Informace pro zaměstnance

Veškeré informace ČVUT k situaci na Ukrajině naleznete na hlavním webu ČVUT.

Sociální inženýrství a nejrůznější podvodné techniky se v poslední době stávají výnosným byznysem i nástrojem hybridní války. Není tedy divu, že se tyto aktivity výrazně zdokonalily. Dnes se již setkáváme s takovou kvalitou podvodných e-mailů, že je často nelze na první pohled odlišit od pravé korespondence. Útočníci disponují velmi vyspělou technikou a v hojné míře využívají i umělou inteligenci pro generování obsahu podvodných zpráv, které jsou pak velmi přesvědčivě zpracované, ale navíc i tématicky zaměřené na cílovou osobu.

Pro zmírnění rizik spojených s podvodnými e-maily máme několik doporučení:
1) Zpozorněte vždy, když vás obsah zprávy nutí k nějaké reakci, zejména pokud se jedná o otevření nějaké přílohy nebo odkazu v textu. Významné subjekty, jako jsou např. banky či úřady, takto nikdy nejednají.
2) Útočníci často využívají časové tísně pro snížení obezřetnosti své oběti. Zachovejte klid a pokud si nejste jistí, že jde o podvod, ověřte si pravost požadavku oficiálním kanálem. V případě požadavku v rámci vašich pracovních povinností však vždy dodržujte schválený pracovní postup.
3) Pokud si nejste jistí důvěryhodností zprávy s přílohou, nikdy sami přílohu neotvírejte a raději se obraťte na odborníka, který vám ji pomůže prověřit. Příloha může obsahovat škodlivý kód a odborníci z helpdesku mají možnost nechat prověřit soubor např. v tzv. „SandBoxu“, což běžný uživatel k dispozici nemá.
4) Zpráva může obsahovat např. i telefonní číslo (nebo jiný typ kontaktu), na které nutí oběť zavolat. Na tomto čísle může být osoba, která se může úspěšně vydávat za pracovníka ČVUT nebo jiné důvěryhodné organizace. Důvěryhodnost často útočník podtrhuje falešným profilem na sociální síti LinkedIn nebo jinde na internetu. Chcete-li mít jistotu, že nejde o podvod, je lepší na příslušné oddělení organizace zavolat přes oficiální telefonní číslo.

Obdobné je to i s falešnými webovými stránkami, které velmi přesvědčivě napodobují stránky, které často navštěvujeme. Taková webová stránka obvykle slouží k získání přihlašovacích údajů. Útočník využívá u falešné webové stránky velmi podobné doménové názvy s cílem, aby oběť buď nepoznala na první pohled v adresním řádku rozdíl, ale často spoléhá i na překlepy v adrese, vynechání některého znaku atd. Využívá se podobnosti znaků jako je „I“ a „l“, „o“ a „0“, „b“ a „6“, ale i přesmyčky a překlepy typu „www.cuvt.cz“, „kos.cvut.cy“ apod. Není ani vyloučeno, že počítači, ze kterého se přihlašujete, byl podsunut falešný server pro překlad doménového názvu a v takovém případě může být i adresa napsaná správně a přesto se ocitneme na falešném webu. Vrcholem je technika Browser-In-The-Browser, kdy nám cizí stránka dokáže zcela přesvědčivě okno webové stránky překrýt věrnou kopií přihlašovací stránky (využívá se techniky HTML, CSS a javaskriptu) včetně napodobení adresního řádku s HTTPS.
Pokud je adresa webu v těle podvodné e-mailové zprávy, lze také velmi snadno adresu překrýt zobrazovaným textem připomínajícím pravou webovou stránku, odkaz však může vést úplně jinam.

Věnujte proto pozornost i těmto doporučením pro přístup k webovým stránkám:
a) Při zadávání adresy webu si vždy pečlivě překontrolujte obsah adresního řádku, zda v něm není překlep. Adresa stránky s dialogem pro přihlášení by měla vždy začínat HTTPS (pokud začíná HTTP, není přenos šifrován).
b) Pokud chcete mít větší jistotu o pravosti webové stránky a zejména, pokud webová stránka reaguje jinak než jste zvyklí, můžete si webovou stránku prověřit podle certifikátu, kterým se webová stránka představuje. Většina webových prohlížečů toto umožňuje.
c) Odkazy ukryté v obsahu mailové zprávy mohou uvnitř ukrývat jiný odkaz, než který vidíte v textu, což můžete snadno zjistit najetím myši na odkaz bez kliknutí (v případě mobilního telefonu obvykle dlouhý stisk místo krátkého). Takový falešný odkaz rozhodně neotvírejte.
d) Zejména buďte ostražití při zadávání přihlašovacích údajů. Pokud se webová stránka s přihlašovacím dialogem chová jinak než obvykle (změnila vzhled některých prvků, nenabízí vaše obvyklé přihlašovací jméno, neumožní zobrazit certifikát v adresním řádku apod.), raději heslo nevyplňujte a nejprve konzultujte toto chování s IT odborníkem.
e) Pokud zjistíte existenci webové stránky napodobující některý z webů ČVUT, nepřihlašujte se k němu, neklikejte na jeho odkazy a neprodleně toto zjištění nahlaste na helpdesk ČVUT nebo alespoň vašemu IT oddělení.

V poslední době také evidujeme zvýšený výskyt falešných telefonátů (VISHING), kdy se volající osoba představí jako zaměstnanec určitého oddělení nebo významné organizace a požaduje součinnost ve vykonstruovaném případu. Navíc je stále více případů nevyžádaných telefonátů, které mohou být podloženy informacemi získanými z webu či sociálních sítí a jejich účel je získání dalších osobních údajů či profesních informací. Sdělením informací nebo součinností s neznámou osobou však můžete způsobit v blízké či vzdálené budoucnosti jak sobě, tak i zaměstnavateli.

Doporučení pro nevyžádané a neprověřené telefonáty:
1) Neprověřeným osobám po telefonu nikdy nesdělujte žádné interní informace ani osobní údaje.
2) Pokud po vás někdo po telefonu požaduje určitou součinnost a vy nemáte jistotu, že jde o oprávněnou osobu, pak zavěste a ověřte si požadavek prostřednictvím oficiálního kontaktu.