Deepfake podvody: ako AI mení phishing a ako sa brániť

Predstavte si, že vám zavolá „váš konateľ" a požiada vás o urgentný bankový prevod. Hlas je presný, tón správny, kontext sedí. Lenže na linke nie je váš kolega. Je to AI deepfake. Takéto útoky dnes nie sú sci-fi, sú každodennou realitou.

Čo je deepfake phishing a prečo sa týka aj vás

Phishing poznáte. Podvodný e-mail, falošný odkaz, žiadosť o heslo. AI to zmenila na inej úrovni. Útočníci dnes dokážu naklónovať hlas alebo tvár kohokoľvek z verejne dostupných nahrávok. Minúta záznamu z firemného videa alebo LinkedIn profilu stačí na vytvorenie presvedčivého falzifikátu.

Nejde len o veľké korporácie. Malé a stredné firmy sú terčom práve preto, že majú menej ochranných vrstiev. A rozhodnutia sa tu prijímajú rýchlo, bez zdĺhavých schvaľovacích procesov.

Ako tieto útoky v praxi vyzerajú

Deepfake podvody majú niekoľko bežných foriem. Hlasový deepfake je najrozšírenejší. Útočník zavolá účtovníčke hlasom konateľa a žiada okamžitý prevod. Celý hovor trvá 90 sekúnd a škoda môže byť zásadná.

Ďalšie formy útokov

• Video deepfake pri online porade: falošný „nadriadený" vás inštruuje cez videohovor.
• Spear phishing s AI textom: e-mail napísaný presne štýlom vášho dodávateľa, bez jedinej gramatickej chyby.
• Falošné faktúry doplnené o reálne vyzerajúce kontaktné údaje a logá.
• Kompromitácia firemného chatu: útočník prevezme účet a posiela správy kolegom ako dôveryhodná osoba.

Podľa trendov sledovaných agentúrou ENISA (Agentúra EÚ pre kybernetickú bezpečnosť) patrí sociálne inžinierstvo s pomocou AI k najrýchlejšie rastúcim hrozbám v Európe. Útočníci neútočia na systémy, útočia na ľudí.

Prečo tradičná obrana nestačí

Antivírus deepfake nezachytí. Spam filter prepustí e-mail napísaný bezchybnou slovenčinou. A zamestnanec, ktorý nikdy neabsolvoval školenia o IT bezpečnosti, nemá šancu rozoznať sofistikovaný útok v reálnom čase pod tlakom.

Problém je systémový. Nestačí povedať zamestnancom „buďte opatrní". Opatrnosť bez systému nefunguje, keď deepfake hlas znie rovnako ako šéf a hovor prichádza z číselne podobného telefónneho čísla.

Súvisí s tým aj základná hygiena prístupov. Ak útočník získa poverenia jedného zamestnanca, môže sa pohybovať po celej firemnej sieti. Preto je dvojfaktorové overenie nevyhnutné ako základ, nie ako voliteľný doplnok.

Na čo si dať pozor: varovné signály

Niektoré príznaky deepfake útoku sú rozpoznateľné, ak viete, čo hľadáte. Urgencia a časový tlak sú klasickým nástrojom. „Musíme to vyriešiť teraz, šéf čaká." Skutočné firemné procesy tlak tohto typu zvyčajne nevyžadujú.

Praktické varovné signály

• Neobvyklá žiadosť cez neštandardný kanál (hovor namiesto e-mailu, alebo naopak).
• Žiadosť o obídenie bežného schvaľovacieho procesu.
• Mierne odlišné telefónne číslo alebo e-mailová adresa od tej, ktorú poznáte.
• Hlas alebo video so zvláštnymi prerušeniami, oneskorením alebo „kovovým" zvukom.
• Komunikácia, ktorá žiada mlčanlivosť a diskrétnosť.

AI sa vyvíja rýchlo a tieto artefakty čoskoro zmiznú aj z najkvalitnejších deepfake nahrávok. Preto sa nedá spoliehať len na „odhad" zamestnancov. Potrebujete procesy a technológiu, nie len dobrý úsudok.

Ako sa firma môže brániť: princípy, nie návod

Dobrá ochrana pred deepfake phishingom stojí na troch pilieroch. Technológia, procesy a ľudia. Žiadny z nich sám o sebe nestačí.

Na technickej strane ide o správne nastavené filtre, overovanie identity, šifrovanie komunikácie a monitorovanie neobvyklej aktivity. To nie je vec, ktorú si firma nastaví raz a zabudne. Vyžaduje to priebežnú kybernetickú bezpečnosť ako živý systém.

Na procesnej úrovni pomáha napríklad pravidlo „dvoch hlasov" pri finančných transakciách, overovanie neobvyklých žiadostí alternatívnym kanálom alebo jasné interné protokoly pre podozrivé situácie. Tieto procesy treba najprv nastaviť a potom pravidelne testovať.

A ľudia? Tím, ktorý vie, čo deepfake je a ako vyzerá, je oveľa ťažší terč. Pravidelné školenia o IT bezpečnosti nie sú luxus, sú investícia s priamym dopadom na riziko.

Kde začať? Ideálnym prvým krokom je IT audit, ktorý odhalí, kde vaša firma momentálne stojí a kde sú najväčšie medzery. Bez tohto základu sa ťažko určuje, čo riešiť ako prvé. Podobný princíp platí aj pri budovaní škálovateľnej IT infraštruktúry, kde bezpečnosť musí byť súčasťou základov, nie až dodatočného riešenia.

Nakoniec, firemná správa IT od externého partnera vám zaistí, že tieto tri piliere fungujú dohromady a niekto za ne preberá zodpovednosť. Viac o tom, čo táto spolupráca obnáša, nájdete na stránke firemná správa IT.

Slovenský Národný bezpečnostný úrad, konkrétne tím SK-CERT, pravidelne upozorňuje na nové formy útokov a vydáva odporúčania pre organizácie. Oplatí sa sledovať ich upozornenia, najmä ak spravujete kritické firemné dáta.

Čo by vás ešte mohlo zaujímať

Ako zistím, či je hovor alebo video deepfake?

V súčasnosti môžete všímať artefakty ako kovový zvuk hlasu, oneskorenie v reakciách alebo neprirodzenou synchronizáciou pier. Spolahlivejšie je však mať firemný protokol overovania, napríklad záväzné spätné volanie na overené číslo pri každej neobvyklej žiadosti. Technológia deepfake sa zlepšuje rýchlejšie, ako sa zlepšuje ľudský úsudok.

Môže sa deepfake útok stať aj malej firme s piatimi zamestnancami?

Áno, a práve malé firmy sú častejšie terčom. Útočníci vedia, že v menšom tíme rozhoduje jeden alebo dvaja ľudia, schvaľovacie procesy sú voľnejšie a bezpečnostná kultúra menej vybudovaná. Veľkosť firmy nie je ochrana, je to skôr rizikový faktor.

Stačí poučiť zamestnancov, alebo treba aj technické riešenie?

Oboje je nevyhnutné. Školenie bez technickej ochrany je ako zámok na dverách bez stien. A technická ochrana bez vzdelaného tímu má medzery, ktoré útočníci veľmi radi využívajú. Dlhodobo funguje len kombinácia, kde za celok zodpovedá niekto s prehľadom o vašej celej IT infraštruktúre.

Čo je prvý krok, ak chceme svoju firmu chrániť pred deepfake phishingom?

Prvým krokom je zistiť, kde sú vaše slabé miesta. IT audit vám dá jasnú odpoveď na to, čo máte dobre nastavené a kde útočník nájde otvorené dvere. Bez tohto základu sa akákoľvek investícia do bezpečnosti robí naslepo. Kontaktujte nás a spoločne zistíme, kde začať.