Falešné Spotify: platba, která nikdy neproběhla

21. října 2026 · Phishing

Minule nám podvodníci hrozili zrušením schránky, tentokrát nám berou hudbu. Spotify prý nemohlo strhnout 149 Kč za Premium a jestli do týdne nezadáme novou kartu, předplatné pozastaví. Platbu prý banka zamítla 20. října. Zpráva přišla téhož dne ve 0:21, takže banka to stihla v prvních jednadvaceti minutách dne. Rychlá banka. A ještě rychlejší Spotify.

Proč o ní píšeme? Protože je to zatím nejlépe udělaný phishing, jaký jsme tu rozebírali. Žádná lámaná čeština, žádné „Dear info“. Kdo Spotify platí, nemá skoro čeho se chytit. Pojďme se podívat, kde to přece jen skřípe.

Trik č. 1: Spotify z brazilské domény

Odesílatel se jmenuje „Spotify“. Skutečná adresa je ale suporte@gftecnologiadba.com.br. Koncovka .com.br je Brazílie a „suporte“ je portugalsky podpora. Se Spotify to nemá nic společného.

Doména existuje od listopadu 2024 a údaje v registru se jí naposledy měnily 7. října, necelé dva týdny před rozesílkou. Poštu má jinak u Googlu. Někdo ale do jejího nastavení DNS přidal záznam pro podepisování zpráv rozesílací službou Amazonu, a přes ni zpráva odešla. Jestli to byl majitel, nebo někdo, kdo se mu do DNS dostal, zvenku nepoznáme.

A teď tělo zprávy:

Logo na obrázku chybí schválně. Zprávy vykreslujeme odpojené od internetu, ať se z cizích serverů nic nestahuje. Vy byste tam logo viděli, a to dokonce pravé, jak hned uvidíte.

Trik č. 2: všechno je pravé, kromě jednoho tlačítka

Logo se načítá z message-editor.scdn.co. Z domény scdn.co posílá obrázky samo Spotify, má dokonce stejné jmenné servery jako spotify.com. Podvodník si tedy nekreslil vlastní logo, půjčil si skutečné, přímo od zdroje. Odkazy v patičce vedou na skutečné stránky spotify.com: podmínky použití, ochranu osobních údajů, kontakt. Adresa Spotify AB ve Stockholmu dole taky sedí.

Jediné, co pravé není, je zelené tlačítko Aktualizovat fakturaci. Vede na storage.googleapis.com/newspotify/index.html. To je úložiště Google Cloud, kde si složku s libovolným jménem založí kdokoli, kdo má účet. Doména patří Googlu, ale to, co na ní leží, patří podvodníkovi. Složka se jmenuje „newspotify“, aby adresa na první pohled působila důvěryhodně. Co stránka dělá, jsme nezkoušeli, odkaz jsme rozebrali jen z textu zprávy. Obvykle tam čeká věrná kopie přihlášení a formulář na číslo karty.

Pět odkazů na pravé Spotify, jeden falešný. Vlastně chytré: kdo najede myší na odkazy v patičce, uvidí v adrese samé spotify.com.

Trik č. 3: i pravé odkazy podvodníkovi hlásí, že jste klikli

Odkazy ve zprávě, i ty na skutečné Spotify, vedou nejdřív přes awstrack.me. To je počítadlo kliknutí rozesílací služby Amazonu. Každý odkaz nese identifikátor zprávy, takže odesílatel ví, kdo klikl a na co. Klidně i na nevinné „Podmínky použití“.

Na konci zprávy je navíc neviditelný obrázek o velikosti jednoho bodu ze stejného serveru. Kdo si zprávu otevře s obrázky, ohlásí tím, že adresa žije a zprávy se na ní čtou. Proto se vyplatí mít načítání obrázků od neznámých odesílatelů vypnuté.

Trik č. 4: klidný tón a únikový východ

Zpráva nekřičí. Žádné „do 24 hodin“, žádné zrušení účtu. Platba se „nezdařila“, máte týden a pak bude předplatné jen „dočasně pozastaveno“. A na konci laskavá věta: „Pokud jste kartu již vyměnili, tuto zprávu ignorujte.“ Přesně takhle píšou skutečné firmy, a proto to funguje.

Ve zdrojovém kódu zprávy jsou jednotlivé části popsané anglickými poznámkami: „thin green top bar“, „Preheader (hidden)“, „sign-off“. A u téhle laskavé věty stojí „escape hatch“, tedy únikový východ. Autor věděl přesně, co dělá: věta má čtenáře uklidnit, že nikdo netlačí. Zprávu, která netlačí, přece nikdo nepovažuje za podvod. Takhle úhledně okomentované šablony bývají typické pro kód z chatbota. Jistě to ale zvenku nepoznáme.

Trik č. 5: bezpečnostní tip od podvodníka

Náš favorit. Dole ve zprávě stojí tučně Bezpečnostní tip: „Spotify vás nikdy nepožádá o heslo ani údaje karty e-mailem či telefonicky. Přihlaste se pouze na spotify.com/account.“

Podvodník vás tedy varuje před podvodníky. O kus výš vás přitom tlačítkem posílá zadat údaje karty jinam než na spotify.com. Rada je mimochodem úplně správná. Stačí se jí řídit a celá zpráva je k ničemu. 🙂

Proč to prošlo filtry? Protože podpis seděl

Je to stejné jako u upomínky od Webglobu. Zprávu podepsala doména odesílatele i Amazon a oba podpisy DKIM jsme si ověřili, sedí. Kontrola DMARC tedy prošla. Doména má mimochodem DMARC nastavený na „nic nedělat“ (p=none), takže ani kdyby podpis neseděl, DMARC by zprávu nezastavil.

Spamový filtr naší schránky si přitom všiml dost věcí. Statistika obsahu ji odhadla na spam s pravděpodobností 92 %, jenže neuronová síť ji naopak označila za běžnou poštu a ověřené podpisy jí další body ubraly. Všiml si i toho, že text odkazu slibuje spotify.com a vede jinam. Odkaz ale vedl na awstrack.me, které zná jako běžné počítadlo kliknutí, a tak to odpustil. Výsledek: „no action“, zpráva doručena.

Poučení se opakuje: ověřený podpis říká, z jaké domény zpráva přišla. Neříká, že ta doména patří Spotify.

Co s tím?

• Máte problém s platbou? Otevřete aplikaci Spotify nebo spotify.com z vlastní záložky a podívejte se do účtu. Kdyby platba opravdu neprošla, uvidíte to tam.
• Údaje karty nikdy nezadávejte přes odkaz z e-mailu. Ani u služby, kterou platíte. Radí to ostatně i tahle podvodná zpráva.
• Čtěte doménu za zavináčem, ne jméno odesílatele. „Spotify“ si může napsat kdokoli. gftecnologiadba.com.br už tak snadno ne.
• Zadali jste číslo karty? Hned volejte do banky a nechte kartu zablokovat. Banky mají na blokaci karet linku nonstop. Pak hlídejte výpis, a jestli jste zadali i heslo ke Spotify, změňte ho a odhlaste ostatní zařízení.
• Obrázky od neznámých odesílatelů nenačítejte. Neviditelný obrázek podvodníkovi prozradí, že vaše adresa žije.

A to je vše! Pravé logo, pravé odkazy, pravá adresa ve Stockholmu, bezchybná čeština a dokonce rada, jak se phishingu bránit. Falešné bylo jen jedno tlačítko, jedna doména a jedna platba, která nikdy neproběhla. Hudba hraje dál. Mějte se fanfárově a na nic neklikejte. 🎵