Jak AI pomáhá útočníkům psát přesvědčivější phishingové e-maily?

Proč už podezřelý e-mail nemusí obsahovat chyby

Phishingové e-maily vytvořené s pomocí AI mohou působit jazykově přirozeně a připomínat běžnou pracovní komunikaci. Chyby v češtině, kostrbaté věty ani nepřirozené oslovení proto už nejsou spolehlivým vodítkem, že jde o podvod. Zpráva může být napsaná správně, a přesto se vás snažit přimět k otevření přílohy, sdělení hesla nebo odeslání peněz.

Jazykový model umí text přepsat, zkrátit, přeložit i změnit jeho tón. Útočník může zadat, aby zpráva zněla jako stručná prosba od kolegy, formální oznámení od dodavatele nebo naléhavá žádost od nadřízeného. Model může připravit několik verzí a opravit gramatiku. Odesílatel tak nemusí umět česky na úrovni rodilého mluvčího, aby zpráva působila přesvědčivě.

To ovšem neznamená, že každý podvodný e-mail vytvořený s pomocí AI bude bezchybný. Model může uvést nepřesné či rozporuplné informace a útočník může zanechat jiné stopy. Důležitá změna spočívá v tom, že správný pravopis sám o sobě nepotvrzuje důvěryhodnost. Phishing bez překlepů může být stejně nebezpečný jako zpráva, v níž je chyba na první pohled patrná.

Jak vypadá cílenější zpráva

AI může útočníkovi usnadnit přípravu spear phishingu, tedy útoku zaměřeného na konkrétní osobu nebo organizaci. Z veřejně dostupných informací lze sestavit věrohodný kontext: například pracovní pozici, používané nástroje nebo probíhající projekt. Jazykový model pak může pomoci tyto údaje přirozeně zapracovat do textu. Výsledkem nemusí být jen obecná zpráva rozeslaná bez rozdílu velkému počtu lidí.

Ilustrační modelový příklad: Zaměstnankyně české účetní firmy dostane e-mail, který se tváří jako zpráva od kolegy z nákupu. Oslovení i čeština jsou bez chyb a text odkazuje na údajnou fakturu od známého dodavatele. Zpráva žádá, aby příjemkyně otevřela přílohu ještě před koncem pracovní doby. Jde o vymyšlenou situaci, ale ukazuje, proč přesvědčivý jazyk a známé jméno nestačí k ověření pravosti.

Stejnou základní zprávu lze upravit pro různé příjemce. Zaměstnanci finančního oddělení může přijít žádost o kontrolu platby, pracovníkovi IT výzva k přihlášení a vedoucímu požadavek na rychlé schválení. Každý e-mail může působit jako běžná součást pracovního dne, přestože jeho cílem je získat heslo, peníze nebo přístup k firemním datům. Právě proto je užitečné všímat si nejen stylu, ale také toho, co po vás zpráva chce.

Co změnit ve školení zaměstnanců

Školení má zaměstnance učit ověřovat okolnosti a požadavky zprávy, ne pouze hledat překlepy. Praktický nácvik by měl zahrnovat také jazykově správné e-maily a situace, v nichž útočník tlačí na rychlou reakci. Zaměstnanci si tak mohou osvojit postup, který funguje i tehdy, když zpráva vypadá věrohodně.

Při posuzování e-mailu se vyplatí nacvičit několik konkrétních kroků:

1. Zkontrolovat adresu odesílatele. Zobrazované jméno může být povědomé, ale skutečná e-mailová adresa se může lišit. Pokud zpráva údajně pochází od kolegy nebo dodavatele, ověřte, zda adresa odpovídá tomu, co běžně používá.
2. Zastavit se u neobvyklého požadavku. Změna bankovního účtu, předání hesla nebo naléhavé schválení platby si zaslouží nezávislé ověření. Naléhavý tón není důkazem, že požadavek musí být splněn okamžitě.
3. Použít jiný komunikační kanál. Zavolejte kolegovi na známé číslo nebo se zeptejte osobně. Neověřujte podezřelý požadavek odpovědí na e-mail, který ho přinesl.
4. Neotevírat nečekané přílohy a odkazy. Při pochybnostech zprávu předejte určenému kontaktu pro bezpečnost nebo IT. Opatrnost je namístě i tehdy, když text obsahuje známé jméno či označení projektu.
5. Podezření nahlásit. Rychlé oznámení může pomoci zastavit další pokusy a upozornit ostatní zaměstnance. Lidé by měli vědět, komu zprávu předat a jak postupovat, pokud už na odkaz klikli.

Školení má vycházet z pracovních situací konkrétní organizace. V české firmě může jít o faktury, změny údajů dodavatele, výplatní podklady nebo sdílené dokumenty. Zaměstnanci potřebují znát interní postup i osobu, které mají podezřelý e-mail přeposlat. Cílem není naučit je poznat každý útok podle vzhledu. Jde o to, aby důležitý požadavek bezpečně ověřili, i když je zpráva napsaná přesvědčivě.

Jak snížit riziko vedle školení

Pozornost zaměstnanců sama o sobě nestačí. Školení je proto vhodné spojit s organizačními a technickými opatřeními. I přesvědčivý e-mail může mít menší dopad, pokud firma vyžaduje ověření citlivých kroků a omezuje následky odcizeného účtu.

Mezi praktická opatření patří vícefaktorové ověřování přihlášení, oddělené schvalování plateb a jasný postup pro změnu platebních údajů dodavatele. Organizace může také nastavit filtrování nevyžádané pošty a nabídnout zaměstnancům jednoduchý způsob, jak podezřelou zprávu nahlásit. Žádné z těchto opatření nezaručí, že phishing do schránky nedorazí. Mohou však ztížit jeho úspěch nebo omezit škody, které napadení způsobí.

Při interních nácvicích je užitečné sledovat především to, zda zaměstnanci zprávu ověřili a nahlásili, nikoli pouze to, jestli klikli na odkaz. Opakuje-li se stejný druh nejistoty, může být potřeba upravit školení nebo pracovní postup. Zaměstnanec by také neměl mít pocit, že za nahlášení podezřelého e-mailu bude potrestán; rychlé upozornění pomáhá chránit celou organizaci.

Co to znamená: AI mění hlavně podobu phishingu, ne základní principy obrany. Správně napsaný e-mail může být podvodný. Rozhodující je ověřit totožnost odesílatele a každý neobvyklý požadavek, zejména pokud se týká peněz, hesel nebo přístupu k firemním datům.