Phishing vo firme: ako rozpoznať podvodný e-mail skôr, než bude neskoro

Phishing je podvodný e-mail, SMS alebo správa, ktorá sa tvári ako komunikácia od niekoho, komu veríte – banky, kuriéra, dodávateľa či vlastného kolegu. Cieľ je vždy rovnaký: aby ste klikli na odkaz, zadali heslo, otvorili prílohu alebo poslali peniaze na nesprávny účet.

Malé firmy sú pre útočníkov zaujímavé práve preto, že nemajú vlastné IT oddelenie, faktúry schvaľuje jeden človek a e-mail často beží na rovnakých nastaveniach ako pred desiatimi rokmi.

Najčastejšie podoby phishingu vo firmách

Podvodná faktúra a „zmena bankového účtu“

Najdrahší typ útoku. Príde e-mail, ktorý vyzerá ako od vášho dodávateľa – rovnaký podpis, rovnaký štýl, často odpoveď do skutočnej staršej konverzácie. Píše sa v ňom, že firma zmenila banku a ďalšiu platbu máte poslať na nový IBAN. Peniaze potom odídu útočníkovi a späť sa získavajú veľmi ťažko.

Falošné prihlásenie do e-mailu alebo Microsoft 365

„Vaša schránka je plná“, „Bol vám zdieľaný dokument“, „Heslo vám čoskoro vyprší“. Odkaz vedie na stránku, ktorá vyzerá presne ako prihlásenie do Microsoft 365, Google či webmailu. Kto tam zadá heslo, odovzdá útočníkovi celú schránku – a s ňou aj možnosť posielať podvodné e-maily vaším menom.

„Šéf“ potrebuje rýchlu platbu

Správa od konateľa (alebo niekoho, kto sa za neho vydáva): „Som na stretnutí, nemôžem volať. Potrebujem, aby si ešte dnes uhradil túto faktúru.“ Stavia na autorite a časovom tlaku.

Kuriér, pošta, banka

Neúspešné doručenie balíka, doplatok za clo, zablokovaná karta. Tieto správy prichádzajú hlavne cez SMS a do súkromných telefónov, ktoré zamestnanci používajú aj na prácu.

7 znakov, podľa ktorých phishing spoznáte

1. Adresa odosielateľa nesedí. Meno je správne, ale doména je iná: faktury@dodavatel-sk.com namiesto faktury@dodavatel.sk. Vždy si rozkliknite celú adresu, nielen zobrazené meno.
2. Nátlak na rýchlosť. „Do 24 hodín“, „inak bude účet zablokovaný“, „urgentné“. Tlak má zabrániť tomu, aby ste sa zastavili a overili si to.
3. Zmena platobných údajov. Akákoľvek zmena IBAN-u v e-maile je dôvod spozornieť – aj keď správa vyzerá úplne dôveryhodne.
4. Odkaz vedie inam, než tvrdí. Na počítači podržte kurzor nad odkazom (na mobile dlho podržte prst) a pozrite sa na skutočnú adresu. microsoft.com.prihlasenie-overenie.net nie je Microsoft.
5. Nečakaná príloha. Faktúra, ktorú ste nečakali, „dokument na podpis“, ZIP súbor alebo dokument, ktorý žiada „povoliť obsah“ či makrá.
6. Žiadosť o heslo alebo overovací kód. Banka, Microsoft ani vaše IT od vás heslo či SMS kód e-mailom nikdy nebudú pýtať.
7. Niečo „nesedí“. Iný tón, iné oslovenie, gramatické chyby, podpis bez telefónu. Ak máte zlý pocit, zvyčajne je oprávnený.

Ako firmu chrániť

Úplne zastaviť phishing nedokáže nikto. Dá sa však výrazne znížiť šanca, že prejde až k vám – a obmedziť škody, keď niekto predsa klikne.

1. Zapnite dvojfaktorové overenie (2FA) všade, kde sa dá

E-mail, bankovníctvo, účtovný softvér, CRM, sociálne siete firmy. Aj keď útočník získa heslo, bez druhého faktora (aplikácia v mobile alebo bezpečnostný kľúč) sa do účtu nedostane. Je to najúčinnejšie jednotlivé opatrenie, ktoré môžete urobiť.

2. Zaveďte pravidlo „zmenu účtu overujem telefonicky“

Každú zmenu bankových údajov dodávateľa overte telefonátom na číslo, ktoré už máte – nie na číslo z podozrivého e-mailu. Jednoduché pravidlo, ktoré dokáže zastaviť najdrahší typ podvodu. Pri väčších platbách zvážte schvaľovanie dvoma ľuďmi.

3. Nastavte e-mail správne: SPF, DKIM a DMARC

Tieto tri záznamy v DNS hovoria svetu, kto smie posielať e-maily za vašu doménu. Bez nich môže ktokoľvek poslať správu, ktorá vyzerá, že prišla z @vasafirma.sk – vašim klientom aj vašim zamestnancom. S prísnou politikou DMARC takéto podvrhy poštové servery odmietnu. Viac o tom píšeme v článku prečo by firma nemala používať freemail.

4. Používajte správcu hesiel

Správca hesiel (napr. Bitwarden, 1Password) vyplní heslo len na skutočnej stránke. Na podvodnej doméne, ktorá vyzerá rovnako, ho nevyplní – a to je jasný varovný signál. Zároveň umožní mať pre každú službu iné silné heslo.

5. Aktualizácie a zálohy

Aktualizovaný systém a prehliadač zatvoria väčšinu dier, ktoré škodlivé prílohy zneužívajú. Pravidelná záloha mimo hlavného počítača vás zachráni, ak sa do firmy predsa dostane ransomvér.

6. Hovorte o tom s tímom

Stačí krátke stretnutie raz za pol roka a ukážka niekoľkých reálnych príkladov. Ľudia, ktorí vedia, ako phishing vyzerá, ho oveľa častejšie zachytia. A dôležité: nikto by sa nemal báť priznať, že klikol. Čím skôr sa to viete, tým menšia škoda.

Čo robiť, keď už niekto klikol

1. Nepanikárte a nezatajujte to. Rýchla reakcia je dôležitejšia ako hľadanie vinníka.
2. Okamžite zmeňte heslo k napadnutému účtu – z iného, bezpečného zariadenia – a odhláste všetky aktívne relácie.
3. Skontrolujte pravidlá v schránke. Útočníci si často nastavia automatické preposielanie alebo pravidlo, ktoré skrýva odpovede. Ak nájdete niečo, čo ste nenastavovali, odstráňte to.
4. Ak išlo o platbu, ihneď kontaktujte svoju banku. Čím skôr, tým väčšia šanca, že sa platbu podarí zastaviť.
5. Upozornite kontakty, ak sa z vášho e-mailu mohli odosielať podvodné správy.
6. Incident nahláste. Na Slovensku sa kybernetické incidenty hlásia národnej jednotke SK-CERT, podvod s peniazmi aj polícii.

Zhrnutie

Phishing nie je problém technológie, ale pozornosti. Najlepšia obrana je kombinácia správne nastaveného e-mailu, dvojfaktorového overenia a jednoduchých pravidiel, ktoré pozná celý tím – najmä „zmenu účtu vždy overujem telefonicky“.

👉 Chcete mať firemný e-mail nastavený bezpečne – vrátane SPF, DKIM a DMARC? Pozrite si službu E-mail s vlastnou doménou alebo nám napíšte, radi skontrolujeme vaše súčasné nastavenie.