CEO podvod a vydávání se za vedení: jak sociální inženýrství míří na platby

CEO podvod je podvod, při kterém se zločinec vydává za vrcholového manažera, obvykle generálního nebo finančního ředitele, a žádá zaměstnance, aby provedl platbu, koupil dárkové karty nebo poslal citlivá data. Jde o variantu kompromitace firemního e-mailu (business email compromise). Funguje proto, že se opírá o autoritu člověka na vrcholu a k ní přidává tlak: naléhavost, utajení a věrohodný důvod.

Internet Crime Complaint Center americké FBI zaznamenalo v roce 2025 celkem 24 768 stížností na kompromitaci firemního e-mailu s nahlášenými ztrátami 3 046 598 558 USD (IC3 2025 Internet Crime Report). Stejná zpráva uvádí, že nástroje AI dokážou rychle vytvořit oficiálně znějící e-maily napodobující generálního ředitele firmy a že klonování hlasu lze použít k žádostem o bankovní převody.

Obrana nestojí ani tak na technologii jako na několika pevných pravidlech. Doplňuje je nastavení e-mailu, které ztíží vydávat se za vaše manažery.

Jak vypadá typický pokus

Scénář bývá skoro pokaždé stejný:

1. Záminka. „Jsem na jednání s právníky kvůli akvizici. Potřebuji, abyste dnes vyřídil převod, a prosím, nechte to zatím mezi námi.“
2. Kanál. E-mail z adresy, která vypadá správně, SMS z neznámého čísla („můj nový telefon“) nebo hlasová zpráva, která zní jako dotyčný manažer.
3. Tlak. Termíny, důvěrnost a náznak, že otázky nejsou vítané.
4. Platba. Bankovní převod na nový účet, balík dárkových karet nebo žádost o mzdová či daňová data.

Terčem bývá někdo z financí, účetnictví nebo asistent vedení: má oprávnění pohybovat penězi a je zvyklý pokyny vedení plnit rychle.

Proč to funguje

Zločinci si nejprve zmapují, co je o firmě vidět zvenčí: jména a funkce z webu a profesních sítí, služební cesty oznámené na sociálních sítích, formát vašich e-mailových adres a kdo je komu podřízený. S tím už stačí napsat zprávu tak, aby zněla jako šéf v hektickém dni.

Práci jim usnadňují 3 technické mezery:

• Vaši doménu lze padělat. Bez vynucené politiky DMARC může zpráva s From: ceo@yourcompany.com dorazit do schránky, přestože ji vaše servery nikdy neodeslaly. Viz SPF, DKIM a DMARC srozumitelně.
• Existuje podobná doména. yourcornpany.com (s „rn“ místo „m“) ověřením projde, protože ji zločinec vlastní. Více v článku podobné domény a typosquatting.
• Lidé věří zobrazovanému jménu. Mnoho poštovních aplikací, zejména v telefonech, ukazuje jen „Jana Nováková, CEO“ a skutečnou adresu skryje.

Hlasové a textové zprávy

Vydávání se za jiné se dnes neomezuje jen na e-mail. V květnu 2025 FBI varovala před kampaní, která pomocí SMS a hlasových zpráv generovaných AI napodobovala vysoké americké úředníky, a doporučila nebrat takovou zprávu automaticky jako pravou (FBI IC3 PSA I-051525-PSA). Stejné techniky lze použít i proti manažerům firem, jejichž hlas je slyšet v rozhovorech, webinářích nebo na konferenčních přednáškách.

V praxi to znamená: známý hlas v telefonu sám o sobě totožnost nedokazuje.

Pravidla, která podvod zastaví

Sepište je a postarejte se, aby se za ně každý člen vedení otevřeně postavil:

• Žádná platba ani změna bankovního účtu se neschvaluje jediným kanálem. Žádost z e-mailu se ověřuje telefonátem, žádost z telefonu zprávou v interním chatu, vždy na kontaktech, které už máte.
• Vedení nikdy nežádá o utajení plateb. Řekněte to nahlas na poradě. Jakmile zaměstnanci vědí, že je generální ředitel nikdy nepožádá, aby obešli schvalování, stane se z věty „nechte to mezi námi“ varovný signál.
• Nové příjemce a velké převody schvalují 2 lidé.
• Žádosti vedení o dárkové karty se vždy odmítají.
• Zaměstnanec, který se zastaví a žádost ověří, dostane poděkování, nikdy výtku, i když se žádost ukáže jako skutečná.

Nastavení e-mailu, která stojí za to zkontrolovat

dig +short TXT _dmarc.yourcompany.com

1. Vynuťte DMARC s p=quarantine nebo p=reject, aby se padělaná pošta z vaší domény nedoručovala.
2. Zapněte v poštovním systému označení externího odesílatele, aby zprávy odeslané mimo firmu byly zřetelně označené.
3. Pokud to vaše řešení pro zabezpečení pošty umí, zapněte ochranu proti zneužití jmen vedení.
4. Vyžadujte vícefaktorové ověření u schránek vedení a financí, protože skutečně napadená schránka je ze všech odesílatelů nejpřesvědčivější.
5. Mějte přehled o doménách podobných té vaší a kontrolujte, které z nich mají MX záznamy.

Když už někdo zaplatil

Okamžitě kontaktujte banku a požádejte o zastavení převodu, potom podejte stížnost na ic3.gov. FBI upozorňuje, že rozhoduje čas a že IC3 může finančním institucím a orgánům činným v trestním řízení pomoci peníze zadržet (IC3 PSA I-091124-PSA). Původní zprávy i s úplnými hlavičkami uschovejte pro vyšetřovatele.

Krátký kontrolní seznam

• Každá platba a změna bankovních údajů se ověřuje 2 kanály.
• Jasné prohlášení vedení, že žádost o utajení je varovný signál.
• Vynucený DMARC, zapnuté označení externích odesílatelů.
• Vícefaktorové ověření u schránek financí a vedení.
• Podobné domény máte zmapované a hlídané.

Jak pomáhá Datahorses

Datahorses hlídá vaši firmu zvenčí tak, jak ji vidí útočník: nové domény podobné té vaší, to, zda z nich lze posílat poštu, falešné přihlašovací stránky a změny vašich SPF, DKIM a DMARC. Každé zjištění posoudí náš specialista a vy dostanete konkrétní kroky. Jak to funguje, uvidíte v části co hlídáme nebo v ukázkovém dashboardu. Příbuzný podvod s fakturami vysvětlujeme v článku falešné faktury rozesílané jménem vaší firmy.