Jaká je nejkratší odpověď?
Bezpečnost účtu stojí na jedné myšlence: útočník potřebuje získat vše, co k přihlášení potřebujete vy. Vaším úkolem je udělat aspoň jednu z těch věcí takovou, kterou nejde ukrást na dálku. Proto je pořadí kvality druhého faktoru: hardwarový klíč nebo passkey > aplikace s jednorázovými kódy > SMS. SMS je nejslabší z toho, co se běžně nabízí.
Tato lekce mluví o účtech (burza, e-mail, cloud), ne o samostatné peněžence. U neúschovní (non-custodial) peněženky rozhoduje seed fráze, a tu vysvětlujeme zvlášť ve slovníčku pod heslem seed-phrase.
Co je vlastně 2FA a proč na jeho typu záleží?
2FA (dvoufaktorové ověření) znamená, že se přihlašujete dvěma nezávislými věcmi: obvykle něčím, co znáte (heslo), a něčím, co máte (telefon, klíč). Smysl je, že samotné ukradené heslo nestačí.
Háček je v tom, že ne každý "druhý faktor" je stejně silný. Rozdíl je konkrétní:
| Typ 2FA | Co útočník potřebuje | Slabina |
|---|---|---|
| SMS kód | Přesměrovat vaše telefonní číslo nebo odchytit kód | Zranitelné vůči SIM swapu a phishingu |
| Aplikace s kódy (TOTP) | Dostat z vás šestimístný kód v reálném čase | Kód lze vylákat na falešné stránce |
| Hardwarový klíč / passkey | Fyzicky mít klíč a být na pravé doméně | Prakticky odolné proti dálkovému phishingu |
Klíčový detail u hardwarového klíče a passkey: ověření je svázané s adresou webu. Když vás phishingová stránka napodobí, klíč se odmítne ověřit, protože doména nesouhlasí. Tím padá útok, který u SMS i TOTP kódů funguje.
Jak vypadá phishing v praxi, na jednom scénáři?
Představte si e-mail: "Zaznamenali jsme neobvyklé přihlášení, potvrďte účet do 24 hodin." Odkaz vede na stránku, která vypadá jako vaše burza. Zadáte heslo. Stránka pak řekne "zadejte 2FA kód". Zadáte i ten šestimístný kód z aplikace.
Co se právě stalo: útočník sedí uprostřed. Vaše heslo i kód okamžitě přepošle na pravou stránku a přihlásí se za vás. TOTP kód platí jen krátce, ale těch pár desítek sekund stačí. Proto říkáme, že aplikace s kódy je lepší než SMS, ale phishing sama o sobě nezastaví.
Dva návyky, které tento scénář rozbijí:
- Nikdy neklikat na odkaz z výzvy a přihlašovat se jen přes vlastní záložku nebo ručně napsanou adresu.
- Používat hardwarový klíč nebo passkey, protože ten na falešné doméně nefunguje, i kdybyste na odkaz klikli.
Co je SIM swap a proč rozbíjí SMS ochranu?
SIM swap je podvod, při kterém útočník přesvědčí (nebo podplatí) operátora, aby vaše telefonní číslo převedl na svou SIM kartu. Od té chvíle chodí vaše SMS kódy jemu, ne vám. Váš telefon obvykle ztratí signál, to je často první viditelný signál.
Jakmile má číslo, může spustit "zapomenuté heslo" na e-mailu a účtech, kde jde reset přes SMS, a postupně přebírat vše navázané na to číslo. Proto je nebezpečné mít telefonní číslo jako záchranný způsob obnovy důležitých účtů.
Obrana, která tu skutečně mění situaci:
- Odebrat SMS jako 2FA a jako způsob obnovy tam, kde to jde.
- U operátora si nastavit ochranu čísla proti přenosu (PIN / heslo k účtu, pokud to nabízí).
- Nejcitlivější účet, tedy váš hlavní e-mail, chránit tím nejsilnějším faktorem, protože přes něj se resetuje skoro všechno ostatní.
Který účet chránit jako první?
Ne burzu. E-mail. Váš hlavní e-mail je kostra celé vaší online identity: přes něj běží obnova hesel k většině ostatních služeb. Když útočník ovládne e-mail, ovládne řetěz. Pořadí priorit v praxi:
- Hlavní e-mail (nejsilnější 2FA, unikátní heslo).
- Účty na burzách a finančních službách.
- Cloud / správce hesel, pokud v něm držíte citlivé věci.
Co udělat jako první, když se něco pokazí?
Cíl prvních minut je jednoduchý: odpojit útočníkovi přístup. Ne přesouvat prostředky v panice, protože ukvapený převod na špatnou adresu je další, samostatná chyba.
Rozumné pořadí kroků:
- Změnit heslo u napadeného účtu a hlavně u e-mailu, ke kterému je navázaný.
- Odhlásit všechna zařízení / aktivní relace, pokud to služba umí. Jinak útočník zůstává přihlášený, i když změníte heslo.
- Zkontrolovat a odebrat cizí 2FA a API klíče, které mohl útočník přidat, aby si udržel přístup.
- Ztratili jste signál? Zavolat operátorovi z jiného telefonu a řešit možný SIM swap, obnovit své číslo.
- Zkontrolovat pravidla e-mailu (přeposílání, filtry). Útočníci si často nastaví tiché přeposílání pošty, aby viděli obnovovací kódy i po vaší změně hesla.
- Kontaktovat podporu služby oficiální cestou z ověřené adresy, ne přes odkaz, který vám někdo poslal.
Upozornění na hranici, kterou charliedesk nikdy nepřekračuje: neexistuje "linka podpory", která by po vás chtěla seed frázi, kódy nebo vzdálený přístup k obrazovce. Kdokoli o tohle žádá, je útok. Skutečná podpora tyto věci nikdy nepotřebuje.
Co byste teď měli umět?
Po této lekci byste měli:
- rozlišit tři typy 2FA a vědět, proč SMS je nejslabší,
- poznat phishingový a SIM swap scénář na konkrétním průběhu,
- vědět, že hlavní e-mail je účet číslo jedna,
- mít v hlavě pořadí prvních kroků, když se něco pokazí, počínaje odpojením přístupu, ne přesuny.
Co zůstává nejisté?
Bezpečnost není stav, ale závod. Konkrétní techniky útoků se mění a to, co je dnes "dost dobré", nemusí platit napořád. Nemáme živé číslo o tom, jak často která metoda selhává, a záměrně si žádné nevymýšlíme. Také platí, že žádná kombinace opatření nedává 100 % jistotu; cílem je zdražit útok natolik, aby se nevyplatil. A pozor na zaměňování dvou světů: tato lekce je o účtech, kde vám může pomoct podpora a obnova. U neúschovní peněženky nic takového neexistuje, tam rozhoduje seed fráze, kterou probíráme ve slovníčku.