- Barbora Arnold
- 4 min čtení
Málokterý kyberútok ve firmách dnes vzniká jako technický majstrštyk. Mnohem jednodušší je pro útočníka napsat jménem dodavatele, zavolat jako nadřízený nebo využít falešnou identitu známé instituce. Sází přitom na spěch, autoritu a přirozenou ochotu zaměstnanců vyhovět. Cílem nemusí být jen rozkliknutý odkaz, ale třeba schválená platba na podvodný účet, změna bankovního spojení dodavatele nebo vydání přístupů. A přesně tak dnes vypadají kyberpodvody ve firmách. Začínají běžnou zprávou, telefonátem nebo požadavkem, který působí důvěryhodně. Jak se bránit?
Podvody vypadají jako běžná pracovní komunikace
Firemní kyberpodvody se stále častěji tváří jako běžný pracovní požadavek. Nemusí ani obsahovat podezřelý odkaz, přílohu nebo technicky složitý prvek. Často stačí dobře napsaná zpráva, správně zvolený tón a požadavek, který na první pohled zapadá do každodenního provozu společnosti. Právě v tom je jejich síla. Útok nevypadá jako bezpečnostní hrozba, ale jako běžná agenda: něco potvrdit, změnit, schválit nebo urychleně vyřídit.
Podobné útoky dnes patří k nejčastějším hrozbám v českých organizacích. Podle NÚKIB má s phishingovými a podvodnými e-maily zkušenost přes 90 % z nich. Ve své poslední zprávě za rok 2024 uvádí rekordních 268 kybernetických incidentů, které řešil přímo NÚKIB. Ministerstvo vnitra ve zprávě za rok 2025 uvádí, že kriminalita páchaná v kyberprostoru meziročně vzrostla o 14,3 %. Za rok 2025 bylo zaznamenáno 21 137 registrovaných skutků spáchaných v kyberprostoru.
Samotná čísla ale nejsou to nejdůležitější. Důležité je hlavně to, že se mění podoba útoků. Ministerstvo vnitra mezi hlavní trendy řadí masové využívání umělé inteligence a zneužívání lidského faktoru, tedy phishing, deepfake a sociální inženýrství. Útočníci také víc pracují s důvěrou, naléhavostí a znalostí běžného fungování organizací.
🔗 NÚKIB: Zpráva o stavu kybernetické bezpečnosti ČR za rok 2024
🔗 Ministerstvo vnitra ČR: Zpráva o situaci v oblasti vnitřní bezpečnosti za rok 2025 (po kliknutí na odkaz se zpráva automaticky stáhne)
CEO fraud: když se útočník vydává za vedení firmy
Jednou z nejznámějších forem je tzv. CEO fraud, tedy podvod, při kterém útočník vystupuje jménem vedení společnosti. Může jít například o žádost o mimořádnou platbu, změnu čísla účtu u faktury nebo rychlé vyřízení citlivého požadavku. Útočník sází na autoritu, naléhavost a důvěru v interní komunikaci. Pokud požadavek působí, jako by přišel od nadřízeného, zaměstnanec ho může pod tlakem času vyřídit bez dalšího ověření.
Nebezpečné je, že takový požadavek dnes nemusí přijít z očividně podezřelé adresy. Útočníci mohou pracovat s kompromitovaným účtem nebo velmi věrně napodobenou identitou. Zpráva tak může vypadat, jako by skutečně přišla od kolegy, nadřízeného nebo dodavatele.
Umělá inteligence zvyšuje důvěryhodnost útoků
Čeština dříve firmám poskytovala určitou výhodu. U řady podvodných e-mailů si šlo docela dobře všimnout špatné gramatiky, nepřirozených obratů nebo zvláštní stylistiky. Nástroje umělé inteligence ale tuto výhodu postupně mažou.
Podvodné zprávy dnes působí mnohem přirozeněji, profesionálněji a lépe zapadají do běžného fungování. Generativní AI útočníkům usnadňuje přípravu textů, které nevypadají jako typicky podvodný e-mail. Riziko se navíc netýká jen e-mailů. Útočníci využívají také hlas, video nebo kombinaci více kanálů. Rozpoznat, co je skutečné a co ne, tak bude i pro zaměstnance ve firmách stále obtížnější.
Proč zaměstnancům nestačí říct „neklikejte na odkazy“
Upozorňovat zaměstnance, ať si dávají pozor na podezřelé odkazy, má pořád smysl, ale samo o sobě to nestačí. Řada dnešních podvodů totiž nemíří primárně na kliknutí. Míří na rozhodnutí: schválit platbu, změnit účet dodavatele, založit přístup nebo potvrdit požadavek, který vypadá naléhavě.
Riziko proto nevzniká jen u jednotlivce, který se může splést. Vzniká i tam, kde firma nemá jasně nastavený postup pro ověřování citlivých požadavků. Pokud není jasné, jak se ověřuje změna bankovního účtu, mimořádná platba nebo nestandardní požadavek od vedení, zůstává bezpečnost závislá hlavně na tom, že se zaměstnanec ve stresu rozhodne správně.
Riziko proto nevzniká jen u jednotlivce, který se může splést. Vzniká i tam, kde firma nemá jasně nastavený postup pro ověřování citlivých požadavků.
Právě proto je potřeba řešit nejen pozornost jednotlivců, ale i jednoduchá pravidla: kdo co schvaluje, jak se ověřuje změna údajů a kdy má zaměstnanec raději zastavit proces a požadavek ověřit jiným kanálem. Například:
- změnu bankovního účtu dodavatele ověřit jiným kanálem než tím, kterým požadavek přišel,
- mimořádnou platbu nechat potvrdit druhou osobou,
- požadavek od vedení mimo běžný postup ověřit přes předem daný kontakt,
- dát zaměstnancům jasně najevo, že zastavit podezřelý požadavek není zdržování, ale správný postup.
- Obsah byl připraven s pomocí AI, následně prošel důkladnou lidskou editací a faktickou kontrolou.
