Deepfake, biometrika a podvody s AI: jak se bránit doma i v práci

AI podvody nejsou budoucnost. Jsou tady a fungují

Kybernetická bezpečnost se během posledních dvou let posunula do nové fáze. To, co dříve vyžadovalo technické dovednosti a čas, dnes zvládne i méně zdatný útočník s dostupnými nástroji umělé inteligence. Podle pravidelné zprávy společnosti Verizon o narušení dat se velká část incidentů stále opírá o lidskou chybu a sociální inženýrství; právě zde dnes AI zvyšuje přesvědčivost útoků. Phishing už dávno není jen o chybách v češtině a podezřelých odkazech. Podvodné zprávy mohou být jazykově bezchybné, personalizované a často i přesně načasované.

Roste i počet případů, kdy útočníci zneužívají hlas nebo podobu konkrétní osoby. V praxi to znamená, že zaměstnanec může obdržet telefonát „od nadřízeného“, který zní téměř identicky, nebo videovzkaz od člena rodiny žádajícího okamžitou pomoc. Deepfake už není kuriozita z laboratoře. Je to nástroj, který se přesouvá do běžné kriminality, protože je levný, rychlý a u nepozorných obětí velmi účinný.

Deepfake: proč je nebezpečnější než běžný podvod

Deepfake není jen falešné video. Jde o obsah vytvořený nebo upravený tak, aby co nejvěrněji napodoboval skutečnou osobu – obličej, hlas, mimiku i způsob mluvy. Největší problém spočívá v tom, že lidský mozek je nastavený na rozpoznávání známých vzorců. Pokud vidíme známou tvář a slyšíme známý hlas, máme tendenci obsah automaticky považovat za pravý.

To je zásadní změna oproti klasickému phishingu. Dřív útočník potřeboval, aby oběť klikla na odkaz nebo zadala heslo. Dnes může přesvědčivě vystupovat jako šéf, partner, bankéř nebo kolega a snažit se vynutit okamžitou reakci. Právě tlak na čas je typický znak moderních AI podvodů. Útočník chce, aby člověk jednal dřív, než si informace ověří.

Praktický dopad je vidět i na firemní úrovni. V roce 2024 upozornila analytická společnost Gartner, že do roku 2026 bude většina podniků čelit podvodům založeným na generativní AI v podobě hlasových či obrazových napodobenin. Nejde tedy o okrajové riziko, ale o novou normu, se kterou musí počítat firmy, školy i domácnosti.

Jak deepfake poznat

• Nesoulad pohybu rtů a zvuku – i drobné zpoždění může být varovné.
• Příliš hladký obraz – tvář bez přirozených detailů, zvláštní stíny nebo blikání v okolí vlasů.
• Neobvyklý tlak – urgentní prosba o peníze, kód nebo přihlášení.
• Odlišný komunikační styl – i dobře napodobený hlas může selhat v detailech, typickém slovníku nebo způsobu vyjadřování.

Nejlepší obrana není „poznat deepfake na první pohled“. To je v praxi často nemožné. Lepší strategie je nikdy neřešit citlivé požadavky jen přes jeden kanál. Když přijde naléhavý telefonát, ověřte si ho zpětným voláním na známé číslo. Když přijde videozpráva, ptejte se na detail, který zná jen skutečný odesílatel, nebo použijte předem domluvený ověřovací kód.

Biometrika: pohodlí, které potřebuje pojistku

Otisk prstu, rozpoznání obličeje nebo hlasová identifikace usnadňují přístup k telefonům, bankovním aplikacím i firemním systémům. Z hlediska uživatelského komfortu je biometrika mimořádně praktická. Z hlediska bezpečnosti ale platí jedno zásadní pravidlo: biometrický údaj nelze „změnit“ jako heslo. Když unikne heslo, nastavíte nové. Když unikne otisk prstu nebo sken obličeje, problém je dlouhodobý.

Evropské regulace, včetně obecného nařízení o ochraně osobních údajů, řadí biometrické údaje mezi zvláštní kategorie osobních dat. Důvod je jednoduchý: jejich zneužití může mít trvalé následky. Pokud někdo získá kopii biometrických dat, může ji využít k neoprávněnému přístupu, podvodům nebo k vytváření přesvědčivějších falešných identit.

Zvláštní pozornost si zaslouží také to, kde jsou biometrická data uložena. U moderních zařízení se často zpracovávají lokálně v zabezpečeném čipu, což je bezpečnější než odesílání dat do externí služby. Přesto je dobré číst podmínky a vědět, zda systém ukládá šablonu obličeje, hlasový vzorek nebo jiný identifikátor mimo zařízení.

Jak biometriku používat bezpečněji

• Zapněte ji jen tam, kde dává smysl – například pro odemykání telefonu, ale ne jako jedinou ochranu všech služeb.
• Kombinujte ji s PINem nebo silným heslem – biometrika má být první vrstva, ne jediná.
• Vypněte automatické přihlašování do citlivých aplikací – zejména u banky, e-mailu a správy cloudu.
• Pravidelně kontrolujte nastavení soukromí – některé služby nabízejí rozpoznání obličeje i pro označování fotografií nebo vyhledávání lidí.

V praxi je biometrika skvělá pro pohodlné používání zařízení, ale slabší jako samostatná obrana proti cílenému útoku. Pokud útočník získá přístup ke zprávám, e-mailu nebo zálohám, může z biometrických dat a dalších stop sestavit překvapivě přesný profil oběti. Ochrana soukromí proto nezačíná jen u hesel, ale i u toho, co o sobě veřejně zveřejňujeme.

Ochrana soukromí na sítích: méně dat, méně zbraní pro útočníka

Sociální sítě jsou pro útočníky zlatý důl. Z veřejně dostupných informací zjistí jména rodinných příslušníků, pracovní pozice, cesty, zájmy, školu, oblíbené značky i přibližný denní režim. Z těchto detailů se pak skládá přesvědčivý podvod. Pokud například zveřejníte, že jste na dovolené, útočník má ideální podmínky pro podvodný telefonát „z banky“ nebo „od kolegy“.

Podle dat agentury Pew Research Center pravidelně mění nastavení soukromí na sociálních sítích jen menší část uživatelů, přestože právě tato nastavení rozhodují o tom, kolik informací je veřejně dohledatelných. Z pohledu digitální bezpečnosti je to zásadní mezera. Každý veřejný údaj může sloužit jako potvrzení pravosti podvodu nebo jako materiál pro jeho personalizaci.

Dobrá zpráva je, že ochrana soukromí není složitá. Vyžaduje spíš disciplínu než technické znalosti. Největší rozdíl udělají tři věci: omezit veřejnost profilu, minimalizovat sdílení citlivých detailů a pravidelně procházet, kdo má přístup k vašim příspěvkům, fotografiím a seznamu kontaktů.

Co na sítích nesdílet bez rozmyslu

• datum narození, číslo telefonu a e-mail viditelný pro veřejnost,
• fotografie občanských dokladů, letenek a vstupenek,
• informace o dovolené v reálném čase,
• jména dětí, škol a pracovišť v kombinaci s lokalitou,
• snímky obrazovek s viditelnými kódy, účtenkami nebo interní komunikací.

Užitečné je také oddělit osobní a pracovní identitu online. Jeden e-mail pro soukromé účty, druhý pro veřejné registrace a třetí pro důležité služby výrazně snižuje dopad úniku dat. Útočník pak nemá snadnou cestu, jak propojit vaše účty a sestavit kompletní digitální profil.

Phishing v éře umělé inteligence: starý trik v novém kabátě

Phishing je stále nejčastější vstupní bránou pro útoky na jednotlivce i firmy. Jen se změnil jeho vzhled. Generativní nástroje dnes umožňují vytvořit jazykově čisté zprávy bez pravopisných chyb, napodobit styl konkrétní instituce a vygenerovat podvržené webové stránky, které se na první pohled téměř neliší od originálu. To je důvod, proč už nestačí sledovat jen gramatiku nebo logo.

Útočníci často zneužívají i více faktorů najednou. Pošlou e-mail, následně zavolají a pak ještě doručí podvrženou SMS. Cílem je vytvořit dojem legitimity z několika zdrojů. V takové situaci pomáhá jednoduché pravidlo: nikdy neověřujte přihlašovací údaje přes odkaz z doručené zprávy. Vždy otevřete službu ručně, přes vlastní záložku nebo oficiální aplikaci.

Odborníci na incidenty upozorňují, že rozhodující bývá první minuta. Kdo včas zastaví komunikaci, neklikne a nevyplní údaje, často útok přeruší. Kdo začne „jen kontrolovat“, snadno skončí na falešné stránce nebo pošle útočníkovi další potvrzení, které potřebuje.

Kontrolní seznam proti phishingu

• Kontrolujte adresu odesílatele, nejen zobrazované jméno.
• U citlivých požadavků si vše ověřujte jiným kanálem.
• Nezadávejte přihlašovací údaje z odkazu v e-mailu nebo SMS.
• Používejte správce hesel, který rozpozná falešnou doménu.
• Zapněte vícefaktorové ověření, ideálně přes aplikaci nebo bezpečnostní klíč.

Co má dělat běžný uživatel i firma: jednoduchá pravidla s velkým dopadem

Nejúčinnější digitální obrana není založená na jedné aplikaci, ale na souboru návyků. Pro jednotlivce to znamená aktualizovat zařízení, používat jedinečná hesla, zapnout vícefaktorové ověření a omezit množství veřejně dostupných informací. Pro firmy je klíčové školení zaměstnanců, jasný postup pro ověřování plateb a pravidlo, že citlivé změny se nepotvrzují jen jedním hovorem nebo zprávou.

Praktická zkušenost ukazuje, že i jednoduché interní opatření mohou snížit riziko výrazně. Například požadavek dvojího schválení u převodů nad určitou částku nebo povinné zpětné ověření u změny bankovního účtu dodavatele dokáže zastavit velkou část podvodů. Tam, kde jsou zavedené kontrolní mechanismy, mají útočníci menší šanci uspět i s velmi přesvědčivým deepfake.

Důležité je také počítat s tím, že absolutní bezpečnost neexistuje. Smyslem není vytvořit neproniknutelný systém, ale ztížit útok natolik, aby se pro pachatele stal neekonomický. Kybernetická bezpečnost je v jádru práce s pravděpodobností: čím méně dat sdílíte, čím silnější máte ověření a čím více kroků vyžaduje citlivá akce, tím menší je šance na úspěch podvodníka.

Závěr: největší slabinou zůstává spěch

Deepfake, AI podvody i sofistikovaný phishing mají společný cíl: vyvolat rychlou reakci bez ověření. Obrana proto stojí na opačném principu – zpomalit, ověřit, potvrdit. Omezte veřejná data na sítích, nepoužívejte biometriku jako jedinou ochranu a u citlivých požadavků vždy sáhněte po