Ráno, které se změnilo v krizi
Petra, asistentka vedení, přišla do kanceláře s obvyklým seznamem úkolů. Připravit smlouvy, zajistit podklady pro platby, projít e-maily. Nic neobvyklého.
Když se jí na monitoru objevil nový e-mail od generálního ředitele, nepozastavila se. Adresa byla správná, firemní podpis nechyběl. Text byl stručný a naléhavý:
„Petro, jsem na konferenci a nemám přístup do systému. Potřebuji, abyste okamžitě uhradila zálohu dodavateli. Číslo účtu posílám v příloze. Je to urgentní.“
Petra neváhala. Věděla, že podobné situace se občas stávají. Klikla na přílohu, zkontrolovala údaje a připravila platbu.
Krátce nato jí zazvonil telefon. Na displeji svítilo číslo ředitele. Hlas, který slyšela, byl nezaměnitelný. Stejná intonace, stejné obraty, dokonce stejný způsob, jakým vyslovoval jméno dodavatele. „Petro, prosím, nenechme to zdržovat. Potřebujeme tu platbu dnes.“
Známý hlas. Autorita. Naléhavost. Petra platbu dokončila.
Realita: dokonalá iluze
Žádný z těchto kontaktů nebyl skutečný. Útočníci zkombinovali:
- Spear-phishing: precizně cílený e-mail vycházející ze znalosti firemních procesů.
- Deepfake hlas: vygenerovaný na základě veřejně dostupných nahrávek ředitele.
- Sociální inženýrství: kombinace autority a časového tlaku, která eliminovala prostor pro pochybnosti.
Platba odešla na účet, odkud zmizela během několika hodin. Firemní firewall, EDR systém ani vícefaktorové ověřování nehrály roli. Obrana byla obejita přes člověka.
Proč technologie nestačí
Na první pohled se zdá nepochopitelné, že firma s moderními bezpečnostními opatřeními podlehne tak jednoduchému triku. Ale přesně to dělá deepfake útoky tak nebezpečnými.
- Technologické bariéry nejsou cílem útoku. Útočníci nepotřebují malware, když dokážou přesvědčit člověka.
- Petra neporušila žádná pravidla. Naopak – jednala v zájmu vedení.
- Procesy nebyly nastaveny na krizové situace. Nebylo vyžadováno dvojí ověření u mimořádných plateb.
Deepfaky využívají psychologii: tlak času, důvěru v autoritu a přirozenou snahu pomoci. Tyto faktory dokáží vyřadit kritické myšlení i u zkušených zaměstnanců.
