Odpověď hned: Volajícího dnes nepoznáte podle hlasu ani podle tváře na video-hovoru. Ve výzkumu z Fakulty informačních technologií VUT v Brně nepoznal v běžné konverzaci podvrženou hlasovou zprávu ani jeden z 31 respondentů a dva komerční systémy hlasové biometrie na tom nebyly lépe. Funguje jen procesní obrana: urgentní nebo nečekanou platbu vždy ověřte zpětným voláním na číslo z vlastní evidence (nikdy na to z e-mailu či z příchozího hovoru), platby nad stanovený limit potvrzují dva lidé a změnu bankovního účtu dodavatele nepřijímejte na základě e-mailu ani telefonátu bez ověření jiným kanálem.

Co je CEO fraud a proč se mu říká taky BEC

Europol popisuje tenhle typ podvodu jednou větou: „K podvodu typu CEO/BEC fraud dochází, pokud je zaměstnanec oprávněný provádět platby podvodně zmanipulován, aby proplatil falešnou fakturu nebo provedl neoprávněný převod z firemního účtu.”

Zkratka BEC znamená Business Email Compromise, česky zhruba „kompromitace firemní komunikace”. Původně šlo o podvod postavený na e-mailu — útočník se dostal do schránky jednatele nebo účetní, případně si zaregistroval doménu lišící se o jedno písmeno. Dnešní definice FBI je širší a výslovně zmiňuje i telefonní čísla a aplikace pro videokonference.

Že nejde o okrajovou věc, ukazuje výroční zpráva amerického Internet Crime Complaint Center (IC3) za rok 2025: 24 768 nahlášených případů BEC a škoda 3 046 598 558 dolarů, druhá nejnákladnější kategorie hned za investičními podvody.

Schéma je přitom stejné bez ohledu na velikost oběti. Nepotřebuje korporátní strukturu, potřebuje jednoho člověka s přístupem k bankovnictví a jednoho nadřízeného, jehož jméno se dá zneužít.

Jak takový pokus vypadá zevnitř

Účetní dostane ve čtvrtek odpoledne e-mail od jednatele. Řeší prý akvizici, je na jednání a nemůže mluvit, ale dnes je potřeba odeslat zálohu právní kanceláři. Věc je důvěrná, ať to s ostatními neřeší. Za deset minut zazvoní telefon a je to jeho hlas — trochu ve spěchu, trochu horší linka, ale jeho.

Europol ve své české příručce vypisuje přesně ty prvky, které v takovém scénáři poznáte: nevyžádaný e-mail nebo telefonát, přímý kontakt od vysokého manažera, se kterým běžně nejste ve styku, žádost o absolutní důvěrnost, nátlak a pocit naléhavosti, neobvyklou žádost v rozporu s interními postupy, odvolávku na choulostivou situaci (daňová kontrola, fúze, akvizice) a požadavek, aby zaměstnanec nepostupoval podle zavedených schvalovacích postupů.

Ta poslední věta je jádro věci. Podvod nestojí na tom, že by útočník prolomil banku, ale na tom, že donutí konkrétního člověka vynechat krok, který by ho zastavil.

Odkud útočník ví, kdo je u vás jednatel a kdo dělá platby? Z veřejných zdrojů — z vašeho webu, z obchodního rejstříku, z LinkedInu, z podpisu v e-mailu. Europol proto doporučuje projít, co o sobě firma zveřejňuje, a omezit informace o organizační struktuře a pracovních postupech; k tomu se hodí i správa a bezpečnost firemního webu.

Doložený případ: video-hovor, na kterém byl skutečný jen jeden účastník

V lednu 2024 se terčem stala hongkongská pobočka britské inženýrské společnosti Arup. Zaměstnanci finančního oddělení přišla zpráva tvářící se jako od finančního ředitele ve Velké Británii, týkala se „důvěrné transakce”. Následoval videokonferenční hovor — a ředitel i ostatní kolegové na něm byli vygenerovaní umělou inteligencí. Zaměstnanec pak provedl patnáct převodů na pět hongkongských bankovních účtů v celkové výši 200 milionů hongkongských dolarů, tedy zhruba 25 milionů USD.

Podvod vyšel najevo až zhruba po týdnu, kdy zaměstnanec kontaktoval centrálu firmy; do té doby s ním podvodníci udržovali kontakt zprávami, e-maily i dalšími hovory. Hongkongská policie případ zveřejnila v únoru 2024, sama Arup se jako poškozený přihlásila v květnu 2024 s tím, že byly použity „falešné hlasy a obrazy”.

Na firmu o deseti lidech je přenositelný hlavně ten konec: obrana zafungovala, ale pozdě — až když si zaměstnanec o „tajné transakci” promluvil s centrálou jinou cestou, než kterou mu nabídli podvodníci. Kdyby to udělal první den, škoda by byla nulová.

Proč „já svého šéfa po hlase poznám” není obrana

Tohle je nejčastější námitka, kterou při školení slyším. Odpověď dodal výzkum přímo z Brna. Na Fakultě informačních technologií VUT zkoumal Daniel Prudký s podporou Antona Firce, jestli lidé v běžné konverzaci poznají podvrženou hlasovou zprávu. Rozeslal 31 respondentům hlasové zprávy, mezi které zamíchal jednu vygenerovanou. Podvrh nezaznamenal ani jeden z nich. Když stejným lidem předem řekl, že jedna nahrávka je falešná, označili ji s přesností téměř 80 procent. Rozdíl je celý v očekávání — nahrávka byla rozpoznatelná, jen ji nikdo nehledal.

Anton Firc k tomu otestoval dva komerčně rozšířené systémy hlasové biometrie, tedy technologii, kterou banky a call centra používají k ověření totožnosti volajícího, a potvrdil, že ani ony nedokázaly odlišit pravou nahrávku od umělé. Práce vznikla v rámci bezpečnostního výzkumu zadaného Ministerstvem vnitra.

Závěr je nepříjemný, ale jednoznačný: detekce jako obrana nefunguje, ani lidská, ani strojová. FBI ve varování k finančním podvodům s generativní AI popisuje, že pachatelé vytvářejí krátké zvukové nahrávky napodobující hlas konkrétního člověka a využívají video-deepfaky k „živým videohovorům s údajnými firemními manažery”. Doporučení, která k tomu dává, se proto netýkají rozpoznávání, ale ověřovacího postupu.

Pět procesních pravidel, která zvládne i pětičlenná firma

Tabulka níže je jádro obrany. Není v ní žádná technologie, kterou byste museli kupovat.

Pravidlo	Jak funguje	Koho se týká
Zpětné ověření jiným kanálem	Žádost o platbu se neřeší v hovoru ani v e-mailu, kterým přišla. Zavěsím a zavolám zpět na číslo z vlastní evidence — nikdy na to ze zprávy ani na to, které volající nadiktuje. FBI to shrnuje jako „zavěsit, dohledat si kontakt a zavolat přímo”.	Každý, kdo může iniciovat platbu nebo změnit údaje o příjemci: účetní, asistentka, vedoucí provozu.
Čtyři oči nad limitem	Firma stanoví částku, nad kterou platbu odesílá jeden člověk a potvrzuje druhý. Banky to podporují technicky — v internetovém bankovnictví jako podpisové právo a dva podpisy. Europol doporučuje totéž: u plateb nad určitou částku zavést postup na potvrzení účtu i příjemce.	Jednatel a účetní, případně dva jednatelé. Musí být určený zástupce pro dovolenou, jinak pravidlo padne první týden.
Kódové slovo	Předem dohodnuté slovo nebo otázka k ověření totožnosti při hovoru mimo standardní postup. Nikde napsané, neodvozené od veřejných údajů, nikdy v e-mailu — jen v hovoru. FBI tohle opatření doporučuje výslovně jako reakci na klonování hlasu.	Jednatel a lidé s dispozičním právem k účtu; ve firmě do 15 lidí stačí tři až pět osob.
Zákaz změn účtů dodavatelů po telefonu a e-mailem	Změna bankovního spojení u existujícího dodavatele se nikdy nepřijímá jako odpověď na e-mail, který ji oznamuje; ověřuje se voláním na kontakt ze smlouvy nebo z dřívější korespondence. Europol říká přímo: nepoužívejte kontaktní údaje z dopisu, faxu ani e-mailu, které o změnu žádají. FBI doporučuje ověřit změny údajů o účtu „druhotným kanálem nebo dvoufaktorovým ověřením”.	Účetní a každý, kdo zadává nebo mění dodavatele v účetním systému.
Časový odstup u urgentních plateb	Platba označená jako urgentní, důvěrná nebo mimo běžný postup se odkládá alespoň o hodinu a mezitím se ověřuje. Naléhavost je tu nástroj, ne okolnost: legitimní platba hodinu vydrží, podvodná ne.	Všichni — i lidé bez přístupu k bankovnictví, protože často právě oni dostanou první telefonát.

Pravidla musí být napsaná a musí obsahovat výslovnou větu, že za jejich dodržení nikdo nikdy nedostane vyhubováno, ani když volá skutečně jednatel. Bez ní zaměstnanec pod tlakem postup vynechá, protože se bojí, že bude za obstrukci — přesně s tím útočník počítá.

Zpětné ověření: detail, na kterém to celé stojí

Zpětné ověření zní triviálně a přesto se dělá špatně nejčastěji. Celý rozdíl je v jediné věci: odkud pochází číslo, na které voláte.

Fungující postup podle doporučení Europolu: řeknu volajícímu, že mu zavolám zpět, zavěsím a vytočím číslo, které si sám dohledám v evidenci, ve smlouvě nebo v dřívější korespondenci. Číslo, které mi nadiktoval, k ověření nepoužiju — může být falešné. Ani zobrazené číslo volajícího není důkaz; jeho podvržení (spoofing) je běžná technika.

Nefungující postup: zavolám na číslo z e-mailu, odpovím na tu samou zprávu, nebo napíšu do stejného chatu. Ve všech třech případech se ptám útočníka, jestli je útočník. A ověřuje se u člověka, ne u role: když jednatel nebere telefon, platba čeká. Jeho nedostupnost není důvod k výjimce — je to přesně ta situace, kterou si podvodník vybírá.

Co dělat, když platba už odešla

1. Okamžitě volejte banku a žádejte zpětné stažení platby (recall). Telefonem, ne e-mailem, a hned. FBI to formuluje jednoznačně: pokud zjistíte podvodný převod, rozhoduje čas — okamžitě kontaktujte banku a požádejte o vrácení prostředků včetně potřebných dokumentů. Že to má smysl, ukazují čísla za rok 2025: tým FBI, který zastavování takových plateb koordinuje, zasáhl u 3 900 případů s pokusem o odcizení 1,16 miliardy dolarů a zablokoval 679 milionů, tedy 58 procent. Šance klesá s každou hodinou; jakmile peníze projdou dál na další účty, obvykle je konec.

2. Podejte trestní oznámení na Policii ČR. Na kterémkoli oddělení, nebo přes linku 158. Europol k tomu dodává pravidlo, které se často porušuje: na policii se obraťte i tehdy, když šlo jen o pokus a ke škodě nedošlo.

3. Zachovejte důkazy, než začnete uklízet. Původní e-maily včetně celých hlaviček (v Outlooku Soubor → Vlastnosti, v Thunderbirdu Ctrl+U), výpis hovorů, čísla volajících, screenshoty chatu, přesné časy, čísla účtů příjemce, potvrzení o platbách. E-maily nemažte a neposílejte dál jako přeposlanou zprávu — tím se hlavičky ztratí.

4. Zkontrolujte, jestli nešlo jen o telefonát. Pokud útočník znal detaily z vaší korespondence, mohl mít přístup do některé schránky. To už je bezpečnostní incident a řeší se stejnou logikou jako první hodiny po ransomwaru: zjistit rozsah, změnit hesla, projít ve schránkách pravidla pro automatické přeposílání pošty (útočníci si je zakládají, aby jim odcházela kopie), zapnout dvoufázové ověření. A dejte vědět dodavatelům a odběratelům — pokud útočník psal vaším jménem, mohou být na řadě oni.

Jak to zavést a nacvičit

Sepsání pravidel zabere jedno odpoledne, ale samotný dokument nikoho nezastaví. Co funguje, je nácvik: jednatel si předem domluví scénář, někdo zvenčí zavolá účetní s urgentní žádostí a firma si vyhodnotí, kolik kroků se přeskočilo. Cílem není nachytat lidi, ale najít místo, kde proces chybí. Vhodné je to spojit se školením o tom, co generativní AI umí a kde jsou hranice — školení AI pro firmy.

Procesní obrana je základ, ale nemá smysl ji stavět nad děravou poštou. Správně nastavené ověřování odesílatele u vaší domény odfiltruje část pokusů dřív, než se dostanou k účetní, a dvoufázové ověření u firemních schránek brání nejhoršímu scénáři — kdy útočník píše ze skutečné adresy jednatele, protože se do ní dostal. Ani jedno ale nenahradí zpětný telefonát.

ITHOPE sídlí v Brně a pomáháme firmám nastavit obojí: procesní pravidla pro platby, aby existovala dřív než první podvodný hovor, i technická opatření na straně e-mailu, přístupů a školení lidí. Na tohle téma navazuje správa IT a zálohování; přehled celé nabídky je v sekci IT pro firmy.

Deepfake hlas jednatele a CEO fraud: obrana je proces, ne technika