„Potřebuji tuto platbu ještě dnes. Jsem na jednání, nevolejte mi.“ Zpráva podepsaná jménem ředitele může působit jako běžný pracovní úkol. U podvodu typu CEO fraud ale útočník využívá autoritu a časový tlak, aby obešel pravidla pro schvalování plateb.
V článku najdete
Co je CEO fraud a jak souvisí s BEC
CEO fraud je podvod, při kterém se útočník vydává za vedoucí osobu a snaží se přimět zaměstnance k převodu peněz nebo jiné citlivé akci. Patří do širší oblasti Business Email Compromise, zkráceně BEC, která zahrnuje také podvodné žádosti od zdánlivých dodavatelů či obchodních partnerů.
Útok nemusí obsahovat přílohu ani odkaz. Může využít podobnou e-mailovou adresu nebo napadený skutečný účet a navázat na probíhající komunikaci. Tyto postupy popisuje FBI ve svém přehledu BEC. Kontrola pravopisu nebo technická ochrana e-mailu proto sama o sobě není dostatečným ověřením platby.
Tři situace, které stojí za procvičení
1. Naléhavý požadavek vedení
Zaměstnanec dostane žádost o mimořádnou platbu. Odesílatel zdůrazňuje důvěrnost, tvrdí, že není dostupný, a žádá vynechat obvyklý schvalovací postup. Vzdělávání by mělo ukázat, že právě požadavek na obejití kontroly je důvodem k ověření.
2. Změna bankovního účtu dodavatele
Do existujícího obchodního vztahu přijde oznámení nového účtu. Faktura může mít známou grafiku a správnou částku. Procvičte nezávislé potvrzení změny a způsob, jak se schválené údaje zapisují do firemního systému.
3. Neobvyklý nákup nebo proplacení
Zdánlivý manažer žádá rychlý nákup či odeslání hodnotných údajů. Scénář může cílit i na člověka, který běžně nepracuje s velkými převody. Pravidla proto musí být dostupná také asistentům a lidem mimo finanční oddělení.
Modelová zpráva: které signály hledat
„Prosím o urgentní úhradu nové faktury. Jde o důvěrnou záležitost, běžné schválení doplníme později. Číslo účtu použijte z této zprávy. Jsem mimo kancelář, potvrďte mi jen provedení.“
Varovným signálem je kombinace neobvyklé platby, změny údajů, důvěrnosti a tlaku na přeskočení kontroly. Žádný jednotlivý znak sám o sobě nedokazuje podvod. Dohromady ale říkají, že je potřeba požadavek zastavit a ověřit.
Při výuce nechte zaměstnance popsat další krok. Odpověď „zkontroluji jméno odesílatele“ nestačí. Potřebujete slyšet, kdo ověří požadavek, odkud vezme kontakt a jak postupuje, pokud se oprávněné osobě nedovolá.
Postup pro ověření před platbou
- Pozastavte neobvyklou transakci. Neodesílejte peníze jen kvůli naléhavému tónu.
- Ověřte požadavek jiným kanálem. Použijte kontakt z firemního adresáře nebo smluvní evidence, nikoli telefon dodaný v podezřelé zprávě.
- Zkontrolujte schvalovací pravidla. Změna účtu ani výjimka nemá být potvrzena pouze stejným e-mailem, který ji požaduje.
- Zapojte určenou další osobu. U rizikových plateb doporučujeme oddělit zadání a schválení.
- Zaznamenejte ověření. Uveďte, kdo změnu potvrdil a jakým postupem.
Nezávislé ověřování změn účtů a platebních instrukcí doporučuje také FBI. Konkrétní limity a schvalovací pravomoci si firma musí nastavit podle svého provozu.
Co dělat, pokud už platba odešla
Ihned kontaktujte banku a interní tým odpovědný za řešení incidentů. FBI doporučuje při BEC neprodleně kontaktovat finanční instituci; ta může posoudit možnosti reakce na převod. Návrat peněz ale nelze zaručit.
V rámci interního postupu uchovejte zprávy a dostupné podklady, oznámte událost odpovědnému vedení a řešte další hlášení podle situace. Rychlé oznámení má být podporované. Strach z postihu může zaměstnance odradit od včasného sdělení chyby.
Jak zaměstnance na tyto situace připravit
U financí a vedení doporučujeme spojit výklad s modelovou situací. Zaměstnanec musí umět poznat neobvyklý požadavek a použít skutečný postup firmy. Trénink přizpůsobte rolím: jinak rozhoduje účetní, jinak schvalovatel a jinak člověk, který žádost pouze předává.
Školení zaměstnanců ve 4Cyber a phishingové simulace pomáhají rozvíjet rozpoznání podezřelé komunikace. Vlastní interní postup ověřování plateb můžete zapracovat do výukového obsahu ve Studiu. Znalost je potom možné ověřit na rozhodnutí, ne pouze na definici podvodu.
Checklist pro finance a vedení
- Máme jasný postup pro změnu bankovního účtu dodavatele.
- Zaměstnanci vědí, že i pokyn vedení podléhá kontrole.
- Kontakty pro ověření uchováváme nezávisle na příchozí zprávě.
- Je určeno zastupování při nedostupnosti schvalovatele.
- Každý ví, koho kontaktovat při podezření nebo chybně odeslané platbě.
Časté otázky
Stačí zkontrolovat adresu odesílatele?
Ne. Pomůže odhalit některé podvody, ale požadavek může přijít i z napadeného skutečného účtu.
Je CEO fraud vždy phishing s odkazem?
Nemusí obsahovat odkaz. Útočník může žádat přímo převod nebo změnu platebních údajů.
Co když ředitel na platbě opravdu trvá?
Firma potřebuje předem schválené pravidlo, podle kterého se ověřují i naléhavé výjimky. Zaměstnanec nemá být nucen bezpečnostní kontrolu improvizovat.
Úvodní obrázek je ilustrační a vytvořený pomocí AI.
