýtajte sa, či je možné platbu zastaviť alebo vrátiť.
- Nahláste to na Polícii SR (https://www.minv.sk/?policia) a SK-CERT (https://www.sk-cert.sk/) a podajte trestné oznámenie.
- Upozornite dodávateľa: ak je jeho schránka prevzatá, podvodné správy môžu dostávať aj ďalší zákazníci.
- Ak správa prišla z vašej vlastnej schránky alebo schránky kolegu, mohla byť prevzatá. Zmeňte heslo, odhláste relácie a skontrolujte pravidlá presmerovania (lekcia 2.5 a 3.5).
Zhrnutie
- Phishing, podvod na CEO a podvod s faktúrou sú social engineering: niekto vás presvedčí, aby ste sami niečo urobili.
- Spear phishing je prispôsobený práve vám, a preto je oveľa presvedčivejší; pravopisné chyby už nie sú dobrým znakom.
- Podvod na CEO stavia na autorite, utajení a časovom tlaku.
- Pri podvode s faktúrou sa často mení iba IBAN, niekedy priamo zo skutočne napadnutej schránky dodávateľa.
- Platobný postup so spätným volaním na známe číslo a princípom štyroch očí zastaví väčšinu podvodov, aj keď podvodný e-mail nerozpoznáte.
Kvíz
Úloha
Úloha A1.2: Rozpoznajte podvod. Dostanete šesť krátkych správ. Pri každej uveďte, či ide pravdepodobne o phishing, podvod na CEO, podvod s faktúrou alebo normálnu správu, a akú akciu urobíte. Program to vyhodnotí a pri každej správe uvedie znaky, ktoré ste si mohli všimnúť.
Úloha D1.2: Vlastný postup pre platby. Napíšte platobný postup vašej firmy na jednu stranu A4: kedy volať späť, na aké číslo, kto robí druhú kontrolu a od akej sumy. Prejdite ho so všetkými, ktorí vykonávajú platby.
Úloha D1.2: Vlastný postup pre platby
Postupujte takto: (1) Napíšte na jeden list papiera, kedy platba vyžaduje dodatočnú kontrolu: zmenené číslo účtu, nový príjemca, suma nad hranicou, ktorú si sami určíte, žiadosť o urýchlenie mimo bežného postupu. (2) Napíšte, ako budete telefonicky overovať: iba na číslo z vlastnej evidencie, zo zmluvy alebo z oficiálnej webovej stránky, ktorú si sami zadáte. (3) Určte druhú osobu, ktorá platbu skontroluje (ak podnikáte sám, zaveďte pevnú čakaciu dobu, napríklad jednu noc). (4) Dohodnite sa s vedením, že postup sa nikdy nevynecháva kvôli e-mailu alebo chatu. (5) Prejdite postup so všetkými, ktorí vykonávajú platby, a vyveste ho na viditeľnom mieste.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Ďalšie čítanie
Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Je tento e-mail naozaj od WebOké? Ako rozpoznať phishing a použiť akčný kód
- E-maily od ICANN alebo registra o vašej doméne: skutočné alebo podvodné, a čo máte urobiť?
- Polícia SR, informácie o podvodoch: https://www.minv.sk/?policia
- Holandská Fraudehelpdesk, Číslo účtu na faktúre bolo upravené: https://www.fraudehelpdesk.nl/fraude/het-rekeningnummer-op-de-factuur-is-aangepast/
- Holandská Fraudehelpdesk, Zachytené faktúry: https://www.fraudehelpdesk.nl/ondernemers-fraude/onderschepte-facturen/
- Ako rozpoznať falošnú faktúru, zmenené číslo účtu alebo podvod typu CEO fraud