Inzerát na Bazoši visí sotva hodinu a už přichází první zpráva. Zájemce píše, že věc koupí bez okolků, pošle prý kurýra a peníze rovnou na účet. Zní to jako sen každého prodávajícího – rychle, bez smlouvání, bez zbytečných dotazů. Právě tahle rychlost je ale první varovný signál, který si řada lidí uvědomí až pozdě.
Jak podvod se SMS zprávou funguje
Mechanismus je v drtivé většině případů totožný. Podvodník osloví prodávajícího přes chat na Bazoši a tvrdí, že peníze za zboží už odeslal. Prodávající krátce nato dostane SMS, která vypadá jako oznámení od dopravce nebo platební brány – s odkazem na dohledání zásilky nebo na „potvrzení příjmu platby“. Odkaz vede na podvržený web, graficky téměř identický s Českou poštou, PPL nebo Zásilkovnou. Stránka požaduje přihlašovací údaje do internetového bankovnictví, případně číslo platební karty a bezpečnostní kód. V okamžiku, kdy oběť údaje zadá, útočníci mají přístup k účtu a peníze mizí během několika minut.
Bezpečnostní analytici bank opakovaně upozorňují, že tyto podvodné stránky se dnes generují automaticky a mění doménu prakticky každý den, takže klasické blacklisty adres nestíhají. Text zprávy přitom bývá formulován tak, aby vyvolal pocit spěchu – „zásilka čeká na vyzvednutí, jinak bude vrácena odesílateli“ nebo „platba se nezdařila, dokončete ji do 30 minut“. Tlak na rychlé rozhodnutí je záměrný, protože obětem nezbývá čas na ověření.
Falešní kurýři a jak se poznají
Druhá varianta podvodu jde ještě dál a pracuje s fyzickým kontaktem. Osoba vydávající se za kurýra přijede skutečně osobně, převezme zboží a na místě předstírá platbu kartou přes přenosný terminál nebo pošle potvrzující SMS, která má vypadat jako bankovní notifikace. Ve skutečnosti terminál nikdy transakci nedokončí nebo je zablokovaný, a zpráva je jen text odeslaný z běžného telefonu. Prodávající v tu chvíli věří, že peníze dorazily, a zboží už předal.
V praxi se často stává, že celá interakce probíhá v naprostém spěchu – kurýr má prý další zastávky, čeká na parkovišti s výstrahami, tlačí na rychlé odbavení. Právě tento scénář se v posledních dvou letech objevuje na inzertních portálech opakovaně, přičemž terčem bývají hlavně dražší položky: telefony, herní konzole, značkové oblečení nebo elektrokola.
Odborníci na kybernetickou bezpečnost doporučují jednoduché pravidlo: platba se ověřuje výhradně v aplikaci vlastní banky, nikdy podle odkazu ze zprávy od cizí osoby. Bankovní aplikace zobrazí skutečný stav účtu v reálném čase, zatímco podvodná SMS může tvrdit cokoliv. Stejně tak se doporučuje nikdy nezadávat platební údaje na stránce, na kterou vede odkaz z chatu s neznámým kupujícím – legitimní doručovatelské služby zásadně nežádají přihlašovací údaje k bankovnictví prostřednictvím SMS.
Ne všechny případy jsou ale stejně jednoznačné. Někteří prodávající popisují situace, kdy kurýr skutečně existoval, doklady vypadaly v pořádku a podvod se odhalil až za několik hodin, když transakce v bankovním výpisu nikdy nenaskočila. Přesná čísla o rozsahu těchto podvodů se navíc mezi jednotlivými bankami a policejními statistikami liší – část případů se totiž nikdy nenahlásí, protože poškození se stydí nebo částku považují za příliš nízkou na řešení s policií.
Bazoš na svých stránkách dlouhodobě upozorňuje, že platba by měla proběhnout až po fyzickém předání zboží a ověření peněz na účtu, ne na základě slibu nebo screenshotu platebního příkazu. Screenshoty totiž lze snadno upravit v běžném grafickém editoru za pár minut, a přesto působí důvěryhodně, protože kopírují vzhled skutečné bankovní aplikace. Podobně varují i mobilní operátoři, kteří umožňují nahlásit podezřelé SMS zprávy přeposláním na krátké číslo 7726 – tato služba dokáže odfiltrovat část phishingových kampaní ještě dřív, než se dostanou k dalším potenciálním obětem.
Prevence spočívá hlavně v ověřování totožnosti kupujícího ještě před domluvou na osobním předání. Telefonní číslo lze zkusit dohledat, případně požádat o video hovor, což řada podvodných účtů odmítne nebo ukončí konverzaci. Setkání na místě s kamerovým systémem, jako je pobočka banky nebo obchodní centrum, snižuje riziko fyzického kontaktu s falešným kurýrem, protože podvodníci se veřejným prostorům s kamerami vyhýbají.
Policie České republiky eviduje růst trestných činů spojených s internetovými inzerátovými podvody každý rok, přičemž metody se přizpůsobují aktuálním trendům – v posledním období se objevily i falešné weby napodobující přímo rozhraní Bazoše s žádostí o přihlášení přes Facebook nebo Google účet. Jakmile útočník získá přístup k těmto účtům, může inzerenta kontaktovat jménem skutečného prodávajícího a podvod rozšířit na další oběti v jeho okolí.
Zásadní zůstává jedno: peníze musí být viditelné na účtu prodávajícího dřív, než zboží opustí jeho ruce, a žádný odkaz zaslaný cizí osobou by neměl nahradit přímé přihlášení do vlastního bankovnictví.