Váš šéf vám nenapsal email. Napsal ho AI vytrénovaný na jeho posledních třech odpovědích.

Starý indic falešného emailu od šéfa byla špatná gramatika a podivné oslovení. Tento indic už neplatí. Generativní nástroje teď nasávají stažené emailové vlákno a napodobují přesný rytmus, interpunkci a podpis kolegy, což je důvod, proč kompromitace obchodních emailů stále vysušují společnosti — FBI Internet Crime Complaint Center zaznamenala osamoceně v roce 2023 ztráty v BEC (Business Email Compromise) ve výši $2,9 miliardy. Jedinou zbývající spolehlivou obranou je přesunout rozhovor na jiný kanál, než aby jste jednali.

Proč si nemohu důvěřovat emailu, který zní přesně jako můj šéf?

Protože „zní to jako on" je teď nejsnadnější věc na napodobení. BEC se kdysi spoléhala na napadnutou nebo podobnou adresu spárovanou s nemotorným textem; podivné znění bylo giveaway. Když podstrčíte velký jazykový model tři skutečné odpovědi od někoho, shoduje se s jeho rytmem — s tím, jak začíná „Hej", vynechá interpunkci, když se spěchá, podepíše se jen iniciálou jména. Útočníci ty odpovědi získají z kompromitované poštovní schránky, přeposlaného vlákna nebo reply-all řetězce, který unikl ven ze společnosti.

Zpráva Verizon Data Breach Investigations Report z roku 2024 zjistila, že lidský prvek byl zapojen přibližně v 68 % porušení bezpečnosti, přičemž sociální inženýrství a pretexting jsou dominantním vzorem. Styl už není důkaz. Osoba, která píše jako váš CFO, může být model vytrénovaný na patnácti minutách výstupu poštovní schránky vašeho CFO.

Jak vypadá jeden z těchto vylepšených podvodů ve skutečnosti?

Vypadá jako krátký, věrohodný, mírně naléhavý požadavek, který se hodí do skutečného probíhajícího rozhovoru. Klasický tah: odpověď vhojena do existujícího vlákna o platbě dodavateli, s novými instrukcemi pro převod peněz a řádkem jako „banka si označila starý účet, použij tenhle." Bez překlepů, správné názvy projektů, skutečné řečové tiky vašeho šéfa.

Technický háček je v tom, že zobrazované jméno se může číst dokonale, zatímco odesílací doména je o znak jiná — @company-invoices.com místo @company.com — nebo Reply-To tiše ukazuje někam jinam. Autentizace tu pomůže: zpráva, která selže zarovnání SPF, DKIM nebo DMARC, je podezřelá, bez ohledu na to, jak lidsky zní. AI poštovní nástroje, včetně detekce podvodů a fraud u podvodných faktur zabudované do AI emailu s detekce podvodů, kontrolují tyto hlavičky automaticky, protože člověk uhánějící po telefonu to nikdy nebude.

Takže jak vlastně ověřím požadavek, kterému se nemohu věřit jen na základě vzhledu?

Přepněte kanály a potvrďte to prostřednictvím toho, který už znáte, ne toho, který vám dal email. Pokud email požaduje peníze nebo přihlašovací údaje, zavolejte osobě na číslo ze svých kontaktů nebo adresáře společnosti — nikdy ne na číslo v podpisu. Sejděte si k jejich stolu. Napište jim zprávu na interním chatovatku. Celý podvod závisí na tom, že zůstanete v emailu, kde útočník řídí obě strany.

Udělejte z toho pravidlo, ne rozhodnutí na základě soudu. Jakákoli změna platby, kterýkoli převod, jakýkoli nový bankovní detail dostane potvrzení na druhém kanálu, bez diskusí — IC3 důsledně doporučuje přesně toto verbální ověření pro BEC. Pravidla přežijí vytížené úterý odpoledne; instinkty ne. A přestaňte považovat přesvědčivý styl psaní za důkaz čehokoliv. Jediná věc, kterou model vytrénovaný na stažených odpovědích nemůže napodobit, je váš šéf, který si vezme telefon a řekne, že vám to nikdy neposílal.