Jak ochránit e-mail před phishingovými útoky

Co je phishing?

Phishing je forma kybernetického útoku, při kterém se útočník snaží oklamat oběť, aby prozradila citlivé informace, jako jsou hesla, čísla platebních karet nebo osobní údaje. Útočník se prostřednictvím e-mailu, SMS nebo falešné webové stránky vydává za důvěryhodnou organizaci nebo osobu.

Podle dostupných zpráv je phishing odpovědný za více než 90 % všech kybernetických útoků. V České republice jsou obzvlášť časté útoky vydávající se za banky, Finanční správu, kurýrní služby a oblíbené online služby. Cílem phishingu se může stát každá firma bez ohledu na velikost. Profesionální firemní e-mailový účet se správnou autentizací je první linií obrany.

Typy phishingových útoků

E-mailový phishing

Nejběžnější forma phishingu. Útočník rozesílá hromadné e-maily, které vypadají, jako by pocházely od legitimní organizace. E-mail obvykle obsahuje odkaz na falešnou webovou stránku, která vypadá identicky jako ta pravá, nebo infikovanou přílohu.

Spear phishing

Cílený útok na konkrétní osobu nebo organizaci. Útočník si oběť prozkoumá prostřednictvím sociálních sítí a veřejně dostupných údajů a poté vytvoří personalizovaný e-mail, který působí velmi přesvědčivě. Je mnohem nebezpečnější než hromadný phishing, protože se obtížněji odhaluje.

Whaling

Podtyp spear phishingu, který cílí na vysoce postavené zaměstnance (CEO, CFO, ředitele). E-maily se často vydávají za právní dokumenty, daňová podání nebo naléhavé žádosti o převod peněz.

Business Email Compromise (BEC)

Útočník kompromituje nebo napodobí e-mail zaměstnance (obvykle vedoucího pracovníka) a rozesílá ostatním zaměstnancům žádosti o převody peněz nebo citlivé údaje. Útoky typu BEC jsou pro útočníky mimořádně lukrativní – průměrná škoda přesahuje 100 000 USD na jeden útok.

Smishing a vishing

Smishing využívá k oklamání SMS zprávy a vishing telefonní hovory. V České republice jsou běžné SMS zprávy vydávající se za kurýrní služby, které požadují zaplacení „dodatečného poplatku za doručení“.

Jak rozpoznat phishingový e-mail

Na to, že e-mail může být phishingovým pokusem, ukazuje několik znaků. Než kliknete na jakýkoli odkaz nebo otevřete přílohu, věnujte pozornost následujícímu.

• Podezřelá adresa odesílatele: Zkontrolujte přesnou e-mailovou adresu, nejen jméno odesílatele. Útočníci používají adresy jako „support@ceska-banka.com“ namísto skutečné domény banky.
• Naléhavost a výhrůžky: „Váš účet bude do 24 hodin zablokován“ nebo „Urychleně potvrďte své údaje“ jsou klasické phishingové taktiky.
• Gramatické chyby: Profesionální organizace mají korektory. Množství gramatických chyb a zvláštní formulace jsou varovným signálem.
• Obecné oslovení: „Vážený zákazníku“ namísto vašeho jména – legitimní organizace vás obvykle oslovují jménem.
• Podezřelé odkazy: Najeďte na odkaz myší (bez kliknutí!) a uvidíte skutečnou URL. Pokud se liší od toho, co očekáváte, neklikejte.
• Neočekávané přílohy: Nikdy neotevírejte přílohy, které jste neočekávali, zejména soubory .exe, .zip nebo .doc s makry.
• Žádost o citlivé údaje: Žádná legitimní organizace vás nebude prostřednictvím e-mailu žádat o heslo, PIN nebo číslo karty.

Technická ochrana: SPF, DKIM a DMARC

SPF, DKIM a DMARC jsou tři doplňující se protokoly, které společně poskytují silnou ochranu proti spoofingu e-mailů – technice, kterou útočníci používají k odesílání e-mailů s falešnou adresou odesílatele.

SPF (Sender Policy Framework)

SPF umožňuje vlastníkovi domény definovat, které servery mají povoleno odesílat e-maily jménem této domény. Přijímající server zkontroluje SPF záznam v DNS a odmítne e-maily z neautorizovaných serverů.

SPF záznam v DNS vypadá takto: v=spf1 include:_spf.google.com include:mail.beohosting.com -all. Tento záznam říká, že e-maily z vaší domény mohou odesílat pouze poštovní servery Google a BeoHosting. Značka „-all“ na konci znamená, že všechny ostatní by měly být odmítnuty.

DKIM (DomainKeys Identified Mail)

DKIM přidává ke každému odeslanému e-mailu digitální podpis. Přijímající server pomocí veřejného klíče zveřejněného v DNS ověří, že e-mail nebyl během přenosu pozměněn a že skutečně pochází z vaší domény.

DKIM využívá asymetrickou kryptografii – soukromý klíč na vašem poštovním serveru podepisuje každý e-mail a veřejný klíč v DNS umožňuje ověření. Bez platného podpisu bude e-mail označen jako podezřelý.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC je nadstavbou nad SPF a DKIM, která přijímajícímu serveru říká, co má dělat s e-maily, jež neprošly kontrolami SPF/DKIM. DMARC také poskytuje reporty o pokusech o zneužití vaší domény.

• p=none: Pouze monitorování – neovlivňuje doručování, ale zasílá reporty. Použijte ji na začátku, abyste viděli, co se děje.
• p=quarantine: E-maily, které neprojdou kontrolou, putují do složky se spamem. Doporučená úroveň pro většinu webů.
• p=reject: E-maily, které neprojdou kontrolou, jsou zcela odmítnuty. Nejpřísnější nastavení pro maximální ochranu.

Doporučení zní začít s p=none, měsíc sledovat reporty a poté přejít na p=quarantine a nakonec p=reject. Tímto způsobem omylem nezablokujete legitimní e-maily.

Školení zaměstnanců

Technická ochrana je jen jedna strana mince. Lidský faktor zůstává nejslabším článkem bezpečnostního řetězce. Pravidelné školení zaměstnanců je klíčem k ochraně před phishingem.

Prvky školicího programu

• Simulované phishingové testy: Pravidelně zaměstnancům posílejte testovací phishingové e-maily a sledujte, kdo na ně klikne. Nástroje jako KnowBe4 nebo Gophish tento proces automatizují.
• Pravidelné workshopy: Čtvrtletní workshopy s příklady aktuálních phishingových útoků. Ukažte reálné příklady útoků cílících na vaše odvětví.
• Jasné postupy: Definujte postup hlášení podezřelých e-mailů. Zaměstnanci musí vědět, na koho se obrátit a co dělat.
• Dvoufaktorová autentizace: Povinné 2FA pro všechny firemní účty. I když útočník získá heslo, bez druhého faktoru se k účtu nedostane.
• Správce hesel: Používejte správce hesel jako Bitwarden nebo 1Password pro jedinečná a silná hesla ke každému účtu.

Co dělat, když se stanete obětí phishingu

• Okamžitě změňte hesla: U kompromitovaného účtu i u všech ostatních účtů, kde používáte stejné heslo.
• Informujte IT tým: Incident nahlaste neprodleně – pro omezení škod je čas klíčový.
• Zkontrolujte bankovní transakce: Pokud jste zadali finanční údaje, kontaktujte banku a zablokujte kartu.
• Prověřte počítač: Pokud jste otevřeli podezřelou přílohu, spusťte úplnou antivirovou kontrolu.
• Zdokumentujte incident: Uložte phishingový e-mail, snímky obrazovky a všechny relevantní detaily pro další vyšetřování.
• Útok nahlaste: Pokus o phishing nahlaste národnímu CERT týmu v České republice a poskytovateli hostingu falešné stránky.

Závěr

Phishingové útoky jsou stále sofistikovanější a obtížněji rozpoznatelné. Kombinace technické ochrany (SPF, DKIM, DMARC), vzdělávání zaměstnanců a jasných postupů je jediným účinným přístupem. Nastavte pro svou doménu SPF, DKIM a DMARC prostřednictvím konfigurace DNS, naučte zaměstnance rozpoznávat podezřelé e-maily a vybudujte bezpečnostní kulturu, v níž je za ochranu firmy před kybernetickými hrozbami zodpovědný každý.