Pozor na podvodné SMS jménem ČSSZ: Jak ochránit firemní data?

Česká správa sociálního zabezpečení (ČSSZ) vydala oficiální varování před novou vlnou podvodných SMS zpráv. Útočníci se v nich neoprávněně vydávají za tento státní úřad a rozesílají zprávy obsahující odkazy na falešné webové stránky. Tyto adresy nemají s oficiálním webem ČSSZ nic společného. Cílem kyberzločinců je jediné: vylákat z důvěřivých adresátů citlivé osobní údaje, přihlašovací údaje k bankovnictví nebo informace o platebních kartách.

Smishing neútočí jen na soukromé osoby, v ohrožení jsou i firmy

Podvodné textové zprávy, odborně označované jako smishing, představují závažné bezpečnostní riziko i pro firemní sféru. Mnoho zaměstnanců používá své mobilní telefony jak k soukromým, tak k pracovním účelům (režim BYOD), případně mají na služebních zařízeních přístup k firemnímu e-mailu, bankovním účtům nebo interním systémům.

Stačí chvilka nepozornosti, kliknutí na podvržený odkaz pod vlivem stresu z „nedoplatku na sociálním pojištění“ a útočníci mohou získat přístupové údaje nejen k osobnímu kontu, ale také prolomit firemní bezpečnostní bariéry. Vedení firem a HR manažeři by proto neměli tato varování brát na lehkou váhu.

Jak podvodnou SMS rozpoznat?

Ačkoliv se techniky útočníků neustále zdokonalují, existuje několik základních znaků, na které by měli být všichni pracovníci upozorněni:

• Podezřelá doména: Oficiální stránky ČSSZ běží výhradně na státní doméně gov.cz (konkrétně cssz.cz). Podvodné adresy mívají často podivné koncovky nebo komolené názvy.
• Tlak na čas a emoce: Zpráva často vyvolává dojem naléhavosti, hrozí exekucí, sankcemi nebo naopak slibuje rychlé vyplacení přeplatku či dávky po okamžitém kliknutí.
• Výzva k zadání bankovních údajů: Státní správa přes SMS zprávy nikdy nepožaduje přihlašovací údaje k bankovnictví ani číslo platební karty s bezpečnostním kódem CVC.

Prevence a digitalizace firemních procesů

Zabezpečení firemních dat dnes dávno nespočívá pouze v instalaci antivirového programu na počítače v kanceláři. Moderní firma musí budovat ucelený systém digitální hygieny. To zahrnuje jasně dané komunikační kanály, centralizaci důležitých dokumentů a především průběžnou edukaci týmu.

Klíčem k minimalizaci rizik je pravidelné bezpečnostní školení zaměstnanců, které pomůže lidem osvojit si správné návyky a naučí je podobné útoky včas odhalit. V bezpečném podnikovém prostředí by mělo být samozřejmostí, že interní komunikace a citlivé informace se nesdílejí po neověřených kanálech, ale výhradně v zabezpečeném firemním systému.

Co dělat, pokud zaměstnanec na odkaz kliknul?

Pokud některý z pracovníků naletěl a zadal své údaje do formuláře, je nutné jednat okamžitě:

• Ihned kontaktovat banku a zablokovat dotčené platební karty či přístup k internetovému bankovnictví.
• Změnit hesla ke všem důležitým účtům, zejména pokud byla použita stejná přístupová data do jiných aplikací.
• Informovat interního IT správce, který prověří stav zařízení a případně provede bezpečnostní audit.
• Nahlásit incident příslušným orgánům, případně přímo ČSSZ.

Informační systém eIntranet.net pomáhá firmám organizovat interní procesy, bezpečně sdílet firemní směrnice a udržovat zaměstnance v obraze i v oblasti bezpečnosti. Ostražitost a správně nastavené firemní návyky jsou tou nejlepší obranou proti stále sofistikovanějším podvodům.