Podvod bez nákladu: Proč je „Ahoj, máš čas?" ten největší trik

Nejnebezpečnější e-mail, který váš šéf nikdy neodeslal, neobsahuje odkaz, žádnou přílohu a žádné chybně napsané varování od banky. Obsahuje čtyři slova: „Ahoj, máš čas?"

To je ten podvod. Celá věc. A funguje to proto, že je navrženo tak, aby se protlačilo kolem všech vašich obran — včetně vašich vlastních instinktů.

Tady jsou mechanismy. Tradiční phishingový e-mail nese zbraň: škodlivý odkaz, otrávený PDF, falešnou přihlašovací stránku. Váš spam filtr, vaše e-mailová brána a stále více vaše vrstva AI prověřování jsou všechny trénované, aby tyto věci vypátraly. Kontrolují odesílatele vůči záznamům SPF, DKIM a DMARC. Skenují přílohy. Označují naléhavost plus žádost o platbu. Zpráva, která říká „Ahoj, máš čas?" nespustí nic z toho, protože zde není nic, co by se spustilo. Čte se jako normální úterý.

Náklad není v e-mailu. Náklad je vaše odpověď.

Jakmile napíšete odpověď — „Jasně, co se děje?" — udělali jste dvě věci, které útočník potřeboval. Potvrdili jste, že je účet aktivní a monitorovaný, a otevřeli jste vlákno, kde vy jste nyní ten, kdo dodává důvěru. Další zpráva je tam, kde se to stane. Je to téměř vždy malé, věrohodné a časově omezené: Jsem uváznutý v jednání, můžeš koupit dárkové karty pro klienta, vrátím ti peníze, prostě mi pošli kódy z jejich zad. Někdy jde o převod „novému dodavateli." Verze s dárkovými kartami je populární právě proto, že dárkové karty jsou nejbližší věc k nesledovatelným penězům, které si normální zaměstnanec může koupit v CVS.

Toto je Business Email Compromise a není to okrajový problém. Internetové středisko pro stížnosti trestné činnosti FBI zaznamenalo $2,9 miliardy v hlášených ztrátách BEC v samotném roce 2023 — kategorie postavená téměř výhradně na prostých textových zprávách, které nenesou nic k testování pro skener — žádnou přílohu, žádný odkaz, žádný malware. FTC mimo jiné sledovala dárkové karty jako jednu z hlavních platebních metod, které podvodníci požadují, s miliony ztracenými takovýmto způsobem rok co rok. To nejsou lidé, kteří padnou na kreslené nigérijské princovské e-maily. Jsou to kompetentní zaměstnanci odpovídající na to, co vypadá jako normální ping od jména, které poznávají.

A jméno je druhá půlka triku. Podívejte se na skutečnou adresu odesílatele, ne na zobrazované jméno. Útočníci registrují domény, které vypadají podobně — vyměňují rn za m, přidávají pomlčku, používají bezplatný Gmail s vaším CEO v poli „from". Zobrazovaná jména jsou zdarma k falšování; doména za @ není. To je vaše znak. Pokud „Dave Morgan, CEO" píše z dave.morgan.exec@gmail.com, Dave si nepořídil novou e-mailovou adresu. Dave neexistuje.

Důvod, proč nudný úvod porazí ten spíše efektní, je psychologický, ne technický. Studené požadavky na peníze vyvolávají podezření. Teplá, nenáročná otázka nejdříve vytváří vztah, takže v okamžiku, kdy se peníze dostanou do rozhovoru, jste si už jisti, že tato osoba je, kdo říká, že je. Podvod používá vaši vlastní konzistenci proti vám.

Obrana tedy není v odhalení špatného odkazu, protože žádný nebude. Je to pravidlo o žádosti, ne o zprávě: jakákoliv žádost o dárkové karty, převody, nebo platbu směrovanou kanálem, který se liší od vašeho normálního procesu, se ověří mimo pásku. Zavolejte dané osobě. Ne číslo z e-mailového podpisu — to v telefonu. Projděte si na její stůl.

Podvodník počítá s tím, že budete zdvořilí dost na to, abyste odpověděli, a dost zaneprázdnění, abyste to nekontrolovali. Dokažte mu, že se mýlí v druhém bodě, a první bod přestane být důležitý.

Oprava, 21. outubro 2026. Dřívější verze tvrdila, že tyto zprávy byly ty, které "žádný filtr neoznačil" — tvrzení o každém filtru na světě, které tento článek nemůže podpořit. Co popisují čísla FBI a co argument skutečně potřebuje, je to, že zpráva neobsahuje nic k testování pro skener.