Podvodné SMS zprávy

Cílem je přimět příjemce k:

• kliknutí na škodlivý odkaz,

• zadání přihlašovacích údajů,

• sdělení platebních údajů,

• instalaci škodlivé aplikace,

• provedení finanční transakce.

SMS zprávy se často tváří jako komunikace od:

• bank,

• přepravních společností,

• státních institucí,

• mobilních operátorů,

• rodinných příslušníků.

Cílem je vyvolat rychlou reakci bez ověřování pravosti zprávy.

Užívané manipulativní techniky v rámci podvodných SMS zpráv

• Vytvoření pocitu naléhavosti – naléhavost snižuje schopnost racionálního rozhodování. Například: „Váš účet bude zablokován.“, „Zásilka nebyla doručena.“, „Platba nebyla autorizována.“

• Zneužívání autority – zpráva se vydává za banku, policii nebo jinou instituci, což vyvolává pocit povinnosti reagovat.

• Zastrašování – blokace účtu, hrozící sankce, pokuta, zadržení zásilky, exekuce apod.

• Využívání zvědavosti – například: „Byla vám zaslána zpráva.“, „Máte nárok na státní příspěvek.“

• Jednoduchost zprávy – nedostatek prostoru pro vyhodnocování. Útočníci často využívají URL zkracovače, takže nevidíte cílovou URL adresu.

• Cílené útoky – užívání oslovení v SMS zprávách zvyšuje pravděpodobnost reakce.

• Zneužívání spoofingu CLI – útočník dokáže imitovat reálná telefonní čísla i označení odesílatele, například jméno banky nebo název instituce. SMS zpráva se vám tak může za určitých okolností zobrazovat ve vláknu se skutečnou komunikací.

Scénáře útoku a legendy

• Falešná zpráva od banky – obsahuje informaci o podezřelé transakci nebo blokaci účtu. Odkaz vede na falešnou přihlašovací stránku internetového bankovnictví.

• Nedoplatek za zásilku – po kliknutí následuje přesměrování na podvodný web přepravní společnosti, kde není cílem pachatele vylákat avizovanou platbu menší částky, ale prostřednictvím webového formuláře získat citlivé bankovní informace a zmanipulovat oběť k autorizaci přístupu, případně platby.

• Zpráva od potomka – například: „Mami, tohle je moje nové číslo.“ Typicky pak následuje přesměrování na komunikaci přes WhatsApp, například odkazem na konverzaci. Útočník se pak snaží oběť zmanipulovat a jménem potomka vylákat například proplacení faktury. Vymlouvá se na nefunkční mikrofon, a tedy nemožnost telefonovat. Útočník přitom apeluje na rychlost.

• SMS od státní správy – například pokuta, důležitá datová zpráva, exekuce nebo státní příspěvek. Cílem útočníka je vzbudit dojem nutnosti přihlásit se přes Portál občana a pro přístup vyplnit BankID. Útočník k tomu využívá falešné přihlášení do Portálu občana, při kterém se zmocní přihlašovacích bankovních údajů a oběť mu přístup potvrzuje v rámci vícefaktorového ověření, protože je přesvědčena, že potvrzuje své vlastní přihlášení. Pachatel se následně dostává do bankovnictví oběti, kde při provedení transakce spoléhá na potvrzení transakce či změn ze strany oběti. V některých případech může být tento modus operandi doprovázen i navazujícím telefonátem, kdy se útočník vydává za pracovníka banky.

Jak nenaletět

• Každá neočekávaná zpráva je svým způsobem podezřelá.

• Je potřeba si uvědomit, zda například banky nebo státní instituce komunikují prostřednictvím SMS zpráv.

• Cizí telefonní čísla mohou být podezřelá, zejména například v kombinaci s údajnou zprávou od českého subjektu.

• Pamatujte si, že útočníci dokážou napodobit prakticky jakékoliv telefonní číslo i pozměnit jméno odesílatele zprávy.

• Pozor na SMS zprávy s odkazem na stažení aplikace, například bankovní, z neoficiálního zdroje.

• V případě odkazu na webovou stránku vždy:

• zapojte kritické myšlení nad obsahem – smysl sdělení, gramatika, grafické nepřesnosti apod.,

• kontrolujte správnost URL adresy. Pozor na drobné nuance. Nehleďte pouze na SSL certifikát (HTTP/HTTPS, zámeček u URL adresy) – většina phishingových webů je tímto certifikátem opatřena, ale ten negarantuje důvěryhodnost stránky.

• Pozor na jakoukoliv zprávu, která vás vystavuje časové tísni nebo stresu.

• Pozor na jakoukoliv zprávu, která vede k tomu, že budete manipulováni k vyzrazení citlivých informací. Typicky jde o přístupové údaje do bankovnictví, autorizační kódy a další citlivé údaje.

• Když si nejste jisti, raději si vše ověřte prostřednictvím oficiálních kontaktů. Podvod vás může vyjít draho.

• Osoby, které si nejsou jisté, například senioři, si mohou nastavit pravidlo kontroly SMS zpráv s rodinou a raději vše konzultovat.

Co dělat v případě útoku

• V případě, že z vás útočník vyláká citlivé bankovní údaje (přístupové údaje do bankovnictví, PIN nebo údaje z platební karty), okamžitě kontaktujte svou banku s cílem zabránit další škodě. Nemažte žádné důkazy a věc oznamte policii na nejbližší služebně, ideálně v místě vašeho bydliště.

• V případě vyzrazení jiných přihlašovacích údajů okamžitě změňte hesla a případně nastavte vícefaktorové ověření.

• V případě, že rozpoznáte podezřelou SMS zprávu, reportujte ji svému operátorovi na jednotnou linku 7726. U některých mobilních telefonů existuje funkce nahlášení přímo u SMS zprávy. V opačném případě stačí zprávu přeposlat. Operátor následně může učinit další opatření.

• To, že kliknete na podezřelý odkaz, nemusí vždy znamenat vznik škody. Každopádně doporučujeme na podezřelé odkazy neklikat a případně mít mobilní telefon zabezpečený i antivirovou ochranou.

• Varujte své okolí, protože takové zprávy jsou zpravidla rozesílány ve velkém měřítku a mohou přijít i vašim blízkým a přátelům, kteří nemusejí být tak obezřetní.