Vishingových útoků přibylo o 442 %. Podvodné hovory dokážou napodobit banku i policii

Telefon zazvoní a na displeji se objeví číslo, které nevypadá podezřele. Na druhé straně se ozve člověk z banky. Ví, jak se jmenujete, mluví klidně a tvrdí, že někdo právě zkouší vybrat peníze z vašeho účtu. Pokud chcete úspory zachránit, musíte jednat.

Právě v tomto momentě začíná být těžké rozlišit skutečný problém od dobře připraveného podvodu. Útočníci dokážou využít informace dostupné na internetu, vystupovat pod identitou skutečných lidí, zfalšovat číslo na displeji a díky umělé inteligenci pracovat i se syntetickým hlasem.

A podobných útoků přibývá. CrowdStrike zaznamenal ve druhé polovině roku 2024 o 442 % více vishingových útoků než během prvních šesti měsíců.

Co je vishing a proč je dnes tak nebezpečný

Pokud hledáte jednoduchou odpověď na otázku, co je vishing, jde o druh phishingového útoku, při kterém podvodníci místo e-mailu nebo zprávy využívají hlasový hovor. Název vznikl spojením slov voice a phishing a setkat se můžete také s označením hlasový phishing.

Na rozdíl od podvodného e-mailu nebo SMS probíhá manipulace v reálném čase. Útočník může okamžitě reagovat na vaše pochybnosti, přizpůsobovat jim další průběh rozhovoru a dávat vám méně prostoru si informace v klidu ověřit.

Jde především o sociální inženýrství, při kterém podvodník využívá lidskou důvěru, strach nebo respekt k autoritám.

Jak podvodný telefonát funguje

Útok obvykle začíná příběhem, který vás má dostat pod tlak a přesvědčit, že právě teď musíte něco vyřešit.

Podvodník už o vás může něco vědět, další informace ale získává během rozhovoru. Pokládá otázky, navazuje na odpovědi a postupně si skládá přesnější obrázek.

Nakonec přijde krok, ke kterému celý hovor směřoval. Útočník chce údaje z karty, SMS kód, přihlášení do bankovnictví, vzdálený přístup k počítači nebo převod peněz.

Nemusí přitom křičet ani vyhrožovat. Může být milý, trpělivý a působit jako člověk, který se vám ze všech sil snaží pomoci.

Za koho se podvodníci nejčastěji vydávají

Bankéř, který chce „zachránit“ vaše peníze

Údajný pracovník banky vám oznámí podezřelou operaci nebo zneužití karty. Aby problém vyřešil, potřebuje ověřit vaši totožnost, a začne proto požadovat údaje z karty či potvrzovací kód.

Častou variantou je také „bezpečný účet“, na který máte své úspory okamžitě převést. Banka po vás ale nebude chtít, abyste kvůli údajnému útoku posílali peníze na jiný účet.

Policista, který řeší zneužití vaší identity

Volající může tvrdit, že někdo použil vaše doklady, vzal si na vás úvěr nebo vás zapletl do trestného činu.

Vystupuje přitom jako autorita, která případ vyšetřuje a potřebuje vaši spolupráci. Může se představit jménem skutečného policisty, odkazovat na konkrétní úřady nebo vám poslat dokumenty, které vypadají oficiálně. Postupně vás přesvědčuje, že vaše identita nebo peníze jsou v ohrožení a že jeho pokyny jsou jedinou cestou, jak situaci vyřešit.

Investiční makléř s výhodnou nabídkou

Údajný makléř vám nabídne výhodnou investici a následně pomáhá s jejím uskutečněním. Může přitom požadovat převod peněz nebo instalaci programu pro vzdálený přístup, například AnyDesk či TeamViewer.

Jakmile získá kontrolu nad počítačem, může se dostat i k dalším citlivým informacím nebo do zařízení nainstalovat škodlivý software.

Technická podpora, která potřebuje přístup k počítači

Podobný princip využívá falešná technická podpora. Volající tvrdí, že objevil problém ve vašem zařízení, který potřebuje na dálku opravit.

Pokud mu vzdálený přístup umožníte, může sledovat obrazovku, ovládat zařízení a dostat se k informacím, které byste mu dobrovolně nesdělili.

Proč může podvodný hovor působit tak přesvědčivě

Velká část úspěchu vishingu nestojí na technologiích, ale na psychologii. V 95,3 % analyzovaných útoků se podvodníci snažili využít naši přirozenou tendenci poslouchat lidi, kteří vystupují z pozice autority.

K tomu přidávají strach, rozptýlení nebo pocit naléhavosti. Důvěryhodnost mohou posílit i znalostí osobních údajů. V jednom průzkumu například 39 % obětí uvedlo, že útočníci znali jejich domácí adresu.

Ani znalost tohoto typu podvodu není stoprocentní ochranou. V kontrolovaném experimentu sdělila citlivé informace třetina účastníků dokonce poté, co byli před rizikem výrazně varováni.

Číslo na displeji nemusí prozradit skutečného volajícího

Pomocí techniky označované jako spoofing lze informace o volajícím zfalšovat. Na telefonu se tak může objevit jiné číslo než to, ze kterého útočník skutečně volá, třeba i číslo připomínající důvěryhodnou instituci.

V USA používá nějakou formu spoofingu až 70 % spamových hovorů.

Známé číslo proto samo o sobě nic nedokazuje. Máte-li pochybnosti, zavěste a zavolejte sami na oficiální číslo dané instituce.

AI dokáže napodobit i hlas skutečného člověka

Spoléhat se už nelze ani na to, že podvodníka prozradí nepřirozená výslovnost nebo robotický hlas. Umělá inteligence dokáže vytvářet přirozeně znějící syntetické hlasy a napodobovat konkrétní lidi.

Riziko se týká také firem. Útočník může například napodobit hlas manažera a jeho jménem požadovat převod peněz nebo citlivé informace.

V experimentu s AI vishingovým botem považovalo více než 68 % účastníků komunikaci za realistickou. Samotný hlas proto přestává být spolehlivým důkazem identity.

Jak poznat, že vám volá podvodník

Dobře připravený podvodný hovor nemusí mít jednu chybu, která ho okamžitě prozradí. Podezření by proto měla vzbudit spíš kombinace drobných nesrovnalostí v tom, co volající říká a jak se chová:

• Mluví obecně a snaží se získat informace od vás. Místo aby sám znal podrobnosti případu, pokládá otázky a z vašich odpovědí si postupně skládá další informace.
• Nechce nebo nedokáže doložit, kdo je. Představí se jménem a funkcí, ale při konkrétnějších otázkách začne odpovídat vyhýbavě.
• Snaží se vás udržet v rozhovoru. Neustále přidává nové informace a nedává vám prostor situaci v klidu promyslet nebo konzultovat s někým dalším.
• Jeho příběh stojí na tom, že musíte postupovat právě podle jeho instrukcí. Jakmile navrhnete jiný způsob řešení, například osobní návštěvu instituce, začne vás od něj odrazovat.
• Postupně z vás získává další informace. To, že na konci hovoru zná řadu podrobností, nemusí znamenat, že je věděl na začátku. Část jste mu mohli během rozhovoru nevědomky prozradit sami.

Žádný z těchto znaků sám o sobě nedokazuje, že jde o podvod. Pokud se jich ale během jednoho nevyžádaného hovoru sejde několik, je to dobrý důvod zpozornět.

Jak se proti vishingu bránit

Nejlepší obrana je jednoduchá: nenechte volajícího určovat tempo. Pokud vám někdo nečekaně telefonuje kvůli penězům, účtu nebo identitě, můžete hovor ukončit a vše si ověřit sami.

1. Při pochybnostech zavěste. Potom sami zavolejte bance, policii nebo jiné instituci na její oficiální číslo.
2. Nesdělujte citlivé údaje. PIN, CVC/CVV, heslo ani potvrzovací kódy po telefonu nikomu nediktujte.
3. Neposílejte peníze na „bezpečný účet“. Banka vás nebude žádat, abyste kvůli ochraně úspor provedli podobný převod.
4. Nevěřte volajícímu jen proto, že o vás něco ví. Osobní informace může získat z internetu či jiných zdrojů.
5. Nedávejte neznámému člověku vzdálený přístup k zařízení.

Co dělat, pokud jste už podvodníkovi něco sdělili

Pokud jste prozradili bankovní nebo platební údaje či odeslali peníze, co nejrychleji kontaktujte banku přes její oficiální infolinku a popište, co se stalo.

Jestli jste sdělili přístupové údaje, zabezpečte dotčené účty. Pokud jste na pokyn volajícího instalovali program pro vzdálenou správu, počítejte s tím, že mohl získat přístup také k zařízení.

Podvodný telefonát zároveň oznamte policii. Čím rychleji začnete situaci řešit, tím větší prostor dáte bance a dalším institucím k reakci.

Podvodné hovory budou s rozvojem technologií pravděpodobně stále obtížnější k rozpoznání podle samotného hlasu nebo čísla na displeji. Pokud už ale peníze odešly, jejich návrat rozhodně není samozřejmostí. U vishingových podvodů se podle dostupných statistik podaří získat zpět méně než 5 % odcizených prostředků. Právě proto hraje rychlost reakce po odhalení podvodu tak důležitou roli.

Často kladené dotazy

Může se stát, že vishingový hovor zahájí sama oběť?

Ano. Přestože většinu analyzovaných vishingových útoků zahájili samotní útočníci, ve více než pětině případů uskutečnila první hovor oběť. K tomu může dojít například tehdy, když ji podvodník jiným způsobem přiměje kontaktovat číslo, které považuje za důvěryhodné.

Je cílem vishingu vždy získat peníze?

Ne. V analýze 86 vishingových útoků bylo 51 % vedeno snahou získat peníze a 45 % především snahou získat informace. Ve zbývajících případech šlo o kombinaci obou cílů.

Co po mně banka během telefonátu nikdy nebude chtít?

Banka po vás nikdy nebude chtít heslo k internetovému bankovnictví, PIN, CVC/CVV kód ani převod peněz na údajně bezpečný účet.

Může vishingový hovor probíhat automaticky?

Ano. Na druhé straně telefonu nemusí být vždy živý člověk. Útočníci mohou využívat automatické systémy převádějící text na řeč a stále realističtější syntetické hlasy.

Koho vishing nejčastěji ohrožuje?

Vishing se netýká pouze seniorů nebo lidí, kteří se špatně orientují v technologiích. Podvodníci využívají psychologickou manipulaci, autoritu a stres, takže obětí se může stát prakticky kdokoliv.