TL;DR
Phishing je nekalá praktika, při které se útočníci vydávají za důvěryhodné subjekty, aby přiměli jednotlivce odhalit citlivé informace.
Dávejte si na phishing pozor. Rozpoznáte ho například podle podezřelých adres URL nebo naléhání na poskytnutí osobních údajů.
Seznamte se s různými technikami phishingu – od běžných e-mailových podvodů až po sofistikovaný cílený spear phishing – a posilte svou kybernetickou bezpečnost.
Úvod
Phishing je škodlivá taktika, při které se subjekty s nekalými úmysly vydávají za spolehlivé zdroje, aby oklamaly lidi a přiměly je k poskytnutí citlivých údajů. V tomto článku si objasníme, co je phishing, jak funguje a jak se proti němu můžete bránit.
Jak phishing funguje
Phishing se spoléhá především na sociální inženýrství, což je metoda, při které útočníci manipulují s jednotlivci s cílem získat od nich důvěrné informace. Útočníci získají z veřejných zdrojů (jako jsou sociální sítě) osobní údaje, se kterými vytvoří zdánlivě důvěryhodné e-maily. Obětem často chodí podvodné zprávy, které se tváří jako od známých kontaktů nebo renomovaných organizací.
Phishing nejčastěji využívá e-maily obsahující škodlivé odkazy nebo přílohy. Kliknutí na tyto odkazy může vést k instalaci malwaru do zařízení uživatele nebo přesměrování na falešný web určený k odcizení osobních a finančních údajů.
Špatně napsané phishingové e-maily se odhalují snadněji, ale kyberzločinci zvyšují důvěryhodnost svých útoků pomocí pokročilých nástrojů, jako jsou chatboti a generátory hlasu s umělou inteligencí. Pro uživatele je pak obtížné rozeznat skutečnou a podvodnou komunikaci.
Rozpoznání pokusů o phishing
Identifikace phishingových e-mailů může být komplikovaná, ale existují určité znaky, na které si můžete dát pozor.
Běžné znaky
Zpozorněte, pokud zpráva obsahuje podezřelé adresy URL, používá veřejné e-mailové adresy, vyvolává obavy nebo naléhavost, požaduje osobní údaje nebo obsahuje pravopisné a gramatické chyby. Ve většině případů byste měli mít možnost umístit ukazatel myši na odkaz a zkontrolovat adresu URL, aniž byste na ni skutečně klikli.
Podvody s digitálními platbami
Útočníci se často vydávají za důvěryhodné online platební služby, jako je PayPal, Venmo nebo Wise. Uživatelům chodí podvodné e-maily, ve kterých je vyzývají k ověření přihlašovacích údajů. Buďte proto ostražití a podezřelé aktivity nahlašujte.
Finanční phishingové útoky
Podvodníci se kvůli získání osobních údajů vydávají za banky nebo finanční instituce a tvrdí, že došlo k narušení bezpečnosti. Mezi běžné taktiky patří podvodné e-maily o převodech peněz nebo podvody s přímými vklady zaměřené na nové zaměstnance. Mohou také tvrdit, že si musíte naléhavě stáhnout aktualizaci zabezpečení.
Pracovní phishingové podvody
V těchto personalizovaných podvodech útočníci vystupují jako vedoucí pracovníci, generální ředitelé nebo finanční ředitelé a požadují bankovní převody nebo falešné nákupy. Další metoda, kterou podvodníci používají, je hlasový phishing využívající generátory hlasu s umělou inteligencí.
Jak předcházet phishingovým útokům
Když chcete těmto phishingovým útokům předcházet, je důležité znát různá bezpečnostní opatření. Neklikejte na žádné odkazy. Přejděte na oficiální web nebo komunikační kanál společnosti a ověřte si, jestli jsou informace, které jste obdrželi, legitimní. Zvažte použití nástrojů zabezpečení, jako je antivirový software, brána firewall a filtry nevyžádané pošty.
Organizace by také měly k ověřování příchozích e-mailů používat standardy ověřování e-mailů. Mezi běžné metody ověřování e-mailů patří DKIM (DomainKeys Identified Mail) a DMARC (Domain-based Message Authentication, Reporting, and Conformance).
Pro jednotlivce je nejdůležitější informovat o rizicích phishingu rodinu a přátele. Pro společnosti je zase zásadní vzdělávat o phishingových technikách zaměstnance a poskytovat jim pravidelná školení.
Pokud potřebujete další pomoc a informace, obraťte se na iniciativy, jako je prevencekriminality.cz. Nabízí podrobnější zdroje a pokyny k rozpoznání, předcházení a hlášení phishingových útoků.
Typy phishingu
Techniky phishingu se neustále vyvíjí a kyberzločinci používají různé metody. Tyto různé typy phishingu se obvykle dělí podle cíle a vektoru útoku. Pojďme se na to podívat podrobněji.
Clone phishing
Útočník použije už jednou odeslaný legitimní e-mail a zkopíruje (klonuje) jeho obsah do podobného e-mailu, který obsahuje odkaz na podvodný web. Útočník může také tvrdit, že se jedná o aktualizovaný nebo nový odkaz, a uvést, že předchozí odkaz byl nesprávný nebo že jeho platnost vypršela.
Spear phishing
Tento typ útoku se zaměřuje na jednu osobu nebo instituci a je sofistikovanější než jiné typy phishingu, protože je vyprofilovaný (cílený). To znamená, že útočník nejdřív nashromáždí informace o oběti (např. jména přátel nebo členů rodiny) a tyto údaje použije k tomu, aby ji přesvědčil ke stažení škodlivého souboru.
Pharming
Útočník napadne záznam DNS, který v praxi přesměruje návštěvníky legitimního webu na podvodnou stránku, kterou předem vytvořil. Jedná se o nejnebezpečnější typ útoku, protože záznamy DNS nejsou pod kontrolou uživatele, takže se proti tomu nemá jak bránit.
Whaling
Forma spear phishingu, která se zaměřuje na bohaté a důležité osoby, jako jsou generální ředitelé a vládní úředníci.
Falšování e-mailů
Phishingové e-maily obvykle falšují komunikaci od legitimních společností nebo osob. Neznalým obětem mohou nabízet odkazy na škodlivé weby, na kterých útočníci pomocí chytře maskovaných přihlašovacích stránek shromažďují přihlašovací a osobní údaje. Na těchto webech se mohou nacházet trojské koně, keyloggery a další škodlivé skripty, které kradou osobní údaje.
Přesměrování webů
Přesměrování webů pošle uživatele na jinou adresu URL, než kterou chtěl uživatel navštívit. Subjekty, které zneužívají různá slabá místa, mohou do počítačů uživatelů vkládat přesměrování a instalovat škodlivý malware.
Typosquatting
Typosquatting směřuje provoz na falešné weby, které využívají cizojazyčného pravopisu, běžných překlepů nebo drobných variací domény nejvyššího řádu. Útočníci používají domény, které napodobují rozhraní legitimních webů, a zneužívají tak uživatele, kteří špatně zadali nebo přečetli adresu URL.
Falešné placené reklamy
Další phishingovou taktikou jsou placené reklamy. Tyto (falešné) reklamy využívají typosquattované domény, za které útočníci zaplatili, aby se zobrazovaly mezi předními výsledky vyhledávání. Takový web se dokonce může na Googlu zobrazit jako nejlepší výsledek vyhledávání.
Útok typu watering hole
Při tomto útoku útočníci analyzují uživatele a určují weby, které často navštěvují. Útočníci pak na těchto webech hledají zranitelná místa, a pokud je to možné, vkládají na ně škodlivé skripty, které se při příští návštěvě zaměří na profilované cílené uživatele.
Vydávání se za někoho jiného a falešné soutěže
Vydávání se za vlivné osobnosti na sociálních sítích – útočníci se mohou vydávat za klíčové vedoucí představitele společností a propagovat soutěže nebo používat jiné klamavé praktiky. Na oběti tohoto podvodu mohou dokonce cílit individuálně pomocí procesů sociálního inženýrství, které se zaměřují na vyhledávání důvěřivých uživatelů. Útočníci se mohou nabourat do ověřených účtů a úpravou uživatelského jména se vydávat za skutečnou ověřenou osobu.
V poslední době se útočníci ve velké míře zaměřují na platformy, jako je Slack, Discord, X a Telegram, kde falšují chaty, vydávají se za někoho jiného a napodobují legitimní služby.
Škodlivé aplikace
Útočníci mohou také používat škodlivé aplikace, které sledují vaše chování nebo kradou citlivé informace. Tyto aplikace se mohou vydávat za nástroje ke sledování cen, peněženky a další kryptoměnové aplikace (které mají základnu uživatelů, u kterých se předpokládá, že obchodují nebo drží kryptoměny).
SMS a hlasový phishing
Phishing používající textové zprávy, obvykle SMS nebo hlasové zprávy, který uživatele vybízí ke sdílení osobních údajů.
Phishing vs. pharming
Někteří sice považují pharming za typ phishingového útoku, ale pharming se spoléhá na jiný mechanismus. Hlavní rozdíl mezi phishingem a pharmingem spočívá v tom, že phishing vyžaduje, aby oběť udělala chybu. Naproti tomu pharming vyžaduje od oběti pouze pokus o přístup na legitimní web, jehož DNS záznam byl napaden útočníkem.
Phishing v oblasti blockchainu a kryptoměn
Blockchainová technologie sice díky své decentralizované povaze zajišťuje silné zabezpečení dat, ale uživatelé v blockchainovém prostoru by měli být vůči pokusům o sociální inženýrství a phishing ostražití. Kyberzločinci se často pokouší zneužít zranitelnosti lidí, aby získali přístup k soukromým klíčům nebo přihlašovacím údajům. Ve většině případů tyto podvody spoléhají na lidskou chybu.
Podvodníci se mohou také pokusit přimět uživatele k odhalení seed frází nebo převodu finančních prostředků na falešné adresy. Proto je důležité dávat si pozor a dodržovat osvědčené postupy zabezpečení.
Závěrem
Závěrem můžeme říct, že porozumění phishingu a informovanost o vyvíjejících se technikách je pro ochranu osobních a finančních informací klíčová. Kombinací robustních bezpečnostních opatření, vzdělávání a informovanosti se mohou jednotlivci i organizace v našem propojeném digitálním světě chránit proti všudypřítomné hrozbě phishingu. Buďte OBEZŘETNÍ!
Související články:
Vyloučení odpovědnosti: tento obsah je vám předkládán ve stavu, v jakém je, pouze pro obecné informační a vzdělávací účely, bez jakéhokoli prohlášení nebo záruky. Neměl by být chápán jako finanční, právní nebo jiné odborné poradenství ani není jeho cílem doporučit nákup jakéhokoli konkrétního produktu nebo služby. Měli byste se poradit s příslušnými odbornými poradci. Upozorňujeme, že pokud je článek příspěvkem od třetí strany, vyjádřené názory patří této třetí straně a nemusí se nutně shodovat s názory Akademie Binance. Další podrobnosti se dozvíte v našem úplném prohlášení o vyloučení odpovědnosti zde. Ceny digitálních aktiv mohou být volatilní. Hodnota vaší investice může klesnout nebo stoupnout a investovaná částka se vám nemusí vrátit. Za svá investiční rozhodnutí nesete výhradní odpovědnost vy sami a Akademie Binance nenese odpovědnost za žádné ztráty, které vám mohou vzniknout. Tento materiál by neměl být chápán jako finanční, právní nebo jiné odborné poradenství. Další informace získáte v našich podmínkách použití a upozornění na rizika.