V posledních týdnech se v Česku objevuje nový typ podvodu, který využívá důvěryhodnosti České pošty. Do schránek přicházejí padělaná oznámení o nezastižení příjemce se zlomyslným QR kódem, který vede na phishingovou stránku. Cílem útočníků jsou především platební karty a přihlašovací údaje k bankovním účtům. Jak tento podvod funguje a jak se proti němu bránit?
Mechanismus podvodu s falešnými oznámeními
Podvodníci do poštovních schránek vhazují lístky, které na první pohled vypadají jako standardní upozornění pošty na nedoručenou zásilku. Dokument obsahuje QR kód s výzvou k rychlému jednání – údajně kvůli nevyzvednuté zásilce, která čeká na pobočce. Po naskenování kódu mobilním telefonem se však uživatel nedostane na legitimní stránky České pošty, ale na precizně vytvořenou kopii.
Falešná webová stránka vyžaduje zadání citlivých informací – jméno, příjmení, telefonní číslo a především kompletní údaje z platební karty včetně CVV kódu. Některé varianty phishingových stránek dokonce simulují proces ověření platby, aby získaly i jednorázové kódy zasílané bankou. Veškeré takto zadané informace putují přímo do rukou kyberzločinců.
Jak rozpoznat podvodný lístek
Existuje několik znaků, podle kterých lze falešné oznámení identifikovat. Především je třeba zkontrolovat webovou adresu, na kterou QR kód vede. Oficiální stránky České pošty používají doménu ceskaposta.cz, zatímco podvodné weby často obsahují podobně znějící, ale odlišné adresy.
Další varovný signál představuje požadavek na zadání platebních údajů. Česká pošta nikdy nevyžaduje informace o platební kartě prostřednictvím QR kódu na lístku o nedoručení. Grafická úprava falešných dokumentů bývá často nekvalitní s překlepy nebo neobvyklým formátováním textu.
Dostala jsem takový lístek minulý týden. Naštěstí mě zarazilo, že po mně chtějí zadat údaje z karty jen kvůli ověření zásilky. To přece nemá logiku. Radši jsem zavolala přímo na pobočku a tam o žádné zásilce nevěděli.
Doporučené kroky při objevení podezřelého lístku
Pokud naleznete ve schránce oznámení o nedoručené zásilce, nepoužívejte QR kód bez předchozí kontroly. Místo toho kontaktujte přímo pobočku České pošty telefonicky nebo navštivte její oficiální webové stránky zadáním adresy ručně do prohlížeče.
V případě, že jste již údaje zadali, je nutné okamžitě jednat. Kontaktujte svou banku a požádejte o zablokování platební karty. Změňte přihlašovací údaje k internetovému bankovnictví a sledujte pohyby na účtu. Incident také nahlaste Policii ČR.
- Nikdy neskenovávejte QR kódy z neověřených zdrojů
- Kontrolujte URL adresu před zadáním jakýchkoli údajů
- Česká pošta nevyžaduje platební údaje přes QR kódy
- Při podezření kontaktujte přímo pobočku nebo zákaznickou linku
- Používejte antivirus a bezpečnostní aplikace na mobilních zařízeních
Širší kontext phishingových útoků v Česku
Tento typ podvodu představuje pouze jednu z mnoha variant phishingových útoků, které v posledních letech sužují české uživatele internetu. Kyberzločinci neustále zdokonalují své metody a využívají důvěryhodnosti známých institucí – kromě pošty se jedná například o banky, mobilní operátory nebo e-shopy.
Podle bezpečnostních expertů je klíčová prevence a osvěta. Uživatelé by měli být obezřetní vůči jakýmkoliv neočekávaným žádostem o osobní nebo finanční údaje, a to bez ohledu na to, jak důvěryhodně komunikace vypadá. Základním pravidlem zůstává, že legitimní instituce nikdy nevyžadují citlivé informace prostřednictvím odkazů v e-mailech nebo QR kódů.
Česká pošta na svých oficiálních kanálech opakovaně varuje před touto formou podvodu a doporučuje občanům zvýšenou ostražitost. V případě jakýchkoli pochybností je vždy lepší ověřit si informace přímo u zdroje, než riskovat kompromitaci svých finančních údajů.