Cloudové telefony: Nová finta hackerů, která obchází i dvoufázové ověření bank

Stačí jedno virtuální číslo za pár korun, podvržené ID volajícího a pár minut živého hovoru, a dvoufázové ověření vaší banky přestane chránit.

Zdroj fotografie: Pexels

Pojem „cloudový telefon“ zní jako marketingové klišé, ve skutečnosti ale označuje poměrně konkrétní technologii. Jde o telefonní číslo provozované přes internet, například prostřednictvím služby VoIP, které nemusí být spojené s klasickou SIM kartou ani s konkrétním telefonem. Podobně fungují služby jako Google Voice, které umožňují volat, posílat zprávy a spravovat hlasovou schránku přes aplikaci nebo webové rozhraní. Útočník si takovou službu může zřídit poměrně rychle, přičemž podmínky registrace a ověřování identity se liší podle poskytovatele a země. Číslo pak může využít k tomu, aby se vydával za banku, policii nebo technickou podporu.

Podvod přitom nemusí zahrnovat prolomení šifrování ani napadení samotné SMS infrastruktury. Útočník se vás jednoduše pokusí přesvědčit, abyste mu během hovoru sami předali ověřovací kód, potvrdili požadavek v aplikaci nebo provedli jinou operaci. Získaný kód či potvrzení pak může v reálném čase zneužít k přihlášení do bankovnictví nebo k převzetí účtu.

Jak útok vypadá krok za krokem

Představte si úterní odpoledne. Na displeji se objeví číslo, které vypadá jako oficiální linka vaší banky. Hlas na druhé straně zní profesionálně, mluví česky a zná vaše jméno. Volající tvrdí, že banka zaznamenala na vašem účtu podezřelou aktivitu a potřebuje ověřit vaši totožnost.

Pak přijde klíčový moment. Volající vás buď navede na webovou stránku, která napodobuje přihlášení do internetového bankovnictví, ale ve skutečnosti běží na podvodné doméně, nebo vás rovnou požádá o SMS kód, který vám právě přišel. Vy ho zadáte na falešné stránce nebo nadiktujete do telefonu. Útočník ho mezitím použije k přihlášení do skutečného bankovnictví. Pokud se mu podaří získat dostatečný přístup, může změnit bezpečnostní nastavení nebo se pokusit přidat vlastní zařízení pro další ověřování.

U sofistikovanějších kampaní, jaké Google Cloud popsal v souvislosti se skupinou UNC6671, útočníci navíc cíleně odstraňují bezpečnostní upozornění týkající se změn hesel nebo vícefaktorového ověřování. Oběť tak může napadení odhalit až se zpožděním.

Celý proces od prvního zazvonění po pokus o převzetí účtu může trvat jen několik minut.

Proč to funguje i proti českým bankám

České banky používají vícefaktorové ověřování a postupně posilují jeho zabezpečení. ČSOB dlouhodobě podporuje ověřování prostřednictvím aplikace ČSOB Smart klíč, zatímco u některých operací ověřovaných pomocí SMS se používá také ePIN. Česká spořitelna preferuje potvrzování v aplikaci George pomocí biometrie nebo PINu; u vybraných operací mohou být při ověřování přes SMS vyžadovány další údaje. ČNB upozorňuje, že útočníci zneužívají také vícefaktorové ověřování: pokud se jim podaří získat potřebné potvrzení, mohou provést transakci nebo změnit nastavení účtu.

Problém tedy nespočívá v tom, že by české banky druhý faktor nepoužívaly. Jde o to, že ani další vrstva zabezpečení nemusí stačit, pokud klient podvodníkovi sám předá kód nebo potvrdí operaci, kterou ve skutečnosti nechtěl provést. Útočníci využívají internetová telefonní čísla a případně také podvržení identifikace volajícího, aby působili důvěryhodněji než běžný phishingový e-mail. Živý hlas vytváří časový tlak, vyvolává pocit autority a naléhavosti a může oběť přimět jednat dřív, než si situaci ověří.

Americký Národní institut pro standardy a technologie (NIST) řadí ověřování pomocí SMS a hlasových hovorů mezi metody s určitými bezpečnostními omezeními. Nejde o stejně odolnou variantu jako kryptografické ověřování navázané na konkrétní zařízení a službu. FBI i další bezpečnostní instituce proto upozorňují na rizika spojená s internetovou telefonií, podvrženými čísly a zneužíváním jednorázových kódů.

Český NÚKIB v únoru 2025 varoval před podvodnými telefonáty využívajícími spoofing. Ve zprávě za rok 2024 zároveň uvedl, že phishing zasáhl všechny dotazované instituce ve finančním sektoru a až třetina z nich zaznamenala přes sto pokusů ročně.

Co je na tom vlastně nového

Samotné podvrhování telefonních čísel ani VoIP podvody nejsou novinkou. FBI spojovala falešnou identifikaci volajícího s internetovými telefonními službami už před lety a Policie ČR i NÚKIB varují před vishingem dlouhodobě.

Nová je především míra profesionalizace a rozsah některých kampaní. Útočníci kombinují podvržená telefonní čísla s věrnými kopiemi přihlašovacích stránek, zaměřují se na osobní telefony zaměstnanců a využívají záminky, jako je údajná nutnost znovu nastavit přístupový klíč neboli passkey. Po získání přístupu se mohou pokusit změnit nastavení účtu nebo odstranit upozornění, která by oběť na útok upozornila.

Nejde tedy vždy jen o jednotlivce s předplacenou SIM kartou. Některé kampaně využívají propracovanou infrastrukturu a koordinované postupy, díky nimž mohou útočníci cílit na velké množství lidí.

Jak se bránit, a co dělat, když zavolají

Rozpoznávací znaky útoku se často opakují:

• Nevyžádaný hovor o „napadeném účtu“ nebo „nutné změně zabezpečení“.
• Tlak na okamžité jednání. Volající nechce, abyste zavěsili a zavolali zpět na oficiální linku.
• Požadavek na SMS kód, potvrzení v aplikaci nebo instalaci nástroje pro vzdálený přístup.
• Odkaz na neznámou doménu, i když vypadá podobně jako web vaší banky.
• Číslo na displeji vypadá oficiálně, ale samo o sobě nic nedokazuje. Identifikaci volajícího lze v některých případech podvrhnout.

Pokud máte podezření na podvod, okamžitě hovor ukončete. Nic nepotvrzujte a nikomu nesdělujte ověřovací kódy. Zavolejte na oficiální linku banky, jejíž číslo najdete na platební kartě nebo na jejím oficiálním webu. Nepoužívejte číslo, které vám nadiktoval volající. Pokud jste už předali přihlašovací údaje nebo potvrdili podezřelou operaci, kontaktujte banku bez odkladu, požádejte o zabezpečení účtu a postupujte podle jejích pokynů. Zkontrolujte také, zda nebyla přidána neznámá zařízení nebo změněny údaje pro ověřování. Podvod oznamte Policii ČR.

Pokud to vaše banka umožňuje, upřednostněte ověřování v bankovní aplikaci před SMS. Ani potvrzení v aplikaci však není neprůstřelné: útočník vás může pod nátlakem přimět potvrdit operaci, kterou jste sami nezahájili. Vždy si proto zkontrolujte, co přesně potvrzujete, zejména částku, příjemce a účel transakce.

Vyšší odolnost proti phishingu nabízejí kryptografické metody, jako jsou bezpečnostní klíče FIDO2 a passkeys. Ty jsou navázané na konkrétní službu a ověřují její identitu, takže je nelze jednoduše přeposlat podvodníkovi jako SMS kód. Ani ty však nechrání před všemi typy podvodů, například před manipulací, při které oběť sama schválí nevhodnou operaci.

Druhý faktor výrazně zvyšuje zabezpečení účtu, ale sám o sobě nevyřeší situaci, kdy vás útočník přesvědčí, abyste mu pomohli obejít vlastní ochranu. Nejúčinnější obranou je v takové chvíli hovor ukončit a vše si nezávisle ověřit.