Phishing k podpisu: kupní smlouva z budoucnosti

17. října 2026 · Phishing

Dokument k podpisu je dnes běžná věc. Smlouva s dodavatelem, objednávka, předávací protokol: přijde e-mail s tlačítkem, kliknete, podepíšete a hotovo. Podvodníci to vědí taky. Ve středu 14. října nám přišla kupní smlouva k podpisu. Od člověka, o kterém jsme nikdy neslyšeli, k obchodu, který nikdy neproběhl. A s datem, které ještě nenastalo.

Pojďme na to, trik po triku.

Trik č. 1: služba, která neexistuje. Odesílatel se jmenuje „Document Services“, tedy něco jako dokumentová služba. Žádná taková služba neexistuje. Skutečná adresa je info@llcgeonedrotech.com. LLC je anglická zkratka pro společnost s ručením omezeným, takže doména se tváří jako firma. Zaregistrovaná je ale teprve od 30. června 2026 a údaje v registru se jí měnily 14. října, pár hodin předtím, než nám zpráva přišla.

A teď tělo zprávy:

Trik č. 2: dokument, který tam není

V rámečku svítí BILL OF SALES.pdf, jako by šlo o přílohu. Žádná příloha ve zprávě není. Ten „soubor“ je jen text v šedém rámečku, celá zpráva je jedna HTML stránka s tlačítkem. (Doklad o prodeji se mimochodem anglicky řekne bill of sale, bez S. Ani název smyšleného dokumentu se nepovedl.)

Tlačítko REVIEW & SIGN DOCUMENT nevede k žádné podpisové službě. Vede do veřejného úložiště souborů u německého poskytovatele Contabo, na soubor pdfsedd.html. Jméno slibuje PDF, koncovka prozrazuje webovou stránku. A adresa končí #info@pcrada.cz, tedy naší adresou. Tenhle trik známe z falešného webmailu: stránka si adresu předvyplní, aby to vypadalo, že vás zná.

Odkaz jsme rozebrali jen z textu zprávy, neotevřeli jsme ho. Stránky za takovými tlačítky obvykle chtějí, abyste se „pro zobrazení dokumentu“ přihlásili e-mailem a heslem.

Trik č. 3: Travis Weaver, kterého nikdo nezná

Dokument prý posílá Travis Weaver. Kdo to je, z jaké firmy, odkud? Zpráva to neříká. Oslovuje nás „Dear info“, protože naše adresa začíná info@. Jméno si automat prostě odvodil z adresy.

Patička radí: „S dotazy k dokumentu se obraťte na odesílatele přes kontaktní údaje, které jste od něj dostali.“ Žádné jsme nedostali. Kdo opravdu posílá smlouvu k podpisu, napíše k ní firmu, telefon a číslo zakázky. A hlavně: o smlouvě, kterou máte podepsat, obvykle víte dřív, než přijde e-mail.

Trik č. 4: zpráva z budoucnosti

Teď detail pro pozorné. V poště se zpráva zařadila na 15. října, 0:13. Tak to stojí i ve výstřižku hlavičky nahoře. Jenže doopravdy dorazila 14. října v 17:14, o sedm hodin dřív. Jak je to možné?

Každý server, kterým zpráva projde, k ní připíše razítko s časem. Server odesílatele ji převzal 14. října v 15:13 světového času. Rozesílací program napsal do hlavičky taky 15:13, jenže k tomu připsal časové pásmo −7 hodin, tedy západní pobřeží USA. A z „15:13 v Kalifornii“ je u nás 0:13 dalšího dne.

Schválně, nebo z lajdáctví? To zvenku nepoznáme. Poštovní program, který řadí zprávy podle data v hlavičce, ale takovou zprávu drží mezi nejnovějšími ještě sedm hodin poté, co přišla. A čerstvou zprávu spíš otevřete.

Trik č. 5: chatbot zase zapomněl uklidit

Začátkem října jsme tu měli falešnou upomínku od Webglobu, ve které zůstaly francouzské poznámky chatbota. Tady je to podobné. Ve zdrojovém kódu jsou úhledné anglické nadpisy jednotlivých částí: Header, Main Content, Document Details, Signing Button, Footer. A u tlačítka tahle poznámka:

Insert your verified signing URL here

(„Sem vložte svůj ověřený odkaz k podpisu.“)

Ověřený odkaz. Do podvodné zprávy. Takhle vypadá šablona, kterou napíše chatbot, když si myslí, že pomáhá s poctivou prací.

A úplně na konci kódu jsou tři obrácené apostrofy: ```. Těmi chatboti uzavírají blok kódu, když vám ho vypisují. Podvodník zkopíroval odpověď i s nimi a ty tři čárky jsou vidět i ve zprávě, vlevo pod rámečkem. Podpis chatbota, tentokrát ne francouzsky, ale interpunkcí.

Proč to prošlo filtry

• SPF: prošlo. Zpráva odešla ze serveru, který doména llcgeonedrotech.com sama uvádí jako svůj poštovní server.
• DKIM: elektronický podpis domény ve zprávě je, ale nesedí. Zjistil to filtr při doručení a stejně to vyšlo i nám.
• DMARC: doména má nastaveno p=none, tedy „když něco nesedí, nedělejte nic“. Stejné nastavení pustilo do schránky i falešný cPanel.

Do poštovního serveru domény se odesílatel před odesláním přihlásil, a to z IP adresy v síti hostingové firmy OVH. Byl to majitel domény, nebo někdo, kdo zná jeho heslo? Zvenku nepoznáme.

Co s tím?

• Nečekaný dokument k podpisu od neznámého člověka smažte. O smlouvě, kterou máte podepsat, víte předem.
• Máte pochybnost? Ověřte si to jinou cestou. Zavolejte odesílateli na číslo, které znáte vy, ne na to ze zprávy.
• Skutečné podpisové služby posílají odkazy na své vlastní adresy, ne do cizího úložiště souborů. I ty se ale dají napodobit, takže pravidlo výš platí i pro ně.
• Kvůli zobrazení dokumentu se nikdy nepřihlašujte e-mailem a heslem. Na to se ptá jen podvodná stránka.
• Zadali jste heslo? Hned ho změňte, zkontrolujte přesměrování a filtry ve schránce a dejte vědět lidem, se kterými si píšete. Celý postup jsme rozepsali u falešného webmailu.

A to je vše! Kupní smlouva na nic, od nikoho, s datem z budoucnosti a se stopami chatbota na konci. Podepsali jsme ji jediným možným způsobem: klávesou Delete. Mějte se fanfárově a nepodepisujte nic, co jste nečekali. 🙂