Digitální podvody už dávno nestojí jen na špatně napsaném e-mailu. Dnes útočníci umějí napodobit hlas, tvář i styl komunikace tak přesvědčivě, že zaskočí i zkušené uživatele. Deepfake, zneužití biometriky a promyšlené phishingové scénáře patří mezi nejrychleji rostoucí hrozby v kyberprostoru. Jak poznat varovné signály a jak si nastavit obranu, která má v praxi smysl?
Deepfake už nejsou kuriozita. Stávají se průmyslem podvodu
Ještě před několika lety působily deepfake nahrávky jako technologická atrakce. Dnes jsou součástí běžné kybernetické kriminality. Podle odhadů společnosti Deeptrace z roku 2019 tvořily falešné pornografické materiály přibližně 96 % všech tehdy analyzovaných deepfake videí. Od té doby se však hrozba posunula: útočníci stále častěji používají syntetický hlas, upravené video a přesvědčivě padělanou identitu při podvodech na firmy i jednotlivce.
Nejznámější případ z posledních let ukázal, jak nebezpečné to je v praxi: hongkongská společnost přišla podle médií o 25 milionů dolarů, když zaměstnanec uvěřil videohovoru, ve kterém vystupoval falešný finanční ředitel. Nešlo o amatérskou nahrávku, ale o promyšlený útok kombinující deepfake obraz, hlas a sociální inženýrství. Právě spojení techniky a psychologického tlaku je na těchto útocích nejnebezpečnější.
Evropská agentura ENISA i bezpečnostní firmy dlouhodobě upozorňují, že největší riziko nepředstavuje samotná kvalita podvrhu, ale rychlost, s jakou oběť reaguje. Útočník potřebuje jedinou věc: aby člověk jednal dřív, než si ověří, kdo mu skutečně píše, volá nebo posílá video.
Proč biometrika není neprůstřelná, i když vypadá pohodlně
Otisk prstu, sken obličeje nebo hlasová identifikace dnes odemykají telefony, potvrzují platby i zpřístupňují firemní systémy. Biometrika je pohodlná, ale má jednu zásadní slabinu: nejde ji snadno změnit. Když unikne heslo, uživatel si nastaví nové. Když se však do špatných rukou dostane biometrický údaj, škoda může být dlouhodobá.
To platí hlavně u služeb, které biometrická data ukládají centrálně. V případě úniku hrozí, že útočník získá nejen přístup k účtu, ale i materiál pro další útoky. Fotografie obličeje může posloužit k vytvoření deepfake videa, hlasová nahrávka k syntéze řeči a otisk prstu k obcházení některých slabších zabezpečení. Biometrie sama o sobě tedy není problém, problémem je její používání bez dalších vrstev ochrany.
Bezpečnostní praxe doporučuje biometriku chápat jako jeden z faktorů, nikoli jako jedinou bránu. Pokud banka, firma nebo aplikace spoléhá jen na rozpoznání obličeje či hlasu, je to slabé místo. Silnější je kombinace biometrie s dalším ověřením, například s PINem, hardwarovým bezpečnostním klíčem nebo potvrzením v důvěryhodné aplikaci.
Co by měl uživatel u biometriky hlídat
- Zapnutí vícefaktorového ověření tam, kde je to možné.
- Omezení sdílení fotografií a hlasových nahrávek na veřejných sítích.
- Kontrolu oprávnění aplikací, které mají přístup k mikrofonu, kameře a údajům o obličeji.
- Aktualizace systému, protože výrobci často opravují právě slabiny v zabezpečení biometriky.
- Vypnutí snadno zneužitelných funkcí, pokud nejsou skutečně potřeba.
Phishing se změnil: z pravopisných chyb na přesnou psychologii
Starý phishing býval snadno rozpoznatelný. Podezřelá adresa, kostrbatá čeština, hrozba blokace účtu. Dnešní phishing je mnohem sofistikovanější. Útočníci si z veřejných profilů na sítích, z firemních webů i z uniklých databází sestaví přesný profil oběti a následně pošlou zprávu, která působí naprosto věrohodně. Využívají přitom i jazykové modely a automatizaci, takže dokážou produkovat tisíce variant jediné zprávy.
Podle zpráv bezpečnostních společností tvoří phishing dlouhodobě jednu z nejčastějších vstupních cest do firemních systémů. Český Národní úřad pro kybernetickou a informační bezpečnost pravidelně upozorňuje, že útoky se posouvají od masových kampaní k cíleným podvodům, které staví na důvěře, spěchu a autoritě. Typickým scénářem je zpráva od „šéfa“, „kolegy“, „banky“ nebo „dopravní společnosti“, která požaduje okamžitou reakci.
Zásadní je, že podvod už nemusí přijít pouze e-mailem. Časté jsou i zprávy přes komunikační aplikace, telefonáty s napodobeným hlasem nebo videohovory, kde útočník využívá falešnou identitu online. To znamená, že samotná opatrnost při otevírání odkazu nestačí. Je třeba ověřovat i to, kdo vlastně komunikuje a zda požadavek dává smysl v daném kontextu.
Tři jednoduché kontroly, které odhalí většinu podvodů
- Kontrola kanálu: Při nečekané žádosti si informaci ověřte jinou cestou. Když „ředitel“ píše přes chat, zavolejte na známé číslo.
- Kontrola naléhavosti: Každá věta typu „ihned“, „teď hned“, „do 10 minut“ má vyvolat paniku. Právě to je varovný signál.
- Kontrola detailu: Útočníci často znají obecné informace, ale selžou v drobnosti: čísle projektu, interním postupu nebo stylu komunikace.
Jak si chránit soukromí na sítích, aby z vás nebyl materiál pro útok
Ochrana soukromí už není jen otázka osobního pohodlí. Je to přímá součást digitální bezpečnosti. Každá veřejně dostupná fotografie, hlasová zpráva, video z dovolené nebo příspěvek o práci může posloužit jako tréninkový materiál pro deepfake nástroje nebo jako zdroj informací pro cílený podvod. Čím více dat o sobě zveřejníte, tím snadněji útočník napodobí váš styl, prostředí i kontakty.
Obzvlášť rizikové je sdílení:
- záběrů obličeje v dobrém rozlišení z více úhlů,
- hlasových nahrávek a videí s čistým zvukem,
- fotografií dokumentů, letenek a identifikačních údajů,
- informací o tom, kde pracujete, s kým spolupracujete a kdy nebýváte doma.
V praxi je dobré nastavit profil na sítích tak, aby byl veřejný jen minimálně. Nejde o paranoiu, ale o prevenci. Útočník nepotřebuje znát vše. Stačí mu pár detailů, aby vytvořil přesvědčivou zprávu nebo imitaci osoby. Výrazně pomáhá také oddělení soukromého a pracovního profilu, omezení viditelnosti příspěvků na okruh přátel a vypnutí automatického zobrazení polohy.
U fotografií a videí se vyplatí myslet i na metadata. Mnoho zařízení do souborů ukládá čas, místo a další technické informace. Pokud je není nutné sdílet, je rozumné je před publikací odstranit. V prostředí, kde se identita online skládá z drobků, je i taková drobnost praktickou obranou.
AI podvody v praxi: co funguje a co je jen marketingová kulisa
Růst generativní umělé inteligence přinesl nejen nové nástroje pro tvorbu obsahu, ale i novou generaci podvodů. Útočníci dnes dokážou během minut vytvořit falešnou stránku banky, napodobit styl e-mailu konkrétního manažera nebo sestavit hlasovou zprávu, která zní téměř autenticky. Bezpečnostní firmy proto mluví o období, kdy se kybernetická bezpečnost musí opírat nejen o technologie, ale hlavně o procesy a disciplínu uživatelů.
V posledních letech prudce rostou i útoky typu hlasový podvod, kdy útočník napodobí příbuzného nebo nadřízeného a žádá peníze, přístupový kód či potvrzení transakce. V některých případech stačí několik sekund hlasové nahrávky z veřejných sítí a dostupné nástroje umějí vytvořit velmi přesvědčivý výstup. To je důvod, proč odborníci doporučují nespoléhat na „poznám ho po hlase“.
Nejlepší obrana není technická magie, ale kombinace opatření:
- zavést kontrolní otázku mimo běžně dostupné informace,
- ověřovat finanční požadavky dvěma nezávislými kanály,
- omezit veřejné nahrávky hlasu a videa s jasnou mluvou,
- používat správce hesel a jedinečná hesla pro každý účet,
- nastavit upozornění na přihlášení a změny v účtech,
- pravidelně školit zaměstnance i rodinu, protože podvod míří na nejslabší článek.
Digitální sebeobrana není jednorázové nastavení, ale návyk
Kybernetická bezpečnost dnes není jen úkol pro IT oddělení. Je to každodenní dovednost. Stejně jako si zamykáme dveře, musíme si hlídat i digitální identitu. To znamená pravidelně aktualizovat zařízení, používat silná a jedinečná hesla, zapnout vícefaktorové ověření a být opatrný u každé nečekané výzvy k akci. Především je ale nutné přijmout, že důvěra v digitálním prostoru se už nedá stavět jen na vzhledu zprávy, tváře nebo hlasu.
Data z praxe ukazují, že největší ztráty nevznikají kvůli sofistikované technologii, ale kvůli rychlému rozhodnutí pod tlakem. Deepfake a AI podvody jsou nebezpečné právě tím, že napodobují známé vzorce a zneužívají lidskou důvěru. Kdo si vytvoří jednoduchý kontrolní postup, výrazně snižuje šanci, že se stane obětí.
Praktické shrnutí je jednoduché: nevěřte hlasu automaticky, neberte obličej jako důkaz, chraňte biometrické údaje jako citlivý majetek a na sítích zveřejňujte jen to, co byste klidně ukázali i neznámému člověku na ulici. Digitální bezpečnost dnes stojí na jednom základním zvyku: zastavit se, ověřit a teprve pak jednat. Otázka zní: máte svůj vlastní kontrolní postup, nebo stále spoléháte na to, že podvod poznáte „na první pohled“?
