Kombinované útoky: Jak české firmy přicházejí o miliony
Publikováno: 10.10.2025
Kyberzločinci dnes málokdy sázejí jen na jednu techniku. Místo toho kombinují více způsobů útoku – od podvodných e-mailů přes telefonáty až po zneužití důvěry konkrétních zaměstnanců. Výsledkem mohou být ztráty v řádu milionů korun. Přinášíme analýzu skutečného útoku na českou firmu a rady, jak se podobným scénářům bránit.
Příběh útoku
Začalo to nenápadně – účetní jedné české firmy obdržela e-mail, který vypadal, jako by ho poslal sám finanční ředitel. V e-mailu stálo, že je potřeba urgentně uhradit fakturu pro zahraničního dodavatele. Vše působilo věrohodně: firemní logo, styl komunikace i podpis.
O pár minut později přišel telefonát. „Finanční ředitel“ potvrdil, že platba musí odejít ještě ten den, jinak hrozí problémy v dodávkách. Pod tlakem situace účetní fakturu uhradila. Firma tak přišla o několik milionů korun.
Pozdější analýza ukázala, že útočníci kombinovali více technik:
- Spear phishing – cílený e-mail, který kopíroval komunikaci vedení.
- Vishing (voice phishing) – telefonát, který zvýšil důvěryhodnost útoku.
- Sociální inženýrství – využití psychologického tlaku na zaměstnance.
Proč útok uspěl?
- Firma neměla nastavené víceúrovňové schvalování plateb.
- Zaměstnanci nebyli dostatečně školeni v rozpoznávání podvodů.
- Chyběla možnost rychle ověřit transakci jiným kanálem.
Jak se bránit kombinovaným útokům
- Bezpečnostní školení – pravidelně trénujte zaměstnance na phishingové a vishingové scénáře.
- Víceúrovňové procesy – každá větší platba by měla být schválena více lidmi.
- Technická opatření – nasazení anti-phishingových filtrů a e-mailové autentizace.
- Kultura ověřování – podpora prostředí, kde je dvojité ověření standard, nikoli “o nedůvěře”
5 kroků, jak ověřit platbu – checklist pro účetní
| Krok | Co udělat | Proč je to důležité |
| 1. Zkontrolujte e-mailovou adresu odesílatele 📧 | Neklikejte hned na "Odpovědět". Rozbalte celou e-mailovou adresu a zkontrolujte doménu. Pozor na drobné překlepy (např. @firma.cz vs @firrma.cz nebo @firma-group.com). | Útočníci často používají podobně vypadající domény, které na první pohled splývají s firemními e-maily. |
| 2. Ověřte žádost jiným komunikačním kanálem 📞 | Zavolejte na známé telefonní číslo (ne na číslo z e-mailu!), napište SMS nebo použijte firemní chat. Zeptejte se: "Poslal jsi mi žádost o platbu XY?" | Pokud je e-mail podvodný, skutečný finanční ředitel o žádosti nebude vědět. Tento krok odhalí 90 % podvodů. |
| 3. Zkontrolujte bankovní údaje 🏦 | Porovnejte číslo účtu a IBAN s předchozími platbami pro stejného dodavatele. Pokud se údaje liší, okamžitě zastavte platbu a ověřte změnu přímo u dodavatele. | Změna bankovního účtu je klasický varovný signál. Útočníci často předstírají "aktualizaci platebních údajů". |
| 4. Pozor na urgenci a tlak ⏰ | Buďte obezřetní u formulací typu: "Urgentně", "Do konce dne", "Jinak hrozí sankce". Zpomalte a ptejte se: Je tento časový tlak opravdu reálný? | Sociální inženýrství staví na stresu a spěchu. Útočníci chtějí, abyste neměli čas přemýšlet a ověřovat. |
| 5. Použijte víceúrovňové schvalování 👥 | Každá platba nad stanovený limit (např. 50 000 Kč) musí být schválena minimálně dvěma osobami. Využijte firemní systém pro workflow schvalování. |
Co dělat, když máte podezření?
- Nereagujte impulzivně – i když vás někdo tlačí k okamžité platbě
- Informujte IT oddělení – nahlaste podezřelý e-mail
- Zdokumentujte vše – uložte e-mail, zaznamenejte telefonáty
- Kontaktujte banku – pokud jste platbu již odeslali, okamžitě volejte banku a pokuste se transakci zastavit
Chraňte firmu před sofistikovanými útoky. Kontaktujte nás a zjistěte, jak nastavit procesy i školení kybernetické bezpečnosti tak, aby vás kombinované útoky nepřekvapily.