CEO fraud — jak podvodník předstírá šéfa a krade miliony

Co je CEO fraud

CEO fraud (Business Email Compromise, BEC) je typ podvodu, kdy se útočník vydává za vedení firmy — ředitele, finančního ředitele, nebo jiného manažera — a žádá zaměstnance o urgentní převod peněz.

Celosvětově se tímhle podvodem ukradly miliardy dolarů. A nefunguje na malé částky — průměrná ztráta je stovky tisíc korun.

Jak to vypadá

Email typicky přijde účetní nebo finanční oddělení:

> "Ahoj Jano, > > jsem na důležitém jednání a nemůžu teď volat. Potřebuji urgentně převést 45 000 Kč dodavateli — nový kontrakt, musí to jít dnes. Účet: 1234567890/0800. > > Ověříme to zítra, teď prosím pošli. > > Díky, > Martin"

Proč to funguje

1. Autorita — email je "od šéfa." Kdo řekne šéfovi ne? 2. Urgence — "musí to jít dnes", "nemůžu volat" 3. Odkládá ověření — "ověříme to zítra" 4. Správný kontext — útočník často ví jména, pozice, probíhající projekty (z LinkedIn, webu firmy) 5. Emailová adresa — buď podvržená (spoofing), nebo z podobné domény (martín@firma.cz místo martin@firma.cz)

Moderní varianta: deepfake hlas

V roce 2024 proběhl případ, kdy útočník použil AI naklonovaný hlas CFO během videohovoru. Zaměstnanec převedl 25 milionů USD — protože "šéf" na to dohlížel živě.

S AI technologií stačí 3 sekundy vzorku hlasu z prezentace na YouTube, rozhovoru v podcastu, nebo hlasové zprávy na sociální síti.

Jak se bránit

Pro zaměstnance:

1. Vždy ověř jiným kanálem — zavolej šéfovi na známé číslo (ne na číslo z emailu) 2. Nenech se tlačit urgencí — pokud "nemůže volat", počkej. Žádný legitimní převod nemůže čekat 0 minut 3. Kontroluj email adresu ZNAK PO ZNAKU — martin@firrna.cz ≠ martin@firma.cz 4. Hlásit podezřelé požadavky — IT oddělení ocení falešný poplach víc než reálnou ztrátu

Pro firmy:

1. Pravidlo 4 očí — žádný převod nad X Kč bez schválení dvou lidí 2. Školení zaměstnanců — pravidelné phishing simulace 3. Interní proces — změny platebních údajů dodavatelů vždy ověřovat telefonicky 4. Email autentizace — SPF, DKIM, DMARC na firemní doméně

Statistiky

26 miliard USD — celosvětové ztráty z BEC podvodů (FBI, 2023)
65 % firem zažilo pokus o BEC útok
Průměrná ztráta: 120 000 USD na incident
V ČR: desítky případů ročně, většina nenahlášena (stud)

Shrnutí

CEO fraud funguje, protože lidi věří autoritě a nechávají se tlačit urgencí. Obrana je jednoduchá: vždy ověř jiným kanálem. Jeden telefonát zachrání miliony.