Přijde to většinou v nejnevhodnější chvíli. Čekáte balík, telefon zabrká a na displeji je zpráva, že zásilku nelze doručit, protože chybí doplatek 38 korun. Pod tím odkaz. Částka je tak malá, že se nad ní nikdo nepozastaví, a přesně o to jde. Druhá nejčastější verze je nedoplatek u energií nebo u operátora, kde zpráva naopak straší odpojením do 24 hodin. Obě vypadají věrohodně a obě jsou na stejném principu: dostat vás na falešnou platební stránku, kde zadáte celé číslo karty.
Proč zásilka a nedoplatek fungují nejlépe
Podvodník neví, jestli zrovna čekáte balík. Nemusí to vědět. Když rozešle sto tisíc zpráv, část lidí nějakou zásilku čeká, a ti jsou v tu chvíli ochotní uvěřit skoro čemukoli. Stejně funguje nedoplatek. Nikdo si nepamatuje, jestli poslední fakturu za elektřinu zaplatil, nebo jen přesunul na později.
Horší je, že výzva k doplatku může být i pravá. U balíku ze zemí mimo Evropskou unii se běžně platí DPH a přepravci si účtují poplatek za proclení, takže výzva k zaplacení není sama o sobě podezřelá. Podvod nepoznáte podle toho, co po vás zpráva chce. Poznáte ho podle toho, kam vás posílá.
Odkaz prozradí víc než text zprávy
V adrese se čte jen jedna část, a to doména těsně před první samostatnou lomenou čárou. Všechno před ní zleva si může podvodník vymyslet. Tohle vypadá na první pohled dobře:
- ceskaposta.doplatek-zasilka.info/platba — skutečná doména je doplatek-zasilka.info, Česká pošta je tam jen jako ozdoba
- balikovna-cz.pay-online.ru — doména je pay-online.ru
- ceskaposta-cz.com — pravá adresa je ceskaposta.cz, pomlčka a jiná koncovka dělají jiný web
Odkazy v těchto zprávách navíc téměř vždy vedou přes zkracovač, takže v SMS vidíte jen pár znaků a skutečnou adresu zjistíte až po kliknutí. To samo je dost dobrý důvod neklikat.
A ještě jedna věc, která lidi plete nejvíc. Jako jméno odesílatele si podvodník může nastavit libovolný text, i třeba „Ceska posta“. Telefon pak takovou zprávu zařadí do stejné konverzace, ve které máte skutečné zprávy od pošty z minulého týdne. Zpráva v existujícím vlákně tedy není důkaz, že je pravá. Je to jen důsledek toho, jak telefony řadí zprávy podle jména odesílatele.
Pět věcí, které falešná zpráva skoro vždy má
Žádný z těchto znaků sám nestačí, dohromady ale tvoří poměrně jasný obrázek.
- Velmi nízká částka. Devětadvacet, čtyřicet dva, šedesát korun. Nad takovou sumou člověk nepřemýšlí, ale na falešné stránce stejně zadá celou kartu.
- Krátká lhůta. Dnes do 20:00, do 24 hodin, jinak zásilka jde zpět odesílateli. Pravý přepravce vám dává dny.
- Chybí identifikace zásilky. Není tam číslo balíku, jméno odesílatele ani výdejní místo. Pravé zprávy od pošty a od výdejních služeb číslo zásilky obsahují.
- Odkaz přímo na platbu. Legitimní dopravce vás nasměruje do své aplikace nebo na sledování zásilky, ne hned na platební formulář.
- Drobnosti v jazyce. Chybějící diakritika, podivné mezery před čárkou, „Vaše zásilka byla pozastavena na depu“. Ne vždy, ale dost často.
Co udělat místo kliknutí
Postup je nuda a právě proto funguje. Zprávu zavřete a jděte si to ověřit jinou cestou. Konkrétně to znamená otevřít aplikaci dopravce nebo napsat jeho adresu do prohlížeče ručně, ne přes odkaz ze zprávy. U nedoplatku se přihlaste do klientské zóny dodavatele nebo zavolejte na číslo z poslední faktury, ne na číslo ze SMS. Pokud žádnou zásilku nečekáte, nemusíte řešit vůbec nic.
Stojí za to vědět, že tyhle vlny jezdí po celém kanálu, nejen v SMS. Stejné texty chodí e-mailem a v posledních letech i přes WhatsApp. Pokud vás zajímá, jak se liší kontrola u e-mailu, kde se dá odhalit víc, popsali jsme ji podrobněji v článku jak poznat podvodný e-mail a co dělat, když jste na něj klikli.
Klikli jste. Co teď
Samo otevření stránky obvykle nic nezpůsobí. Rozhodující je, co jste na ní udělali.
Zadali jste číslo karty
Zavolejte do banky nebo kartu zablokujte v mobilní aplikaci, většina bank to umí hned a bez hovoru. Blokace je rychlejší než zjišťovat, jestli už někdo kartu zkusil použít. Pak si projděte transakce za poslední dny. Pokud už nějaká platba prošla, řešte ji jako neautorizovanou transakci přímo s bankou.
Přišel vám potvrzovací kód a vy jste ho opsali
Tohle je nejhorší varianta, protože kódem se platba potvrzuje. Okamžitě volejte na linku banky. Žádná banka ani dopravce po vás kód z SMS nikdy nebude chtít, ani telefonicky, ani na webu. Zároveň je to dobrý důvod mít u bankovnictví a u e-mailu zapnuté dvoufázové ověření i tam, kde to není povinné.
Nainstalovali jste aplikaci z odkazu
Některé verze podvodu neposílají na platební stránku, ale nabízejí instalaci aplikace pro sledování zásilky. Taková aplikace si typicky říká o přístup k SMS, aby mohla odchytávat potvrzovací kódy. Pokud jste ji nainstalovali, odinstalujte ji, zkontrolujte v nastavení seznam aplikací se zvláštními oprávněními a změňte si hesla z jiného zařízení. Co dělat, když má útočník přístup k telefonu, kterým se přihlašujete do banky, jsme rozebrali v článku co dělat, když přijdete o telefon s přístupem do banky.
Jak těchto zpráv dostávat méně
Úplně se jich zbavit nejde, čísla se generují náhodně. Snížit jejich počet a hlavně to, jak snadno se k vám dostanou, ale jde.
V aplikaci Zprávy od Googlu je v nastavení ochrana proti spamu, která většinu těchto zpráv označí sama. Na iPhonu se v nastavení Zprávy dá zapnout filtrování neznámých odesílatelů, které zprávy od čísel, která nemáte v kontaktech, přesune do samostatné složky. Jednotlivá čísla pak nahlaste jako spam přímo v konverzaci. U zpráv s textovým jménem odesílatele to moc nepomůže, protože podvodník jméno změní, ale u číselných odesílatelů to smysl má.
Pokud jste o peníze skutečně přišli, nahlaste to kromě banky i policii. Nahlášení má smysl i u malých částek, protože se tím daří propojovat případy, které by jinak zůstaly samostatné.
Časté otázky
Může mi uškodit, že jsem odkaz jen otevřel
Samo zobrazení stránky v běžně aktualizovaném prohlížeči obvykle nestačí k tomu, aby se něco stalo. Riziko přichází, až když zadáte údaje nebo potvrdíte instalaci. Pokud jste jen klikli a hned zavřeli, zpravidla se nic nestalo.
Jak poznám pravou výzvu k doplatku za proclení
Pravá výzva se dá najít i bez odkazu ze zprávy. Přihlaste se do aplikace nebo na web dopravce, zadejte číslo zásilky z potvrzení od obchodu a výzva k platbě tam bude vidět. Pokud ji tam nenajdete, zpráva byla falešná.
Mám na podvodnou SMS odpovědět, aby přestali
Ne. Odpověď jen potvrdí, že je číslo aktivní a že na zprávy někdo reaguje. Zprávu smažte a odesílatele nahlaste jako spam.
Proč mi zpráva přišla do stejné konverzace jako pravé zprávy od pošty
Protože telefon řadí zprávy podle jména odesílatele a to si lze podvrhnout. Zařazení do existujícího vlákna tedy nic nedokazuje. Vždy se řídí obsahem a odkazem, ne tím, kde se zpráva v telefonu objevila.
Pomůže, když si číslo zablokuji
U jednoho čísla ano, ale rozesílky se posílají ze stále nových čísel, takže blokace je spíš úklid než ochrana. Větší efekt má zapnutý spamový filtr a návyk neklikat na odkazy ze zpráv.
