Silné heslo už e-shopy pred podvodmi neochráni

Online podvody v internetovom predaji sú presnejšie cielené a menej nápadné než ešte pred rokom. Slovenský portál OnlinePODVODY.sk dnes sleduje falošné platby, podvody na bazároch či správy vydávajúce sa za kuriérov v reálnom čase. Agentúra Európskej únie pre kybernetickú bezpečnosť aj Europol zároveň upozorňujú, že phishing zostáva medzi hlavnými hrozbami, no útočníci lepšie napodobňujú bežnú komunikáciu so zákazníkom.

Pre firmy to už nie je len technický problém pre IT oddelenie. Ak zákazník dostane falošnú SMS o platbe, podvodný e-mail o nedoručenej zásielke alebo telefonát, ktorý sa vydáva za podporu obchodu, škoda sa rýchlo prenesie do reklamácií, chargebackov aj dôvery v značku. Európska policajná agentúra Europol píše, že zločinci dnes kombinujú phishing, telefonické podvody aj nástroje umelej inteligencie a správy prispôsobujú miestnemu jazyku aj zvykom obete.

Podvodníci útočia tam, kde zákazník čaká správu

Klasický phishing so zlou slovenčinou a podozrivou adresou nezmizol, ale už nie je jediným problémom. ENISA, teda agentúra Európskej únie pre kybernetickú bezpečnosť, vo svojej správe za rok 2024 zaraďuje phishing medzi hlavné a stále aktívne kybernetické hrozby. Zároveň opisuje, že podvodné techniky sa vyvíjajú a sú presvedčivejšie než v minulosti.

Na Slovensku sa to prejavuje veľmi konkrétne. Národný bezpečnostný úrad vo svojej správe o kybernetickej bezpečnosti uviedol, že v druhom štvrťroku 2024 pokračovali podvody na Bazos.sk a pribúdali aj falošné telefonáty vydávajúce sa za políciu alebo Europol. Úrad už v starších materiáloch upozornil aj na to, že phishingové kampane sa presúvajú do komunikačných aplikácií a online predajných platforiem, teda presne tam, kde ľudia bežne čakajú správu o objednávke, platbe či doručení.

To je z pohľadu e-shopu podstatná zmena. Útočník sa už nemusí pokúšať nabúrať priamo do systému obchodu. Stačí, ak sa postaví medzi firmu a zákazníka, napodobní kuriéra, platobnú výzvu alebo zákaznícku podporu a presvedčí klienta, aby klikol na odkaz alebo zadal údaje z karty. Slovenský portál OnlinePODVODY.sk medzi častými hrozbami uvádza kradnutie identity, podvody na bazároch, falošné e-shopy, smishing aj falošnú technickú podporu.

Pre malé firmy a živnostníkov, ktorí predávajú cez internet, je dôležité aj to, že podvody sú čoraz viac lokalizované. Často sa viažu na zásielky, bazárový predaj, SMS o údajne neúspešnej platbe alebo správu, že kuriér potrebuje doplniť adresu. Na domovskej stránke OnlinePODVODY.sk bola databáza aktívnych hrozieb aktualizovaná 13. augusta o 6:30, čo len potvrdzuje, že nejde o ojedinelé kampane, ale o priebežne sa meniace scenáre.

Kde firmy robia najdrahšie chyby

Najslabším miestom často nebýva samotné heslo, ale proces. Ak jeden človek vo firme prijíma objednávky, mení adresy doručenia, rieši reklamácie aj telefonáty o platbách, podvodník potrebuje len vytvoriť tlak na rýchlosť. Preto už nestačí mať silné prihlasovacie údaje. Firma potrebuje aj jasné pravidlá, kedy sa objednávka alebo zmena údajov overuje ručne a kto má právo taký zásah potvrdiť.

Varovné signály bývajú v praxi podobné. Firma by mala spozornieť najmä vtedy, keď sa naraz objaví viac z týchto okolností:

• zákazník po zaplatení žiada rýchlu zmenu adresy, dopravcu alebo kontaktnej osoby,
• meno pri platbe nesedí s menom v objednávke a komunikácia prichádza z iného e-mailu či čísla,
• správa o údajne neúspešnej platbe vedie na cudziu doménu alebo skrátený odkaz,
• účet sa po dlhšej neaktivite prihlási z nového zariadenia a hneď mení heslo či kontaktné údaje.

Ani jeden z týchto znakov ešte sám osebe nedokazuje podvod. Ak sa však spoja, mal by nasledovať ručný kontakt so zákazníkom cez oficiálny kanál, nie cez číslo alebo odkaz zo sporného e-mailu. Europol pri podvodoch v online obchode odporúča overovať potvrdenia objednávok a neotvárať podozrivé prílohy či odkazy, aj keď sa tvária ako správa od dôveryhodného obchodníka.

Pre e-shop to v praxi znamená, že pracovník zákazníckej podpory by nemal „dokončovať“ platbu cez link zaslaný v e-maile od zákazníka ani sa spoliehať na screenshot o úhrade. Overenie má prebehnúť priamo v administrácii obchodu, v platobnej bráne alebo na účte firmy. Podobne by sa mali zvlášť schvaľovať refundácie, zmeny čísla účtu a zásahy do objednávky po zaplatení.

Dôležitá je aj rýchlosť reakcie. OnlinePODVODY.sk upozorňuje, že po incidente býva kľúčová prvá hodina. Malé firmy preto potrebujú jednoduchý postup aj na víkend alebo večer: kto blokuje účet, kto kontaktuje platobnú bránu, kto osloví zákazníka a kto pripraví oznam na web alebo sociálne siete, ak sa zneužíva meno obchodu.

Čo má firma hovoriť zákazníkom

Časť škôd vzniká ešte skôr, než podvodník zasiahne samotný obchod. Ak zákazník nevie, ako firma komunikuje, ľahšie naletí. E-shop by preto mal na viditeľnom mieste uvádzať, z akej domény posiela platobné odkazy, či niekedy žiada údaje z karty telefonicky a ako vyzerá oficiálna komunikácia pri probléme s doručením.

Praktické upozornenia by mali byť stručné a opakované. Zákazníkovi treba jasne povedať, že obchod nebude pýtať PIN ku karte, prihlasovací kód z banky ani heslo cez SMS, chat alebo telefonát. Ak sa objaví podozrivá správa v mene firmy, zákazník má otvoriť web obchodu priamo v prehliadači a neklikať na odkaz z prijatej správy.

To isté platí pre predaj cez bazáre a malé služby, ktoré fungujú skôr cez sociálne siete než cez plnohodnotný e-shop. Národný bezpečnostný úrad opakovane opisuje podvody na Bazos.sk, kde útočníci predstierajú záujem o kúpu a pošlú predajcovi odkaz na falošnú platobnú stránku alebo kuriérsky formulár. Pre freelancera či malú dielňu je to rovnaké riziko ako pre obchod: príde o peniaze aj o dôveru klienta, ak sám nevie, čo je oficiálna platba a čo iba dobre pripravená pasca.

OnlinePODVODY.sk pri téme kradnutia identity uvádza nárast o 35 percent. Pre firmy je to problém aj vtedy, keď im útočník priamo nevykradne účet. Stačí, aby niekto zneužil názov obchodu vo falošnej SMS alebo na podvrhnutej stránke, a náklady sa presunú do vybavovania sťažností, vysvetľovania zákazníkom a obnovy mena značky.

Preto sa dnes oplatí investovať menej do jednorazových poučení a viac do rutiny. Každý, kto vo firme prijíma peniaze, mení objednávky alebo komunikuje so zákazníkom, by mal vedieť rozpoznať podozrivú správu a mať jasný postup, čo urobiť ďalej. Najväčšie riziko totiž nevzniká v deň, keď príde primitívny podvodný e-mail, ale vtedy, keď útočník vyzerá ako bežný kuriér a firma nemá pripravené, kto a ako ho overí.