Odkaz není to co vypadá — anatomie URL kterou nikdo nevysvětluje

Začnu od základu, protože většina lidí tento krok přeskočí a pak se diví. URL má strukturu. Dá se číst jako věta, pokud víš kde hledat.

Vezmi si příklad: https://prihlaseni.csob-online.podvod-web.ru/heslo. Na první pohled vidíš „csob“ a mozek si řekne „jo, to je banka“. Ale klíčová část URL — doména — je podvod-web.ru. To co vidíš vlevo je jen subdoména. Může tam být napsáno cokoliv. Skutečný vlastník webu se schovává za tečkou těsně před lomítkem.

Tohle je základní pravidlo: domény čti zprava. Poslední část před prvním lomítkem je skutečný web. Všechno vlevo od ní je jen „popis“ který si nastavil útočník sám.

Další věc — délka. Legitimní weby mívají krátké, čitelné adresy. Pokud URL obsahuje 80 znaků nahodilých písmen a číslic, nikdo z lidí ji nevytvořil ručně. Generovalo ji buď zkracovací služby (bit.ly, tinyurl), nebo malware. Obojí je důvod ke zpomalení.

HTTP vs HTTPS. Dnes je HTTPS naprostý standard — i blog o kočkách ho má. Pokud web v roce 2024 běží na HTTP, buď je zastaralý nebo na něm záměrně chybí základní bezpečnost. Neznamená to že HTTPS = bezpečný web. Certifikát si dnes koupí každý podvodník za pár euro. Ale HTTP = červená vlajka.

Zkrácené a skryté odkazy — kde se schovávají největší problémy

Zkrácené URL jsou samy o sobě neutrální nástroj. Používají je novináři, marketéři, firmy v SMS kampaních. Problém je že úplně skryjí cíl. Klikneš na bit.ly/xK3mZ9 a nevíš kam jedeš.

Existují nástroje které zkrácenou URL rozbalí dřív než klikneš. Stačí přidat „+“ na konec bit.ly odkazu a uvidíš náhled. Podobně funguje checkshorturl.com nebo expandurl.net. Dvě sekundy. Potenciálně zachráněné hodiny.

Horší kategorie jsou anchor texty v e-mailech. Text odkazu říká „klikni zde pro potvrzení účtu“ a skutečná URL míří úplně jinam. V HTML e-mailu tohle vidíš jen když najedeš kurzorem nad odkaz a podíváš se dolů do stavového řádku prohlížeče nebo e-mailového klienta. Ne na text. Na URL která se zobrazí dole.

Zkoušel jsem to sám — dostal jsem phishingový e-mail vypadající jako od Alzou. Text byl perfektní, logo správné, font odpovídající. Až najíždění myší odkrylo doménu registrovanou v Rumunsku tři dny před tím. Nic víc nepotřebuji vědět.

Telefonní čísla v odkazech — speciální kategorie podvodů

Tady se dostávám k tématu, o kterém se mluví méně. Kombinace odkazu a telefonního čísla. Přijde SMS s odkazem. Odkaz vede na stránku, kde je telefon „zákaznické podpory“. Zavoláš. A teprve tam začne skutečný útok.

Tohle se jmenuje vishing kombinovaný s phishingem, a funguje proto, že lidé důvěřují hlasu víc než textu. Stránka může vypadat amatérsky, ale jakmile na druhém konci je živý člověk který zná tvoje jméno a „číslo objednávky“, mozek přepne do důvěřivého módu.

Čísla v těchto scénářích jsou obvykle čísla call center — buď zahraničních (předvolby +44, +62, +371, různé exotické kombinace), nebo tuzemských přesměrovaných přes VoIP. Pokud ti přijde odkaz s výzvou zavolat, první věc je ověřit číslo samostatně. Nepoužívej číslo z odkazu. Hledej kontakt přímo na webu firmy zadaném ručně do prohlížeče. Nebo ho vyhledej přes databázi jako je cislo.info, kde uvidíš co říkají ostatní uživatelé — jestli číslo hlásili jako podvod, telemarketing nebo je čisté.

V praxi: telefonní číslo a odkaz ve stejné nevyžádané zprávě = vždy prověřit dřív než cokoliv uděláš.

Jak odkaz prověřit za méně než minutu

Máš podezřelý odkaz. Co s ním? Postup který funguje:

• Neklikej přímo. Nikdy na neznámý odkaz z e-mailu nebo SMS neklikej rovnou.
• Zkopíruj URL a vlož ji do Google Safe Browsing checku — nástroj je na transparencyreport.google.com/safe-browsing/search. Výsledek máš za 5 sekund.
• Pro pokročilejší pohled použij VirusTotal.com — vloží URL a 80 různých bezpečnostních enginů ji prověří zároveň.
• Pokud je URL zkrácená, nejdřív ji rozbali přes expandurl.net nebo přidáním „+“ za bit.ly adresy.
• Přečti doménu zprava. Kdo je skutečný vlastník? Je to doména co dává smysl v kontextu zprávy?

Celý postup zabere méně než minutu. Podvod který by trval hodiny zpětného řešení — ne.

QR kódy jsou odkaz, jen jinak zabalený

QR kód naskenovaný telefonem je odkaz. Nic víc. A platí pro něj úplně stejná pravidla — jen je těžší si před skenováním přečíst co za ním je.

V posledních dvou letech přibývají fyzické QR kódy nalepené přes legitimní — na parkovacích automatech, jídelních lístcích, dokonce i na veřejných nabíječkách. Původní kód je překrytý falešným. Naskenujete, přijdete na stránku co vypadá jako platební portál, zadáte kartu. Hotovo — data odjela.

Příznaky falešného QR kódu: nálepka vypadá přilepená navíc, nesedí přesně s tiskovinou, nebo URL po naskenování začíná jinak než byste čekali od té konkrétní firmy. Dobrá praxe je před potvrzením platby zkontrolovat zobrazenou URL — ty lepší telefony ji zobrazí dřív než přesměrují.

Londýnská policie v roce 2023 zaznamenala přes 1 400 hlášených případů QR phishingu za jediný kvartál. Číslo z Česka nemám, ale trend je globální a není důvod myslet že jsme výjimka.

Jeden návyk který změní víc než jakýkoliv software

Tohle je místo kde bych chtěl říct silnou věc: bezpečnostní software je záchranná síť, ne obrana. Pokud klikneš na odkaz a čekáš že antivirus tě zachrání — plán funguje v 80 % případů. Ve zbývajících 20 % přijde škoda.

Jediný návyk co skutečně mění výsledek: pauza před kliknutím. Tři sekundy. Najeď myší, koukni na URL dole v prohlížeči. Přečti doménu zprava. Dává smysl v kontextu toho co čteš? Pokud ano, klikni. Pokud máš sekundu pochybnosti, prověř.

Vím, zní to banálně. Ale z vlastní zkušenosti vím, že 90 % lidí co mi posílají „co s tím odkaz mám dělat“ — ho skoro klikli proto, že jednali rychle. Útočníci na rychlost sází. Urgentní jazyk, odpočítávání, „vaše konto bude do 24 hodin zablokováno“. Stres zrychluje klikání a vypíná kritické myšlení. To je design, ne náhoda.

Zpomal. Odkaz nikam neutíká. Pokud utíká — je to součást manipulace.

Když odkaz přijde od kamaráda nebo rodiny

Tenhle případ je psychologicky nejtěžší. Číslo nebo kontakt znáš. Obsah zprávy může sedět. Přesto — přišel ten odkaz od reálně kontrolovaného zařízení? Nebo byl účet kompromitován?

Nejčastěji vidím tenhle scénář na WhatsAppu a Messengeru. Kompromitovaný účet rozešle všem kontaktům zprávu s odkazem — „koukni na tenhle video“ nebo „vyhrál jsi, ověř se zde“. Odesílatel o tom neví. Příjemce důvěřuje protože jméno zná.

Pokud od kamaráda přijde odkaz bez kontextu, bez předchozí konverzace, s divnou URL — zavolej mu. Buď ho nebo ji. Hovor trvá 20 sekund a může ušetřit problém oběma stranám.

Pravidlo které jsem si nastavil: neznámý odkaz z důvěryhodného zdroje je pořád neznámý odkaz. Zdroj a obsah jsou dvě různé věci.

Co dělat když jsi už klikl

Stalo se. Klikl jsi a teď si nejsi jistý co bylo na druhém konci. Nezpanikař — to je druhá věc na které útočníci staví. Panika vede k dalšímu rychlému jednání.

Odpoj se od internetu. Jednoduché a účinné — přeruší to aktivní spojení pokud probíhá stahování. Pak spusť antivirovou kontrolu. Zkontroluj co se otevřelo — pokud stránka jen načetla a nic jsi nevyplnil ani nestahoval, pravděpodobnost reálné škody je nízká. Pokud jsi zadal přihlašovací údaje, změň heslo okamžitě na jiném, bezpečném zařízení. Pokud platební data — kontaktuj banku.

Hlásit incident můžeš na NÚKIB (Národní úřad pro kybernetickou a informační bezpečnost) nebo přes formulář na policie.cz. Neřeší to tvůj konkrétní případ operativně, ale pomáhá to mapovat trendy a varovat ostatní.

Odkaz je jenom text. Ale text může být brána — a co je za ní, kontroluješ jen do okamžiku kliknutí. Po té sekundě kontrola přechází jinam. Tři sekundy předtím jsou levnější než týden potom.