Co je CEO fraud
CEO fraud (Business Email Compromise, BEC) je typ podvodu, kdy se útočník vydává za vedení firmy — ředitele, finančního ředitele, nebo jiného manažera — a žádá zaměstnance o urgentní převod peněz.
Celosvětově se tímhle podvodem ukradly miliardy dolarů. A nefunguje na malé částky — průměrná ztráta je stovky tisíc korun.
Jak to vypadá
Email typicky přijde účetní nebo finanční oddělení:
"Ahoj Jano,
jsem na důležitém jednání a nemůžu teď volat. Potřebuji urgentně převést 45 000 Kč dodavateli — nový kontrakt, musí to jít dnes. Účet: 1234567890/0800.
Ověříme to zítra, teď prosím pošli.
Díky, Martin"
Proč to funguje
- Autorita — email je "od šéfa." Kdo řekne šéfovi ne?
- Urgence — "musí to jít dnes", "nemůžu volat"
- Odkládá ověření — "ověříme to zítra"
- Správný kontext — útočník často ví jména, pozice, probíhající projekty (z LinkedIn, webu firmy)
- Emailová adresa — buď podvržená (spoofing), nebo z podobné domény (martín@firma.cz místo martin@firma.cz)
Moderní varianta: deepfake hlas
V roce 2024 proběhl případ, kdy útočník použil AI naklonovaný hlas CFO během videohovoru. Zaměstnanec převedl 25 milionů USD — protože "šéf" na to dohlížel živě.
S AI technologií stačí 3 sekundy vzorku hlasu z prezentace na YouTube, rozhovoru v podcastu, nebo hlasové zprávy na sociální síti.
Jak se bránit
Pro zaměstnance:
- Vždy ověř jiným kanálem — zavolej šéfovi na známé číslo (ne na číslo z emailu)
- Nenech se tlačit urgencí — pokud "nemůže volat", počkej. Žádný legitimní převod nemůže čekat 0 minut
- Kontroluj email adresu ZNAK PO ZNAKU — martin@firrna.cz ≠ martin@firma.cz
- Hlásit podezřelé požadavky — IT oddělení ocení falešný poplach víc než reálnou ztrátu
Pro firmy:
- Pravidlo 4 očí — žádný převod nad X Kč bez schválení dvou lidí
- Školení zaměstnanců — pravidelné phishing simulace
- Interní proces — změny platebních údajů dodavatelů vždy ověřovat telefonicky
- Email autentizace — SPF, DKIM, DMARC na firemní doméně
Statistiky
- 26 miliard USD — celosvětové ztráty z BEC podvodů (FBI, 2023)
- 65 % firem zažilo pokus o BEC útok
- Průměrná ztráta: 120 000 USD na incident
- V ČR: desítky případů ročně, většina nenahlášena (stud)
Shrnutí
CEO fraud funguje, protože lidi věří autoritě a nechávají se tlačit urgencí. Obrana je jednoduchá: vždy ověř jiným kanálem. Jeden telefonát zachrání miliony.
