Phishing není o rybaření. Davidovi hackli WhatsApp a jeho přátelé málem poslali peníze podvodníkovi

David není celebrita, politik ani známý podnikatel. Je to obyčejný člověk, který by klidně mohl být vaším kolegou, sousedem nebo kamarádem. Podrobnosti, podle kterých by ho bylo možné poznat, záměrně vynecháváme. Důležitý není on sám, ale to, co se mu stalo.

Někdo získal přístup k jeho WhatsAppu a začal jeho jménem psát lidem, které měl uložené v kontaktech.

„Potřebuju rychle poslat peníze“

Zpráva nevypadala nijak mimořádně. Žádný nigerijský princ, žádná výhra v loterii, žádná podivná čeština.

Byla krátká a naléhavá. David prý potřeboval rychle poslat peníze a brzy je vrátí.

Někteří známí se zeptali, kam mají částku převést. Odpověď přišla okamžitě: číslo účtu.

Jenže účet nebyl Davidův.

Patřil někomu úplně jinému a právě tam měly peníze zmizet.

Útočník přitom nemusel přesvědčovat úplně cizí lidi. Psalo jim Davidovo jméno, z jeho účtu a uprostřed existujících konverzací. To je přesně chvíle, kdy člověk snadno vypne opatrnost. Neodpovídá neznámému podvodníkovi. Alespoň si to myslí.

Jeden obyčejný zvyk podvod pokazil

Několik lidí naštěstí nezareagovalo přesně podle instrukcí ve zprávě. Davidovi už dříve peníze posílali, a tak použili číslo účtu, které měli uložené z minulosti.

Peníze proto dorazily skutečnému Davidovi, ne podvodníkovi. Když se později zjistilo, že jeho WhatsApp někdo ovládl, mohl je poslat zpět.

Nebylo k tomu potřeba žádné technické vzdělání, bezpečnostní aplikace ani znalost hackerských metod. Stačilo nepovažovat nový údaj v naléhavé zprávě automaticky za pravdivý.

Uložený příjemce v bankovnictví není absolutní záruka bezpečnosti. Účet se mohl změnit nebo mohl být uložen špatně. V tomto konkrétním případě ale fungoval jako užitečná druhá kontrola: zpráva tvrdila jednu věc, dřívější ověřený údaj jinou. To už byl důvod zastavit se.

Phishing dávno není jen podezřelý e-mail

Phishing je pokus přimět člověka, aby sám vydal citlivé údaje, otevřel nebezpečný odkaz nebo poslal peníze. Když se podvod odehrává po telefonu, používá se také označení vishing. Přes SMS se můžete setkat s termínem smishing.

Princip je ale pořád podobný. Útočník se vydává za někoho důvěryhodného a vytvoří situaci, ve které máte jednat rychleji, než stihnete přemýšlet.

NÚKIB upozorňuje, že podvodníci se při telefonátech vydávají za banky, policii i další instituce. Často používají podvržené telefonní číslo, takže hovor může na displeji vypadat věrohodně. Někdy se do scénáře zapojí více lidí: nejdříve „bankéř“, potom například „policista“, který jeho příběh potvrdí.

Technologie může být propracovaná. Nejdůležitější nástroj podvodníka je ale pořád lidský strach, ochota pomoci a pocit, že není čas nic ověřovat.

Pět pravidel, která mohou zachránit peníze

1. Neřešte neobvyklou žádost pouze ve stejném chatu

Pokud vám známý napíše, že nutně potřebuje peníze, zavolejte mu na číslo, které už máte uložené. Když hovor nevezme, zkuste jinou cestu: běžný telefonát, videohovor, jinou aplikaci nebo někoho z rodiny.

WhatsApp sám doporučuje při podezřelé žádosti zastavit se, přemýšlet a ověřit totožnost přímým hovorem nebo hlasovou zprávou. Teprve když si jste jistí, má smysl pokračovat.

2. Nové číslo účtu berte jako varovný signál

Změna účtu může být legitimní, ale musí se ověřit. Neposílejte peníze jen proto, že číslo přišlo z účtu člověka, kterého znáte.

U větší částky je rozumné potvrdit účet telefonicky. Číslo nepřebírejte z podezřelé zprávy, ale použijte kontakt, který už máte, nebo oficiální kontakt instituce.

3. Časový tlak je důvod zpomalit

„Hned.“ „Do pěti minut.“ „Nikomu nevolej.“ „Je to součást tajného vyšetřování.“ Takové věty nemají dokazovat, že je situace důležitá. Mají zabránit tomu, abyste ji ověřili.

NÚKIB doporučuje nikam neposílat peníze ve spěchu a při požadavku na převod během hovoru raději zavěsit. Důvěryhodná instituce vás nebude nutit k okamžitému převodu na základě telefonátu.

4. „Bezpečný účet“ je nebezpečný příběh

Volající se může představit jako zaměstnanec banky a tvrdit, že jsou vaše úspory napadené. Potom vás přepojí na údajného policistu, který potvrdí, že musíte peníze převést na rezervní nebo bezpečný účet.

Žádný takový postup nepřijímejte.

Banka ani policie po vás nebudou chtít, abyste kvůli ochraně peněz převedli své úspory na cizí účet. Banka po telefonu nebude požadovat heslo, PIN, kód z SMS ani potvrzení platby, kterou jste sami nezadali.

Hovor ukončete a zavolejte do banky sami přes číslo v její aplikaci, na platební kartě nebo na oficiálním webu. Nevolejte zpět na číslo, které vám nadiktoval volající.

5. Domluvte si rodinné ověření dřív, než ho budete potřebovat

Rodiny mohou mít jednoduché pravidlo: každou žádost o neobvyklou platbu ověříme telefonem nebo videohovorem. U seniorů a dětí pomůže také domluvené kontrolní slovo, které není veřejně známé.

Není to dokonalá ochrana, ale podvodníkovi to výrazně komplikuje práci. Především to dává člověku jednoduchý postup ve chvíli, kdy je ve stresu.

Pět vět, po kterých byste měli zbystřit

Jedna z těchto vět ještě nemusí automaticky znamenat podvod. Jejich kombinace je ale velmi silný varovný signál.

Zvlášť nebezpečné jsou ověřovací kódy. Útočník se může snažit připojit váš WhatsApp ke svému zařízení nebo znovu zaregistrovat účet. WhatsApp i Meta opakovaně upozorňují, že šestimístný kód nebo PIN nemáte sdílet s nikým, ani s přáteli a rodinou.

• „Peníze musíš poslat okamžitě.“
• „Nikomu o tom neříkej.“
• „Nemůžu teď volat, jen piš.“
• „Pošli mi kód, který ti právě přišel.“
• „Převeď úspory na bezpečný účet.“

Co když blízký opravdu uvízl v zahraničí?

Někdy nejde o podvod. Člověk může přijít o peněženku, skončit v nemocnici nebo potřebovat rychle zaplatit cestu domů.

Ani tehdy ale není nutné poslat peníze během dvou minut.

Nejdříve ověřte, s kým komunikujete. Zavolejte, požádejte o videohovor nebo položte otázku, na kterou zná odpověď jen váš blízký. Kontaktujte dalšího člena rodiny, hotel, cestovní kancelář, pojišťovnu nebo konzulární linku.

Když už peníze posíláte do zahraničí, používejte běžnou bankovní platbu nebo známou regulovanou platební službu. Jméno příjemce, účet či IBAN si potvrďte jiným kanálem. Vyhněte se kryptoměnám, dárkovým kartám, anonymním převodům a nákupu voucherů na pokyn neověřené osoby. Tyto metody podvodníci vyhledávají právě proto, že se peníze obtížně vracejí.

Co dělat během prvních deseti minut po zjištění podvodu

Pokud jste peníze ještě neposlali

Ukončete komunikaci. Nic nepotvrzujte, neklikejte na odkazy a nesdělujte žádné kódy. Ověřte skutečného člověka jinou cestou a varujte ostatní společné kontakty.

Pokud jste peníze už poslali

Okamžitě zavolejte své bance. Nečekejte do druhého dne ani na to, zda vám podvodník odpoví. Banka může zkusit platbu zastavit, kontaktovat banku příjemce nebo vám poradit další postup. Úspěch není zaručený, ale každá minuta může hrát roli.

Potom podejte oznámení Policii České republiky a uschovejte si důkazy: screenshoty konverzace, číslo účtu, telefonní čísla, časy hovorů, potvrzení o platbě a odkazy.

Pokud někdo ovládl váš WhatsApp

Pokuste se znovu přihlásit ke svému účtu oficiální aplikací a zkontrolujte propojená zařízení. Neznámá zařízení odpojte. Zapněte dvoufázové ověření a nastavte PIN, který nepoužíváte jinde.

Upozorněte své kontakty jiným kanálem. Napište jasně, že nemají reagovat na žádosti o peníze ani sdílet ověřovací kódy.

Zkontrolujte také e-mailový účet a telefonní číslo spojené s vašimi službami. Pokud máte podezření na výměnu SIM karty nebo ztrátu signálu bez vysvětlení, kontaktujte mobilního operátora.

Proč se za to oběti stydí

Po podobném podvodu lidé často říkají: „Jak jsem mohl naletět?“ To je špatně položená otázka.

Útočníci nezkoušejí jeden dokonale napsaný příběh na jednoho člověka. Rozesílají velké množství zpráv, zneužívají skutečné účty a přizpůsobují scénář podle reakcí. Nepotřebují přesvědčit všechny. Stačí jim několik lidí ve správnou chvíli: unavených, vystresovaných nebo ochotných rychle pomoci kamarádovi.

Davidův příběh proto není důkazem, že někdo byl hloupý. Je ukázkou toho, jak snadno se důvěryhodný komunikační kanál může změnit v nástroj podvodníka.

Phishing není o rybaření. Přesto funguje podobně

Útočník nahodí návnadu a čeká, kdo zareaguje.

Nemusí chytit všechny. Stačí jeden člověk, který uvěří známému jménu, naléhavému tónu a novému číslu účtu.

Nejlepší obrana proto často nevypadá nijak hrdinsky. Je to krátká pauza, telefonát a otázka:

„„Jsi to opravdu ty?““

Davidovi známí udělali právě to nejmenší, co bylo potřeba. Neposlali peníze bez rozmyslu na nový účet. A tentokrát to stačilo.

Krátký checklist pro rodinu

• Žádost o peníze vždy ověřit jiným kanálem.
• Nikomu neposílat ověřovací kódy ani PIN.
• Nevěřit příběhu o převodu na „bezpečný účet“.
• Při tlaku na rychlost komunikaci ukončit.
• Po odeslání peněz okamžitě volat bance.
• Zapnout dvoufázové ověření ve WhatsAppu.
• Podezřelý účet zablokovat a nahlásit.
• Varovat ostatní kontakty napadeného člověka.