Otevřel přání v e-mailu a z účtu mu hackeři ukradli tisíce korun

Přes internetové bankovnictví vám vyberou účet snadno a rychle. Hackeři jsou stále fikanější a přes podvodné e-maily nebo přes Facebook vylákají z lidí jejich přístupová hesla. Počet krádeží přes internet stoupl za poslední rok o desítky procent. A letos bude ještě hůř, banky vyzývají k obezřetnosti.

Hackeři vysají váš bankovní účet velmi rychle. Ilustrační snímek | foto: Profimedia.cz

Nezáleží na tom, kde máte účet, s útoky hackerů mají problém snad všechny bankovní domy. Nejčastěji hackeři útočí pomocí podvodných e-mailů a škodlivých virů. Odborně se útokům říká phishing a malware. 

Za nepozornost zaplatit celou výplatou

Radek přišel kvůli nepozornosti na začátku roku o několik desítek tisíc korun. Když si kontroloval zůstatek na účtu, zjistil, že má na něm pár drobných. A to dostal nedávno peníze z jedné zakázky. Byl v šoku. Začal pátrat, jestli někdo v rodině účet nevybral, a pak se obrátil na banku.

5 kroků, jak zabránit krádeži z bankovního účtu

1. Dbejte na zabezpečení svého počítače, chytrého telefonu i tabletu. Používejte antivirové programy a pravidelně je aktualizujte.
2. Aplikace, certifikáty nebo aktualizace instalujte do chytrého telefonu z oficiálních certifikovaných zdrojů (Apple Store, Google Play, Windows Store).
3. Nikdy nereagujete na podezřelé emaily, nespouštějte žádné přílohy, ani neklikejte na odkazy.
4. Nikdy nesdělujte svá hesla a přístupové kódy.
5. Nakupujte pouze u prověřených a důvěryhodných online prodejců. 

„Pan Radek otevřel nevyžádané novoroční přání a do počítače si tak nic netušíc stáhl škodlivý vir. Zhruba za týden od kliknutí na tento nakažený odkaz se muž přihlašoval do internetového bankovnictví, ale nevěnoval tomu dostatečnou pozornost. Nevšiml si, že přihlašovací stránka vypadá trochu jinak než obvykle a nemá zabezpečovací certifikát,“ vypráví Jan Guzanič, manažer bezpečnosti elektronických kanálů ČSOB a Ery.

Navíc se Radkovi hned po přihlášení otevřel formulář s výzvou, aby vyplnil typ telefonu a telefonní číslo, to proto, aby mu mohla být poslána nová aktualizace na jeho chytrý telefon, která má zvýšit bezpečnost prováděných transakcí. „Tady došlo k dalšímu pochybení klienta. Údaje skutečně vyplnil. Banka samozřejmě takové údaje po klientovi nikdy nechce. Jeho telefonní číslo zná a nepotřebuje k tomu znát ještě typ telefonu,“ doplňuje Jan Guzanič.

Hackeři získaných informací využili a poslali pomocí SMS zprávy na Radkův telefon odkaz na onu údajnou bezpečnostní aktualizaci a on ji stáhl. Ač musel povolit stahování z necertifikovaných zdrojů. 

Další chyba byla na světě a zloději ovládli nejen jeho počítač, ale i telefon. Díky podvodné aplikaci, která ve skutečnosti slouží k zadržení příchozích SMS zpráv od banky, které jsou nutné k potvrzení odchozích plateb z účtu, tyto verifikační SMS rovnou přeposílali a účet mu „vybílili“. A to velmi rychle.

Útoků přibývá, říká Jan Guzanič a odhaduje, že letos bude jejich nárůst ve stovkách procent. „Přitom prevence je docela jednoduchá: dodržovat bezpečnostní pravidla a chovat se obezřetně,“ říká manažer bezpečnosti elektronických kanálů ČSOB a Ery. 

Strach a zvědavost nutí lidi otevírat pochybné zprávy

Příběhy poškozených jsou různé, říká Jan Guzanič a vzpomíná na nedávný případ nepozornosti mladé maminky. Stejným způsobem jako u Radka jí útočníci odčerpali všechny peníze z konta, a to ve chvíli, kdy se vrátila z porodnice.

„Hackeři se snaží v adresátech svých nevyžádaných zpráv vzbudit zájem, strach nebo zvědavost. Cílem je přimět je, aby otevřeli přílohu, kde se skrývá škodlivý vir. Stále apelujeme, aby lidé byli velmi obezřetní a neotvírali vše, co jim do e-mailové pošty přijde,“ dodává Jan Guzanič.

Je možné ukradené peníze najít?

Banky dokážou ukradené peníze dohledat, ale naděje na jejich vrácení je minimální. „Zjistíme, kam útočník peníze z napadeného účtu poslal. Peníze se snažíme ve spolupráci s dalšími institucemi, policií, zablokovat ihned po ohlášení od klienta. Útočníci jsou ale obvykle velmi rychlí a jsou schopni převedené peníze vybrat obratem v hotovosti, případně je vůbec nepřevádí z původního zneužitého účtu a použijí je k platbě za zboží,“ vysvětluje Jan Guzanič, který se ale setkal i s případem, že hackeři čekali několik měsíců, než na účet přišel větší obnos peněz, a pak ho vybrali.

V současnosti jen v ČSOB a Era evidujemí desítky takových případů měsíčně. Podobně na tom budou i další banky. Dvě třetiny útoků představuje malware, zbytek připadá na sociální sítě. Případy útoků prostřednictvím „ukradených“ účtů na Facebooku se v poslední době vyskytují čím dál častěji. Vypadají důvěryhodně, takže jim podlehne relativně velké procento lidí.

Inspektor v nesnázích

Podívejte se, jak se k internetovému „rybaření“ neboli „phishingu“ postavil inspektor Žak Kluzo v podání Tomáše Matonohy. 

Ahoj, půjč mi prosím tisícovku...

Funguje to tak, že si podvodníci založí facebookový profil například na vaše jméno, s vaší fotkou, a z takového účtu pak napíšou přátelům, které požádají o vyplnění podvrženého formuláře. Bezpečnostní problém v tomto případě není v technologii, ale v nezodpovědném chování lidí.

Dotyčného „přítele“ osloví pomocí chatu s prosbou o drobnou finanční pomoc. To vše samozřejmě bez vědomí skutečného majitele účtu na sociální síti. Součástí žádosti bývá zaslání odkazu na fiktivní platební bránu obsahující formulář, kam má člověk vyplnit údaje ze své platební karty nebo své přihlašovací údaje k internetovému bankovnictví.

Oběť útoku má v tu chvíli dojem, že komunikuje s osobou, kterou dobře zná a může jí věřit. Platí pravidlo: s nikým nesdílet přístupové heslo do elektronického bankovnictví, PIN kód, autorizační SMS. A jednoduché je zvednout telefon a ověřit si u kamaráda, zda opravdu potřebuje půjčit.

Výkupné neplaťte, počítač přeinstalujte

Kromě malwarových útoků a těch přes sociální sítě se banky setkávají ještě s dalším nekalými praktikami, jak z lidí dostat peníze. Jde o případy, kdy se útočníci snaží pomocí „falešných“ zpráv z banky nebo jiné instituce klientovi do počítače nainstalovat škodlivý virus, který zablokuje veškerá data. Útočníci žádají výkupné, na základě kterého zašlou klíč k odšifrování dat. Nemá smysl cokoliv platit, protože hackeři stejně nic nepošlou. 

„Při zavirování počítače je nezbytné nespouštět dále v tomto počítači internetové bankovnictví nebo smartbanking, nepřipojovat počítač k internetu, nepřipojovat k němu jiná zařízení. Nejbezpečnější postup, jak se viru zbavit, je počítač přeinstalovat. Pouhé odvirování pomocí některého z antivirových programů nemusí být dostačující,“ říká Jan Matoušek, zástupce výkonného ředitele České bankovní asociace.

Upozorňuje, že lidé si musí své přístroje pečlivě chránit. “Protože v případě, že se prokáže zanedbání či chyba na straně klienta, neexistuje právní nárok na to, aby mu banka částku, o kterou přišel, proplatila,“ dodává Jan Matoušek. 

Podle průzkumu SC&C pro Českou bankovní asociaci z února letošního roku vyplynulo, že 82 % bankovních klientů využívá internetové bankovnictví alespoň jednou měsíčně. A ti všichni jsou útoky hackerů ohroženi. Jen 13 % ho nevyužívá vůbec.

Banky přirovnávají internetové bankovnictví k trezoru, od něhož dávají klientům dva klíče - přihlašovací údaje a verifikační SMS zprávy k potvrzení plateb. A záleží na klientovi, jak s těmito klíči naloží.