náhľad|Oznam na háčiku: potrebujeme overiť číslo vašej kreditnej karty. Ryba hovorí: nezožer každú návnadu. Chráň svoje dôverné (finančné) informácie. Phishing je „pokus o podvodné získanie citlivých informácií, ako sú heslá a podrobnosti o kreditných kartách, maskovaním sa za dôveryhodnú osobu alebo dôveryhodný obchod (alebo banku) pri elektronickej komunikácii“.
Národný bezpečnostný úrad (NBÚ) pripravil Správu o kybernetickej bezpečnosti v Slovenskej republike, z ktorej z konkrétnych bezpečnostných hrozieb Slovákov počas celého roka 2022 obťažovali hlavne phishingové kampane šírené nielen cez e-mail, ale aj telefónom a cez SMS správy. Ondrej Kubovič z Esetu v lete 2025 upozornil v rozhovore pre Zive.sk, že na prvé miesto medzi počítačovými podvodmi sa dostali podvodné investičné schémy (podobné na dávnejšie existujúce vysokovýnosové investičné programy) a že sa v poslednom čase objavila nová a mimoriadne zákerná hrozba, ktorá sa podľa dát Esetu stala na Slovensku dokonca najrozšírenejšou. Ide o podvod zneužívajúci falošné overenie CAPTCHA.
V súvislosti s vyhrážaním sa školám bombovými útokmi na jar 2025 vydal NBÚ všeobecné odporúčania pre správnu konfiguráciu poštových serverov, ktorá obmedzuje výhražné a podvodné e-maily (), spam, phishing a malware.
Názov Výraz „phishing“ je v angličtine novotvar, ktorý vznikol na základe homofónnej podoby so slovom „fishing“, ktoré znamená rybolov, a naznačuje podobný význam chytania obete na návnadu. (Tiež zjednodušene interpretované aj ako .) Začiatočné písmená „ph-“ sú odkazom na "phreaking”, ktorý využívali v minulom storočí pri svojom experimentovaní s možnosťami telekomunikačných systémov hakeri, ktorí zašli až za hranice legálnosti. Do slovenčiny sa zatiaľ neprekladá. Podvodník, ktorý využíva phishing sa nazýva phisher.
Princíp Existuje viacero spôsobov „lovenia hesiel“. Najčastejšie phishing prebieha tak, že podvodník (útočník) sa pomocou podvodného (klamlivého) e-mailu (z ) alebo instant messagingu, SMS (smishing) alebo inej komunikácie napríklad na sociálnej sieti alebo weboch alebo v internetových reklamách alebo v malware snaží nasmerovať používateľa na webstránku alebo všeobecnejšie URL adresu, ktorú pripravil práve na tento podvodný účel. Takáto falošná webstránka môže vyzerať ako presná kópia už existujúcej dôveryhodnej stránky, ktorú bežne používateľ navštevuje (napríklad stránka banky vrátane loga a pod.) alebo ponúka nejaké výhody po prihlásení. Meno a heslo a ostatné údaje zadané do takejto phishingovej stránky, sa dostanú k podvodníkovi, ktorý ich môže zneužiť sám alebo predať iným. Inou častou možnosťou je formulár (zameraný podobne ako spomínaná falošná webstránka na zistenie osobných údajov), ktorý je priamo v e-mailovej správe alebo v jej prílohe.
Ukradnuté osobné údaje môže podvodník využiť priamo napríklad na komunikáciu s vašou bankou, ale často sa pokúšať zároveň infikovať váš počítač (smartfón) škodlivým kódom (malware), čo mu umožní zneužívať zariadenie viacnásobne alebo dlhodobo. Na tomto princípe bola založená telefonická forma phishingu, v ktorej od roku 2020 telefonovali údajní zástupcov spoločnosti Microsoftu a žiadali o inštaláciu aplikácií, ktoré umožnia vzdialený prístup k vášmu zariadeniu.
Phishing môže byť súčasťou kampane - série viacerých útokov. Napríklad kampaň EMOTET, šíriaca sa v septembri 2020, začína phishingom a končí poslednou fázou, ktorou je inštalácia ransomvéru Ryuk, ktorý zašifruje vybrané súbory na zariadeniach a vyžaduje platbu v bitcoinoch. SK-CERT varuje, že EMOTET sa primárne šíri prostredníctvom vierohodne vyzerajúcej správy od organizácie, v ktorej vás upozorňujú na rôznu škálu podnetov – od neuhradenej faktúry, až po nové pravidlá týkajúce sa šírenia ochorenia Covid-19. Infikovanie napadnutého systému sa následne vykonáva prostredníctvom škodlivého skriptu, dokumentov s povolenými makrami alebo prostredníctvom iného škodlivého obsahu. (Po vypnutí makier v základnom nastavení produktov Microsoftu sa namiesto škodlivých makier začali používať iné formy nebezpečných príloh ako sú LNK, ISO a RAR.) E-maily sa obsahom a odosielateľom môžu javiť ako legitímne a často nabádajú k okamžitému otvoreniu správy resp. prílohy bez preverenia. Po infekcii sa prehľadá zoznam kontaktov a rozošlú ďalšie phishingové e-maily, typicky adresátom z okruhov rodina, známi a kolegovia. Keďže e-mail príde od známeho a legitímneho odosielateľa, adresáti sú potom náchylnejší ho otvoriť.
Osobné informácie, na ktoré býva phishing zameraný Podľa Google ide o snahu neoprávnene získať najmä tieto údaje:
používateľské meno a heslo (najmä do internetbankingu), rodné číslo, čísla bankových účtov, PIN kód (osobné identifikačné číslo), čísla platobných kariet a ich CVC kódy (z angl. Card Verification Code), rodné priezvisko matky, dátum narodenia.
Typické znaky phishingu Phishing môže prebiehať aj tak, že sa rozposielajú správy, ktoré oznamujú používateľom zmenu účtu alebo jeho obnovenie a tak lákajú citlivé údaje. Phishingové stránky môžu po registrácii ponúkať rôzne „skvelé“ služby alebo výhody (napr. vzácne predmety do MMORPG hier, download hier zdarma atď.) alebo vás phisher kontaktuje ako člen support teamu (podpora), admin a podobne a chce od vás údaje (heslá, čísla účtov), pre overenie. Ponuka, ktorá sa neodmieta: “Vážený zákazník. Gratulujeme! Vyhrali ste najnovší smartfón. Zašlite nám Vaše kontaktné údaje.” znie až príliš dobre na to, aby to bola pravda, takmer vždy ide o podvod.
V skutočnosti ide útočníkovi o získanie používateľské mena a hesla, ktoré potom skúša na prístup do banky (alebo viacerých bánk). Banky sa bránia proti phishingu tak, že verejne oznamujú, že nikdy osobné údaje nežiadajú týmto spôsobom.
Typickými znakmi phishingu sú:
Falošná emailová adresa odosielateľa. Doména v adrese nezodpovedá organizácii, za ktorú odosielateľ píše. Viditeľný je nesúlad medzi textovou časťou adresy a domény. V dole uvedených príkladoch sú v textovej časti adresy uvedené slovenské banky avšak domény im nezodpovedajú, ba dokonca ani doména najvyššej úrovne nie je .sk. Obsah sa týka informácií, na ktoré býva phishing zameraný (pozri hore). V prípade e-mailu chýba v správe osobnejší prístup - obsahuje všeobecné oslovenie, napr. „Vážený zákazník, nie vaše konkrétne meno”. Obsah môže byť skomolený, pretože často býva len strojovým prekladom do slovenčiny (pozri príklady). Eset v roku 2020 píše, že slovenčina v niektorých mailoch sa zlepšila. Je zdôrazňovaná urgentnosť správy, tak aby používateľ nad textom veľmi nerozmýšľal a hneď emocionálne konal. Väčšinou na konci býva vyzýva k akcii, ktorá spočíva v kliknutí na link (odkaz URL, obrázok, text a pod.). Namiesto kliknutia je však najlepšou akciou nahlásiť podozrivý email (komunikáciu) prevádzkovateľovi (napríklad ako spam). Spomínaný odkaz URL zvyčajne nevyužíva zabezpečené, šifrované spojenie – adresa sa nezačína reťazcom „https“ (ale len http). Ak adresa nezačína „https“, tak v adresnom riadku prehliadača chýba ikona (zvyčajne zeleného) zámku. Po kliknutí na spomínaný odkaz URL sa môže zobraziť web stránka, ktorá môže byť graficky nedokonalá, pôsobí ako zle načítaná, nefungujú na nej všetky odkazy alebo obsahuje gramatické chyby.
Ochrana pred phishingom
Nepoužívať to isté heslo (PIN) pre viacero služieb. (Pozri hore phishingové stránky môžu po registrácii ponúkať rôzne „skvelé“ služby alebo výhody...) Najmä pre operácie s peniazmi (internetbanking) majte jedinečné heslo, ktoré je dostatočne "silné" a bezpečne uchované. Najlepšia ochrana proti phishingu je nedôverovať stránkam a správam, ktoré chcú vylákať citlivé údaje, hlavne heslá. Zároveň sa odporúča nepoužívať rovnaké prihlasovacie údaje do rôznych služieb. (Chráňte si svoje heslá a nikomu ich neprezrádzajte. Nezverejňujte vaše citlivé osobné informácie na webe, po telefóne, osobne ani emailom v žiadnom prípade, aj keď výzva môže pôsobiť veľmi urgentne.) Podozrivé požiadavky emailom, telefonicky alebo SMS na poskytnutie citlivých informácií radšej najprv overiť na zákazníckej linke banky alebo ich ignorovať. Mimoriadnu pozornosť by ste mali venovať skráteným odkazom (napr. Bit.ly) či už v správach, ale aj v statusoch na sociálnych sieťach. Za žiadnych okolností na ne neklikajte. Niekde už po prezretí URL adresy, ktorú vyžaduje phisher navštíviť, je zrejmé že ide o podvod (adresa nie je na doméne firmy, ktorej by mala byť, text odkazu nezodpovedá URL adrese). Po zájdení myšou nad adresu sa táto zobrazuje celá na spodku prehliadača (v stavovom riadku). Deje sa tak však len na počítačoch (a nie na mobiloch) a existujú možnosti ako v niektorých prehliadačoch skutočnú adresu zmeniť alebo zamaskovať. Do internetbankingu vstupujte na počítači manuálnym vypísaním web adresy banky do prehliadača, napríklad www.mbank.sk. Nikdy sa do svojho bankového účtu neprihlasujte cez zaslané odkazy, ani cez odkazy nájdené ako výsledky vo vyhľadávačoch (podvodné weby sa môžu zobraziť medzi prvými, pretože si na ne podvodníci platia reklamu). Ak takýto falošný odkaz otvoríte, a stránka sa môže javiť ako stránka vašej banky, nikdy sa do účtu neprihlasujte a odíďte odtiaľ. Bezpečný postup, okrem vypísania adresy, je aj výber záložky (pridať medzi obľúbené) v prehliadači, ktorú ste si sami pre tento účel vytvorili. Záložku môžete použiť aj na mobile alebo tablete, ale tam je lepšie nainštalovať aplikáciu banky určenú na internetbanking (ak to zariadenie a banka umožňujú). Pri práci s internetbankingom používajte len šifrované spojenie - stránky s adresou začínajúcou https:// . V prípade pochybností skontrolujte (platnosť) bezpečnostného certifikátu (zvyčajne kliknutím na zobrazený zámok). Nikdy nepoužívajte internetbanking cez nezabezpečené wifi siete (tzv. freewifi). Niektoré prehliadače a emailové klienty (s funkciou DMARC) ako napr. Gmail obsahujú ochranu proti phishingu, ktorú tiež ponúkajú výrobcovia antivírusového softvéru (napr. Eset). Napriek tomu, neotvárajte a nesťahujte prílohy z podozrivých e-mailov. Viaceré prehliadače obsahujú ochranu proti phishingu. Po kliknutí najprv zobrazia upozornenie, že užívateľ sa chystá prejsť na nebezpečné alebo klamlivé webové stránky. Pravidelne aktualizujte operačný a antivírusový systém. Neplaťte na internetových bazároch (napr. Bazoš alebo Facebook) pomocou kreditnej karty. Pri nákupe alebo predaji tovaru cez internetový bazár nikdy nezadávajte údaje k platobnej karte. Ak nie je možný realizovať obchod osobne prípadne na dobierku, tak peniaze posielajte na účet len osobám, ktorých identitu máte overenú. Neobchodujte s osobami, ktoré nie sú ochotné poskytnúť ani telefonický kontakt. Ak v e-shope nakupujete prvýkrát, poučte sa zo skúseností ostatných a nájdite nezávislé recenzie e-shopu. Napríklad Slovenská obchodná inšpekcia zverejňuje na svojich stránkach zoznam rizikových e-shopov. Prvou známkou nedôveryhodnosti sú chýbajúce informácie o prevádzkovateľovi e-shopu/predávajúcom: z webovej stránky nie je jasné, s kým uzatvárate kúpnu zmluvu a voči komu si tak môže uplatňovať svoje spotrebiteľské práva. Neplaťte z účtu, kde máte všetky úspory. Stanovte si limit alebo môžete využiť namiesto kreditnej karty iné spôsoby. Majte nastavené notifikácie prevodov na vašom účte. Ak spozorujte podozrivú transakciu, okamžite sa spojte s vašou bankou. V určitých prípadoch a do určitého času sa dá transakcia zastaviť.
Obete phishingu Klientov, ktorí majú podozrenie, že na podvod naleteli, banky vyzývajú, aby:
Pokiaľ si nie sú istí, ako postupovať, kontaktovali banku. Túto okolnosť banke nahlásili.Martin Hodás: Podvodníci vraj zlepšili svoju slovenčinu, Zive.sk, 2019/01/19 online (Banka sa môže snažiť falošné weby zablokovať.) Skontrolovali si stav svojho účtu (napríklad pozrieť SMS notifikácie). Zmenili si prihlasovacie údaje.