Jak poznat podvodný odkaz dřív, než na něj kliknete

Kontrola 1: najděte skutečnou doménu

Adresa má tvar https://doména/cesta. Prohlížeč jde vždy na doménu – část mezi https:// a prvním dalším lomítkem / – a z ní rozhoduje její konec (například ceskaposta.cz). Všechno, co je před ním, je subdoména a tu si majitel domény pojmenuje, jak chce.

NÚKIB uvádí stejný trik na příkladu adresy typu xbanka.cz.login.cc: skutečná stránka je login.cc, ne banka.

Kontrola 2: hledejte napodobeninu jména

Podvodné domény se pravé podobají na první pohled, ne na druhý:

• Jiné nebo přehozené písmeno: rn místo m, 0 místo o, l místo I. NÚKIB upozorňuje právě na záměnu „n“ a „m“.
• Jiná koncovka: ceskaposta.info nebo ceskaposta.org místo ceskaposta.cz (příklady NÚKIB). SK-CERT varuje stejně: falešná stránka může vypadat úplně stejně jako pravá a lišit se jen pravopisem adresy nebo koncovkou, třeba .net místo .com.
• Přidané slovo: třeba ceskaposta-dorucovani nebo banka-overeni s libovolnou koncovkou. Firma, která má ceskaposta.cz, nepotřebuje doménu s pomlčkou a slovem navíc.
• Písmena z jiné abecedy: azbuka má znaky, které vypadají jako latinské „a“, „p“ nebo „o“. Takovou doménu okem nepoznáte – prohlížeč ji někdy ukáže jako xn--…. Naše Kontrola odkazu tyhle napodobeniny hledá.

Kontrola 3: znak @, IP adresa a podivné porty

• Znak @ v adrese: všechno před ním prohlížeč bere jako přihlašovací jméno a jde na doménu za ním (pravidlo userinfo v RFC 3986). https://www.ceskaposta.cz@example.com/ vede na example.com.
• Holá IP adresa místo jména, třeba http://203.0.113.45/login – banka ani dopravce takové odkazy neposílají. NÚKIB ji uvádí jako podezřelý znak.
• Dlouhá změť znaků a přesměrování v parametrech (?url=…, ?redirect=…) – odkaz může vést přes cizí server dál, kam chce podvodník.

Kontrola 4: zkrácené odkazy a QR kódy neukazují cíl

Zkracovač (bit.ly, tinyurl.com a podobné) i QR kód schovají skutečnou adresu, dokud odkaz neotevřete. Podvodníci toho využívají:

• americký úřad FTC v prosinci 2023 varoval, že podvodníci přelepují QR kódy na parkovacích automatech vlastními a posílají QR kódy v SMS a e-mailech s výmluvou na nedoručený balík, problém s účtem nebo „podezřelou aktivitu“,
• QR kód podle FTC může vést na falešnou přihlašovací stránku, nebo stáhnout škodlivou aplikaci.

Co s tím: telefon u QR kódu obvykle ukáže adresu před otevřením – přečtěte si doménu podle kontroly 1. Zkrácený odkaz nebo fotku QR kódu vložte do Kontroly odkazu: QR kód přečte přímo váš prohlížeč (obrázek nikam neodchází) a po kliknutí prověříme, kam odkaz po všech přesměrováních skončí. Podrobně o podvodech s QR kódy (přelepené automaty, „platba“ od kupce z bazaru) píšeme v návodu Podvodný QR kód.

Kontrola 5: zámek ani https nic nedokazují

Zámek v adresním řádku znamená jen šifrované spojení, ne pravou stránku. Certifikát pro svou doménu si zdarma pořídí kdokoli, i podvodník. FBI (IC3) už v červnu 2019 varovala, že útočníci zneužívají důvěru v https a zámek, a radí nevěřit stránce jen proto, že ho má. Rozhoduje doména, ne ikona.

Kontrola 6: čtěte zprávu, ne jen odkaz

Odkaz skoro vždy doprovází zpráva, která má vypnout přemýšlení. Britské NCSC jmenuje pět typických znaků:

• autorita – zpráva se tváří, že je od banky, úřadu nebo policie,
• spěch – „do 24 hodin“, „okamžitě“, jinak pokuta nebo zablokování,
• emoce – strach, naděje, zvědavost,
• nedostatek – vstupenky, peníze nebo výhra „jen pro prvních sto“,
• aktuální dění – daňové přiznání, svátky, velká událost.

Když zpráva sedí na dva a víc znaků a chce po vás kliknout, berte ji jako podvod, dokud se nepřesvědčíte o opaku.

Když si pořád nejste jistí

1. Neklikejte a nic nevyplňujte.
2. Odkaz zkopírujte (dlouhý stisk → Kopírovat odkaz) a vložte do Kontroly odkazu. Můžete vložit i celou SMS nebo e-mail – odkazy z ní vytáhneme v prohlížeči a na náš server odejde jen ten, který prověříte.
3. U e-mailu si v analýze hlaviček e-mailu ověřte, odkud zpráva opravdu přišla.
4. Podvod nahlaste: v Česku přes formulář CSIRT.CZ (typ incidentu „Phishing“), na Slovensku přes formulář SK-CERT. Kontrola odkazu vám u podezřelého odkazu připraví text hlášení ke zkopírování.

Už jste klikli?

• Jen jste otevřeli stránku: zavřete ji, nic nevyplňujte. Stažený soubor nebo aplikaci neotevírejte a smažte.
• Zadali jste kartu, heslo nebo kód z SMS: rozhodují minuty – postup je v návodu Zadal jsem údaje na podvodné stránce.
• Odkaz sliboval „navýšení kapacity schránky“ nebo „ověření účtu“: jde o heslo k e-mailu – co zkontrolovat, popisuje návod Podvodný e-mail „schránka je plná“.
• Někdo vám pak volá „z banky“ nebo „z policie“: zavěste a zavolejte sami na oficiální číslo, viz Volal mi falešný bankéř.
• O peníze jste přišli: volejte banku a oznamte to Policii ČR, na Slovensku Policajnému zboru (obojí linka 158).

Nejčastější podvodné odkazy u nás chodí v SMS o balíku, v SMS nebo e-mailu o exekuci, ve zprávách „od hotelu“ o rezervaci ubytování, ve falešných zprávách od Netflixu o pozastaveném předplatném a v nabídkách z falešných e-shopů a bazarů.