Zvoní telefon a na displeji je číslo, které vypadá přesně jako infolinka banky. Volající se představí jako bankéř a řekne, že někdo právě napadl účet. Přesně tak podle Policie České republiky začíná vishing, tedy telefonní varianta phishingu.

Co znamená vishing

Vishing je zkratka pro voice phishing, tedy vylákání peněz nebo citlivých údajů po telefonu. Policie ho popisuje jako aktuální trend v podvodném jednání, který stojí za škodami v řádu milionů korun. Hlavním nástrojem je spoofing, technika, kterou pachatel napodobí libovolné telefonní číslo, klidně i skutečné číslo bankovní infolinky. Na displeji tak svítí důvěryhodný kontakt, i když na druhém konci sedí podvodník kdesi úplně jinde.

Zobrazené číslo samo o sobě nikdy nedokazuje, kdo volá. Technicky jde o běžně dostupnou funkci internetové telefonie, kterou zneužívají i lidé bez zvláštních počítačových znalostí. Spolehnout se dá jen na obsah hovoru, ne na to, co ukazuje displej.

Jak vypadá typický hovor

Scénář má obvykle dvě fáze. V první se ozve „bankéř“ a tvrdí, že systém zaznamenal pokus o zneužití účtu. Aby oběť „zachránila“ peníze, má je převést na jiný, údajně bezpečný účet, ve skutečnosti na účet pachatele.

Ve druhé fázi zavolá „policista“, který historku potvrdí a dodá jí na vážnosti. Tenhle dvojhovor funguje jako pojistka: pokud by oběť po prvním hovoru zaváhala, druhý ji přesvědčí, že jde o oficiální postup. Podvodník během hovoru vystraší různými tvrzeními o tom, co všechno hrozí, pokud se nejedná okamžitě. Rychlost je záměrná. Čím míň času na rozmyšlenou, tím míň prostoru na to, aby si oběť historku ověřila jinde.

Proč se netýká jen seniorů

Vishing rozhodně není podvod, který by mířil pouze na starší lidi. Podle údajů Komerční banky, které přinesl web Echo24, tvořil vishing zhruba 37 procent nahlášených podvodů v prvním čtvrtletí. V osmi z deseti případů šlo o ženy, s průměrným věkem kolem 45 let a průměrnou škodou blížící se k 750 tisícům korun.

Obětí se tak stávají i lidé, kteří se běžně orientují v internetovém bankovnictví. Pachatelé nesázejí na neznalost techniky, ale na strach, autoritu a tlak na rychlé rozhodnutí. Právě proto si má dát pozor i ten, kdo si je jistý, že by na takový hovor nenaletěl.

Kdy má smysl zpozornět předem

Kdo žije sám, nemá se v okamžiku hovoru koho zeptat na druhý názor, a to je přesně ta chvíle, na kterou pachatelé sázejí. Vyplatí se proto předem, v klidu a bez tlaku, domluvit si s někým z rodiny jednoduché pravidlo: žádný převod peněz na základě telefonátu se neuskuteční dřív, než to potvrdí ještě někdo druhý.

Podobně funguje domluva, že jakýkoli hovor, kde padne slovo „bezpečný účet“ nebo „napadení účtu“, automaticky končí zavěšením, bez ohledu na to, jak naléhavě volající mluví. Pravidlo nastavené předem se dodržuje snáz než rozhodnutí uprostřed stresujícího hovoru.

Co po telefonu nikdy nesdělovat

Banka ani policie nikdy nežádají PIN, celé číslo karty, kódy z aplikace ani přístup na dálku do počítače. Kdo tohle po telefonu chce, není ten, za koho se vydává, ať zní sebevěrohodněji.

Stejně tak žádná banka nežádá převod peněz na „bezpečný účet“. Bezpečný účet je vždy ten, který má oběť u své vlastní banky, a peníze na něm zůstávají v bezpečí, dokud je sama nepřevede jinam.

Podvodníci občas žádají i vzdálený přístup do počítače nebo mobilu, prý kvůli kontrole zabezpečení. Umožnění takového přístupu dává útočníkovi prakticky volnou ruku nad účtem i osobními údaji.

Jak hovor bezpečně ukončit

Nejjednodušší obrana je zavěsit. Pak zavolat na oficiální číslo banky, to, které je vytištěné na zadní straně platební karty nebo uvedené na oficiálním webu, ne na číslo, které nadiktoval volající.

Při přihlašování do internetového bankovnictví se vyplatí zkontrolovat adresu v prohlížeči, jestli sedí přesně na doménu banky. Falešné stránky bývají na první pohled téměř nerozeznatelné, liší se jen v detailu adresy.

Aktuální antivirový program a průběžně aktualizovaný telefon nebo počítač snižují riziko, že se pachatel dostane k zařízení jinou cestou než telefonátem. Samo o sobě to ale nenahradí obezřetnost při samotném hovoru.

Co dělat po podezřelém hovoru

Při podezření, že už k něčemu došlo, ať k prozrazení údajů nebo k převodu peněz, patří první krok bance. Skutečná banka se ozve sama, pokud šlo o planý poplach, a naopak pomůže zablokovat účet, pokud šlo o útok.

Oznámení pokusu o podvod nebo dokonaného podvodu patří i na linku 158. Nahlásit se vyplatí i hovor, který skončil zavěšením bez škody, protože pomáhá policii mapovat, odkud a jak často se podobné útoky šíří. Pokud padly jakékoli přihlašovací údaje nebo kódy, má smysl rovnou změnit heslo do internetového bankovnictví a pár následujících týdnů si pravidelně kontrolovat pohyby na účtu. U větší škody banka obvykle sama doporučí i další kroky, třeba vydání nové karty.

Informovat o zážitku rodinu se vyplatí, i když k žádné škodě nakonec nedošlo. Blízcí pak vědí, že podobné hovory v okolí kolují, a dokážou na ně sami líp zareagovat, když se ozvou příště jim.

Na co si dát pozor

Falešní bankéři často navazují na předchozí SMS zprávu, která se tváří jako upozornění od banky nebo dopravce a obsahuje odkaz na podvodnou stránku. Kdo na takový odkaz klikne a zadá přihlašovací údaje, dává útočníkovi vstupní bránu k dalšímu telefonátu už s konkrétními informacemi o oběti.

Se souvisejícím phishingem na internetu, tedy podvodnými e-maily a padělanými weby, se blíž seznamuje přehled o kyberbezpečnosti pro seniory. Telefonní a internetová varianta útoku se totiž často doplňují. Varianta přes SMS zprávy se označuje jako smishing. Princip zůstává stejný jako u vishingu, jen místo hlasu přichází text.

Rozlišit skutečnou zprávu od podvodné bývá těžké, protože se často tváří stejně jako ty pravé. Nejbezpečnější je na odkaz z neočekávané zprávy vůbec neklikat a adresu banky nebo dopravce si zadat ručně přímo do prohlížeče.

Kam dál

Vishing patří mezi nejčastější triky, kterými se podvodníci na seniory zaměřují, a navazuje na obecnější přehled nejčastějších triků podvodníků a jak na ně nenaletět. Seznam kontaktů pro případ nouze i konzultace nabízí přehled linek pomoci pro seniory. Příbuzenskou obměnu telefonního podvodu rozebírá text o triku na falešného vnuka.

Co si zapamatovat

Kdo po telefonu žádá kód, převod na „bezpečný účet“ nebo vzdálený přístup do počítače, není banka ani policie. Stačí zavěsit a zavolat zpátky na číslo, které si člověk sám dohledá, ne na to, které mu právě nadiktoval cizí hlas.