Deepfake, biometrika a AI podvody: jak si uhlídat identitu

Digitální útoky už nejsou jen phishing. Přibyl hlas, tvář i emoce

Když se mluví o kybernetické bezpečnosti, většina lidí si stále vybaví podvodný e-mail s chybami v češtině nebo falešný odkaz na banku. Jenže digitální prostředí se změnilo rychleji než návyky uživatelů. Útočníci dnes využívají deepfake videa, klonování hlasu, automatizované chatovací podvody i vytěžování osobních dat z veřejně dostupných zdrojů. Výsledkem je mnohem přesvědčivější manipulace, která míří nejen na peněženku, ale i na identitu online.

Podle společnosti Verizon se do 68 % bezpečnostních incidentů v roce 2024 zapojil lidský faktor, ať už šlo o phishing, zneužití přihlašovacích údajů nebo sociální inženýrství. To je důležité číslo: technické zabezpečení samo o sobě nestačí, pokud útočník dokáže přesvědčit člověka, aby udělal chybu. Nová generace útoků navíc stojí na tom, že lidé věří tomu, co vidí a slyší. A právě to dnes umí umělá inteligence velmi přesvědčivě napodobit.

Deepfake: když už nestačí falšovat e-mail, padělá se hlas i obličej

Deepfake je syntetický obraz nebo zvuk vytvořený tak, aby vypadal jako skutečný člověk. Zpočátku se používal hlavně k zábavě a experimentům, ale dnes je z něj nástroj pro podvody, vydírání i reputační útoky. Největší riziko je v tom, že deepfake už nemusí být dokonalý, aby byl účinný. Stačí několik sekund přesvědčivého hlasu nebo krátké video, které v příjemci vyvolá paniku.

V roce 2024 upozornila firma Sumsub ve svém průzkumu na výrazný nárůst pokusů o podvod s falešnou identitou, přičemž deepfake technologie patřily mezi nejrychleji rostoucí hrozby v oblasti ověřování totožnosti. Podobně Europol dlouhodobě varuje, že generativní umělá inteligence snižuje náklady na podvod a zvyšuje jeho škálovatelnost. To je zásadní změna: dříve musel podvodník trávit čas osobním cílením oběti, dnes může stejný scénář poslat tisícům lidí během minut.

Praktický příklad? Útočník si z veřejných videí nasbírá hlas nadřízeného, přidá údaje z LinkedInu a vytvoří naléhavou žádost o okamžitou platbu. Zaměstnanec slyší známý hlas, vidí známé jméno a jedná rychle. V roce 2019 se stal známým případ britské firmy, která kvůli falešnému telefonátu přišla o 220 tisíc eur. Dnes je tvorba podobného podvodu technicky mnohem jednodušší a levnější.

Jak deepfake poznat v praxi

• Neobvyklý spěch: útočník tlačí na okamžité rozhodnutí, bez možnosti ověření.
• Odchylka v tónu nebo rytmu řeči: hlas zní „správně“, ale je příliš hladký, monotónní nebo naopak přehnaně čistý.
• Chybějící přirozené detaily: u videa mohou být problematické pohyby rtů, mrkání, stíny nebo odlesky.
• Neobvyklý komunikační kanál: místo standardního firemního postupu přijde žádost přes soukromou aplikaci nebo nečekané číslo.
• Požadavek na mlčenlivost: „Nechoďte s tím za nikým jiným“ je typický znak manipulace.

Biometrika není neprůstřelná. Otisk prstu ani obličej nejsou heslo

Biometrické ověřování je pohodlné, a proto se rozšířilo do telefonů, bankovnictví i pracovních systémů. Jenže biometrika má jednu zásadní slabinu: na rozdíl od hesla ji nelze změnit, když unikne. Pokud útočník získá kopii otisku prstu, sken obličeje nebo hlasový vzorek, nejde o běžnou chybu, ale o dlouhodobý problém s dopadem na soukromí i bezpečnost.

Evropská pravidla ochrany osobních údajů považují biometrické údaje za zvlášť citlivé. Důvod je zřejmý: jde o data, která mohou sloužit k jednoznačné identifikaci člověka. V praxi ale mnoho uživatelů biometriku používá bez většího přemýšlení, protože je rychlá a pohodlná. To je pochopitelné, ale vyžaduje to disciplínu. Biometrické ověření by nikdy nemělo být jedinou vrstvou ochrany.

Experti na digitální bezpečnost doporučují kombinovat biometriku s dalším faktorem, ideálně s PINem nebo hardwarovým klíčem. Dvoufaktorové ověření výrazně snižuje riziko zneužití účtu, i když útočník získá přístupové jméno a heslo. Podle dat americké agentury CISA může použití vícefázového ověřování zásadně omezit úspěšnost běžných podvodů, zejména těch založených na phishingu.

Riziko biometriky roste i kvůli tomu, kolik údajů o sobě sami zveřejňujeme. Fotografie z dovolené, videa na sociálních sítích, hlasové zprávy nebo záznamy z konferencí – to vše jsou materiály, z nichž lze vytvořit velmi přesvědčivé padělky. Pokud člověk pravidelně sdílí svůj obličej i hlas, snižuje tím práh pro útočníka. Soukromí proto není jen otázka „co neukazuji“, ale také „co dávám veřejně k dispozici pro budoucí zneužití“.

Ochrana soukromí na sítích začíná u toho, co o sobě prozradíte sami

Většina lidí nemá problém s tím, že by jim někdo četl e-maily. Znepokojuje je spíš představa hackera v systému. Jenže moderní podvody často nepotřebují proniknout do cizího účtu. Stačí jim veřejný profil, pracovní historie, fotografie z rodiny, informace o škole dětí nebo místo, kde člověk tráví dovolenou. Z těchto drobností vzniká přesný obraz, který lze použít k cílenému útoku.

To je důvod, proč je ochrana soukromí na sítích přímou součástí kybernetické bezpečnosti. Čím méně informací útočník získá, tím hůř napodobí důvěryhodnou komunikaci. Pokud například veřejně uvádíte jméno nadřízeného, strukturu firmy, pracovní postupy a telefonní čísla, usnadňujete podvodníkovu práci. Stejně tak zveřejněné údaje o rodině mohou posloužit k nátlaku nebo vydírání.

Podle dlouhodobých zjištění bezpečnostních firem patří mezi nejčastější vstupní bod útoku právě e-mail a sociální sítě. Útočníci spoléhají na to, že lidé kliknou, odpoví nebo si ověření nechají „na později“. V digitální době však platí jednoduché pravidlo: každá veřejná informace je potenciální stavební kámen podvodu.

Co udělat hned dnes

• Omezte viditelnost profilů: zkontrolujte, kdo vidí vaše příspěvky, fotografie i seznam kontaktů.
• Skryjte citlivé detaily: datum narození, telefon, adresa, jména dětí či škola by neměly být volně dostupné.
• Oddělte pracovní a soukromou identitu: používejte jiné e-mailové adresy i nastavení soukromí.
• Pravidelně čistěte starý obsah: staré veřejné příspěvky často obsahují více údajů, než si pamatujete.
• Zapněte dvoufázové ověření: ideálně přes aplikaci nebo hardwarový klíč, ne jen SMS.

AI podvody: proč jsou tak účinné a jak se jim bránit

Umělá inteligence změnila ekonomiku podvodu. To, co dříve vyžadovalo jazykovou zdatnost, zkušenost a čas, lze dnes generovat automaticky a ve velkém. Podvodný e-mail je gramaticky čistší, chat s falešnou podporou působí přirozeněji, hlasová nahrávka zní důvěryhodněji. Útočníci navíc dokážou testovat více variant a vybrat tu, která má největší úspěšnost.

Nejčastější scénáře jsou tři. Prvním je phishing, tedy snaha vylákat přihlašovací údaje přes falešnou stránku nebo zprávu. Druhým je vishing, neboli telefonický podvod s použitím hlasu. Třetím je cílená manipulace, kdy útočník kombinuje veřejná data, sociální sítě a deepfake obsah, aby vytvořil dojem legitimního kontaktu. U firemních útoků se často přidává i přesně načasovaná žádost o platbu nebo změnu bankovního účtu dodavatele.

Dobrá zpráva je, že obrana není složitá, pokud je systematická. Základem je ověřování přes druhý kanál. Když vám někdo pošle hlasovou zprávu s naléhavou žádostí, zavolejte zpět na číslo, které už dlouhodobě používáte, ne na číslo z dané zprávy. Když přijde e-mail s výzvou k platbě, otevřete firemní systém nebo adresář, nikoli odkaz v e-mailu. A když jde o peníze, vždy platí pravidlo zpomalení: čím větší tlak, tím větší důvod zastavit se.

Praktická kybernetická sebeobrana: co skutečně funguje

Kybernetická sebeobrana není o jediné aplikaci ani o „zázračném“ nastavení. Je to soubor návyků, které snižují šanci, že se z vás stane snadný cíl. Zkušenost bezpečnostních týmů ukazuje, že útoky často selžou už na základních kontrolách, pokud je lidé skutečně dodržují. Největší slabinou nebývá technika, ale rutina a spěch.

Začněte tím, že si nastavíte dlouhá a unikátní hesla pro každý důležitý účet. Správce hesel je v tomto ohledu prakticky nutnost, ne luxus. Dále zapněte dvoufázové ověření všude, kde je to možné, a u citlivých účtů zvažte hardwarový bezpečnostní klíč. Pravidelně kontrolujte přihlášená zařízení, historii přístupů a upozornění na změny účtu. U bankovnictví a e-mailu je vhodné nastavit upozornění na neobvyklé přihlášení.

Stejně důležité je naučit se rozpoznat psychologický tlak. Podvodníci pracují s naléhavostí, autoritou, strachem a pocitem výjimečnosti. „Je to jen pro vás“, „musí se to vyřešit do pěti minut“, „nevolejte zpět, jsem na jednání“ – podobné věty jsou varovným signálem. Člověk by měl být opatrný právě ve chvíli, kdy má pocit, že všechno sedí až podezřele dobře.

Pokud chcete chránit i svou biometriku, buďte obezřetní při udělování souhlasů aplikacím, které chtějí přístup k fotoaparátu, mikrofonu nebo galerii. Zvažte, zda opravdu potřebují váš obličejový sken, nebo zda postačí běžné heslo. A hlavně si uvědomte, že jednou zveřejněný hlas či tvář už nelze stáhnout zpět ze světa.

Závěr: bezpečnost začíná u ověření, ne u důvěry

Deepfake, AI podvody i zneužití biometriky ukazují, že digitální bezpečnost už není jen otázkou techniky, ale i každodenního úsudku. Nejlepší obrana stojí na třech pilířích: omezit množství osobních dat na sítích, používat vícefázové ověření a nikdy nereagovat pod tlakem bez nezávislého ověření. V době, kdy lze napodobit hlas i tvář, je zdravá nedůvěra důležitější než slepá důvěra.

Otázka pro každého z nás zní jednoduše: kdy jste napos