Proč phishing už nevypadá jako phishing a jak AI mění podvodné e-maily

Phishing stále funguje na stejném principu. Cílem je přesvědčit člověka, aby provedl krok, který útočník potřebuje. Může jít například o:

• zadání přihlašovacích údajů,
• otevření škodlivé přílohy,
• kliknutí na odkaz,
• potvrzení požadavku na přihlášení,
• odeslání citlivých údajů,
• změnu bankovního spojení,
• nebo provedení platby.

Mění se však způsob, jakým útočníci vytvářejí důvěryhodnost.

Gramatické chyby už nejsou spolehlivým varovným signálem

Starší phishingové kampaně často prozrazovaly jazykové nedostatky. Nepřirozená čeština, zvláštní stylistika nebo obecné oslovení byly důvodem ke zpozornění. Generativní AI však dokáže:

• opravit gramatiku,
• přizpůsobit tón komunikace,
• vytvořit text v konkrétním jazyce,
• upravit zprávu pro konkrétní pracovní pozici,
• nebo připravit více variant stejné kampaně.

Výsledkem může být zpráva, která jazykově nijak nevybočuje z běžné pracovní komunikace. Proto už neplatí jednoduché pravidlo, že phishing lze rozpoznat podle „špatné češtiny“. Absence jazykových chyb není důkazem důvěryhodnosti zprávy.

AI usnadňuje personalizovaný spear phishing

Při běžném phishingu může stejnou zprávu dostat velké množství lidí. Spear phishing je cílenější. Útočník přizpůsobuje obsah konkrétní osobě, pracovní pozici nebo firmě. Zpráva může souviset například s:

• konkrétním dodavatelem,
• fakturou,
• pracovní pozicí,
• firemním projektem,
• interní směrnicí,
• sdíleným dokumentem,
• náborem,
• nebo požadavkem vedení.

Informace potřebné k vytvoření podobného kontextu přitom nemusejí pocházet z napadeného systému. Mnohé jsou veřejně dostupné na:

• firemním webu,
• LinkedInu,
• sociálních sítích,
• pracovních portálech,
• konferenčních stránkách,
• v tiskových zprávách.

AI umožňuje takové informace rychleji přetavit do textu, který odpovídá konkrétnímu kontextu. Tím se zmenšuje rozdíl mezi masovým phishingem a útokem, který působí jako individuálně připravená komunikace.

Phishing se může vydávat za manažera i dodavatele

Útočník nemusí přesvědčit uživatele, že komunikuje s neznámou organizací. Často je účinnější vydávat se za někoho, komu se již důvěřuje. Může jít o:

• nadřízeného,
• finanční oddělení,
• IT podporu,
• kolegu,
• banku,
• účetního,
• dopravce,
• nebo obchodního partnera.

Typickou situací je požadavek, který sám o sobě nepůsobí mimořádně.

Například:

• dodavatel oznamuje změnu účtu,
• vedení potřebuje urgentně potvrdit platbu,
• IT oddělení požaduje nové přihlášení,
• kolega posílá dokument ke schválení.

Důvěryhodnost vytváří kombinace známého jména, pracovního kontextu a časového tlaku. Právě lidský faktor zůstává jednou z nejdůležitějších součástí kybernetického rizika. V rozhovoru „Dnes je snazší hacknout člověka než systém“ servisní technik ANASOFT upozorňuje na to, že technická ochrana sama o sobě nestačí, pokud útočník dokáže zmanipulovat uživatele.

Útok nemusí zůstat pouze v e-mailu

E-mail může být jen první částí útoku. Následně může pokračovat přes:

• telefonní hovor,
• SMS,
• Teams,
• WhatsApp,
• nebo jinou komunikační platformu.

Jednotlivé kroky pak vzájemně vytvářejí důvěryhodnost. E-mail například upozorní na změnu platby a o několik minut později zavolá osoba, která se vydává za dodavatele. Nebo zpráva od „IT podpory“ oznámí problém s účtem a následně přijde požadavek na potvrzení přihlášení. Takový útok je účinnější právě proto, že nepůsobí jako izolovaný podezřelý e-mail. Vypadá jako sled běžných pracovních událostí.

AI nemění princip útoku, ale snižuje náklady na jeho přípravu

Generativní AI není novým typem kybernetického útoku. Je nástrojem, který dokáže některé části sociálního inženýrství urychlit. Útočník může snáze:

• vytvářet textové varianty,
• měnit jazyk a tón,
• připravovat obsah pro různé pozice,
• reagovat na aktuální události,
• nebo personalizovat komunikaci.

To znamená, že kvalitnější příprava už nemusí být vyhrazena pouze pro nejsofistikovanější útoky. Při hodnocení bezpečnostních rizik je proto důležité nesoustředit se pouze na nové technologie, ale také na to, jak stávající typy útoků zvyšují svou přesvědčivost.

Které signály zůstávají důležité

Ačkoli gramatika ztrácí význam jako hlavní indikátor, phishing často stále prozrazuje kontext požadavku. Zvýšenou pozornost si zaslouží zejména situace, kdy zpráva:

• vytváří neobvyklý časový tlak,
• žádá změnu standardního postupu,
• požaduje citlivé údaje,
• mění platební informace,
• vyžaduje nové přihlášení,
• žádá potvrzení neočekávaného požadavku MFA,
• přesouvá komunikaci na jiný kanál,
• nebo obsahuje neočekávanou přílohu či odkaz.

Podstatná není pouze otázka: Vypadá e-mail podezřele? Důležitější je otázka: Je požadavek v daném pracovním kontextu očekávaný?

Pozornost uživatelů je důležitá, ale nemůže být jedinou ochranou

Bezpečnostní školení mají své místo. Pomáhají vytvářet návyky, při nichž se neobvyklé požadavky ověřují a uživatel ví, kdy má zpozornět. Není však realistické očekávat, že člověk rozpozná každý pokus. Útok může:

• přijít ze skutečně kompromitovaného účtu,
• navázat na existující komunikaci,
• používat přirozený jazyk,
• pracovat se skutečnými údaji,
• nebo zastihnout uživatele pod časovým tlakem.

Proto je jednou z častých chyb firem přenášet příliš velkou část odpovědnosti na samotné zaměstnance. Problematice lidských, procesních i technických nedostatků se šířeji věnuje článek 5 nejčastějších chyb v IT bezpečnosti, kterých se firmy dopouštějí. Kybernetická ochrana funguje lépe jako systém více vrstev než jako očekávání, že uživatel vždy učiní správné rozhodnutí.

Heslo může být pouze začátkem problému

Velká část phishingových útoků směřuje k získání přihlašovacích údajů. Uživatel otevře stránku, která vypadá jako legitimní přihlášení, a zadá:

• uživatelské jméno,
• heslo,
• případně další autentizační údaj.

V tu chvíli už problém není pouze v phishingovém e-mailu. Jde o kompromitovanou identitu. Důležitou otázkou se stává, co může útočník s takovým účtem dále udělat.

Může se pokusit:

• získat přístup k e-mailu,
• dostat se do cloudových aplikací,
• vyhledávat citlivé dokumenty,
• odesílat další phishing z důvěryhodného účtu,
• nebo získávat přístupy k dalším systémům.

Právě proto článek Jak si nenechat hacknout firemní infrastrukturu zdůrazňuje kromě hesel také vícefaktorovou autentizaci, řízení přístupů a průběžné monitorování aktivit.

Ani vícefaktorové ověření není důvodem přestat být obezřetný

MFA výrazně snižuje riziko, že samotné odcizené heslo poskytne útočníkovi přístup. Není však správné chápat ji jako absolutní ochranu. Útočníci se mohou pokoušet například:

• přesvědčit uživatele, aby potvrdil neočekávaný autentizační požadavek,
• zneužít již aktivní relaci,
• nebo vytvořit phishingový scénář, který kopíruje legitimní přihlašovací proces.

I proto se při ochraně identity kombinuje několik principů:

• silná autentizace,
• omezená oprávnění,
• kontrola přístupů,
• vyhodnocování neobvyklého chování.

Heslo ani MFA tak nelze posuzovat izolovaně od toho, co se s účtem děje po přihlášení.

Důležité je vidět i to, co následuje po phishingu

Phishing je často pouze vstupním bodem. Pokud se útok podaří, další kroky mohou probíhat bez jakéhokoli podvodného e-mailu. Útočník může používat legitimní účet a jeho aktivita se na první pohled nemusí výrazně lišit od aktivity běžného uživatele.

Varovnými signály mohou být například:

• neobvyklý čas nebo místo přihlášení,
• přístup k systémům, které uživatel běžně nepoužívá,
• nestandardní množství stahovaných dat,
• změny pravidel v e-mailové schránce,
• pokusy o získání vyšších oprávnění,
• nebo kombinace několika menších anomálií.

I proto je při firemní bezpečnosti třeba sledovat nejen vstupní bránu, ale také chování uvnitř prostředí. Širší pohled na kombinaci prevence, autentizace, segmentace a monitorování nabízí článek Jak si nenechat hacknout firemní infrastrukturu.

Phishing může být začátkem většího incidentu

Úspěšný phishing nemusí skončit odcizeným e-mailovým účtem. Podle typu kompromitace může být prvním krokem k:

• finančnímu podvodu,
• úniku dat,
• kompromitaci dalších uživatelů,
• převzetí administrátorského účtu,
• nebo nasazení škodlivého softwaru.

V některých případech může být phishing také jednou z cest k ransomwarovému incidentu. Proto má smysl vnímat jej v kontextu širšího životního cyklu útoku. Článek Jak předcházet ransomwaru a co dělat, když se firma stane jeho obětí podrobněji rozebírá prevenci i reakci v situaci, kdy už útok zasáhne firemní systémy.

Ochrana před phishingem je kombinací technologií, procesů a lidí

Phishing nelze vyřešit jedním opatřením. Bezpečnostní povědomí pomáhá rozpoznat podezřelou situaci. Technická ochrana může část útoků zastavit ještě předtím, než se dostanou k uživateli.

Vícefaktorová autentizace může snížit následky odcizeného hesla. Monitoring pomáhá zachytit situace, kdy kompromitovaný účet začne vykazovat neobvyklé chování. Stejně důležité jsou však firemní procesy.

Například změna bankovního účtu dodavatele by neměla být potvrzena pouze na základě jednoho e-mailu. Citlivé finanční operace mohou vyžadovat nezávislé ověření nebo vícenásobné schválení. Čím přesvědčivější jsou nástroje sociálního inženýrství, tím větší význam mají kontrolní mechanismy, které nezávisí pouze na dojmu uživatele.

AI zvyšuje laťku, principy ochrany zůstávají

Phishing pravděpodobně nebude v budoucnu snáze rozpoznatelný. Generativní nástroje odstraňují část nedostatků, podle kterých bylo možné podvodný obsah v minulosti identifikovat. Důvěryhodně působící jazyk proto už není argumentem pro důvěryhodnost zprávy. Podstatnější je kontext:

• kdo požadavek posílá,
• zda je očekávaný,
• co požaduje,
• zda odpovídá zavedenému procesu,
• a co se může stát po jeho provedení.

Nejlepší reakcí proto není hledat nový seznam „deseti znaků phishingu“, který bude fungovat navždy. Účinnější je model, v němž se kombinuje:

• bezpečnostní povědomí,
• ověřování neobvyklých požadavků,
• ochrana identity,
• omezení přístupů,
• technická prevence,
• a monitoring bezpečnostních událostí.

Právě kombinace technologií a chování lidí je tématem i rozhovoru s CIO ANASOFT „Mnoho rizik vzniká na lidské straně“, který upozorňuje na to, že samotný nákup bezpečnostních technologií neřeší způsob, jakým firma s rizikem pracuje.

Phishing se mění. Základní cíl kybernetické bezpečnosti však zůstává stejný: vytvořit prostředí, v němž jedna chyba nebo jeden přesvědčivý e-mail nemohou snadno přerůst v závažný incident.

Phishing se mění. Ochrana firmy musí držet krok

Přesvědčivější jazyk, personalizace a propojování více komunikačních kanálů znamenají, že phishing už nelze spolehlivě filtrovat pouze podle dojmu uživatele. Účinnější ochrana vzniká kombinací bezpečnostního povědomí, ověřování neobvyklých požadavků, ochrany identity, technických kontrol a monitorování podezřelého chování.

Pro firmy je proto důležité nehodnotit pouze to, zda zaměstnanci dokážou phishing rozpoznat, ale také to, co se stane v případě, kdy se útoku podaří projít přes první obrannou linii. 

Nejčastější dotazy