Tiché kyberútoky: Jak e-mailové podvody ničí malé firmy

Zatímco mediální pozornost se soustředí na ransomwarové útoky, velkou hrozbou pro malé a střední podniky jsou sofistikované e-mailové podvody. Německá pojišťovna Stoik varuje před čtyřmi typickými scénáři, při nichž útočníci manipulují falešnou komunikací obchodní procesy a odčerpávají peníze bez jakéhokoli alarmujícího signálu.

Kybernetická kriminalita stojí německou ekonomiku téměř 290 miliard EUR ročně. Podle studie "Ekonomická ochrana 2025" od digitální asociace Bitkom bylo 87 % všech německých společností poškozeno kybernetickými útoky – od krádeží dat přes průmyslovou špionáž až po sabotáže. Čísla jsou alarmující, ale každodenní nebezpečí se často skrývá i v méně viditelných útocích.

Upisovatelé německé pojišťovny Stoik GmbH, specializující se na kybernetické pojištění, bijí na poplach: malé a střední podniky čelí nepřiměřeně častým e-mailovým podvodům a phishingovým útokům, které však zůstávají ve stínu mediálního zájmu o velké kauzy. Podle vlastních dat Stoik registruje ve svém portfoliu až desetkrát více případů tohoto typu podvodů než škod způsobených ransomwarem.

„Na rozdíl od ransomwaru e-mailové podvody neparalyzují systémy. Žádné IT nouzové situace, žádné krizové týmy, žádné postupy podle příručky. Útoky cílí na obchodní procesy místo na technologie: odkloněné mzdy, falešné faktury, manipulované platební toky. Pokud je podvod odhalen, peníze jsou obvykle dávno pryč – a společnost zůstává zticha z reputačních důvodů,“ uvádí tisková zpráva pojišťovny.

Proč právě malé firmy?

Útočníci nejsou vybíraví. Hromadně skenují firmy a útočí tam, kde identifikují slabé procesy – a právě ty často nacházejí u menších podniků. Ty totiž často zanedbávají kybernetickou ochranu nebo nepoužívají účinné bezpečnostní mechanismy. Ačkoli "kořist" bývá menší než u velkých korporací, menších firem je na trhu nepřeberné množství a stále je možné cílit na nové oběti. Pojišťovna Stoik identifikovala čtyři typické scénáře, které jsou "děsivě jednoduché, a přitom vysoce účinné" a mohou postihnout firmy všech velikostí.

Scénář 1: Přesměrování mzdy Útočníci identifikují na LinkedInu jména a pozice zaměstnanců firmy a vytvoří falešné e-mailové adresy, které jsou na první pohled k nerozeznání od originálních. Následně píšou na personální oddělení žádosti o okamžité převedení mzdy na nový účet. Pokud může být změna provedena bez ověření, podvod se povedl. Protože peníze putují do zahraničí na základě oficiálního pokynu, jejich návrat je téměř nemožný.

Scénář 2: Falešné faktury z heknutého účtu Sofistikovanější útok začíná phishingovým e-mailem, který zaměstnance přiměje kliknout na falešnou přihlašovací stránku, nebo využitím ukradených či slabých hesel. Jakmile pachatelé získají přístup k firemnímu e-mailovému účtu, rozesílají do oddělení účetnictví nebo nákupu zprávy s novým nebo změněným bankovním účtem dodavatele. Protože e-mail přichází přímo ze známé firemní schránky, bývá platba provedena bez podezření – často s pěti – až šestimístnou ztrátou.

Scénář 3: Rekonstrukce konverzace mimo systém Nejsofistikovanější metoda spočívá v tom, že útočníci po nabourání e-mailového účtu stáhnou předchozí komunikaci, vytvoří téměř totožnou adresu odesílatele a pokračují v konverzaci mimo heknutý systém. Předchozí e-mailová historie je často připojena jako PDF pro zvýšení důvěryhodnosti. Krátce před dokončením platby se objeví žádost o změnu IBAN. Problém je, že komunikace již neprochází přes kompromitovaný účet, takže klasická IT bezpečnostní řešení útok často nerozpoznají.

Scénář 4: WhatsApp podvod s údajným převzetím V tomto scénáři útočník kontaktuje zaměstnance přes WhatsApp nebo podobné messengerové služby a několik dní či týdnů se vydává za vysoce postaveného kolegu. Informuje o údajném převzetí firmy, které má být v tichosti připraveno, a vysvětluje, že externí konzultant potřebuje zálohu, která bude po dokončení splacena. Oběť klade kontrolní otázky, na které pachatel správně odpovídá – získal totiž přístup k interním informacím pomocí veřejně dostupných dat, předchozích e-mailů nebo ukradených přihlašovacích údajů a vše si řádně nastudoval, aby vypadal věrohodně. Jeho odpovědi tak nejsou příjemci podezřelé i u údajně důvěrných detailů pro úzký kruh obeznámených.

Preventivní obrana jako jediné řešení

Popsané scénáře nejsou teoretické hrozby – v praxi se skutečně stávají. U menších firem zločinci předpokládají menší bezpečnostní bariéry a ochranná opatření, což se bohužel často potvrzuje. Klíčem k obraně není jen technologie, ale především dobře nastavené interní procesy: vícestupňové schvalování plateb, pravidelné ověřování změn bankovních údajů telefonicky a jasná pravidla pro citlivé operace. V době, kdy útočníci jsou vždy o krok napřed, může zachránit firmu před existenční hrozbou jen ověřování každého kroku spojeného s penězi nebo firemními daty.

Pak je tady lidský faktor: i když budou systémy a procesy nastaveny bezchybně, vždy záleží na lidech, zda se budou pravidly bezezbytku řídit a zda je v případě nestandardního postupu někdo nebo něco zastaví. Klíčem k ochraně jsou pravidelná bezpečnostní školení a pravidelný update všech směrnic a procesů souvisejících s kyberbezpečností, protože je málo oblastí lidské činnosti, která by prodělávala doslova každodenní překotný vývoj jako právě tato.