Modul 1 · 1.2
Phishing, CEO podvody a podvody s fakturami
Modul 1: Proč jste terčem i Vy · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete rozpoznat postup phishingu, CEO podvodu a podvodu s fakturami (BEC) a nastavit platební postup s ověřením zpětným voláním.
Klíčové pojmy: phishing, spear phishing, CEO podvod, podvod s fakturami, Business Email Compromise, princip čtyř očí, zpětné volání na známé číslo
Tři podoby stejného triku
Všechny tři útoky v této lekci pracují s klamáním. Nikdo se nevlamuje do počítače; někdo je přesvědčen, aby sám něco udělal: klikl na odkaz, zadal heslo, převedl peníze. Tomu se říká sociální inženýrství. Funguje to proto, že to využívá běžné lidské reakce: chcete pomoci svému nadřízenému, zaplatit dodavateli včas, rychle vyřešit problém.
| Forma | Co útočník chce | Typická zpráva |
|---|---|---|
| Phishing | Přihlašovací údaje, platební údaje nebo kliknutí na škodlivý software | "Vaše schránka je plná, přihlaste se, aby Vám zprávy zůstaly zachovány" |
| CEO podvod | Urgentní platba | "Jsem na jednání, můžete to dnes ještě převést? Nemluvte o tom s nikým dalším" |
| Podvod s fakturami | Platba skutečné faktury na špatný účet | "Pozor: naše číslo účtu se změnilo" |
CEO podvod a podvod s fakturami spadají pod anglický souhrnný název Business Email Compromise (BEC): podvod, při kterém je zneužita firemní e-mailová komunikace a podvodník se vydává za někoho jiného.
Phishing a spear phishing
Phishing je zpráva, která se vydává za důvěryhodného odesílatele, abyste udělali něco, co byste jinak neudělali. Většinou jde o odkaz na napodobenou přihlašovací stránku, například rnijnbank.example (s "rn" místo "m"), nebo přílohu se škodlivým softwarem. Běžný phishing směřuje na velké množství lidí najednou, s obecným příběhem.
U spear phishingu je zpráva přizpůsobena přímo Vám. Útočník používá Vaše jméno, Vaši funkci, jméno skutečného kolegy nebo dodavatele, projekt, na kterém pracujete. Tyto informace najde na Vašem webu, na LinkedIn, v obchodním rejstříku nebo v dříve uniklé e-mailové schránce. Protože zpráva odpovídá tomu, co očekáváte, mnohem méně vzbuzuje podezření.
Pravopisné chyby už nejsou spolehlivým znakem. Díky překladačům a AI generátorům textu píše podvodník bezchybnou češtinu. V modulu 3 se naučíte rozpoznávat phishing podle věcí, které podvodník nedokáže napodobit: podle skutečné domény odkazu a podle technického odesílatele e-mailu.
CEO podvod
Při CEO podvodu dostane osoba, která provádí platby, zprávu, jež vypadá, že pochází od ředitele nebo majitele firmy. Policie a národní tým CSIRT.CZ popisují typické znaky:
- Autorita: je to příkaz, ne žádost.
- Utajení: "zatím to s nikým neprobírejte, jde o akvizici."
- Časový tlak: musí to být dnes, než banka zavře.
- Odesílatel, který téměř odpovídá: například
directie@example-com.example, který na první pohled vypadá jako Vaše vlastní doména, nebo soukromá adresa "protože jsem na cestě".
Někdy je přizván "advokát" nebo "účetní", kteří příkaz potvrdí; i ti patří k podvodníkům. Podobně jsou oslovovány i spolky a malé firmy: pokladník dostane e-mail od "předsedy".
Proč to funguje? Protože v malé firmě se všichni znají a navzájem si důvěřují. Zaměstnanec chce pomoci a utajení zařídí, že se nejde zeptat kolegy. Utajení je přesně cílem podvodníka.
Podvod s fakturami: jiné je jen IBAN
Podvod s fakturami se hůře rozpoznává, protože faktura je často skutečná. Částka, číslo objednávky, logo, grafická úprava: vše souhlasí. Změněné je jen číslo účtu. Podle policie a týmu CSIRT.CZ k tomu dochází různými způsoby: faktura je zachycena a upravena, přijde samostatný dopis "naše číslo účtu se změnilo", nebo je hacknutá přímo firma dodavatele a podvodník posílá e-mail ze skutečné schránky.
To poslední je důležité pochopit. Pokud je schránka Vašeho dodavatele leverancier.example převzata, přichází e-mail skutečně ze správné adresy. Všechny technické kontroly (SPF, DKIM, DMARC z modulu 4) projdou v pořádku. Podvodník si schránku někdy celé týdny četl, ví, které faktury jsou neuhrazené, a svou zprávu pošle přesně ve správnou chvíli, v rámci stejné e-mailové konverzace. Kontrola adresy odesílatele zde tedy nepomůže.
Nepříjemný detail: pokud jste zaplatili podvodníkovi, v zásadě stále dlužíte danou částku skutečnému dodavateli.
Příklad
Pekárna Example objednává novou pec u leverancier.example. Nabídka, potvrzení objednávky i faktura dorazí v pořádku. O dva dny později přijde ve stejné e-mailové konverzaci:
Vážená paní Petro, kvůli přechodu k jiné bance se naše číslo účtu s okamžitou platností změnilo. Mohla byste fakturu za pec převést na nové číslo? Staré číslo bude příští týden zrušeno. S pozdravem, Joost
Adresa je správná, jméno Joost souhlasí, číslo objednávky sedí. Jediné, co podvod prozrazuje, je samotný požadavek: změna čísla účtu. To je vždy okamžik, kdy je třeba ověřit, nikdy okamžik, kdy stačí věřit jen e-mailu.
Platební postup, který tomu zabrání
Nemůžete rozpoznat každý podvodný e-mail. Můžete ale zařídit, aby podvodný e-mail sám o sobě nestačil k převodu peněz. Toho dosáhnete pomocí několika pevných pravidel.
- Zpětné volání na známé číslo. Při každé změně čísla účtu a při každém neobvyklém požadavku na platbu zavolejte odesílateli. Ne na číslo uvedené v e-mailu nebo na faktuře, protože i to může být podvodné, ale na číslo, které jste již měli: z vlastní evidence, ze smlouvy nebo z oficiálního webu, který si sami napíšete do prohlížeče.
- Neodpovídejte na e-mail. Chcete-li ověřit e-mailem, adresu si napište sami. Pomocí "odpovědět" se můžete dostat přímo k podvodníkovi, například skrze hlavičku Reply-To, která vede na jinou adresu (lekce 3.3).
- Princip čtyř očí. Platby nad pevně stanovenou částku, noví příjemci a změněná čísla účtů jsou kontrolovány dvěma lidmi. V případě jednoho podnikatele to znamená: pevně stanovenou čekací dobu a zpětné volání před provedením platby.
- Žádné výjimky přes e-mail nebo chat. Ředitel nikdy nežádá e-mailem ani přes WhatsApp o vynechání postupu. Domluvte si to, a to i se samotným ředitelem. Pak každý ví: zpráva s "jen tentokrát mimo obvyklý postup" je z podstaty věci podezřelá.
- Zaznamenávejte údaje. Číslo účtu dodavatele máte uvedené ve svém účetnictví. Porovnejte číslo na každé faktuře s tím, co jste již měli. Od října 2025 banky v eurozóně při převodu kontrolují, zda jméno, které zadáte, odpovídá číslu účtu (anglicky Verification of Payee). Berte upozornění z této kontroly vážně. Zelený výsledek ale pouze potvrzuje, že jméno a účet k sobě patří, nikoli že je příjemce poctivý.
| Situace | Akce |
|---|---|
| Nové číslo účtu stávajícího dodavatele | Zpětné volání na známé číslo, souhlas druhé osoby |
| Urgentní platba na žádost vedení | Zavolat nebo se zeptat osobně, postupovat podle běžného postupu |
| Nový dodavatel, první faktura | Ověřit údaje z oficiálního zdroje, souhlas druhé osoby |
| Faktura, která vypadá jinak než obvykle | Ověřit před zaplacením |
Když už k podvodu dojde
Zaplatili jste a už tomu nevěříte? Pak jde o každou hodinu.
- Zavolejte okamžitě své bance a zeptejte se, zda lze platbu zastavit nebo vrátit.
- Nahlaste to Policii ČR a národnímu týmu CSIRT.CZ a podejte trestní oznámení.
- Upozorněte dodavatele: pokud byla jeho schránka převzata, dostávají podvodné zprávy i další zákazníci.
- Pokud zpráva přišla z Vaší vlastní schránky nebo schránky kolegy, mohla být tato schránka převzata. Změňte heslo, odhlaste relace a zkontrolujte pravidla přeposílání (lekce 2.5 a 3.5).
Shrnutí
- Phishing, CEO podvod a podvod s fakturami jsou sociální inženýrství: jste přesvědčeni, abyste sami něco udělali.
- Spear phishing je přizpůsoben přímo Vám, a proto je mnohem přesvědčivější; pravopisné chyby už nejsou dobrým znakem.
- CEO podvod staví na autoritě, utajení a časovém tlaku.
- U podvodu s fakturami bývá jiné často jen IBAN, někdy přímo ze skutečné hacknuté schránky dodavatele.
- Platební postup se zpětným voláním na známé číslo a princip čtyř očí zastaví většinu podvodů, i když podvodný e-mail nerozpoznáte.
Kvíz
Úkol
Úkol A1.2: Rozpoznejte podvod. Dostanete šest krátkých zpráv. U každé zprávy určete, zda jde pravděpodobně o phishing, CEO podvod, podvod s fakturami nebo běžnou zprávu, a jakou akci zvolíte. Program Vám výsledek zkontroluje a u každé zprávy uvede znaky, kterých jste si mohli všimnout.
Úkol D1.2: Váš vlastní platební postup. Napište platební postup Vaší firmy na jednu stránku A4: kdy volat zpět, na jaké číslo, kdo provádí druhou kontrolu a od jaké částky. Proberte ho se všemi, kdo provádějí platby.
Úkol D1.2: Vlastní postup pro platby
Postupujte takto: (1) Sepište na jeden list papíru, kdy platba vyžaduje dodatečnou kontrolu: změněné číslo účtu, nový příjemce, částka nad hranicí, kterou si sami zvolíte, naléhavá žádost mimo běžný postup. (2) Napište, jak budete zpětně volat: pouze na číslo z vlastní administrativy, ze smlouvy nebo z oficiálního webu, který si sami zadáte. (3) Určete druhou osobu, která platbu zkontroluje (u živnostníka bez zaměstnanců: pevná čekací doba, například jedna noc). (4) Domluvte se s vedením, že postup se nikdy neobchází přes e-mail nebo chat. (5) Proberte list se všemi, kdo platby provádí, a vyvěste jej.
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- Je tento e-mail opravdu od WebOké? Jak rozpoznat phishing a použít akční kód
- E-maily od ICANN nebo registru ohledně Vaší domény: pravé, nebo podvodné, a co máte udělat?
- Policie ČR, podvody páchané na firmách: https://www.policie.gov.cz/
- Národní CSIRT tým, CSIRT.CZ: https://csirt.cz/
- NÚKIB, doporučení a informace o kybernetické bezpečnosti: https://nukib.gov.cz/
- Jak rozpoznat podvodnou fakturu, změněné číslo účtu nebo CEO podvod