Proč je phishing stále tak účinný
Phishing je pořád jednou z nejúspěšnějších útočných metod, protože neútočí na techniku, ale na lidské chování. Útočníci pracují s časovým tlakem, strachem a rutinou: „váš účet bude zablokován“, „čeká na vás zásilka“, „doklad vyžaduje okamžitou kontrolu“. Podle různých bezpečnostních reportů tvoří phishing dlouhodobě významnou část incidentů u firem i jednotlivců a často bývá vstupní branou k ransomwaru, krádeži identity nebo převzetí e-mailového účtu.
Moderní phishing navíc už dávno neznamená jen špatnou češtinu a podezřelé logo. Útočníci využívají AI pro bezchybný jazyk, kopírují firemní šablony, vytvářejí přesvědčivé klony přihlašovacích stránek a někdy cílí na konkrétní oběť pomocí informací z veřejných zdrojů. Proto nestačí „mít dobrý pocit“ – je potřeba systémová kontrola několika detailů.
Nejdřív se dívejte na odesílatele, ne na logo
Logo v e-mailu je jen obrázek. Důvěryhodnost poznáte hlavně podle skutečné adresy odesílatele a domény. V praxi je rozdíl mezi adresou podpora@banka.cz a podpora@banka-cz.info nebo security@bánka.cz s podobně vypadajícími znaky. Útočníci často pracují s tzv. typosquattingem, tedy doménami, které se od originálu liší jedním znakem nebo pořadím slov.
- Kontrolujte celou adresu, nejen zobrazované jméno.
- Pozor na poddomény: banka.cz.uprava-login.com není banka.cz.
- Všímejte si znaků s podobným vzhledem, například „rn“ místo „m“ nebo latinských a cyrilických písmen.
- U firemních e-mailů sledujte, zda odpovídá i doména zaměstnance a oddělení.
Praktický test: pokud vám dorazí e-mail údajně od banky, ale odesílatel je z veřejné domény typu Gmail, Outlook nebo z neznámé zahraniční domény, je to velmi silný varovný signál. Stejně tak podezřelá je adresa, která sice obsahuje název firmy, ale je registrovaná v jiné koncovce, například .top, .xyz nebo .click, pokud firma běžně používá .cz nebo .com.
Odkaz si prohlédněte bez kliknutí
Nejdůležitější kontrola přichází ještě před samotným kliknutím. V desktopovém klientu obvykle stačí najet na odkaz myší a ve spodní části okna nebo v tooltipu se zobrazí skutečná cílová URL. Na mobilu je to složitější, ale většina poštovních aplikací umožňuje dlouhé podržení odkazu a zobrazení náhledu. Pokud je viditelný text odkazu jiný než skutečná adresa, je to důvod ke zvýšené obezřetnosti.
Bezpečný odkaz by měl splňovat několik základních pravidel:
- Doména musí odpovídat značce – například login.microsoftonline.com je legitimní, ale microsoft-login-secure.com už ne.
- HTTPS samo o sobě nic nedokazuje – i podvodný web může mít certifikát.
- Krátké zkracovače URL typu bit.ly, tinyurl nebo t.co ztěžují kontrolu cíle.
- Podezřelá je dlouhá URL s mnoha parametry, zejména pokud obsahuje řetězce jako verify, secure, update, login.
Velmi užitečný je jednoduchý postup: odkaz nikdy neotvírejte přímo z e-mailu, ale zkopírujte si doménu a ověřte ji ručně. U banky, dopravce nebo SaaS služby raději přejděte na web přes vlastní záložku nebo vyhledání značky, ne přes tlačítko v e-mailu.
Text e-mailu prozradí víc, než se zdá
Phishingové zprávy často stojí na psychologii. Cílem je vyvolat rychlou reakci bez ověření. Sledujte proto jazyk, strukturu a kontext. Typické bývají výzvy k okamžité akci, hrozby blokace účtu, nečekané výhry, faktury, které jste nečekali, nebo přihlášení z „neobvyklého zařízení“. Útočník chce, abyste jednali dřív, než přemýšlíte.
Podezřelý e-mail obvykle obsahuje kombinaci těchto znaků:
- Časový tlak: „do 24 hodin“, „okamžitě“, „poslední upozornění“.
- Emoce: strach, zmatek, naléhavost, někdy i lákání na odměnu.
- Neosobní oslovení: „Vážený zákazníku“ místo jména, pokud ho služba běžně používá.
- Neobvyklá čeština: i když je dnes často gramaticky správná, bývají zvláštní formulace nebo strojený styl.
- Výzva k zadání údajů: heslo, číslo karty, OTP kód, PIN nebo přihlašovací token.
Typický příklad: e-mail od „dopravce“ tvrdí, že je nutné doplatit 29 Kč za doručení balíku. Částka je záměrně nízká, aby nevzbudila podezření, a odkaz vede na falešnou platební bránu. Podobně fungují „faktury“ na malé částky, které mají oběť přimět k rychlému otevření přílohy nebo kliknutí na tlačítko.
Přílohy, formuláře a přihlášení: nejrizikovější momenty
Nejnebezpečnější bývá okamžik, kdy e-mail vede na přihlášení nebo otevření přílohy. Phishing často nekončí jen odkazem na stránku, ale webem, který po zadání přihlašovacích údajů rovnou přepošle přihlášení na skutečnou službu, aby oběť nic nepoznala. Uživatel tak zadá login i heslo a má pocit, že se „jen něco načetlo“.
U příloh platí jednoduché pravidlo: pokud čekáte PDF fakturu, ale dorazí ZIP, ISO, IMG, HTML soubor nebo dokument s makry, zbystřete. V roce 2024 i 2025 se opakovaně objevovaly kampaně, kde příloha simulovala zabezpečený dokument nebo sdílený soubor a po otevření spouštěla přesměrování na falešné přihlášení.
Bezpečný postup:
- Neotvírejte přílohy, které nečekáte, i když vypadají důvěryhodně.
- Kontrolujte příponu souboru, nejen název. Například faktura.pdf.exe může být maskovaná spustitelná aplikace.
- U formulářů a přihlášení sledujte adresní řádek, zda odpovídá oficiální doméně.
- Nikdy nezadávejte 2FA kódy na stránku, které plně nevěříte; jsou často cílem tzv. real-time phishingu.
Pokud vám e-mail posílá sdílený dokument přes platformu jako Microsoft 365, Google Drive nebo Dropbox, vždy si ověřte, zda je sdílení skutečné. Útočníci umí napodobit notifikace velmi přesně, ale po kliknutí vás často přesměrují na obecnou přihlašovací stránku, která není součástí vašeho běžného pracovního procesu.
Nástroje a postupy, které fungují i v praxi
V běžném provozu pomůže několik návyků a nástrojů, které výrazně zvyšují bezpečnost. Firemně je vhodné nasadit e-mailovou ochranu s podporou SPF, DKIM a DMARC, protože tyto mechanismy ověřují, zda e-mail skutečně pochází z domény, za kterou se vydává. Pro domény, kde je správně nastavený DMARC s politikou quarantine nebo reject, je riziko podvržených zpráv nižší. Nejde o stoprocentní ochranu, ale je to důležitá bariéra.
Pro jednotlivce i menší týmy jsou praktické tyto nástroje a kroky:
- VirusTotal – pro kontrolu podezřelých odkazů a souborů.
- Google Safe Browsing – upozorní na známé nebezpečné weby.
- MXToolbox – pro ověření domény, DNS a e-mailových záznamů.
- Have I Been Pwned – pro kontrolu, zda váš e-mail neunikl v úniku dat.
- Správce hesel – například 1Password, Bitwarden nebo LastPass; umí odhalit, že jste na jiné doméně, než kde je uložené heslo.
Právě správce hesel je velmi praktický bezpečnostní filtr. Pokud vám nabídne vyplnění hesla na webu, který neodpovídá uložené doméně, je to silný signál, že jste na falešné stránce. To je jeden z nejjednodušších a zároveň nejspolehlivějších způsobů, jak odhalit phishing bez technických znalostí.
Ve firmách má smysl doplnit i školení zaměřené na simulované phishingové kampaně. Reálná data z interních testů často ukazují, že míra prokliku bez školení bývá násobně vyšší než po pravidelném tréninku. Nejlepší ochrana není jednorázový kurz, ale opakovaný návyk: zastavit se, zkontrolovat adresu, ověřit kontext a až potom jednat.
Jak reagovat, když už e-mail přišel
Pokud máte byť jen malé podezření, neklikejte a neodpovídejte. V pracovním prostředí e-mail přepošlete na bezpečnostní nebo IT oddělení podle interního postupu, ideálně jako přílohu v původní podobě, aby bylo možné analyzovat hlavičky. Doma je vhodné zprávu označit jako phishing v poštovním klientu, smazat ji a případně ručně zkontrolovat účet služby, které se e-mail údajně týkal.
Jestli jste už klikli, jednejte okamžitě: změňte heslo, pokud jste ho zadali, zapněte nebo zkontrolujte vícefaktorové ověření, odhlaste aktivní relace a ověřte, zda na účtu nevznikly neautorizované přístupy. U banky nebo platební služby kontaktujte podporu bez odkladu. U firemních účtů je důležité rychle izolovat kompromitovaný účet, protože útočník často pokračuje dalším phishingem z již napadené schránky.
Největší rozdíl v bezpečnosti dělá jednoduchá rutina: před kliknutím zkontrolovat odesílatele, doménu, cíl odkazu, tón zprávy a typ přílohy. Když si z toho uděláte automatický návyk, většinu phishingových pokusů odhalíte během několika sekund ještě dřív, než se dostanete na nebezpečný web.
