Podvod s vrátením dane: ako si vás nájdu podľa domény a čo prezradí hlavička

Začiatkom augusta prišiel do jednej z našich schránok e-mail s predmetom „Finále oznámenie: Daňový rok 2025, nárok na vrátenie". Tváril sa ako oznámenie Finančnej správy, sľuboval preplatok 410,30 eura a žiadal jediné: potvrdiť bankové údaje cez tlačidlo v správe. Prešiel antispamom, vyzeral slušne a mieril na konkrétneho človeka. Rozobrali sme ho do detailu, pretože ukazuje presne to, ako dnes cielený phishing funguje.

Najprv si nájdu majiteľa domény

Zaujímavé na tejto správe nie je to, čo v nej stálo, ale komu prišla. Nešla na verejnú adresu typu info@, ktorá je uvedená na webe. Prišla na adresu zloženú z priezviska majiteľa domény, ktorá nie je nikde na stránke zverejnená.

Postup útočníka je pritom nudne jednoduchý:

1. Zoznam domén. Registre a rôzne prehľadové služby zverejňujú, ktoré domény vznikli a kedy im končí platnosť. Nová alebo čerstvo predĺžená doména hovorí, že za ňou niekto je a že ju používa.
2. Meno majiteľa. Registrácia býva dnes chránená, ale meno človeka alebo firmy sa nájde na samotnom webe, v obchodnom registri, v pätičke faktúry či na sociálnych sieťach.
3. Odhad adresy. Na e-mail sa potom skúšajú bežné tvary: meno@, priezvisko@, meno.priezvisko@. Ak má doména zapnutý takzvaný catch-all, teda schránku, ktorá prijme čokoľvek pred zavináčom, trafí sa útočník vždy.

Výsledok je nepríjemný v tom, že správa pôsobí adresne. Nejde o hromadný spam na tisíc adries, ale o e-mail, ktorý akoby niekto poslal práve vám. A presne to je dôvod, prečo na cielený phishing naletí aj opatrný človek.

Ak ste zvedaví, čo sa o vašej doméne dá zistiť, prečítajte si aj ako funguje expirácia domény a na čo si dať pozor pri e-maile s vlastnou doménou.

Čo bolo v správe

Obsah bol napísaný slušnou slovenčinou, bez typických pravopisných chýb, a tváril sa ako úradné oznámenie:

• referencia „PFS-2026-348726/9167" a daňové identifikačné číslo, aby to vyzeralo evidované,
• suma 410,30 eura ako preplatok za rok 2025,
• stav „Čaká na potvrdenie" a predpokladaná výplata o dva pracovné dni,
• termín odpovede a veta, že pri nedodržaní môže byť spracovanie oneskorené,
• v pätičke skutočná adresa Finančnej správy v Banskej Bystrici aj oficiálne kontaktné údaje.

Celé to stálo na jednom tlačidle „Potvrdiť vrátenie dane". Za ním nebol portál finančnej správy, ale cudzia doména, ktorá s daňami nemá nič spoločné, a v odkaze bola predvyplnená e-mailová adresa príjemcu. Falošné prihlásenie tak mohlo rovno ukázať vašu adresu, čo pôsobí dôveryhodne, a útočník sa zároveň dozvie, že schránka je živá.

Rozbor hlavičiek: prečo to prešlo filtrami

Hlavičky sú skrytá časť správy, ktorú si viete zobraziť v každom e-mailovom programe. Práve v nich býva podvod najlepšie vidieť. Tu bol nález jednoznačný:

Toto je najdôležitejšia lekcia celého prípadu: zelená pečiatka SPF a DKIM neznamená, že odosielateľ je ten, za koho sa vydáva. Tieto kontroly hovoria len to, že server smel posielať za svoju vlastnú doménu. Keď útočník zneužije cudzí účet, kontroly vyjdú v poriadku. Preto sa vždy pozerajte, aká doména je za zavináčom v skutočnej adrese odosielateľa.

Podrobný postup nájdete v článku ako si overiť podozrivý e-mail krok za krokom.

Neviditeľné znaky, ktoré klamú filtre

Keď sme si pozreli zdroj správy, našli sme v texte 26 neviditeľných znakov vložených priamo doprostred slov. Ide o takzvanú medzeru nulovej šírky, ktorú nevidíte, ale filter ju vidí. Slovo „Finančná" tak v zdroji nie je „Finančná", ale reťazec prerušený neviditeľným znakom.

Prečo to útočníci robia? Antispamové pravidlá hľadajú konkrétne slová a spojenia typu „vrátenie dane" alebo „finančná správa". Ak sa slovo rozbije neviditeľným znakom, jednoduché pravidlo ho nenájde, ale človek si prečíta úplne bežnú vetu. Je to lacný trik, ktorý stále funguje.

Prehliadnutá maličkosť, ktorá podvod prezradila

Podvodníci pracujú vo veľkom a robia chyby. V tejto správe ostali v predmete aj v mene odosielateľa nevyplnené zástupné texty zo šablóny, teda niečo ako {etax} a {Noreply}. Skutočná inštitúcia takú správu nikdy nepošle.

A ešte lepší detail: v texte bol termín na odpoveď 31. júla, pričom správa odišla 1. augusta. Lehota, ktorou vás strašia, bola po termíne skôr, než e-mail vôbec prišiel. Nátlak je totiž len rekvizita, aby ste nerozmýšľali.

Podľa čoho podvod spoznáte

• Sľubuje peniaze alebo straší pokutou a tlačí na krátky termín.
• Chce, aby ste „potvrdili" bankové údaje, číslo karty alebo heslo cez odkaz.
• Skutočná adresa odosielateľa je na inej doméne, než ktorou sa správa zaštiťuje.
• Odkaz vedie inam, ako sľubuje text. Kam naozaj vedie, zistíte podržaním prsta na odkaze alebo prejdením kurzora, ešte pred kliknutím.
• V odkaze je vaša e-mailová adresa alebo dlhý identifikátor.
• V texte sú zvyšky šablóny, nezmyselné čísla prípadov alebo dátumy, ktoré si protirečia.
• Oslovenie je všeobecné („Vážený daňovník"), hoci úrad vaše meno pozná.

Ak si nie ste istí, vložte správu do nášho bezplatného detektora podvodných e-mailov. Beží priamo vo vašom prehliadači, nič sa nikam neposiela a znaky vyhodnotí za vás.

Čo robiť, keď taký e-mail príde

1. Neklikajte a neodpovedajte. Odpoveď potvrdzuje, že schránka je živá.
2. Overte si to inou cestou. Ak by naozaj išlo o daňový preplatok, uvidíte to po prihlásení do portálu finančnej správy, do ktorého sa dostanete cez svoju záložku, nie cez odkaz zo správy.
3. Nahláste správu tlačidlom Nahlásiť phishing vo svojej schránke. Pomôže to aj ostatným.
4. Povedzte o tom kolegom. Rovnaká vlna zvyčajne chodí na viac adries v tej istej firme.
5. Ak ste už klikli a zadali údaje: hneď zmeňte heslo, zapnite dvojfaktorové overenie, skontrolujte prihlásené zariadenia a pravidlá presmerovania v schránke a pri platobných údajoch volajte banku.

Zhrnutie

Cielený phishing dnes nie je preklep v hromadnom spame. Útočník si nájde majiteľa domény, uhádne jeho adresu, pošle správu cez zneužitý účet na dôveryhodnom serveri a text poistí neviditeľnými znakmi, aby prešiel filtrami. Obrana však ostáva rovnaká: nikdy nepotvrdzujte bankové údaje cez odkaz v e-maile, pozerajte na doménu za zavináčom a pri pochybnostiach si vec overte inou cestou. Podvodníkovi stačí, aby ste raz klikli bez rozmyslu. Vám stačí, aby ste raz nezaklikli.

Tento článok je súčasťou prehľadu Kybernetická bezpečnosť.