Vishing: ako rozpoznať podvodný telefonát a ochrániť svoje peniaze
Vishing je telefonický podvod, pri ktorom sa útočník vydáva za dôveryhodnú osobu, aby od vás získal citlivé údaje, peniaze alebo prístup do zariadenia. Môže sa predstaviť ako pracovník banky, policajt či technická podpora. Niekedy sa vydáva aj za príbuzného. Najúčinnejšia obrana je prerušiť nátlakový hovor a overiť si jeho obsah cez kontakt, ktorý si vyhľadáte sami.
Čo znamená vishing?
Slovo vishing, ktoré sa číta „višing“, vzniklo spojením anglických slov voice (hlas) a phishing. Phishing je podvodné získavanie citlivých údajov vydávaním sa za dôveryhodný zdroj. Pri vishingu hrá hlavnú úlohu hlasová komunikácia, pri smishingu SMS správy. Tieto postupy sa môžu kombinovať: podvodník vám napríklad počas hovoru pošle odkaz na falošnú stránku banky.
Útočník pritom nemusí prelomiť zabezpečenie účtu. Môže vás presvedčiť, aby ste mu sami prezradili heslo, potvrdili platbu alebo poslali peniaze. Ide o sociálne inžinierstvo – manipuláciu človeka s cieľom prinútiť ho konať v prospech podvodníka.
Ako môže prebiehať podvod s falošným bankárom a policajtom
Nasledujúca situácia je modelovým príkladom, nie opisom konkrétneho prípadu. Zazvoní vám telefón a volajúci sa predstaví ako pracovník bezpečnostného oddelenia banky. Tvrdí, že niekto napadol váš účet alebo si vo vašom mene vybavuje úver. Hovorí pokojne a profesionálne, no nalieha, že musíte okamžite spolupracovať.
„Vaše peniaze sú v ohrození. Aby sme ich ochránili, musíte ich ihneď previesť na bezpečný účet. Počas prevodu zostaňte na linke.“
Takýto „bezpečný účet“ je zámienka na odoslanie peňazí podvodníkom. Pred podobnými telefonátmi varuje aj Národná banka Slovenska. V inom variante vás volajúci presviedča, aby ste vybrali hotovosť a odovzdali ju údajne poverenej osobe, prípadne vložili peniaze do kryptomenového automatu.
Následne sa môže ozvať ďalší človek, tentoraz ako údajný policajt. Potvrdí predchádzajúci príbeh a tvrdí, že ide o tajné vyšetrovanie. Žiada, aby ste o ňom nehovorili rodine ani pracovníkom na pobočke. Dva navzájom sa potvrdzujúce telefonáty však nie sú nezávislým overením – môžu byť súčasťou toho istého podvodu.
Podvodník môže poznať vaše meno či niektoré ďalšie osobné údaje. To jeho totožnosť nepotvrdzuje. Aj NBS upozorňuje, že útočníci niekedy disponujú informáciami o oslovenom človeku už pri prvom kontakte.
Slovenské číslo ani dobrá slovenčina nepotvrdzujú totožnosť
Podvodný hovor nemusí prísť zo zahraničného čísla. Útočníci dokážu podvrhnúť identifikáciu volajúceho tak, že sa na displeji môže zobraziť slovenské číslo alebo číslo skutočnej inštitúcie. Táto technika sa nazýva spoofing. Na riziko podvrhnutých čísel upozorňuje Národné centrum kybernetickej bezpečnosti SK-CERT.
Vyhľadanie čísla na internete môže odhaliť skúsenosti iných ľudí, ale nepotvrdí pravosť práve prebiehajúceho hovoru. Ani zhoda s číslom banky nie je dôkazom, že vám volá banka. Nespoliehajte sa ani na prízvuk: podvodník môže hovoriť plynulo po slovensky a pôsobiť presvedčivo.
Môžu vám banka alebo polícia skutočne zavolať?
Áno. Samotný telefonický kontakt preto automaticky neznamená podvod. Tatra banka výslovne uvádza, že klientov môže kontaktovať telefonicky. Podľa Ministerstva spravodlivosti SR môže byť aj predvolanie na výpoveď oznámené telefonicky. Rozhoduje, čo od vás volajúci žiada a či si jeho totožnosť dokážete nezávisle overiť.
Banka môže pri komunikácii používať vlastný postup overenia totožnosti. To však nie je dôvod nadiktovať volajúcemu heslo do internetového bankovníctva, PIN ku karte, bezpečnostný kód karty CVV/CVC ani jednorazový kód na prihlásenie či potvrdenie platby. Polícia tieto údaje nepotrebuje na preverenie údajného zneužitia vašej identity.
Požiadavka presunúť peniaze na „bezpečný účet“ alebo odovzdať hotovosť na jej „ochranu“ je znakom podvodu. Ak sa volajúci predstaví ako policajt, môžete si vypýtať jeho meno a útvar. Samotné nadiktované údaje však nestačia: hovor ukončite a overte si kontakt cez oficiálne zverejnené číslo príslušného útvaru.
Pri týchto požiadavkách hovor ukončite
- Volajúci žiada prihlasovacie heslá, údaje z platobnej karty alebo kódy na prihlásenie, platbu či aktiváciu nového zariadenia.
- Presviedča vás, aby ste poslali peniaze, vybrali hotovosť alebo si zobrali úver na „záchranu“ úspor.
- Požaduje inštaláciu aplikácie na vzdialený prístup alebo zdieľanie obrazovky. Taká aplikácia mu môže umožniť sledovať vaše kroky alebo ovládať zariadenie.
- Nalieha, aby ste nezložili telefón, konali okamžite a s nikým sa neporadili.
- Tvrdí, že pracovníci vašej banky sú zapojení do podvodu, a preto ich nesmiete kontaktovať.
Na scenár so zdanlivo nedôveryhodnými zamestnancami banky aj na navádzanie na úver či prevod peňazí upozorňuje UniCredit Bank. Útočník sa tak snaží zabrániť práve tomu overeniu, ktoré by jeho príbeh odhalilo.
Ako si podozrivý telefonát bezpečne overiť
- Ukončite hovor. Nemusíte sa obhajovať ani pokračovať v rozhovore. Môžete povedať: „Situáciu si overím priamo v banke.“
- Kontakt vyhľadajte sami. Použite bankovú aplikáciu, číslo na zadnej strane platobnej karty alebo oficiálnu stránku inštitúcie. Nepoužite číslo, ktoré vám nadiktoval volajúci, ani odkaz z jeho správy.
- Začnite nový hovor na overené číslo. Nestačí zvoliť spätné volanie zo zoznamu prijatých hovorov. Ak vaša banka ponúka overenie volajúceho v aplikácii, postupujte podľa jej oficiálnych pokynov.
- Poraďte sa s blízkym človekom. Najmä ak vás volajúci vystrašil alebo žiada utajenie. Pokojný pohľad niekoho ďalšieho môže pomôcť odhaliť nezrovnalosti.
Ukončenie hovoru a následné overenie cez nezávisle vyhľadaný oficiálny kontakt odporúča aj SK-CERT. Ak ide o skutočný problém s účtom, riešte ho cez overený kontakt banky.
Dvojfaktorové overenie pomáha, ale nepotvrdzujte cudzie požiadavky
Dvojfaktorové overenie pridáva k heslu ďalší spôsob potvrdenia totožnosti, napríklad kód alebo potvrdenie v aplikácii. Účet tak lepšie chráni, no podvodník sa môže pokúsiť vylákať aj tento kód. Na takéto zneužívanie upozorňuje americká Federálna obchodná komisia (FTC).
Nepotvrdzujte prihlásenie, pridanie zariadenia ani platbu, ktorú ste sami nezačali. Pred potvrdením si prečítajte, čo schvaľujete, vrátane sumy a príjemcu. Tvrdenie volajúceho, že tlačidlom „Potvrdiť“ zrušíte podvodnú platbu, môže byť ďalšou súčasťou podvodu. Ak sa takáto nevyžiadaná požiadavka objaví, odmietnite ju a kontaktujte banku.
Upozornenia na pohyby na účte cez aplikáciu alebo SMS vám môžu pomôcť rýchlo si všimnúť problém. Rozumné platobné limity zase môžu obmedziť výšku škody. Samy osebe však podvod nezastavia.
A čo keď spoznáte hlas príbuzného?
Ani známy hlas už nemusí byť dostatočným dôkazom. FTC upozorňuje, že podvodníci môžu pomocou umelej inteligencie napodobniť hlas blízkeho človeka. Neznamená to, že každý nezvyčajný telefonát využíva AI. Ak však niekto žiada peniaze pre údajnú nehodu či inú naliehavú udalosť, situáciu si overte zavolaním príbuznému na číslo, ktoré už poznáte. Keď ho nezastihnete, kontaktujte ďalšieho člena rodiny.
Čo robiť, ak ste už údaje poskytli alebo poslali peniaze
Nečakajte, či sa niečo stane. Ak ste prezradili údaje alebo povolili prístup do zariadenia, konajte aj vtedy, keď na účte zatiaľ nevidíte podozrivú platbu.
- Okamžite kontaktujte banku cez overený kontakt. Povedzte, ktoré údaje ste poskytli a čo ste potvrdili. Podľa situácie požiadajte o zablokovanie karty, prístupu do bankovníctva alebo preverenie transakcií. Ak ste poslali peniaze, požiadajte o preverenie možnosti zastavenia či vrátenia prevodu. Úspech nie je zaručený.
- Ak ste umožnili vzdialený prístup, odpojte zariadenie od internetu. Banku kontaktujte z iného dôveryhodného zariadenia. Napadnutý počítač či mobil ďalej nepoužívajte na bankovníctvo, kým nebude skontrolovaný. Pri odstránení aplikácie a kontrole zabezpečenia si nechajte pomôcť dôveryhodným odborníkom.
- Z bezpečného zariadenia zmeňte prezradené heslá. Ak rovnaké heslo používate aj inde, zmeňte ho aj v týchto službách. Pri bankovníctve postupujte podľa pokynov banky.
- Uchovajte dostupné dôkazy. Zapíšte si čas a priebeh hovoru, zobrazené číslo, mená, ktorými sa volajúci predstavil, a údaje o platbách. Ponechajte si SMS a e-maily. Zobrazené telefónne číslo môže byť podvrhnuté.
- Podvod oznámte polícii. Ak podvod práve prebieha, niekto od vás žiada odovzdanie hotovosti alebo potrebujete bezodkladný zásah, volajte 158. Inak môžete oznámenie podať na policajnom útvare. Technický incident môžete nahlásiť aj SK-CERT; nenahrádza to kontaktovanie banky ani polície.
Rýchle kontaktovanie banky pri prezradení údajov odporúča aj Slovenská sporiteľňa. Ďalšie kroky pri úniku hesiel a sprístupnení zariadenia opisuje FTC. Podozrivý telefonát môžete polícii oznámiť na linke 158.
Keď vás niekto cez telefón núti „zachraňovať“ peniaze, najprv ukončite hovor. Až potom si situáciu overte cez oficiálny kontakt. Na to, aby ste zložili telefón, nemusíte najskôr dokázať, že ide o podvod.
