Jak během svátků zůstat online v bezpečí

Žena v šedém svetru sedí u stolu a dívá se na telefon.

Co potřebují bezpečnostní pracovníci vědět

Kyberzločinci si nenechají ujít žádnou příležitost, kdy mohou zneužít lidskou nepozornost – a během svátků je to pro ně ještě snazší. Nakupování, čas s rodinou, nepříjemná nachlazení a setkávání s blízkými přes internet – to jsou pro útočníky ideální podmínky.

Bohužel tento nárůst legitimní aktivity vytváří útočníkům dokonalou zástěrku. Data Analýzy hrozeb Microsoft ukazují, že útočníci načasovávají kampaně na období, kdy jsou lidé rozptýlení, ve spěchu a více důvěřují e-mailům od prodejců nebo doručovacích služeb.

Tyto sezónní vzorce se konzistentně objevují v telemetrii Microsoftu i v Microsoft Digital Defense Reportu 2025 (MDDR), který upozorňuje na to, že útoky typu sociálního inženýrství a útoky založené na zosobnění podpořené AI během období s vysokým objemem transakcí rostou jak v počtu, tak v úspěšnosti.

Tady je pár věcí, na které by si experti i běžní uživatelé měli dát pozor, jakmile se blíží svátky.

Phishing pomocí kódu zařízení

Během svátečního shonu, kdy prudce roste počet objednávek, aktualizací o doručení, ověřování identity a upozornění na podvody, útočníci využívají všeobecného chaosu. Posílají zprávy, které uživatele vyzývají k zadání „ověřovacího kódu“ kvůli nápravě problému s nákupem nebo potvrzení doručení. Takové sdělení působí důvěryhodně a naléhavě, což snižuje míru podezření. Zadání takového kódu ale může útočníkům nepozorovaně udělit ověřovací přístup k účtu uživatele, aniž by bylo potřeba heslo.

Analýza hrozeb Microsoftu dlouhodobě sleduje nárůst těchto technik převzetí účtu bez použití přihlašovacích údajů v prostředích spotřebitelských i firemních. Útočníci používají phishing se získáním kódu zařízení a phishing založený na souhlasu, protože jsou jednoduché, snadno škálovatelné a velmi účinně obcházejí tradiční ochrany proti krádeži přihlašovacích údajů. Během nákupních špiček tyto návnady plynule splývají s legitimní komunikací, což ztěžuje detekci a zvyšuje pravděpodobnost kompromitace.

Jak se bránit phishingu pomocí kódu zařízení

Omezte použití kódu zařízení všude, kde je to možné
Zlepšete přehlednost přihlašování a ověřování uživatelů
Při zjištění podezřelé aktivity okamžitě zrušte přístup
Využívejte zásady omezení rizika při přihlašování k automatizaci postupu
Průběžně sledujte riziková přihlášení

Útoky s falešnou CAPTCHA (schémata ClickFix)

Sváteční cestovní nabídky, bleskové slevy a nákupy dárků na poslední chvíli vytvářejí pro útočníky ideální podmínky, aby se skryli. Přesměrovací útoky, které se vydávají za potvrzení rezervace nebo propagační e-maily, často vedou oběti na stránku s CAPTCHA, což je prvek, kterému uživatelé důvěřují a který zřídka zpochybňují. Jenže to nejsou skutečné CAPTCHA. Útočníci je teď používají jako doručovací mechanismus pro instrukce sociálního inženýrství a vyzývají oběti, aby škodlivé příkazy vkládaly přímo do výzvy Spustit ve Windows nebo do konzole.

Analýza hrozeb Microsoft nedávno upozornila na rychlý růst těchto schémat ClickFix. Nepotřebují žádný řetězec zranitelností, stačí akce uživatele. Právě tato jednoduchost z nich dělá vysoce škálovatelnou a obzvlášť nebezpečnou hrozbu během sezónních špiček, kdy lidé jednají rychle a častěji vyhoví i zdánlivě rutinním výzvám.

Například těsně před Dnem díkůvzdání Analýza hrozeb Microsoftu odhalila a zablokovala rozsáhlou phishingovou kampaň skupiny Storm-0900, která cílila na desítky tisíc uživatelů v USA. Útočník načasoval operaci na svátek, kdy byli lidé rozptýlení a očekávali naléhavé zprávy.

E-maily používaly známé návnady, jako jsou parkovací pokuty, lékařské výsledky a odkazy na Den díkůvzdání. Každá zpráva přesměrovala oběti na web pod kontrolou útočníka s falešnou slider CAPTCHA, po níž následovala výzva ClickFix.

Microsoft tuto kampaň narušil pomocí filtrování, ochrany koncových bodů a preventivního blokování infrastruktury útočníků. Kampaň ale jasně ukazuje, jak útočníci kombinují důvěryhodné prvky rozhraní, jako jsou CAPTCHA, s technikami vyžadujícími spuštění akce uživatelem, aby obešli tradiční ochrany.

Jak se bránit útokům s falešnou CAPTCHA a ClickFix

Zaveďte řízení aplikací a omezte možnosti spouštění příkazů
Zakažte nebo přísně omezte nepotřebná rozhraní příkazového řádku
Zpevněte zásady zabezpečení prohlížeče a filtrování adres URL
Posilte u uživatelů návyk vyhodnocovat neočekávané akce
Sledujte neobvyklé vzorce spouštění příkazů
Dodržujte design účtů na principu co nejmenších oprávnění

Podvody s vydáváním se za technickou podporu

Lidé cestují s méně zabezpečenými osobními zařízeními, připojují se k hotelové Wi‑Fi a čelí více technickým potížím. Útočníci toho zneužívají tím, že se vydávají za pracovníky podpory a řeší neexistující problémy. Tyto podvody pravidelně kulminují mezi listopadem a lednem, zejména u starších členů rodiny nebo u lidí, kteří nejsou příliš technicky zdatní.

Zpráva MDDR 2025 označuje podvody s vydáváním se za technickou podporu za jednu z nejúspěšnějších kategorií podvodů na světě. Konkrétně vydírání a ransomware stojí za polovinou všech kyberútoků.

Aktéři hrozeb stále častěji využívají skripty generované AI, věrohodné telefonní identity a vydávání se za značky, aby působili důvěryhodněji. Výsledkem je přesvědčivá záminka, která může vést k instalaci malwaru pro vzdálený přístup, krádeži přihlašovacích údajů nebo úplnému převzetí účtu.

Pro bezpečnostní i vedoucí pracovníky jsou tyto podvody obzvlášť znepokojivé, protože stírají hranici mezi osobním a firemním rizikem: kompromitované osobní zařízení připojené k hotelové Wi‑Fi se může rychle stát odrazovým můstkem pro rozsáhlejší útoky.

Jak se bránit podvodům s vydáváním se za technickou podporu

Omezte útočnou plochu pomocí přísných kontrol vzdáleného přístupu
Posilte v celé organizaci kulturu ověřování
Školte uživatele ke skepsi vůči naléhavým požadavkům i nabízené pomoci
Zabezpečte zařízení používaná na cestách
Blokujte domény napodobující legitimní weby a podvodné stránky
Sledujte zneužívání nástrojů pro vzdálený přístup a neobvyklé vzorce na helpdesku
Zajistěte jasné a rychlé kanály pro hlášení

Falešná oznámení o odeslání a doručení

O svátcích každý neustále netrpělivě vyhlíží spoustu zásilek. Aktéři hrozeb se do tohoto procesu dokážou vlámat. Když se hodně lidí současně stará o tucet zásilek, další e-mail o zpoždění nebo nutnosti potvrdit adresu už nevzbuzuje podezření.

Podle Digital Defense Report patří phishing s tématikou dopravy mezi nejzneužívanější kategorie vydávání se za někoho jiného. Analýza hrozeb Microsoftu každou sváteční sezónu zaznamenává předvídatelné nárůsty těchto logistických návnad, kdy se útočníci vydávají za známé dopravce, jako jsou UPS, USPS, FedEx, Amazon, DHL a regionální poštovní služby. Branding působí věrohodně, načasování dává smysl a očekávání uživatelů během nákupní špičky dělají z těchto útoků mimořádně účinný nástroj.

Protože tyto kampaně napodobují legitimní transakční procesy a často využívají skutečná sledovací čísla získaná z úniků dat nebo z napadených e-mailových schránek, je pro uživatele stále obtížnější odlišit je od skutečných oznámení.

Jak se bránit podvodům s falešnými oznámeními o odeslání a doručení

Zaveďte ochranu URL a domén, která zneškodní pokusy o vydávání se za jiné subjekty
Zpevněte v období vrcholících nákupů návyky uživatelů ohledně ověřování
Použijte podmíněný přístup pro finančně citlivé akce
Přidejte behaviorální detekci pro vytváření pravidel pošty a anomálie v přeposílání
Nasazujte ochranu proti podvodům s identitou a použijte zásady ověřování odesílatele

Podvody s charitou a dary

Ve 4. čtvrtletí roste štědrost, zejména během Giving Tuesday, a útočníci toho zneužívají. AI dnes aktérům hrozeb umožňuje ve velkém vytvářet profesionálně působící weby neziskových organizací, emocionálně silné příběhy i přesvědčivé darovací formuláře. Vytvářejí naléhavé, na city hrající příběhy o pomoci při katastrofách, komunitních sbírkách nebo poslední šanci v rámci svátečních kampaní a snaží se spojit dobrou vůli s rozptýlením a tlakem.

Jak se bránit podvodům s charitou a dary

Posilte kulturu ověřování — zejména v obdobích darů na charitu
Podporujte využívání prověřených dárcovských platforem
Blokujte a sledujte domény podobné známým značkám nebo nově registrované domény
Zaveďte kontroly identit odolné vůči phishingu a detekci anomálií
Vzdělávejte zaměstnance i další zúčastněné strany o proměnách podvodných taktik

Užijte si svátky, ale mějte oči otevřené

Bezpečnost by neměla kazit radost ze svátků, ale v obdobích vysoké aktivity a rozptýlení je ostražitost důležitější než kdy jindy. Doporučení Microsoftu v rámci Be Cybersmart Kit se v tomto bodě shodují: pauza, ověření a překontrolování často rozhodují o tom, zda zůstanete v bezpečí, nebo se stanete obětí.