Phishing – co to je a jak ho poznat?

Phishing (vyslovuje se „fišink”, z anglického fishing – rybaření) je kybernetický útok, při němž útočník napodobuje důvěryhodnou osobu nebo organizaci s cílem přimět oběť k vyzrazení citlivých údajů, provedení platby nebo instalaci škodlivého softwaru.

Termín vychází z analogie s rybolovem: útočník „hodí návnadu” (podvodnou zprávu) a čeká, zda se někdo „chytí”.

Jak phishing funguje

Phishingový útok stojí na sociálním inženýrství – ne na technickém proniknutí do systému. Útočník vytvoří zprávu nebo stránku, která:

• Napodobuje vizuální styl důvěryhodné organizace (banka, kurýr, státní úřad).
• Vyvolává naléhavost nebo strach („váš účet bude zablokován”).
• Obsahuje odkaz vedoucí na falešnou stránku nebo přílohu s malwarem.

Oběť ze strachu nebo nedostatku pozornosti zadá přihlašovací údaje, číslo platební karty nebo jiné citlivé informace – které putují přímo útočníkovi.

Typy phishingu

E-mailový phishing je nejrozšířenější formou. Zprávy napodobují komunikaci bank (ČSOB, Česká spořitelna, Air Bank), kurýrních služeb nebo státních portálů. Podle dat CSIRT.CZ za rok 2024 tvořil phishing 74 % z celkových 2 281 kybernetických incidentů v ČR.

Smishing (SMS phishing) využívá textové zprávy. V ČR dominují falešné zprávy o zásilce od České pošty, Zásilkovny, Balíkovny, PPL nebo DPD s výzvou k úhradě doplatku ~28 Kč. Podrobný průvodce: Falešné SMS od České pošty a kurýrů: jak je rozpoznat a co dělat.

Vishing (voice phishing) probíhá telefonicky. Útočník se vydává za zaměstnance banky, technické podpory Microsoftu nebo jiné instituce. Varuje oběť před „podezřelou transakcí” nebo „virem v počítači” a vede ji k instalaci vzdáleného přístupu nebo k převodu peněz.

Spear phishing je cílená varianta namířená na konkrétní osobu. Útočník zprávu personalizuje – zná jméno oběti, její zaměstnavatele, kolegy nebo aktuální situaci. Je těžší ho odhalit než hromadný phishing.

Clone phishing kopíruje legitimní e-mail, který oběť skutečně dostala, ale nahrazuje odkaz nebo přílohu škodlivou verzí.

Příklady phishingu v ČR

Phishingové kampaně v České republice typicky zneužívají:

• Banky – ČSOB, Česká spořitelna, Air Bank, Komerční banka: falešná přihlašovací stránka nebo výzva k „ověření identity”.
• Datová schránka a Portál občana – notifikace vedoucí na falešnou přihlašovací stránku.
• Finanční správa – falešné oznámení o vrácení daňového přeplatku.
• Česká pošta a kurýrní služby – SMS o doplatku za zásilku.

Jak se bránit

Rozpoznání phishingu, kroky při napadení a hlášení incidentů podrobně popisuje průvodce Jak se bránit phishingu: průvodce pro uživatele v ČR. Obecné základy bezpečnosti na internetu jsou shrnuty v Bezpečnost na internetu: kompletní průvodce pro rok 2026.