Phishing cílený na aplikaci Diia: jak podvodníci na Ukrajině zneužívají digitální státní služby

Diia (Дія) se stala jednou z nejdůležitějších aplikací na Ukrajině. Byla spuštěna v roce 2020 a pro více než 20 milionů Ukrajinců uchovává digitální verze pasů, řidičských průkazů, daňových identifikačních čísel, technických průkazů vozidel a desítek dalších úředních dokladů. Během války se stala nepostradatelnou pro přijímání podpory, přístup ke státním službám a prokazování totožnosti na kontrolních stanovištích. Právě kvůli této klíčové roli se Diia stala velmi lukrativním cílem phishingových útoků a krádeží identity.

Takto podvodníci aplikaci Diia zneužívají a takto se můžete chránit.

Proč je Diia hlavním cílem

Diia je v podstatě digitální peněženka pro celou vaši identitu. Přístup k něčímu účtu Diia znamená přístup k údajům z jeho pasu, k daňovému identifikačnímu číslu (ІПН), řidičskému průkazu a dalším úředním dokladům. Tyto informace lze zneužít ke krádeži identity, k podvodnému zakládání bankovních účtů a k neoprávněnému čerpání dávek.

Aplikace je úzce propojená s ověřováním přes BankID, takže prolomení přístupu k Diia může otevřít cestu i k bankovním přihlašovacím údajům. Podvodníci to vědí a vyvinuli stále rafinovanější metody, jak uživatele napálit.

Nejčastější phishingové podvody s aplikací Diia

1. Falešná vládní oznámení

Dostanete SMS nebo zprávu na Viberu, která se tváří, že pochází od Ministerstva digitální transformace nebo Kabinetu ministrů. Zpráva tvrdí, že na vás čeká nevyzvednutá státní platba, že je třeba znovu ověřit vaše digitální doklady nebo že je problém s vaším účtem Diia. Odkaz vede na falešnou přihlašovací stránku Diia, která zachytí vaše přihlašovací údaje k BankID.

Proč to funguje: Ukrajinci pravidelně dostávají skutečná vládní oznámení o programech pomoci, hlášeních přes eVorog a aktualizacích dokladů. Falešné zprávy mezi nimi snadno zapadnou.

2. Falešné výzvy k vyzvednutí plateb ePidtrymka (єПідтримка)

Podvodníci rozesílají zprávy, že máte nárok na nové kolo státní podpory vyplácené přes Diia. Abyste si platbu „vyzvedli“, máte se přihlásit přes zaslaný odkaz a ověřit údaje své platební karty. Phishingová stránka tak získá vaše přihlašovací údaje k Diia i vaše bankovní údaje.

3. Falešné žádosti o ověření dokladů

Dostanete zprávu, že platnost vašeho digitálního pasu nebo řidičského průkazu v aplikaci Diia vypršela nebo že je třeba je znovu ověřit. Odkaz vás zavede na naklonované rozhraní Diia, kde máte znovu zadat osobní údaje včetně ІПН (daňového identifikačního čísla), čísla pasu a data narození. Tyto údaje se pak zneužijí k podvodům s identitou.

4. Falešné verze aplikace Diia ke stažení

Phishingové zprávy obsahují odkazy ke stažení „nové verze“ Diia. Stažený soubor APK (na Androidu) vypadá úplně stejně jako skutečná aplikace, ale obsahuje malware, který zaznamenává vše, co napíšete, včetně přihlašovacích údajů do banky a jednorázových kódů OTP.

5. Sociální inženýrství přes hovory od „státní podpory“

Zavolá vám někdo, kdo tvrdí, že zastupuje centrum podpory Diia nebo Ministerstvo digitální transformace. Řekne vám, že s vaším účtem je bezpečnostní problém, a provede vás kroky, kterými mu ve skutečnosti zpřístupníte své digitální doklady a propojené bankovní služby.

Varovné signály, na které si dát pozor

Jak ochránit svůj účet Diia

1. Stahujte Diia pouze z oficiálního App Storu nebo Google Play — nikdy přes odkazy ve zprávách
2. Před zadáním jakýchkoli přihlašovacích údajů vždy zkontrolujte URL — jedinou legitimní doménou je diia.gov.ua
3. Zapněte biometrické přihlášení (otisk prstu nebo Face ID) v aplikaci Diia
4. Nikdy nikomu nesdělujte své přihlašovací údaje k BankID, a to ani lidem, kteří tvrdí, že zastupují stát
5. Pamatujte, že Diia nikdy neposílá odkazy v SMS — legitimní oznámení se zobrazují přímo v aplikaci
6. Nastavte si pro BankID jedinečné heslo, které nikde jinde nepoužíváte
7. Pravidelně kontrolujte, která zařízení jsou připojena k vašemu účtu Diia, a neznámá odstraňte
8. Zapněte dvoufaktorové ověření u bankovního účtu propojeného s vaším BankID

Co dělat, když byl váš účet Diia napaden

1. Okamžitě kontaktujte svou banku, aby zabezpečila vaše BankID a zablokovala neoprávněný přístup
2. Nahlaste incident v aplikaci Diia prostřednictvím chatu podpory
3. Podejte oznámení kybernetické policii na cyberpolice.gov.ua
4. Zkontrolujte svou úvěrovou historii u Ukrajinského úvěrového registru (Credit Bureau of Ukraine), zda v ní nejsou žádosti, které jste nepodali
5. Změňte heslo k BankID a zapněte další bezpečnostní opatření
6. Sledujte své bankovní účty, zda na nich neproběhly neoprávněné transakce

Riziko krádeže digitálních dokladů

Když podvodníci získají přístup k vašemu účtu Diia, dostanou mnohem víc než jen uživatelské jméno a heslo. Získají přístup k:

• Vašemu digitálnímu pasu — lze ho zneužít k podvodům s identitou
• Vašemu ІПН (daňovému identifikačnímu číslu) — umožňuje finanční a daňové podvody
• Vašemu řidičskému průkazu — lze ho prodat na dark webu
• Vašemu technickému průkazu vozidla — lze ho zneužít k pojistným podvodům
• Vašemu certifikátu o očkování — cenný pro padělání dokladů

Zabezpečení účtu Diia proto neznamená jen ochranu jedné aplikace, ale ochranu celé vaší právní identity.

Bezpečné sdílení citlivých dokladů

Když potřebujete poslat skeny pasu, ІПН nebo jiných dokladů z Diia zaměstnavateli, pronajímateli nebo úřadu, neposílejte je přes Viber nebo Telegram, kde zůstanou natrvalo v historii chatu. Pomocí LOCK.PUB vytvořte odkaz chráněný heslem s nastavenou platností (Pro). Příjemce zadá heslo, aby si dokument zobrazil, a po uplynutí nastavené doby se odkaz přestane otevírat — žádné kopie kolující ve vláknech zpráv. Jednu fotku nebo sken můžete sdílet také jako obrázek chráněný heslem, který se otevře jen po zadání hesla.

Závěr

Diia změnila způsob, jakým Ukrajinci komunikují se státem, ale toto pohodlí s sebou nese rizika. Podvodníci neustále vymýšlejí nová phishingová schémata, která zneužívají důvěru, již lidé vkládají do digitálních státních platforem. Klíčové pravidlo zní: Diia vás nikdy nežádá, abyste klikali na odkazy v SMS, stahovali aktualizace mimo oficiální obchody s aplikacemi nebo sdělovali přihlašovací údaje po telefonu.

Chraňte svou digitální identitu stejně, jako byste chránili svůj fyzický pas. A když potřebujete sdílet citlivé doklady totožnosti, nenechávejte je volně v chatovacích aplikacích a použijte šifrované odkazy s omezenou platností z LOCK.PUB. Vaše digitální identita je vaše skutečná identita — podle toho ji také střežte.