Podvod typu „CEO fraud“ je kybernetický podvod, při kterém se útočník vydává za vedoucího pracovníka společnosti. Zjistěte, jak takový útok funguje, jaké jsou varovné signály a jak se proti němu účinně chránit.
Zaměstnanec obdrží e-mail od generálního ředitele. Tón je důvěrný, žádost naléhavá – je třeba rychle sdělit číslo na WhatsApp, zaplatit fakturu nebo poslat citlivý dokument. Problém je v tom, že skutečný šéf o žádném takovém e-mailu neví. Právě takto funguje jeden z nejrozšířenějších a finančně nejnáročnějších kybernetických podvodů současnosti.
Co je to CEO fraud
CEO fraud, odborně označovaný jako Business Email Compromise (BEC), je cílený podvod, při kterém útočník předstírá, že je nadřízeným nebo vedoucím představitelem organizace. Na rozdíl od hromadných phishingových kampaní je tento útok přizpůsoben konkrétní oběti – útočník si předem zjistí jméno, funkci i styl komunikace osoby, za kterou se vydává.
Podle FBI způsobily útoky typu BEC za posledních deset let celosvětové ztráty přesahující 50 miliard dolarů. Slovensko a Česká republika nejsou výjimkou – podniky, advokátní kanceláře i veřejné instituce čelí těmto útokům stále častěji.
Jak útok probíhá v praxi
- Průzkum – Útočník zjistí z veřejně dostupných zdrojů (webové stránky společnosti, LinkedIn, média) jméno a funkci vedoucího pracovníka, strukturu firmy a jména zaměstnanců, které chce oslovit.
- Vytvoření falešné identity – Zaregistruje e-mailovou adresu se jménem cílové osoby na běžné platformě (Gmail, Outlook, Daum atd.). Adresa navenek vypadá důvěryhodně, ale chybí v ní skutečná doména společnosti.
- První kontakt / testování – Útočník pošle neurčitou, ale zdvořilou zprávu. Nepožádá hned o peníze – zeptá se na číslo na WhatsApp, dostupnost, případně zmíní „důvěrnou záležitost“. Cílem je navázat kontakt mimo firemní e-mail.
- Eskalace – Po navázání důvěry přichází skutečná žádost: okamžitý bankovní převod, zaslání citlivých dokumentů nebo instalace souboru. Útočník zdůrazňuje naléhavost a důvěrnost – zaměstnanec nemá věřit, ověřovat ani o tom mluvit s kolegy.
Příklad z praxe
V posledních týdnech jsme zaznamenali sérii útoků, při nichž se útočníci vydávali za generálního ředitele advokátní kanceláře Hronček & Partners. Zprávy přicházely z adres jako headoffice023@daum.net, judypierce197091@gmail.com nebo mailprivateoffice065@gmail.com – tedy z běžných veřejných služeb, nikoli z firemní domény.
V našem případě byly zprávy poměrně snadno rozpoznatelné – obsahovaly gramatické chyby, neobvyklé formulace a podezřelé adresy. Ne vždy tomu tak je. Sofistikovanější útoky jsou mnohem těžší odhalit – útočník používá správný jazyk, zná interní procesy firmy, ví, na koho se odvolat, a rozdíl oproti skutečné komunikaci může spočívat jen v jednom znaku e-mailové adresy. Právě proto je důležité ověřit každou nestandardní žádost bez ohledu na to, jak důvěryhodně vypadá.
Varovné signály, které je třeba znát
- E-mail nepřichází z firemní domény, ale z Gmailu, Yahoo, Outlooku nebo jiné veřejné služby
- Zpráva je neobvykle stručná a vágní – bez konkrétního kontextu nebo odkazu na probíhající záležitost
- Odesílatel žádá o přesunutí komunikace na WhatsApp nebo jiný soukromý kanál mimo firemní prostředí
- Zpráva zdůrazňuje naléhavost, důvěrnost a vyžaduje okamžitou reakci bez možnosti ověření
- Žádost se týká platby, bankovního převodu, citlivých dokumentů nebo přihlašovacích údajů
- Útočník odrazoval od ověření žádosti u jiného kolegy nebo přímou telefonickou komunikací
Co dělat, pokud takovou zprávu obdržíte
- Neodpovídejte a neklikejte na žádné přílohy ani odkazy. Zprávu nechte tak, jak je.
- Ověřte si telefonicky nebo osobně u svého nadřízeného, zda takovou zprávu skutečně poslal.
- Nahláste zprávu IT oddělení nebo bezpečnostnímu správci ve vaší organizaci.
- Pokud jste již poskytli jakékoli údaje nebo prostředky, okamžitě kontaktujte vedení a zvažte další kroky tak, aby škody byly co nejmenší
Jak se chránit systémově
Jednotlivá opatření mohou výrazně snížit riziko úspěšného útoku. Organizacím doporučujeme zavést pravidlo „čtyř očí“ při schvalování plateb, aktivovat dvoufaktorové ověřování na všech firemních účtech a pravidelně školit zaměstnance v rozpoznávání sociálního inženýrství. Z technického hlediska je vhodné nakonfigurovat e-mailové filtry a záznamy DMARC/DKIM, které ztěžují padělání odesílatele.
Stejně důležité je mít jasně definovaný interní postup pro případ incidentu – zaměstnanci by měli vědět, na koho se obrátit a jak postupovat, aniž by propadli panice a způsobili další škody.
Pomůžeme vám připravit se ještě předtím, než k útoku dojde
Ve společnosti Top Privacy se kybernetické bezpečnosti věnujeme komplexně. Pokud si chcete být jisti, že je vaše organizace na podobné incidenty připravena, můžeme vám pomoci se školením zaměstnanců zaměřeným na phishing a sociální inženýrství, testováním zranitelností včetně simulovaných phishingových kampaní, nastavením bezpečnostní dokumentace a interních procesů, správou a řízením rizik (GRC, IRM) i službami externího manažera kybernetické bezpečnosti (CISO).
[Prohlédněte si naše služby] nebo naši službu Kybernetická bezpečnost na TRC.
