Podvody jsou dnes přesvědčivější než kdy dřív
Kybernetické podvody cílené na bankovní účty se v posledních letech výrazně profesionalizovaly. Útočníci už nepoužívají jen hrubé překlepy a podezřelé odkazy, ale pracují s logy bank, napodobují tón komunikace a často využívají i informace z veřejných zdrojů. Podle bezpečnostních firem i bank rostou zejména útoky typu phishing, smishing (SMS podvod) a vishing (telefonní podvod), přičemž kombinace více kanálů je dnes běžná.
Typický scénář vypadá tak, že oběť dostane zprávu o blokaci účtu, neprovedené platbě nebo nutnosti „okamžité verifikace“. Odkaz vede na falešnou stránku banky, kde uživatel zadá přihlašovací údaje, potvrzovací kód nebo číslo karty. V jiných případech podvodník telefonuje jako pracovník banky a přesvědčuje klienta, aby sám potvrdil transakci nebo nainstaloval vzdálený přístup.
Jaké techniky útočníci používají nejčastěji
Obrana začíná tím, že člověk rozpozná nejpoužívanější triky. Nejčastější jsou tyto:
- Phishingové e-maily – napodobují banku, platební bránu nebo doručovací službu a tlačí na rychlou reakci.
- Smishing – SMS s odkazem na „potvrzení platby“, „vrácení daně“ nebo „aktualizaci zabezpečení“.
- Vishing – podvodník volá z neznámého čísla a vydává se za banku, policii nebo podporu.
- Falešné aplikace – škodlivý software maskovaný jako zabezpečení banky nebo ověřovací nástroj.
- Podvržené stránky – doména je téměř identická, například místo „banka.cz“ je „bánka.cz“ nebo „banka-secure.cz“.
Právě kombinace důvěryhodného vzhledu a psychologického nátlaku je důvodem, proč podvody fungují i na zkušené uživatele. Útočník většinou nechce, aby oběť dlouze přemýšlela. Cíl je jednoduchý: vyvolat stres, pocit naléhavosti a rychlé kliknutí.
Jak poznat útok během několika vteřin
Nejspolehlivější obrana je zpomalit. Jakmile zpráva nebo hovor tlačí na okamžitou akci, je to varovný signál. Banky běžně nepožadují, abyste přes odkaz v SMS zadávali celé přihlašovací údaje nebo přepisovali autorizační kódy do formuláře mimo oficiální aplikaci.
Kontrolujte tyto konkrétní znaky:
- Neobvyklý odesílatel – telefonní číslo nebo e-mail neodpovídá oficiální komunikaci.
- Chyby v doméně – drobná změna názvu, podivná koncovka nebo znak navíc.
- Emocionální tlak – „účet bude do 10 minut zablokován“, „poslední šance“, „okamžitě potvrďte“.
- Požadavek na citlivé údaje – heslo, PIN, celé číslo karty, CVV, jednorázový kód.
- Nečekaná instalace aplikace – zvlášť pokud má jít o vzdálenou pomoc nebo bezpečnostní nástroj.
V praxi platí jednoduché pravidlo: pokud zpráva vyžaduje akci, kterou jste nečekali, neklikejte a kontaktujte banku přes oficiální číslo z webu nebo z mobilní aplikace. Nikdy nevolejte na číslo uvedené v podezřelé SMS.
Jak nastavit ochranu účtu, aby útočník neuspěl
Technická i účetní ochrana je dnes nezbytná. Nejde jen o heslo, ale o celý systém kontrol. Základ tvoří vícefaktorové ověření, ideálně přes bankovní aplikaci nebo hardwarový klíč, pokud jej služba podporuje. SMS kódy jsou lepší než nic, ale nejsou tak bezpečné jako potvrzení v aplikaci, zejména kvůli riziku přesměrování SIM nebo přístupu k telefonu.
Praktická opatření, která mají smysl:
- Nastavte limity plateb pro internetové transakce i výběry z bankomatu.
- Zapněte notifikace o každé kartové transakci, ideálně push i e-mail.
- Oddělte hlavní účet od běžného provozu a držte na něm jen menší částku.
- Používejte unikátní hesla a správce hesel, například Bitwarden, 1Password nebo KeePass.
- Aktualizujte telefon i počítač, protože staré verze systému mohou obsahovat zneužitelné chyby.
Uživatelé často podceňují bezpečnost samotného telefonu. Přitom právě mobil bývá klíčem k bankovnictví. Má-li někdo přístup k odemčenému zařízení, může potvrdit platby i měnit nastavení účtů. Proto se vyplatí používat silný PIN, biometriku a automatické zamykání po krátké době nečinnosti.
Co dělat, když už jste klikli nebo zadali údaje
V případě podezření rozhodují minuty. Pokud jste zadali přihlašovací údaje, autorizační kód nebo údaje z platební karty, jednejte okamžitě. Nečekejte na potvrzení, že se „nic nestalo“. Útočníci často testují účet během několika sekund až minut.
Postup je následující:
- Okamžitě kontaktujte banku přes oficiální linku a požádejte o zablokování přístupu nebo karty.
- Změňte heslo do internetového bankovnictví i související e-mailové schránky.
- Zkontrolujte poslední transakce a ihned nahlaste neznámé platby.
- Odpojte neznámá zařízení a zkontrolujte, zda nebylo aktivováno přihlášení z cizího telefonu.
- Proveďte kontrolu telefonu a počítače antivirem nebo bezpečnostním nástrojem.
Pokud šlo o větší škodu, uchovejte důkazy: SMS, e-mail, číslo, ze kterého přišel hovor, i screenshoty falešné stránky. Tyto informace pomohou bance i policii při šetření. U škodlivých aplikací je důležité zařízení neprodleně odpojit od internetu a vyhledat odbornou pomoc, aby se zabránilo dalšímu zneužití.
Prevence pro běžné uživatele, firmy i správce webů
Riziko se netýká jen jednotlivců. Firmy, e-shopy i správci webů mohou být zneužiti jako důvěryhodná značka, přes kterou útočník distribuuje podvodné kampaně. Proto je důležitá i ochrana domény, e-mailů a webu. Nasazení SPF, DKIM a DMARC snižuje riziko, že někdo pošle falešný e-mail jménem vaší firmy. U veřejných formulářů je vhodné přidat ochranu proti zneužití a pravidelně kontrolovat, zda web neobsahuje škodlivé přesměrování.
Pro majitele webů a marketéry je praktické pravidelně sledovat, zda se značka neobjevuje na podvodných doménách. Pomáhá monitoring doménových variant, alerty na zmínky značky a kontrola Google Search Console i bezpečnostních hlášení pro web. U e-shopů je navíc vhodné uživatele upozorňovat, že platby potvrzují pouze v oficiálním prostředí a že nikdy nebudou žádat o zaslání kódu přes chat nebo telefon.
V domácím prostředí platí jednoduchá disciplína: neinstalovat aplikace mimo oficiální obchody, neotvírat odkazy z nečekaných zpráv a pravidelně kontrolovat nastavení bankovní aplikace. Kdo má v rodině seniory, měl by jim ukázat konkrétní příklady podvodných zpráv. Právě starší lidé bývají častým cílem, protože reagují na autoritativní tón a obavy o účet.
Útočníci se budou dál zlepšovat, ale princip obrany zůstává stejný: ověřovat kanál, zpomalit reakci, minimalizovat přístup k účtu a mít připravený postup pro krizovou situaci. Čím méně prostoru dostane podvodník k nátlaku a přístupu k ověřovacím údajům, tím menší je šance, že se dostane k vašim penězům.