Kybernetická bezpečnost v praxi

Útoky na firemní finance a data už dávno nejsou sci-fi scénářem pro korporace. V aktuálním prostředí se terčem stávají právě malé a střední podniky (SME), které útočníci vnímají jako ideální cíl: mají dostatek prostředků, ale často děravé vnitřní procesy. Nejde o to, zda se vás někdo pokusí napadnout, ale o to, kolik bariér mu postavíte do cesty, než se mu podaří odeslat vaši platbu na zahraniční účet. Statistika je neúprosná – úspěšný kybernetický útok dokáže paralyzovat cash flow střední firmy na týdny a v extrémních případech vést až k její likvidaci.

Sociální inženýrství versus technika

Zatímco dříve se útočníci snažili prolomit firemní firewall silou, dnes volí cestu nejmenšího odporu: lidskou psychiku. Metoda známá jako CEO fraud (podvod na ředitele) nebo Business Email Compromise (BEC) staví na manipulaci. Zaměstnanec v účtárně obdrží e-mail, který se tváří jako urgentní pokyn od majitele nebo jednatele. Je v něm tlak na čas, požadavek na diskrétnost a instrukce k platbě „mimo standardní systém“. Pokud firma nemá nastavené kontrolní mechanismy, peníze odcházejí během minut.

Dalším kritickým bodem je falešná změna bankovního účtu dodavatele. Útočník pronikne do e-mailové schránky partnera nebo ji dokonale napodobí a pošle zprávu, že „kvůli auditu“ nebo „změně banky“ mají být faktury hrazeny na nový účet. Bez hlasového ověření nebo druhého kanálu kontroly se firma stává sponzorem kriminálních skupin, přičemž ztrátu peněz často zjistí až po týdnech, kdy se skutečný dodavatel začne domáhat svých pohledávek.

Praktický seznam pro eliminaci rizik:

• Pravidlo dvou očí: Žádná platba nad stanovený limit (např. 50 000 Kč) nesmí být autorizována jednou osobou. 
  
• Ověření změny účtu: Každá informace o změně bankovního spojení partnera musí být potvrzena telefonicky na známé číslo, nikoliv přes e-mail. 
  
• Vícefaktorové ověření (MFA): Zapněte MFA na všech firemních e-mailech, cloudových úložištích a účetních systémech bez výjimky. 
  
• Segmentace přístupů: Zaměstnanec v marketingu nepotřebuje přístup k mzdovému systému ani k administraci serveru. 
  
• Audit e-mailových domén: Nastavte protokoly SPF, DKIM a DMARC, které zabraňují útočníkům odesílat e-maily vaším jménem. 
  

Ransomware a ochrana firemního know-how

Pokud jsou peníze krví firmy, pak data jsou její pamětí. Ransomware, tedy vyděračský software, který zašifruje firemní servery a požaduje výkupné, je pro SME noční můrou. Útočníci dnes navíc využívají tzv. dvojité vydírání: data nejen zašifrují, ale také je ukradnou a hrozí jejich zveřejněním (citlivé smlouvy, seznamy klientů, mzdové tabulky). Zaplacení výkupného přitom není zárukou, že data získáte zpět nebo že nebudou prodána na černém trhu.

Jedinou skutečnou obranou je strategie zálohování 3-2-1: tři kopie dat, na dvou různých médiích, přičemž jedna musí být zcela odpojena od sítě (tzv. offline záloha). V případě napadení je totiž první věcí, kterou malware udělá, pokus o smazání nebo zašifrování dostupných online záloh. Bezpečí neznamená neprůstřelnost, ale schopnost rychlé obnovy provozu z čistých dat.

Kybernetická bezpečnost není jednorázový nákup antiviru, ale kontinuální firemní kultura. Pro majitele SME je klíčové pochopit, že investice do procesů a vzdělávání lidí je levnější než sanace škod po jednom úspěšném phishingu. Bezpečné podnikání vyžaduje zpomalení tam, kde útočník tlačí na pilu. Každá „urgentní“ zpráva a každá změna platebních údajů je červeným praporkem, který vyžaduje minutu pozornosti a jeden kontrolní telefonát.

 

FAQ: Co majitelé firem reálně řeší

1. Máme antivirus a firewall, jsme tedy v bezpečí? 

Bohužel ne. Tyto nástroje zachytí známý malware, ale neochrání vás před cílenou manipulací (sociálním inženýrstvím). Podle analýz tvoří lidská chyba nebo podlehnutí manipulaci až 85 % všech bezpečnostních incidentů v malých firmách. 

2. Co dělat, když jsme omylem odeslali peníze na podvodný účet? 

Jednejte v řádu sekund. Kontaktujte svou banku a žádejte o „recall“ platby. Pokud peníze odešly v rámci SEPA nebo okamžitých plateb, šance na vrácení klesá s každou minutou. Následně ihned podejte trestní oznámení, které banka potřebuje pro další právní kroky. 

3. Jsou cloudové služby (Google, Microsoft) bezpečnější než vlastní server? 

Z hlediska technického zabezpečení a aktualizací ano. Jsou však hlavním terčem útoků na přihlašovací údaje. Bez zapnutého vícefaktorového ověření (MFA) je cloud pro firmu otevřenou branou, pokud útočník získá heslo jednoho klíčového zaměstnance.

4. Jak poznám, že je e-mail od „dodavatele“ falešný? 

Sledujte detaily: liší se doména odesílatele (např. misto .cz je tam .co)? Obsahuje e-mail neobvyklé požadavky nebo nátlak na rychlost? Pokud se v konverzaci náhle objeví nový bankovní účet bez předchozího avíza, považujte to automaticky za pokus o podvod.

5. Vyplatí se pojištění kybernetických rizik? 

Pro SME může být užitečné, ale pojišťovny dnes vyžadují splnění přísných bezpečnostních standardů (zálohování, MFA, školení), aby pojistku vůbec uzavřely nebo vyplatily plnění. Pojištění je doplněk, nikoliv náhrada zabezpečení.