Představte si situaci, kdy finančnímu oddělení zavolá generální ředitel společnosti a požádá o urgentní převod peněz na účet obchodního partnera. Jeho hlas zní přesvědčivě, zná podrobnosti o probíhající zakázce a zdůrazňuje, že platba nesnese odklad. Ve skutečnosti však na druhé straně telefonu nemusí být ředitel, ale kyberzločinec využívající umělou inteligenci.
Podobné scénáře přestávají být pouhou hypotetickou hrozbou. Podle průzkumu společnosti Gartner, uskutečněného mezi 297 vedoucími pracovníky odpovědnými za kybernetickou bezpečnost, zaznamenalo 41 % respondentů v uplynulých dvanácti měsících alespoň jeden incident sociálního inženýrství zahrnující deepfake při hlasovém hovoru se zaměstnancem. Dalších 36 % respondentů uvedlo incident zahrnující deepfake během videohovoru.
Moderní nástroje umělé inteligence dokážou vytvářet syntetické hlasy a obrazové záznamy, jejichž odhalení může být pro běžného uživatele obtížné. Útočník přitom nemusí spoléhat pouze na technologii. Informace o vedení firmy, obchodních vztazích nebo aktuálních projektech může získat z veřejně dostupných zdrojů či předchozího úniku dat. Výsledkem je cílený podvod, který působí důvěryhodně nejen hlasem, ale i obsahem.
Útok nemusí začít telefonátem
Podvody založené na vydávání se za vedoucí pracovníky, označované také jako CEO fraud, mají často podobu falešných e-mailů s žádostí o změnu bankovních údajů, úhradu faktury nebo předání citlivých dokumentů. Umělá inteligence jejich přípravu dále usnadňuje. Dokáže napodobovat styl písemné komunikace a vytvářet zprávy odpovídající konkrétním firemním situacím.
Na rizika upozornila také kyberbezpečnostní společnost Barracuda Networks, která se dlouhodobě zabývá ochranou firemní komunikace. Ve svém výzkumu z roku 2026 představila kontrolovaný scénář, při němž útočníci s využitím AI asistenta zneužili kompromitovanou firemní e-mailovou schránku. Díky přístupu ke skutečné komunikaci dokázali připravit přesvědčivý požadavek na změnu bankovních údajů u existující platby. V simulovaném útoku tak demonstrovali možnost odklonění částky 247 500 dolarů, tedy více než pěti milionů korun při orientačním přepočtu.
Případ ukazuje, že rizikem nemusí být pouze falešná adresa nebo podezřelá příloha. Podvodná zpráva může přicházet i z legitimního účtu a obsahovat informace, které by za běžných okolností znal pouze oprávněný zaměstnanec.
Firmy musí změnit způsob ověřování pokynů
„Dříve se zaměstnancům doporučovalo, aby si u podezřelých zpráv všímali neobvyklého jazyka, chyb nebo nesrovnalostí v komunikaci. S rozvojem umělé inteligence ale tyto znaky postupně ztrácejí spolehlivost. Pokud dnes přijde neobvyklý požadavek na převod peněz, nestačí poznat hlas nadřízeného nebo vidět jeho jméno v e-mailu. Rozhodující je ověřit požadavek nezávislým způsobem,“ vysvětluje Martin Votava ze společnosti COMGUARD, distributora řešení pro kybernetickou bezpečnost.
Nejúčinnější prevencí je kombinace technologické ochrany a jasně nastavených interních postupů. Firmy by měly vyžadovat dodatečné ověření při změnách bankovních účtů, mimořádných platbách nebo žádostech o přístup k citlivým datům. Takové ověření by mělo proběhnout prostřednictvím předem známého kontaktu, nikoliv čísla nebo odkazu uvedeného v podezřelé zprávě.
Důležité je také nastavení schvalovacích procesů. U významnějších finančních operací by neměl stačit pokyn jediné osoby, byť by šlo o generálního ředitele. Zaměstnanci zároveň potřebují vědět, že ověření neobvyklého požadavku není projevem nedůvěry vůči nadřízenému, ale běžnou součástí ochrany společnosti.
Umělá inteligence pomáhá také obráncům
Zatímco útočníci používají AI k vytváření přesvědčivějších podvodů, bezpečnostní společnosti ji využívají k jejich odhalování. Řešení Barracuda Email Protection analyzují nejen samotný obsah e-mailů, ale také komunikační vzorce a neobvyklé chování uživatelů. Mohou tak pomoci rozpoznat pokusy o vydávání se za vedení firmy, cílený phishing nebo zneužití kompromitovaných e-mailových účtů.
Technologická ochrana však nepředstavuje univerzální řešení. E-mailové bezpečnostní systémy samy o sobě nedokážou zaručit odhalení syntetického hlasu v telefonátu. Proto je nezbytné propojit zabezpečení digitální komunikace s pravidly pro ověřování identity a schvalování citlivých operací.
Firmy by měly vycházet z předpokladu, že hlas, obraz ani zdánlivě autentický e-mail dnes samy o sobě nepředstavují dostatečný důkaz identity. Investice do ochrany komunikace musí doprovázet jednoduchá pravidla, která zaměstnancům umožní zastavit podezřelou transakci dříve, než vznikne škoda.
