Zprávu od banky s upozorněním na „podezřelou aktivitu“ a odkazem na přihlášení dostane běžný uživatel internetového bankovnictví v Česku několikrát do měsíce. Ve chvíli, kdy je člověk zaneprázdněný, ve spěchu nebo prostě jen nepozorný, se stává, že klikne, zadá přihlašovací údaje a následně i SMS kód, který mu dorazí od skutečné banky. O pár minut později zjistí, že z účtu zmizela částka v řádu desítek tisíc korun, odeslaná na neznámý účet v zahraničí. Tento scénář se v poslední době opakuje s téměř identickým průběhem, jen se liší název banky nebo instituce, za kterou se útočníci vydávají.
Phishing, tedy podvodné vylákání citlivých údajů pomocí falešných zpráv, e-mailů nebo webových stránek, patří dlouhodobě mezi nejčastější formy finanční kyberkriminality v Česku. Podle Policie ČR a bankovních asociací jde o statisíce pokusů ročně, přičemž úspěšnost útoků roste s tím, jak se zdokonalují napodobeniny bankovních webů a komunikace útočníků. Klíčovým prvkem bývá pocit naléhavosti – zpráva tvrdí, že účet bude zablokován, že je potřeba okamžitě ověřit platbu nebo že hrozí nějaká sankce. Právě tlak na rychlé jednání vede k tomu, že i zkušení uživatelé internetu udělají chybu.
První kroky po zjištění podvodu
Okamžik, kdy člověk zjistí, že se peníze z účtu ztratily, rozhoduje o tom, zda existuje reálná šance na jejich alespoň částečné vrácení. Odborníci na kybernetickou bezpečnost i zástupci bank se shodují, že první hodiny jsou zcela rozhodující. Doporučuje se okamžitě zablokovat platební kartu a internetové bankovnictví, a to buď přes aplikaci, nebo telefonicky na lince banky, která bývá dostupná nonstop. Čím dříve je účet zablokován, tím menší je šance, že útočník provede další transakce.
Zablokování účtu samo o sobě odeslané peníze nevrátí. Dalším krokem by mělo být kontaktování banky s žádostí o takzvané zpětné vymáhání transakce, v bankovním prostředí známé jako chargeback nebo recall platby. Tento proces funguje spíše u karetních transakcí než u klasických bankovních převodů, kde jde peníze zastavit jen tehdy, pokud ještě nedorazily na cílový účet. V praxi to znamená, že pokud útočník peníze stihne vybrat nebo převést dál během několika minut, šance na zastavení transakce klesá k nule.
Souběžně s bankou je vhodné podat trestní oznámení na Policii ČR, ideálně na oddělení, které se specializuje na kybernetickou kriminalitu. I když se šance na dopadení pachatele v mezinárodním prostředí často jeví jako nízká, oznámení je nezbytné nejen pro případné vyšetřování, ale i pro pojišťovny nebo banku, které mohou požadovat doklad o nahlášení případu orgánům činným v trestním řízení.
Kdo nese odpovědnost a kdy banka pomůže
Otázka, zda banka v takové situaci peníze vrátí, nemá jednoznačnou odpověď a zde se přístupy jednotlivých institucí liší. Zákon o platebním styku stanoví, že banka odpovídá za neautorizované transakce, tedy takové, které klient sám neschválil. Problém nastává právě u phishingu – pokud klient sám zadal kód z SMS nebo autorizoval platbu ve své bankovní aplikaci, byť v omylu, jde formálně o autorizovanou transakci. V takovém případě banka často argumentuje tím, že klient porušil své povinnosti chránit přístupové údaje, a odmítá škodu nahradit.
Přesto existují případy, kdy banky peníze vrátily, zejména pokud se prokázalo, že útočná stránka byla natolik sofistikovaná, že šlo o těžko rozpoznatelný podvod, nebo pokud banka sama pochybila v komunikaci s klientem. Rozhodování bývá individuální a hodně závisí na tom, jak rychle klient jednal a zda dokázal doložit, že šlo o podvod, nikoli o vlastní nedbalost v širším slova smyslu. Finanční arbitr, na kterého se klienti mohou obrátit v případě spolu s bankou, řeší desítky podobných případů ročně a jeho rozhodnutí nejsou vždy ve prospěch klienta.
Přesná statistika úspěšnosti vrácení peněz po phishingových útocích se v Česku veřejně nesleduje jednotně, a čísla, která uvádějí jednotlivé banky nebo neziskové organizace zaměřené na kyberbezpečnost, se liší podle metodiky i sledovaného období. Některé zdroje uvádějí úspěšnost vrácení peněz kolem dvacet až třicet procent případů, jiné mluví o podstatně nižších číslech, zejména pokud peníze odešly do zahraničí a byly rychle vybrány v hotovosti.
Prevence a dlouhodobá ochrana
Kromě řešení už vzniklé škody je vhodné myslet na to, jak podobné situaci předejít do budoucna. Banky doporučují nikdy neklikat na odkazy v e-mailech nebo SMS zprávách, které vyzývají k přihlášení do internetového bankovnictví, a místo toho vždy zadávat adresu banky přímo do prohlížeče nebo používat mobilní aplikaci. Dvoufaktorové ověření, byť je terčem stále sofistikovanějších útoků, zůstává základní obranou linií a jeho vypnutí není v žádném případě vhodné doporučovat.
Pravidelná kontrola bankovních výpisů a nastavení limitů pro platby a výběry patří mezi jednoduchá opatření, která mohou omezit škodu, pokud už k neoprávněnému přístupu dojde. Nižší denní limit pro internetové platby znamená, že i v případě úspěšného phishingu útočník nezíská celou dostupnou částku najednou.
Zajímavým, i když stále diskutovaným tématem zůstává pojištění proti kybernetickým podvodům, které nabízí některé pojišťovny jako doplněk k běžnému pojištění domácnosti nebo majetku. Rozsah krytí a podmínky se však mezi produkty výrazně liší, a ne každá pojistka phishing skutečně pokrývá – to stojí za prověření ještě předtím, než k podobné situaci dojde.
Rychlost reakce, dokumentace celého incidentu a ochota spolupracovat s bankou i policií rozhodují o tom, jak celá situace nakonec dopadne, přičemž stoprocentní jistotu návratu peněz nemá nikdo.