CEO podvod a vydávanie sa za vedenie: ako sociálne inžinierstvo mieri na platby

CEO podvod je podvod, pri ktorom sa páchateľ vydáva za člena vrcholového vedenia, zvyčajne generálneho alebo finančného riaditeľa, a žiada zamestnanca o platbu, nákup darčekových kariet alebo zaslanie citlivých údajov. Ide o variant kompromitácie firemného e-mailu (business email compromise, BEC) a funguje preto, že sa opiera o autoritu človeka na vrchole a pridáva tlak: naliehavosť, tajnosť a vierohodný dôvod.

Centrum FBI pre sťažnosti na internetovú kriminalitu (IC3) zaznamenalo v roku 2025 celkom 24 768 sťažností na kompromitáciu firemného e-mailu s nahlásenými stratami 3 046 598 558 $ (IC3 2025 Internet Crime Report). Tá istá správa uvádza, že nástroje umelej inteligencie dokážu rýchlo vytvoriť e-maily, ktoré znejú oficiálne a napodobňujú generálneho riaditeľa firmy, a že klonovanie hlasu sa dá využiť na žiadosti o bankové prevody.

Obrana nestojí ani tak na technológii, ako skôr na niekoľkých pevných pravidlách. Podopierajú ich nastavenia e-mailu, vďaka ktorým sa za vaše vedenie niekto iný vydáva oveľa ťažšie.

Ako vyzerá typický pokus

Scenár sa mení len zriedka:

1. Zámienka. „Som na stretnutí s právnikmi kvôli akvizícii. Potrebujem, aby ste dnes vybavili prevod, a zatiaľ si to, prosím, nechajte pre seba.“
2. Kanál. E-mail z adresy, ktorá vyzerá správne, SMS z neznámeho čísla („mám nový telefón“) alebo hlasová správa, ktorá znie ako dotyčný riaditeľ.
3. Tlak. Termíny, dôvernosť a náznak, že otázky by neboli vítané.
4. Platba. Bankový prevod na nový účet, balík darčekových kariet alebo žiadosť o mzdové či daňové údaje.

Terčom býva najčastejšie niekto z financií, účtovníctva alebo asistentka vedenia, pretože majú oprávnenie hýbať peniazmi a zvyk konať rýchlo na pokyn vedenia.

Prečo to funguje

Podvodníci študujú to, čo útočník vidí zvonku: mená a funkcie z webu a profesijných sietí, cesty ohlásené na sociálnych sieťach, formát vašich e-mailových adries a to, kto je komu podriadený. To im stačí, aby správa znela ako od šéfa v rušný deň.

Uľahčujú to 3 technické medzery:

• Vaša doména sa dá sfalšovať. Bez vynucovanej politiky DMARC môže správa s From: ceo@yourcompany.com doraziť do schránky, hoci ju vaše servery nikdy neposlali. Viac v článku SPF, DKIM a DMARC vysvetlené.
• Existuje podobná doména. yourcornpany.com („rn“ namiesto „m“) prejde overením, pretože ju páchateľ vlastní. Viac v článku podobné domény a typosquatting.
• Zobrazovaným menám sa verí. Mnohé poštové aplikácie ukazujú len „Jana Nováková, CEO“ a skutočnú adresu za tým skryjú, najmä na telefónoch.

Hlasové správy a SMS

Vydávanie sa za niekoho sa už neobmedzuje na e-mail. V máji 2025 FBI varovala pred kampaňou, ktorá cez SMS a hlasové správy vytvorené umelou inteligenciou napodobňovala vysokých amerických predstaviteľov, a odporučila nebrať takú správu automaticky za pravú (FBI IC3 PSA I-051525-PSA). Tie isté techniky fungujú aj pri riaditeľoch firiem, ktorých hlas sa dá nájsť v rozhovoroch, webinároch alebo prednáškach na konferenciách.

Praktický dôsledok: známy hlas v telefóne sám osebe nie je dôkazom totožnosti.

Pravidlá, ktoré to zastavia

Spíšte ich a dohodnite sa, aby sa za ne každý člen vedenia otvorene postavil:

• Žiadnu platbu ani zmenu bankového účtu neschvaľujte cez jediný kanál. Žiadosť z e-mailu potvrďte telefonicky, telefonickú žiadosť správou v internom chate, vždy cez kontakty, ktoré už máte.
• Vedenie nikdy nežiada o tajnosť pri platbách. Povedzte to nahlas na porade. Keď zamestnanci vedia, že riaditeľ ich nikdy nepožiada obísť postup, veta „nechajte si to pre seba“ sa stane varovným signálom.
• Nových príjemcov a veľké prevody schvaľujú 2 ľudia.
• Žiadosti vedenia o darčekové karty sa vždy odmietajú.
• Zamestnancovi, ktorý sa zastaví a overuje, poďakujte, nikdy ho nekritizujte, aj keď sa žiadosť ukáže ako skutočná.

Nastavenia e-mailu, ktoré sa oplatí skontrolovať

dig +short TXT _dmarc.yourcompany.com

1. Nastavte DMARC na p=quarantine alebo p=reject, aby sa sfalšovaná pošta z vašej vlastnej domény nedoručila.
2. Zapnite vo svojom poštovom systéme označenie externého odosielateľa, aby sa správy zvonku dali jasne rozoznať.
3. Ak to vaše zabezpečenie pošty podporuje, zapnite ochranu proti napodobňovaniu mien vedenia.
4. Vyžadujte viacfaktorové overenie pri schránkach vedenia a financií, pretože najpresvedčivejší odosielateľ je skutočne napadnutá schránka.
5. Veďte si zoznam domén podobných vašej a sledujte, ktoré z nich majú záznamy MX.

Ak už niekto zaplatil

Okamžite kontaktujte banku a požiadajte o zastavenie a vrátenie prevodu, potom podajte sťažnosť na ic3.gov. FBI upozorňuje, že rozhoduje čas a že IC3 môže pri záchrane prostriedkov pomôcť bankám aj orgánom činným v trestnom konaní (IC3 PSA I-091124-PSA). Pre vyšetrovateľov uchovajte pôvodné správy aj s úplnými hlavičkami.

Krátky kontrolný zoznam

• Overenie cez 2 kanály pri každej platbe a zmene bankových údajov.
• Jasné vyhlásenie vedenia, že žiadosť o tajnosť je varovný signál.
• Vynucovaný DMARC a zapnuté označenie externých odosielateľov.
• Viacfaktorové overenie pri schránkach financií a vedenia.
• Podobné domény máte zmapované a sledujete ich.

Ako pomáha Datahorses

Datahorses stráži vašu firmu zvonku tak, ako by sa na ňu pozeral útočník: nové domény podobné vašej a to, či sa z nich dá posielať pošta, falošné prihlasovacie stránky a zmeny vo vašich SPF, DKIM a DMARC. Každé zistenie posúdi človek a vy dostanete konkrétne kroky. Ako to funguje, uvidíte v časti čo strážime, alebo si prezrite ukážkový dashboard. Príbuzný podvod s faktúrami opisujeme v článku falošné faktúry posielané v mene vašej firmy.