Vylákání ověřovacích SMS kódů

Vylákání ověřovacího kódu je závěrečný krok většiny telefonních podvodů. Útočník už má vaše přihlašovací údaje nebo číslo karty, ale k dokončení platby potřebuje kód, který banka pošle SMS jen vám. Proto zavolá a pod nějakou záminkou vás požádá, ať mu ho nadiktujete. Banka ani policie takový kód po telefonu nikdy nechtějí.

Jak podvod probíhá

Hovor navazuje na dřívější krok — phishingovou stránku, falešnou zásilku nebo hovor falešného bankéře. Útočník zadá platbu nebo přihlášení a v tu chvíli vám přijde SMS s kódem. Používané záminky:

„Ověřujeme, že mluvíme se správnou osobou." Kód prý slouží k identifikaci klienta.
„Právě jsme zastavili podvodnou platbu, kód ji stornuje." Ve skutečnosti ji potvrdí.
„Přečtěte mi kód, ale ignorujte text zprávy — je to systémová hláška." Právě tenhle pokyn je jistá známka podvodu; text SMS totiž popisuje, co kód schvaluje.
„Potvrďte prosím notifikaci v aplikaci." Novější varianta bez SMS, kde stačí, když klepnete na potvrzení.

Zvláštní případ je výměna SIM karty (SIM swap): útočník s vašimi údaji přesvědčí operátora, ať mu vydá novou SIM k vašemu číslu. Pak mu SMS chodí rovnou a žádný hovor už nepotřebuje.

Jak ho poznáte

Někdo chce kód, který vám právě přišel. Bez výjimky podvod.
Text SMS nesedí s tím, co volající tvrdí — místo „ověření totožnosti" je v ní platba nebo přihlášení.
Volající vás odrazuje od čtení zprávy.
Přišel kód, o který jste nežádali. Znamená to, že někdo zná vaše přihlašovací údaje.
Volající chce instalaci aplikace pro vzdálený přístup, aby kód viděl sám.

Jak se bránit

Pravidlo je jednoduché a bez výjimek: kód z SMS ani potvrzení v aplikaci nikomu nesdělujte a nepotvrzujte na cizí pokyn. Vždycky si přečtěte celý text zprávy — je v něm napsané, co kód schvaluje. Když vám přijde kód bez vašeho přičinění, změňte si heslo a ozvěte se bance.

Preventivně pomůže dvoufázové ověření u e-mailu, PIN nebo heslo pro operace u operátora (ztíží SIM swap), nižší platební limity a oznámení o transakcích. Číslo, ze kterého vám volali, si zablokujte a nahlaste — v přehledu nejnebezpečnějších čísel pak varuje ostatní.

Co dělat, když jste kód sdělili

Volejte okamžitě banku na oficiální číslo a nechte zablokovat karty i bankovnictví. Jde o minuty.
Zkontrolujte historii plateb a nahlaste každou transakci, kterou jste nezadali.
Změňte hesla k bankovnictví, e-mailu a účtu u operátora — z jiného, čistého zařízení.
Odinstalujte aplikace, které jste na pokyn volajícího instalovali.
Nahlaste to policii — postup je v odpovědi jak nahlásit telefonní podvod policii.

Zdroj: Policie ČR — Vishing a spoofing