Podvodné telefonáty
Podvodné telefonáty (tzv. vishing – voicephishing) představují formu sociálního inženýrství.
Při ní útočník kontaktuje oběť telefonicky a vydává se za důvěryhodnou osobu nebo instituci s cílem získat:
přístupové údaje k internetovému bankovnictví,
autorizační kódy z SMS,
údaje o platební kartě,
souhlas s převodem finančních prostředků,
instalaci vzdáleného přístupu do zařízení,
osobní a identifikační údaje.
Útočník může předstírat, že volá z banky, od policie, z investiční společnosti nebo z technické podpory. Telefonní číslo může být podvržené (tzv. spoofing) a na displeji se může zobrazovat jako oficiální číslo instituce.
V čem spočívá nebezpečnost podvodných telefonátů
Přímý psychologický tlak v reálném čase – oběť nemá prostor na klidné ověření informací.
Autorita hlasu – lidský hlas působí důvěryhodněji než e-mail. Telefonáty probíhají i v češtině a útočníci používají odborné výrazy.
Okamžitá autorizace plateb – oběť sama provede bankovní převod či předání hotovosti.
Izolace oběti – pachatel často instruuje oběť, aby o hovoru nikomu neříkala.
Značné finanční ztráty – částky mohou dosahovat statisíců až milionů korun.
Manipulativní techniky používané útočníky
Využívání síly manipulace lidským hlasem – útočník nedává oběti prostor pro ověřování. Postupy útočníků jsou navíc stále propracovanější a na každou vaši otázku mohou mít připravenou adekvátní odpověď, často v perfektní češtině a s profesionálním vystupováním.
Zneužívání autority – útočníci se vydávají za pracovníky bank a Policie České republiky.
Vyvolání strachu – to je pro podvodné telefonáty typické. Útočníci dobře vědí, že lidé pod vlivem strachu postupují často velmi unáhleně a neopatrně. Jednoduše dělají věci, které by jinak nikdy neudělali. Strach může spočívat v obavách o úspory nebo v tvrzení falešných policistů ohledně případného trestního stíhání při nespolupráci či vyzrazení rozhovoru dalším osobám. Navíc vás mohou vystrašit tím, že nemůžete nikomu dalšímu věřit, čímž si chtějí zajistit, že se neporadíte s rodinou nebo odborníky.
Časová tíseň – musíte jednat okamžitě. Útočníci vám tak nedají prostor pro ověření.
Sociální důkaz – například: „Takto jsme již pomohli dalším lidem.“ Jde o utvrzení o správnosti postupu.
Postupné budování důvěry – útočníci se s vámi často snaží navázat osobnější pouto a mohou se s vámi bavit o běžných životních věcech, jako jsou děti, zvířata apod. Získávají si tak vaši důvěru, ale zároveň tím prodlužují délku telefonátu. Oběť pak nemůže kontaktovat nikoho dalšího a zároveň jí nikdo další nemůže dovolat.
Izolace – útočníci nechtějí, aby se oběť o věci s někým dalším radila. Proto se vás snaží mít po celou dobu na telefonu a zároveň vás mohou poučovat, že o věci nesmíte s nikým dalším mluvit a vrhají podezření na další osoby, například na příbuzné nebo bankovní úředníky.
Další významné aspekty podvodných telefonátů
Kombinace s SMS zprávou – podvodnému telefonátu může předcházet například SMS zpráva, na kterou následně útočník odkazuje.
Využívání spoofingu CLI – útočníci dokážou napodobit prakticky jakékoliv telefonní číslo. Nikdy se nemůžeme zcela spoléhat na to, co vidíme na displeji. Když budete volat zpět, dovoláte se regulérnímu uživateli telefonního čísla.
Podvodníci útočí z call center – v pozadí můžete slyšet další hlasy. Může se na vás střídat několik osob, přičemž každá hraje v propracovaném scénáři svou roli.
Podvodníci útočí cíleně – informace získávají z volně dostupných zdrojů či z různých uniklých databází. Často jim stačí znát jen vaše jméno pro důvěryhodnější oslovení. V jiných případech znají pachatelé i velmi citlivé informace.
Útočníci využívají propracované scénáře (call skripty) – ty mohou neustále zdokonalovat. Telefonát pak může být velmi manipulativní i v případě, že vám volá podvodník začátečník.
Scénáře útoku a legendy
Legenda o ohrožení bankovního účtu - Falešný bankéř nebo policista
Útočníci se v telefonátu vydávají za pracovníky bank, policie a zástupců dalších subjektů s tvrzením, že máte napadený bankovní účet nebo že si na vás někdo chce sjednat úvěr a vy musíte okamžitě učinit další kroky, aby se to nestalo.
Převést finanční prostředky na jiný „bezpečný účet“, což je samozřejmě účet podvodný a ovládaný pachatelem.
Vybrat finanční prostředky v hotovosti a předat je fyzicky kurýrovi na sjednaném místě. Kurýr vám oproti hotovosti může předat jakési potvrzení o převzetí.
Vložit peníze v hotovosti do údajného vkladomatu „x-té generace“, kdy se však jedná o bitcoinmat na virtuální měny.
Stáhnout program na vzdálený přístup do vašeho zařízení s tím, že se údajný bankéř o vše postará. Ve skutečnosti to končí tím, že z vašeho otevřeného bankovního účtu převede finanční prostředky na další účty.
Vyzradit citlivé bankovní informace.
Stáhnout „novou“ „bezpečnou“ bankovní aplikaci a následně přiložit mobilní telefon s touto aplikací ke své platební kartě. V kombinaci s vylákaným PIN-em pachatelé vytvoří prostřednictvím vašeho telefonu tzv. červí díru, kdy může dojít k výběru finančních prostředků i v jiné zemi.
Jedná se o velmi rizikový modus operandi, kdy typickými oběťmi jsou spíše ženy (více jak 80 %) a průměrný věk oběti je 45 let. Průměrná škoda na jednu oběť přesahuje částku 700 000 Kč.
Útočníci jsou velmi přesvědčiví. Svá tvrzení doprovázejí zasíláním různých dokumentů, dokladů, fiktivních policejních protokolů, falešných policejních průkazů až po zcela fiktivní online bankovnictví zřízená například u České národní banky. Útočníci mohou při telefonátech používat tzv. spoofing CLI – dovedou tedy napodobit prakticky jakékoliv telefonní číslo.
Útočníci zde své oběti nepřipravují „pouze“ o veškeré úspory, ale jsou schopni je zmanipulovat i k dalším úvěrům přímo v bankách či nebankovních institucích, a to pod legendou, že sjednáním maximálního možného úvěru si uměle sníží bonitu a údajný pachatel si na tuto osobu následně nebude moci sjednat úvěr.
Komunikace probíhá nejen přes telefonáty, ale může být doprovázena komunikací přes aplikace typu WhatsApp, SMS zprávy, e-mailovou komunikaci a fiktivní weby.
Nabídka výhodné investice
V telefonu se ozve zástupce nějaké investiční společnosti s tím, že máte údajně někde zainvestované finanční prostředky a musíte si je vybrat, jinak vám hrozí sankce a případně i trestní stíhání. Více viz problematika podvodů s legendou výhodné investice.
Falešná technická podpora
Jedná se o podvodné jednání, kdy se pachatel vydává za zástupce některé technologické společnosti, například Apple, Microsoft nebo Google, a snaží se vás přesvědčit, že máte zařízení ohrožené například virem či technickou závadou. Snaží se z vás vylákat vzdálený přístup do vašeho zařízení, který je následně zneužit, případně požaduje platbu za odvrácení hrozby. Můžete si tak zakoupit software, kterým si naopak své zařízení infikujete. K oslovení nemusí používat pouze telefonáty, ale i další druhy komunikace, včetně vyskakovacího okna v prohlížeči. Typické pro tyto útoky je volání v angličtině s přízvukem.
Legenda vnuk
To, že případně nemáte bankovní účet, ještě neznamená, že jste v bezpečí před online podvody. Útočníci v tomto případě cílí převážně na seniory, kdy se v telefonátech vydávají za příbuzné (nejčastěji vnoučata) nebo za osoby, které jsou příbuznému právě nablízku a pomáhají mu ve svízelné situaci (kamarádi, lékaři, policisté, právníci apod.). Útočníci se snaží v obětech vyvolat dojem, že je potřeba příbuznému okamžitě pomoci. Nenechají oběť dlouho přemýšlet a tlačí ji například k předání peněz kurýrům, vyhození peněz z okna či předání hotovosti do tajné schránky. Častou legendou je účast při autonehodě a vážné zranění chodce.
Jak nenaletět
Uvědomte si, jak mohou být útočníci v rámci telefonního hovoru manipulativní a přesvědčiví. Nenechte se ovlivnit.
Zkuste zachovat chladnou hlavu a nenechte se zastrašit. Pod vlivem stresu je mnohem těžší odolat. Zkuste se nad situací zamyslet racionálně.
Vždy vše raději ověřujte a nebojte se poradit. Ideálně přímo u konkrétního subjektu, nebo se alespoň poraďte s někým z rodiny či přátel. V tomto případě se nenechte odradit vyhrožováním povinností mlčenlivosti a případnými sankcemi.
Pokud vám někdo po telefonu tvrdí, že jsou vaše peníze ohroženy a musíte je převést na jiný účet, jedná se o podvod. Útočníci pro podvod využívají zejména následující postupy, které jsou typickým znakem podvodu:
převod na jiný údajně „bezpečný bankovní účet“,
manipulaci ke stažení programu na vzdálený přístup,
nutnost sjednat si maximální možný úvěr pro umělé snížení své bonity,
předání hotovosti kurýrovi, který vám může dát i potvrzení, které je však zcela fiktivní,
vložení hotovosti do vkladomatu na virtuální měny – nesmysl, vkladomat slouží pouze k nákupu kryptoměny,
stažení podezřelé aplikace z oficiálních i neoficiálních zdrojů,
údajné zabezpečení platební karty pomocí NFC signálu vašeho mobilního telefonu – nesmysl, hrozí zneužití vaší platební karty přes vytvořenou NFC červí díru.
Vylákání vzdáleného přístupu do vašeho zařízení – nikdy neumožňujte vzdálený přístup do svého zařízení nikomu, komu zcela nedůvěřujete. Vzdálený přístup je pro vás velmi rizikový. Stejně tak nikomu takovému neumožňujte ani vzdálený náhled.
Nenechte se zaskočit tím, že o vás má volající velmi citlivé informace. Útočníci jsou v těchto případech velmi dobře připraveni a mohou znát například i rodné číslo, číslo dokladu, ale i transakční historii.
Nenechte se přesvědčit zasílanými přílohami. Útočníci vás mohou přesvědčovat zasíláním mnoha fiktivních dokumentů, certifikátů, falešných průkazů, a to i policejních, falešných e-mailů, SMS zpráv a odkazů na podvodné webové stránky.
Nikdy po telefonu nesdělujte citlivé informace, jako jsou přihlašovací údaje, hesla, PIN, údaje z platební karty, autorizační kódy z SMS zpráv apod. Banky ani státní instituce tyto údaje tímto způsobem nevyžadují.
Pamatujte si, že pachatelé dovedou napodobit prakticky jakékoliv telefonní číslo (spoofing), a to i v rámci SMS komunikace.
To, že si dohledáte informace k údajnému volajícímu, ještě nic neznamená. Útočníci se často vydávají za reálné osoby, které pracují například v bankovním sektoru nebo u policie. Mohou se tak vydávat za kohokoliv. V blízké budoucnosti mohou pomocí AI napodobovat například i hlas.
Nespokojte se s ověřením přes videohovor. Již delší dobu se setkáváme s využíváním AI technologií typu deepfake, kdy se útočníci vydávají za reálné osoby či kamuflují svou identitu.
Varovným znakem je i snaha o vaši izolaci – „Nikomu nic neříkejte“, „Máte povinnost mlčenlivosti“, „Právě někdo z vaší banky vás chce okrást“. Útočníci jednoduše nechtějí, aby se oběť s kýmkoliv bavila. I proto mohou hovory trvat třeba až 12 hodin – nikdo se vám nedovolá.
V případě, že vás kontaktuje skutečná banka, která vás upozorňuje na podezřelé aktivity, nelžete. Stejně tak nelžete v případě, že vás s realitou konfrontují bankovní úředníci při fyzickém sjednávání vylákaného úvěru.
Co dělat v případě útoku
V případě, že v rámci podvodného telefonátu vyzradíte citlivé zneužitelné bankovní informace nebo již přijdete o finanční prostředky:
Okamžitě kontaktujte svou banku – s cílem zabránit dalším škodám a pokusit se zachránit již odeslané finanční prostředky. Čím dříve budete banku kontaktovat, tím lépe.
Kontaktujte Policii České republiky – ideálně na nejbližší služebně v místě vašeho bydliště. Nemažte žádné důkazy. Naopak se pokuste zachytit případnou psanou komunikaci, dokumenty, náhledy na falešné weby a aplikace.
Pokuste se nahrát rozhovor s útočníky – možností je například nahrávání prostřednictvím diktafonu v dalším mobilním telefonu.
Jakmile se setkáte s jakýmkoliv telefonátem, který jste vyhodnotili jako podezřelý, doporučujeme hovor okamžitě ukončit. Nikoho neurážejte a nepouštějte se do „detektivní činnosti“.
Nevolejte zpět na číslo volajícího. V případě spoofingu (napodobení telefonního čísla) se dovoláte oprávněnému uživateli telefonního čísla. V případě spoofingu čísla banky se dovoláte do reálné banky.
Jakýkoliv podezřelý telefonát či SMS zprávu můžete nahlásit svému operátorovi na jednotné lince 7726. To může efektivně napomoci při potenciálním útoku na další osoby.
V případě, že se dostanete k číslu bankovnímu účtu, kam mají být odeslány transakce, je možné číslo bankovního účtu nahlásit bance, kde je účet veden. Ta může následně učinit další bezpečnostní opatření.
V případě zejména podezřelých nabídek investic se můžete setkat s neurvalostí volajících, kteří na vás tlačí dalšími a dalšími telefonáty. V současnosti pravděpodobně neexistuje možnost, jak dalším telefonátům zcela zabránit. Lze ale blokovat konkrétní telefonní čísla, případně nastavit telefon tak, aby alespoň dočasně nepřijímal hovory z čísel, která nemáte v kontaktech.
Často až po podvodném telefonátu zjistíte, jak dokážou být útočníci manipulativní a jak je celé jednání nebezpečné. Varujte své okolí. Nikdy nevíte, zda i další členové vaší rodiny dokážou odolat.