Phishing: jak ho poznat a jak se bránit

Phishing je podvodná zpráva, která vás má přimět zadat heslo, otevřít přílohu nebo poslat peníze. Nejlépe ho poznáte podle tlaku na rychlost, adresy odesílatele, která nesedí, a odkazu, který vede jinam, než slibuje text. Nejde o okrajový problém. Podle NÚKIB se v roce 2025 s phishingem setkalo devět z deseti respondentů jeho průzkumu a víc než třetina firem své lidi proti němu vůbec netestovala.

Proti phishingu nepomůže jediný krok. Pomáhá odolný druhý faktor, který neprojde na falešné stránce, pevné pravidlo pro změnu čísla účtu a kolega, který se nebojí zprávu ohlásit. Ukážeme, jak podvody vypadají, co dělat po kliknutí a co udělá firma o dvaceti lidech.

Co je phishing a o co útočníkovi jde

Útočník se podle CISA vydává za důvěryhodný zdroj, třeba za kolegu, známého nebo firmu, aby z vás vylákal heslo. Může se tvářit jako nadřízený nebo člověk z IT. Cíl bývá jeden ze tří: získat heslo, dostat do počítače škodlivý kód přes přílohu nebo odkaz, nebo vás přimět k platbě.

Zpráva nemusí přijít e-mailem. CISA uvádí SMS a chaty na Slacku, Teams, Signalu, WhatsAppu a Messengeru, a také telefonáty, kde útočník podvrhne číslo volajícího.

Jak phishing poznáte

Znaky vycházejí z toho, co radí NÚKIB. Když se sejdou dva a víc, zpozorněte:

• Tlak a spěch. NÚKIB: útočníci rádi dostávají uživatele do časové tísně a tlačí na rychlé splnění úkolu. Typická věta: „Účet bude zablokován do 24 hodin.“
• Adresa, která nesedí. Podezřelá je neobvyklá doména, třeba .ru místo .cz. Útočníci dělají i záměny písmen, například „i“ za „l“.
• Odkaz, který vede jinam. Najeďte myší na odkaz, neklikejte. Cíl se ukáže vlevo dole. Pokud nesedí s textem, neklikejte.
• Známá grafika. NÚKIB upozorňuje, že útočníci spoléhají na logo a vzhled, které znáte. Logo nic neprokazuje.
• Nečekaná příloha nebo makra. Faktura, kterou jste nečekali, nebo dokument, který chce povolit makra. CISA doporučuje makra firmám blokovat ve výchozím stavu.
• Žádost o údaje nebo platbu. Ověřte ji jiným kanálem, než kterým přišla: zavolejte na číslo z oficiálních stránek, ne na číslo ze zprávy.

Typy phishingu

• Hromadný phishing: stejná zpráva rozeslaná tisícům lidí. Neosobní, funguje na počtu.
• Cílený phishing: zpráva napsaná pro konkrétního člověka, s podrobnostmi o firmě. CISA zmiňuje útočníky, kteří se vydávají za nadřízeného nebo člověka z IT.
• BEC (podvod s firemním e-mailem): útočník se vydává za jednatele nebo dodavatele a žádá o změnu čísla účtu nebo o naléhavou platbu. Podle FBI šlo v roce 2025 o 24 768 stížností a ztráty přes 3 miliardy dolarů v USA.
• Smishing a vishing: totéž přes SMS nebo telefon. NÚKIB radí ověřit si zprávu jiným kanálem a citlivé údaje neposílat SMS.

Jak BEC vypadá v praxi, ukazuje případ z výroční zprávy FBI IC3 za rok 2025. Kupující nemovitosti dostal od firmy, která zajišťovala převod („title company“), e-mail s pokyny poslat přes 1,3 milionu dolarů na podvržený účet. Americký tým FBI nechal účet přes banky zablokovat. Případ je z USA, princip je ale stejný: mění se číslo účtu a e-mail vypadá jako každý jiný.

Někdo klikl. Co teď?

Hlavně rychle a bez paniky. NÚKIB radí: pokud jste odkaz otevřeli, nic nevyplňujte a nikam se nepřihlašujte, a dál postupujte podle pravidel IT ve firmě. K tomu přidáváme tři kroky podle našich zkušeností, ne z předpisu:

1. Zadali jste heslo? Změňte ho z jiného počítače, než na kterém jste klikli, a všude, kde ho máte stejné.
2. Napište do IT hned. CISA zdůrazňuje, že je důležité hlásit i to, že jste podezřelý odkaz nebo přílohu otevřeli.
3. Šlo o platbu? Zavolejte do banky a požádejte, ať ji zastaví. Čím dřív, tím větší šance, jak ukazuje případ výše.

Netrestejte člověka, který klikl a přiznal to. Ututlaný incident je horší než nahlášený, a CISA píše, že hlásit podezřelé zprávy patří k nejúčinnějším způsobům, jak firmy chránit. Pokud firma spadá pod zákon č. 264/2025 Sb., o kterém píšeme na stránce NIS2 , musí podat hlášení incidentu ve stanovených lhůtách.

Jak se firma brání systémově

Jednotlivec chybu udělá vždycky. Firma proto staví vrstvy, kde jedna zachytí to, co propustí druhá:

• Silný druhý faktor. CISA upozorňuje, že MFA bez klíčů FIDO a PKI je citlivé na phishing: kód z SMS i z aplikace se dá opsat na falešné stránce. Administrátorům proto radí odolné MFA.
• Školení a testování. CISA radí malým firmám školení jednou ročně a kontrolu, že ji člověk pochopil. NÚKIB radí návyky prověřovat cvičným phishingem.
• Tlačítko Nahlásit. CISA radí použít tlačítko zabudované v Outlooku a v cloudových poštách. Každá nahlášená zpráva pomáhá poskytovatelům pošty odhalit nové kampaně.
• Ochrana vaší domény. CISA chce DMARC, SPF a DKIM a pro odesílané zprávy politiku „reject“, aby se podvodníkům hůř podepisovalo e-maily jménem firmy.
• Filtry a DNS. Zablokujte známé škodlivé adresy a makra ve výchozím stavu.
• Zkouška zvenčí. Penetrační test ukáže, kam by se útočník dostal po prvním kliknutí. Phishing je také jednou ze šesti cest, kterými podle CISA vchází ransomware.

Co udělá firma o 20 lidech

Je to náš návrh podle uvedených zdrojů, ne předpis:

1. Zapněte odolné MFA nejdřív u e-mailu, administrátorů a lidí, kteří schvalují platby.
2. Zaveďte jedno pravidlo: změnu čísla účtu dodavatele potvrdí druhý člověk telefonem na číslo, které už znáte.
3. Nastavte DMARC, SPF a DKIM na vaší doméně a zjistěte u správce pošty, jestli je politika „reject“.
4. Jednou ročně uspořádejte krátké školení a jednou za čas cvičný phishing. Výsledek berte jako ukazatel, ne jako seznam viníků.
5. Řekněte lidem, komu a jak podezřelou zprávu ohlásit, a ať to udělají i po kliknutí.

Zdroje

• NÚKIB, tisková zpráva k výroční zprávě za rok 2025, 21. 8. 2026: https://nukib.gov.cz/cs/infoservis/aktuality/2453-nukib-vydal-zpravu-o-stavu-kyberneticke-bezpecnosti-cr-za-rok-2025-incidentu-ubylo-sofistikovanost-utocniku-roste/
• NÚKIB, Dávej kyber 26: Sociální inženýrství: https://osveta.nukib.gov.cz/mod/page/view.php?id=4707
• CISA, NSA, FBI, MS-ISAC, Phishing Guidance: Stopping the Attack Cycle at Phase One, 18. 10. 2023: https://www.cisa.gov/sites/default/files/2023-10/Phishing%20Guidance%20-%20Stopping%20the%20Attack%20Cycle%20at%20Phase%20One_508c.pdf
• FBI, 2025 IC3 Annual Report: https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
• Zákon č. 264/2025 Sb., § 16: https://www.zakonyprolidi.cz/cs/2025-264