Většina lidí si myslí, že phishing poznají. Překlep v emailu, divná adresa odesílatele, podezřelý odkaz. Jenže to jsou relikty z roku 2010. Moderní phishingové útoky nevypadají jako spam. Vypadá jako email od Vašeho účetního, zpráva od kolegy nebo hovor z čísla, které znáte. Útok funguje, protože útočník neútočí na Váš počítač útočí na Vás. Za každým úspěšným phishingem je sociální inženýrství: systematická manipulace s lidskou psychologií. Útočníci využívají časový tlak, autoritu a důvěru. Žádný antivirus tohle nezachytí, protože se to děje ve vaší hlavě. <!–more–>
Spear phishing: Útok připravovaný týdny
Klasický phishing je hromadný – milion emailů, někdo klikne. Spear phishing je jeho opak: jeden cíl, maximální příprava. Útočník si nejdřív udělá průzkum. LinkedIn prozradí strukturu firmy a jména kolegů. Web firmy odhalí, kdo je majitel a kdo účetní. Sociální sítě ukážou, na čem firma pracuje a s kým spolupracuje. Z těchto informací vznikne email, který je skoro neodhalitelný. Nepřichází od „Česká Spořitelna Security“, ale od jan.novak@vas-dodavatel-podobnadomena.cz a odkazuje na konkrétní fakturu č. 2024-0847, kterou opravdu čekáte. Pražské malé firmy jsou pro spear phishing atraktivní cíl – jsou dost velké na to, aby měly co ukrást, ale příliš malé na to, aby měly bezpečnostní oddělení.
Vishing: Deepfake vám zavolá hlasem šéfa
Vishing (voice phishing) existoval dávno před AI, ale generativní modely ho posunuly na jinou úroveň. Klasický vishing: zavolá „pracovník banky“ a přesvědčí vás k převodu peněz nebo prozrazení přihlašovacích údajů. Funguje na principu autority a časového tlaku. AI vishing v roce 2026: útočník nahraje 30 sekund hlasu vašeho jednatele z YouTube videa nebo firemní prezentace. Nástroje na klonování hlasu z toho vytvoří plně funkční repliku schopnou vést konverzaci v reálném čase. Výsledek: zaměstnanec dostane hovor od „šéfa“, který mu říká, ať okamžitě převede zálohu novému dodavateli. Hlas sedí, kontext dává smysl, tlak je vysoký. Bez předem dohodnutého ověřovacího protokolu ve firmě je tohle skoro nezastavitelné.
Quishing: QR kód jako past
QR kódy jsou ideální phishingový vektor z jednoho prostého důvodu: většina lidí URL z QR kódu před kliknutím nevidí ani nezkontroluje. Quishing funguje takto: útočník vytiskne nebo vloží QR kód, který vede na falešnou přihlašovací stránku. Nejčastější scénáře jsou QR kód nalepený přes legitimní kód v restauraci nebo na parkovišti, QR kód v emailu nebo dokumentu s výzvou k ověření identity, nebo QR kód v tištěném dopise vypadajícím jako od úřadu nebo banky. Mobilní prohlížeče bezpečnostní upozornění zobrazují méně výrazně než desktopové. A antivirové řešení na telefonu má málokdo.
Smishing: SMS, které čekáte
SMS phishing je efektivní, protože SMS jako kanál stále vnímáme jako důvěryhodnější než email. Moderní smishing cílí na firemní telefony s přesně načasovanými zprávami. Zásilková SMS přijde právě ve chvíli, kdy firma opravdu čeká balík od dodavatele. Zpráva „přihlaste se pro potvrzení doručení“ vypadá legitimně a odkaz vede na věrnou kopii stránek dopravce.
Reálný příklad: Balíkovna phishing z ledna 2026
Tady je konkrétní příklad phishingového emailu, který dorazil do české schránky v lednu 2026. Na první pohled vypadá věrohodně logo Balíkovny, správná čeština, profesionální design.
Co na něm není vidět pouhým okem, ale prozradí zdrojový kód:
- Odesílatel je noreply@masivos.mmarketpos.cl přípona .cl znamená Chile, ne Česká republika.
- Tlačítko „Vezmi si můj balíček!“ nevede na balikovna.cz, ale na louvrier.net phishingový web útočníka.
- Logo Balíkovny je načteno přímo z oficiálního serveru Balíkovny, proto vypadá legitimně ale odkaz na něm vede jinam.
- Email obsahuje tracking pixel: útočník okamžitě ví, že jste zprávu otevřeli, ještě než cokoliv kliknete.
- Spam skóre bylo 4.5 z 5.0 těsně pod prahem blokace. Útočníci filtry aktivně testují a kalibrují.
Co s tím jako firma nebo živnostník
Phishing nelze vyřešit instalací jednoho softwaru. Je to kombinace technických opatření a lidského faktoru. Technicky: SPF, DKIM a DMARC záznamy na firemní doméně výrazně sníží pravděpodobnost, že někdo rozešle phishing vaším jménem. Správně nastavený emailový filtr zachytí část útoků dřív, než se dostanou k zaměstnancům. Procesně: stačí jedno pravidlo – jakýkoliv platební požadavek přes neobvyklý kanál se vždy ověřuje zpětným hovorem na ověřené číslo. Žádná výjimka.
Lidsky: pravidelné simulace phishingových útoků ukážou, kde jsou slabá místa, dřív než to ukáže skutečný útočník. Pokud chcete vědět, jak na to ve vaší firmě, nebo chcete nechat prověřit vaše současné nastavení ozvěte se mi.
Zdroje:
https://www.fbi.gov/how-we-can-help-you/scams-and-safety/common-frauds-and-scams/spoofing-and-phishing
https://nukib.gov.cz/cs/infoservis/doporuceni/1494-phishing-stale-aktualni-hrozba/
