AI phishing a deepfake. Jak ověřit citlivý požadavek

Z adresy dodavatele přijde žádost o změnu bankovního účtu. Tón zprávy sedí, přesto změnu před platbou ověřte známým kontaktem. FBI IC3 doporučuje u změn účtových údajů druhý kanál. Samotná zpráva oprávnění nepotvrzuje.

Správná čeština není důkaz totožnosti

Útočník může využít firemní web, sociální sítě i předchozí komunikaci. Generativní nástroje mohou pomoct s tónem a jazykem. Z výsledku často nezjistíte, zda AI vůbec použil.

Neověřujte odesílatele jen podle překlepů. Zkontrolujte adresu, neobvyklý požadavek a změněné platební údaje. I skutečný účet může být napadený. Citlivá operace proto potřebuje kontrolu nezávislou na přijaté zprávě.

Hlas ani zobrazené číslo žádost nepotvrzují

Volající může chtít urgentní převod, změnu účtu nebo přihlašovací údaje. Nemusíte nejdřív dokázat, že jde o deepfake. Operaci zastavte a zavolejte na známé číslo ze smlouvy či adresáře, ne na kontakt dodaný v podezřelé zprávě.

Změnu bankovního účtu má schválit i nezávislá osoba. Postup musí fungovat bez ohledu na použití AI.

Jak se bránit: Technická opatření

Email security

• SPF, DKIM, DMARC jako základ pro ověření odesílatele
• AI-powered email filtering na analýzu obsahu a vzorců chování
• Link sandboxing na automatické ověřování odkazů v bezpečném prostředí

Multifaktorová autentizace

• MFA na všech kritických systémech
• Hardwarové klíče (FIDO2) pro nejcitlivější přístupy
• Biometrie jako doplňkový faktor

Zero trust architektura

• Ověřování každého přístupu, nejen na perimetru
• Minimální oprávnění (least privilege)
• Nepřetržité monitorování anomálií

Jak se bránit: Interní postupy

Technologie sama o sobě nestačí. Postup sepište a vyzkoušejte s lidmi, kteří ho budou používat.

Ověřovací protokol pro finanční operace

• Žádný převod nad definovanou částku bez ověření druhým kanálem
• Zpětný telefonát na ověřené číslo (ne na číslo z e-mailu)
• Dvojitý podpis pro změny bankovních údajů dodavatelů

Hlášení podezřelých zpráv

• Jednoduchý způsob nahlásit podezřelý e-mail (tlačítko v e-mailovém klientovi)
• Žádné postihy za falešné poplachy, lepší nahlásit 10 falešných než přehlédnout 1 reálný
• Rychlá zpětná vazba od security týmu
• Měsíční reporty o počtu nahlášených zpráv a jejich vyhodnocení

Pravidelná školení

• Simulované phishingové kampaně (ne jako trest, ale jako trénink)
• Aktualizované příklady reálných útoků
• Speciální školení pro management a finanční oddělení

Ověření změny účtu patří do procesu

Při požadavku na změnu bankovních údajů je bezpečnější automaticky vyžádat ověření druhým kanálem a změnu zapsat do auditního logu. Účinnost takového pravidla je potřeba vyhodnotit podle potvrzených incidentů a falešných poplachů, ne podle marketingového příběhu bez podkladu.

Checklist pro vaši firmu

• Máte zavedené SPF, DKIM a DMARC pro svoji e-mailovou doménu?
• Používáte MFA na všech kritických systémech?
• Máte definovaný postup pro ověřování finančních operací?
• Absolvovali vaši zaměstnanci bezpečnostní školení za posledních 6 měsíců?
• Máte jednoduchý způsob na hlášení podezřelých zpráv?
• Máte incident response plán pro případ úspěšného útoku?

Chybějící opatření seřaďte podle rizika a určete vlastníka cvičení. Otestujte hlášení i následnou reakci. Otázky k přístupům doplňují bezpečnostní zásady. Se scénářem vám pomůžeme.