Co je deepfake CEO podvod a jak se mu ve firmě bránit?

Co přesně je deepfake CEO podvod

Deepfake CEO podvod je forma podvodu, při které útočník pomocí uměle vygenerovaného hlasu nebo videa napodobí vedení firmy - nejčastěji ředitele - a přiměje zaměstnance k neoprávněné platbě nebo předání citlivých údajů. Jde o rozšíření klasického „podvodu na CEO“ známého jako business email compromise, kde dřív stačil podvržený e-mail. Dnes útočníci přidávají syntetický hlas nebo videohovor, aby požadavek působil věrohodněji.

Technologie pro klonování hlasu dnes potřebuje jen krátkou nahrávku cílové osoby - stačí pár vteřin z veřejného vystoupení, webináře nebo firemního videa dostupného online. Z toho útočník vytvoří hlasovou stopu, kterou pak použije v telefonátu nebo hlasové zprávě s pokynem k urgentní platbě.

Jak takový podvod v praxi vypadá - modelový příklad

Typický scénář kombinuje časový tlak, autoritu a utajení. Ukažme si to na smyšleném, ale realistickém příkladu z českého prostředí.

Účetní ve středně velké výrobní firmě dostane v pátek odpoledne telefonát. Hlas na druhé straně zní jako hlas jednatele firmy - je mírně uspěchaný, omlouvá se, že je na jednání v zahraničí a nemůže mluvit dlouho. Žádá okamžitou úhradu faktury zahraničnímu dodavateli, prý kvůli hrozící ztrátě kontraktu. Krátce poté přijde e-mail z domény, která se od firemní liší jen jedním písmenem, s fakturou a bankovním spojením. Účetní, zvyklá jednatele poslouchat a pod tlakem termínu, platbu odešle. Peníze zmizí během hodin na účtu v zahraničí a jejich vrácení je prakticky nemožné.

Podobné případy se objevují i mimo Českou republiku - známé jsou situace, kdy finanční pracovník na videohovoru komunikoval s tím, co vypadalo jako celé vedení firmy, a ve skutečnosti šlo o deepfake video všech účastníků najednou.

Proč tyto podvody fungují a jsou nebezpečnější než dřív

Fungují proto, že spojují technickou věrohodnost s psychologickým nátlakem - časovou tísní, autoritou nadřízeného a žádostí o mlčenlivost. Dřív bylo možné podvržený e-mail odhalit podle stylu psaní nebo chybějícího podpisu, dnes hlas nebo obraz působí autenticky a člověk instinktivně věří tomu, co slyší nebo vidí.

Rizikové jsou zejména firmy s jasnou hierarchií, kde zaměstnanci nejsou zvyklí pokyny nadřízených zpochybňovat, dále situace, kdy chybí druhý schvalovací krok u plateb, a případy, kdy vedení firmy pravidelně vystupuje veřejně - na konferencích, v podcastech, na firemních videích - a poskytuje tak útočníkům dostatek zvukového materiálu ke zneužití.

Jak ve firmě nastavit ověřovací proces pro platby

Základem obrany je pravidlo, že žádná platba se neschvaluje jen na základě telefonátu, hlasové zprávy nebo videohovoru, bez ohledu na to, jak naléhavě nebo autenticky pokyn zní.

1. Zavést dvoufaktorové schvalování plateb nad stanovenou částku - vyžaduje potvrzení dvou nezávislých osob, nikdy jen jedné, i kdyby šlo o pokyn jednatele samotného.
2. Ověřovat neobvyklé nebo urgentní platební pokyny zpětným telefonátem na předem známé číslo, ne na číslo uvedené v e-mailu nebo sdělené volajícím.
3. Nastavit interní heslo nebo bezpečnostní frázi pro telefonické ověření mimořádných pokynů, kterou zná jen úzký okruh lidí.
4. Kontrolovat u plateb do zahraničí nebo na nové účty změnu bankovního spojení vždy samostatným kanálem, například e-mailem na dlouhodobě známou adresu, nikdy jen podle přiložené faktury.
5. Proškolit účetní a asistentky vedení, že je v pořádku požadavek na platbu odmítnout nebo pozdržet, dokud neproběhne ověření, i když volající tvrdí, že spěchá.
6. Omezit veřejně dostupný zvukový a video materiál vedení firmy tam, kde to jde, a být si vědom toho, co je z veřejných vystoupení snadno zneužitelné.

V auditech CIAD se opakovaně ukazuje, že firmy s jasně napsaným a vyzkoušeným postupem pro ověřování plateb - ne jen teoretickou směrnicí - dokážou podobný pokus rozpoznat mnohem rychleji, protože zaměstnanci vědí přesně, jaký krok mají udělat, aniž by museli sami hodnotit, jestli hlas zní pravě.

Co dělat při podezření na probíhající podvod

Pokud platba ještě neproběhla, okamžitě ji pozastavte a ověřte pokyn nezávisle - osobně nebo telefonicky na známé číslo, ne přes kontakt z podezřelé zprávy. Pokud platba už odešla, ihned kontaktujte banku s žádostí o zpětné stažení nebo zablokování transakce a podejte trestní oznámení; rychlost reakce v prvních hodinách rozhoduje o tom, zda se peníze dají alespoň částečně zachránit.

Co to znamená: Firma se před deepfake CEO podvodem neubrání tím, že se naučí poznávat padělaný hlas, ale tím, že žádnou platbu neschválí na základě jediného hlasového nebo video pokynu bez nezávislého ověření druhým kanálem.