3 z 5 lidí naletí na e-mail, který jim vykrade účet. Vypadá úplně normálně, ale dokážete ho rozpoznat

Phishingové simulace v roce 2025 ukázaly, že u e-mailů tvářících se jako interní zpráva z HR nebo IT klikne na podvodný odkaz až 60 % zaměstnanců.

Zdroj fotografie: Unsplash

Není to číslo vytržené z kontextu. Zpráva KnowBe4 za první čtvrtletí 2025 analyzovala desítky milionů simulovaných phishingových útoků a zjistila, že 60,7 % všech prokliků připadlo na maily napodobující interní firemní komunikaci, tedy zprávy od HR oddělení, IT podpory nebo vedení. Téměř polovina selhání se týkala přímo e-mailů vydávajících se za personální oddělení. Tři z pěti lidí tedy nenaletí na každý podvodný mail. Naletí na ten, který vypadá, jako by přišel od jejich vlastního zaměstnavatele. A právě proto je tak nebezpečný, protože nevzbuzuje podezření.

Jak vypadá e-mail, na který klikne většina

Zapomeňte na nigerijské prince a lámanou češtinu. Nejúspěšnější podvodné zprávy roku 2025 vypadaly jako běžná firemní pošta. Předmět „Aktualizace benefitů – potvrzení do pátku“, odesílatel se jménem vedoucí HR, logo firmy v patičce, odkaz na údajný interní dokument. Žádné hrubky, žádná podezřelá grafika.

Microsoft zdokumentoval kampaň cílenou na americké univerzity, kde útočníci rozesílali zprávy o změně mzdového nastavení. Po kliknutí na odkaz a zadání přihlašovacích údajů převzali účet oběti, smazali varovné notifikace a z kompromitovaného mailboxu rozeslali další phishing stovkám dalších adres. V jednom případě útočník změnil bankovní údaje pro výplatu a přesměroval mzdu na vlastní účet.

V českém prostředí to není jinak. Etický hackerský tým Citadelo v simulovaném útoku kombinujícím phishing s telefonickým podvodem zasáhl až 40 % zaměstnanců testované firmy. Stačilo napodobit interní komunikaci a doplnit ji telefonátem „z IT oddělení“.

Proč starý instinkt nestačí

Dříve šlo podvodný mail často poznat podle kostrbatého překladu nebo podezřelé formulace. NÚKIB takové kampaně popisoval ještě v nedávných letech. Jenže pravidla hry se změnila.

Britské Národní centrum kybernetické bezpečnosti (NCSC) ve své analýze dopadu umělé inteligence na kybernetické hrozby konstatuje, že velké jazykové modely ztěžují rozpoznání podvodného e-mailu všem, bez ohledu na úroveň bezpečnostních znalostí. Europol dodává, že LLM umožňují útočníkům generovat autentický text, přizpůsobit tón konkrétní firmě, napodobit styl konkrétního člověka a škálovat kampaně do desítek jazyků.

Odkud útočníci čerpají informace o vaší firmě? Z veřejných zdrojů:

• LinkedIn – jména, pozice, organizační struktura
• Firemní web – kontakty, tiskové zprávy, profily vedení
• Sociální sítě – styl komunikace, interní akce, fotky z teambuildingu

NCSC proto doporučuje omezit veřejně dostupné detailní profily zaměstnanců. Čím méně útočník ví, tím hůř napodobí interní zprávu.

Česko na začátku roku 2026: nadprůměrný počet incidentů

Český NÚKIB v lednu 2026 evidoval 32 kybernetických incidentů, což byla nejvyšší hodnota za posledních dvanáct měsíců. Únor sice přinesl mírný pokles, ale zůstal nad dlouhodobým průměrem. V obou měsících se mezi incidenty objevovaly phishingové útoky, kompromitace účtů a průniky do firemních systémů.

Ve Zprávě o stavu kybernetické bezpečnosti za rok 2024 NÚKIB uvádí, že všechny dotázané instituce ve finančním sektoru zaznamenaly phishing a 93 % z nich i cílený spear phishing. Respondenti zároveň popisují personalizovanější e-maily, které ukazují na možné využití AI.

V prvním čtvrtletí 2026 NÚKIB popsal i evropskou spear-phishingovou kampaň zneužívající dokumenty Microsoft Office s jazykovými mutacemi přizpůsobenými jednotlivým zemím. Širší benchmark KnowBe4 přitom ukazuje, že obecná náchylnost k phishingu napříč 14,5 milionu uživatelů a 62 400 organizacemi činí 33,1 %. Šedesátiprocentní úspěšnost se týká specificky interně vypadajících zpráv. Rozdíl je obrovský, a přesně v něm leží nebezpečí.

Jak podvodný mail poznat a co dělat, když jste klikli

Rozhodující varovný signál dnes není překlep. Je to požadavek obejít normální firemní proces. Přihlásit se přes neznámý odkaz. Potvrdit něco „do hodiny“. Otevřít nečekanou přílohu. Jednat pod tlakem, aniž byste měli čas ověřit.

Praktický filtr v pěti krocích:

• Zkontrolujte celou doménu odesílatele, ne jen zobrazované jméno. Microsoft uvádí příklady jako „micros0ft.com“ nebo „rnicrosoft.com“; záměna jediného znaku stačí.
• Najeďte myší na odkaz, než kliknete. Pokud URL vede jinam, než tvrdí text, je to podvod.
• Zpozorněte u časového tlaku. Legitimní HR ani IT vás nenutí reagovat do deseti minut.
• Nečekaná příloha = varovný signál. NÚKIB zdokumentoval kampaň, kde příloha ve formátu .rdp po potvrzení navázala vzdálenou správu a dala útočníkovi přístup k souborům i síťovým zařízením oběti.
• Nikdy nezadávejte heslo přes odkaz z e-mailu. Microsoft výslovně uvádí, že nikdy nežádá heslo e-mailem. Legitimní reset hesla probíhá přes známý firemní portál nebo přes správce.

A pokud jste už klikli a zadali údaje? Okamžitě změňte heslo, u zasaženého účtu i všude, kde používáte stejné. Zkontrolujte dvoufaktorové ověření. Nahlaste incident firemnímu IT. Pokud se po kliknutí cokoliv stahovalo, spusťte plný antivirový scan. U bankovních údajů volejte bance.

Co se stane s „vykradeným“ účtem

Převzetí e-mailového účtu není konec příběhu. Je to začátek. Google Cloud ve zprávě Cloud Threat Horizons za první polovinu 2026 uvádí, že kompromitované identity stály za 83 % cloudových a SaaS incidentů a data byla cílem v 73 % z nich.

Útočník po převzetí účtu typicky:

• nastaví pravidla v inboxu, která přesměrují nebo mažou varovné zprávy,
• rozešle další phishing z vaší legitimní adresy kolegům, klientům i partnerům,
• tiše kopíruje citlivá data z mailboxu a sdílených úložišť,
• v nejhorším případě spustí BEC podvod, tedy falešnou fakturu nebo změnu platebních údajů.

Podle NCSC začíná 85 % kyberútoků proti firmám právě podvodným e-mailem. Poštovní schránka zůstává hlavní vstupní branou.

Nejspolehlivější obrana není „mít dobrý nos“. Je to naučený reflex zastavit se pokaždé, když e-mail, jakkoliv důvěryhodně vypadající, žádá něco mimo běžný postup. Ten reflex se nedá nahradit ani antivirem, ani spamovým filtrem. Jen vlastním rozhodnutím nekliknout.