Co je to phishing?
Phishing je útok sociálního inženýrství, při kterém útočník vytvoří přesvědčivou kopii legitimní webové stránky — často pixel přesně — a podvede oběť, aby tam zadala přihlašovací údaje. V okamžiku, kdy oběť odešle formulář, útočník zachytí uživatelské jméno, heslo a jakýkoli druhý faktor, a pak je použije k převzetí skutečného účtu během sekund.
Slovo pochází z metafory „rybaření" na oběti s návnadou (obvykle e-mailem). Pravopis se změnil, aby zdůraznil, že útočníci často používají telefonní čísla (SMS phishing neboli „smishing") a profesionálně vypadající infrastrukturu.
Proč je phishing stále hrozbou č. 1
Většina rozsáhlých narušení účtů dnes nezahrnuje hackování, prolomení hesel nebo obcházení šifrování. Zahrnuje člověka, který zadá heslo na falešné stránce. Phishing je:
- Levný — útočník může poslat miliony e-mailů za cenu VPS a falešné domény
- Těžký k filtrování — moderní sady střídají domény, používají legitimní hosting a přizpůsobují se filtrům v reálném čase
- Efektivní — i uživatelé vědomí bezpečnosti naletí dobře vytvořeným cíleným pokusům (spear phishing)
- Škálovatelný — jeden úspěšný phish často poskytne přístup k desítkám propojených služeb prostřednictvím opakovaného použití hesla
Zpráva Verizon Data Breach Investigations Report z roku 2024 zjistila, že phishing byl počátečním vektorem přístupu ve více než 36 % všech narušení — více než jakákoli jiná jednotlivá příčina.
Jak funguje moderní phishing
Phishing se vyvinul daleko za e-maily „nigerijského prince" z roku 2000. Moderní phishingový útok typicky zahrnuje:
1. Přesvědčivou návnadu
Obvykle e-mail, text nebo zpráva v chatu vytvářející naléhavost („Váš účet bude pozastaven"), autoritu („tým zabezpečení Microsoft") nebo zvědavost („Někdo vás označil na fotografii"). Spear-phishing to posunuje dále osobními detaily získanými z LinkedIn, databází narušení nebo předchozí korespondence.
2. Pixel přesnou falešnou stránku
Útočníci používají hotové phishingové sady, které klonují HTML, CSS a JavaScript cílové stránky. Mnoho sad se prodává jako služba (phishing-as-a-service), s funkčními dashboardy a zákaznickou podporou.
3. Proxy v reálném čase pro 2FA
Nebezpečná část: moderní sady nezachycují jen vaše heslo. Působí jako man-in-the-middle proxy, která předává vše, co napíšete — včetně vašeho TOTP kódu — na skutečnou stránku během sekund, čímž obejde většinu 2FA. Tato technika se nazývá adversary-in-the-middle (AiTM) a používá se v nástrojích jako Evilginx2 a Modlishka.
4. Krádež session tokenu
Jakmile se autentifikujete přes proxy, útočník zachytí váš session cookie a může ho použít k udržení přihlášení i poté, co změníte heslo. Proto reakce na phishing vždy zahrnuje zrušení aktivních relací, nejen rotaci hesla.
Co skutečně zastaví phishing
Hardwarové bezpečnostní klíče (FIDO2 / WebAuthn)
To je jediná kategorie obrany, která je navržena jako odolná proti phishingu. Když se přihlásíte s FIDO2 klíčem, váš klíč kryptograficky ověří přesnou doménu stránky žádající o autentifikaci. Falešná stránka — bez ohledu na to, jak vizuálně dokonalá — má jinou doménu, takže klíč odmítne odpovědět. Kryptografický handshake se jednoduše nedokončí.
Google famózně nařídil YubiKeys pro všech 85 000+ zaměstnanců v roce 2017 a hlásil nula úspěšných phishingových útoků na firemní účty v následujících letech.
Passkeys
Passkeys jsou spotřebitelsky přívětivý vývoj FIDO2. Používají stejnou kryptografii vázanou na doménu a jsou zabudovány do iOS, Android, macOS a Windows. Pokud stránka, kterou používáte, podporuje passkeys, povolení jednoho učiní tento účet odolným proti phishingu.
Správci hesel
Správce hesel je vaše druhá linie obrany, protože automaticky vyplňuje přihlašovací údaje pouze na přesné doméně, kde byly uloženy. Pokud se dostanete na paypaI.com (velké I) místo paypal.com, váš správce tiše odmítne vyplnit formulář. Toto odmítnutí je hlasité varování, že něco není v pořádku.
Filtrování e-mailu a DNS
Poskytovatelé e-mailu používají DMARC, SPF a DKIM k detekci falešných adres odesílatele. Většina moderních poskytovatelů zachytí zjevné pokusy, ale cílené útoky stále proklouznou. Zapněte tlačítka „nahlásit phishing" ve vašem e-mailovém klientovi, abyste pomohli filtrům se zlepšit.
Varovné signály, na které si dát pozor
Když obdržíte zprávu žádající o přihlášení, ověření nebo urgentní jednání:
- Naléhavost a hrozby — „Váš účet bude za 24 hodin zrušen"
- Obecná oslovení — „Vážený zákazníku" místo vašeho jména
- Podobně vypadající domény —
paypaI.com,app1e.com,secure-microsoft-login.net - Neočekávané přílohy — zejména soubory
.zip,.htmlnebo.pdfžádající o přihlášení k jejich zobrazení - Gramatické nebo formátovací chyby — velké společnosti si své e-maily kontrolují
- Nesoulad odkazů — najeďte na odkaz a zkontrolujte, zda destinace odpovídá textu
Pokud se něco zdá divné, zavřete e-mail. Přejděte na stránku ručně. Pokud existuje skutečný problém, uvidíte ho, když se přihlásíte svým normálním postupem.
Co dělat, pokud jste na to naletěli
Jednejte rychle — rychlost má význam, protože útočníci začnou používat přihlašovací údaje během minut.
- Okamžitě změňte heslo na jiném zařízení (například na telefonu, pokud jste na to naletěli na notebooku)
- Zrušte všechny aktivní relace v nastavení účtu — to vykopne každého, kdo aktuálně používá ukradené session tokeny
- Zapněte 2FA, pokud ještě nebyla zapnutá, a použijte hardwarový klíč nebo passkey, pokud je to možné
- Zkontrolujte neautorizovanou aktivitu — odeslané e-maily, nedávná přihlášení, změny fakturace, nová pravidla přesměrování
- Informujte postižnou instituci, pokud se jedná o finanční nebo pracovní účet
- Zkontrolujte další účty, které používaly stejné heslo — i když jste si jisti, že hesla neopakujete, zkontrolujte to
Závěr
Phishing prosperuje, protože obchází technologie a cílí na lidi. Nejlepší obrana kombinuje tři vrstvy: správce hesel (odmítají automatické vyplnění na nesprávných doménách), 2FA odolné proti phishingu (hardwarové klíče nebo passkeys, které se vážou na skutečnou doménu) a zdravou skepsi (nikdy se nepřihlašujte z odkazu v e-mailu).
Zapněte všechny tři na vašem nejdůležitějším účtu — vašem e-mailu — jako první. Odtud se zbytek vašeho digitálního života stane významně bezpečnějším.