Kyberútoky s pomocí AI hlásí sedm německých firem z deseti za jediný rok

Německo patří k evropským lídrům v nasazení umělé inteligence v podnikání, zároveň však vykazuje nejvyšší podílů firem postižených kybernetickými incidenty. Studie průmyslové pojišťovny QBE mapující situaci v 15 zemích ukazuje, že AI se rychle stává nástrojem útočníků, což zásadně mění podobu kybernetického rizika i požadavky na jeho pojistitelnost.

Podle průzkumu QBE využívá AI ve svých obchodních operacích již 88 % německých firem. Souběžně s tím 71 % společností nahlásilo za posledních dvanáct měsíců alespoň jeden kybernetický incident. V mezinárodním srovnání 15 sledovaných zemí se Německo umístilo na prvním místě jak v míře adopce AI, tak v počtu hlášených kybernetických událostí. Tato korelace není náhodná: větší digitalizace rozšiřuje útočnou plochu a zároveň poskytuje kyberzločincům nové nástroje.

Dopady incidentů jsou přitom velmi konkrétní. Více než čtvrtina firem (28 %) musela kvůli kybernetickému útoku přerušit provoz nejméně na jeden pracovní den. 61 % postižených společností hlásí ztrátu tržeb v důsledku útoku na vlastní infrastrukturu nebo na dodavatele.

AI snižuje bariéry vstupu pro kyberzločince

Zvlášť závažným signálem pro pojistný trh je, že čtyři z deseti německých firem se již staly obětí kybernetického útoku, při němž útočníci prokazatelně využili umělou inteligenci. Nejrozšířenější jsou phishingové zprávy generované AI, ať již formou e-mailů, SMS nebo zpráv přes messenger. Vedle toho se šíří malware generovaný pomocí AI, hlasový phishing s klonovanými hlasy a automatizované skenování zranitelných mezer.

„AI snižuje bariéry vstupu pro kyberzločince,“ konstatuje Paul Lambertz, portfolio manažer pro finanční a specializované trhy ve společnosti QBE Německo. „Phishing lze formulovat přesvědčivěji, malware lze vyvíjet rychleji a vyhledávání zranitelných míst může být více automatizované.“ Deepfaky zatím hrají relativně menší roli, přesto již 22 % postižených firem nahlásilo útok zahrnující manipulovaná videa nebo obrázky.

Studie současně odhaluje strukturální slabinu v řízení AI rizik. Téměř polovina firem sice školí zaměstnance v bezpečném používání AI, ale pouze 39 % systematicky kontroluje kvalitu trénovacích dat vlastních AI modelů. Ještě méně společností audituje AI systémy externích poskytovatelů. „Řízení AI se musí stát nedílnou součástí řízení rizik,“ upozorňuje Lambertz. „Nestačí zavádět AI aplikace. Společnosti by měly stanovit jasné odpovědnosti, školení, kontroly a auditní procesy.“

Dodavatelské řetězce jako dodatečné riziko

Rostoucí propojenost firem vytváří další dimenzi kybernetického rizika, která má přímý dopad na bezpečnost partnerského odběratele. Dvě třetiny postižených německých společností uvádějí, že alespoň jeden kybernetický útok se týkal jejich dodavatele. Kybernetické riziko tedy fakticky přesahuje hranice pojištěného subjektu a prostupuje celým hodnotovým řetězcem.

Přes vysoký počet incidentů si firmy budují obranné kapacity. Plán reakce na kybernetické incidenty má připraveno 88 % německých společností, což je nejvyšší hodnota ze všech sledovaných zemí. Investice do IT bezpečnosti dále rostou: 69 % firem plánuje v příštích dvanácti měsících vyšší rozpočty, přičemž více než třetina počítá s navýšením překračujícím inflaci.

AI incidenty vyžadují nový přístup pojišťoven

Výsledky studie QBE potvrzují, že kybernetické pojištění vstupuje do kvalitativně nové fáze. AI-asistované útoky jsou rychlejší, přesvědčivější a hůře detekovatelné, což komplikuje jak prevenci na straně pojistníků, tak modelování rizik na straně pojišťoven. Rostoucí expozice dodavatelských řetězců navíc znamená, že tradiční hranice pojistného krytí přestávají odpovídat skutečnému rozsahu rizika. Pojišťovny, které dokážou tyto posuny reflektovat v produktové nabídce a upisovacích kritériích, získají v tomto segmentu konkurenční výhodu.

Rostoucí sofistikovanost AI útoků a nutnost hodnotit kybernetickou hygienu celého dodavatelského řetězce se nevyhnutelně promítnou do cen komerčního pojištění. Pojišťovny budou muset investovat do komplexnějšího upisovacího procesu, který již nebude hodnotit pouze zabezpečení samotného žadatele. Vyšší náklady na due diligence, složitější modelování rizik a očekávaný růst škodního poměru v kybernetickém pojištění budou tlačit pojistné směrem nahoru, a to zejména u firem s rozsáhlými dodavatelskými vazbami nebo nedostatečně auditovanými AI systémy. Část pojistitelů může reagovat také zpřísněním podmínek krytí nebo zavedením nových výluk.