Falešné hrozby i prověrky. Po podvodu za 46 milionů Hradec testuje zaměstnance

Jako varovný precedent pro desítky měst v České republice v červenci posloužil Hradec Králové. Jeho zaměstnankyně totiž naposílala falešným bankéřům či policistům neuvěřitelných 46 milionů korun. Město následně odstartovalo podrobné prověrky, testy a falešné hrozby. Ty mají za cíl minimalizovat riziko tohoto typu útoku – vishingu.

Kauza stále má a v blízké budoucnosti bude mít mimořádné dopady. Stála místo šéfku Správy nemovitostí Hradec Králové (SNHK) a samozřejmě i její klíčovou podřízenou, jež paradoxně sama proškolovala nové zaměstnance a byla autorkou příruček, jak se zachovat v případě kyberhrozby.

Interní auditorský odbor magistrátu zahájil hloubkovou kontrolu bankovních účtů a smluv a skoncoval s jednookým schvalováním bankovních příkazů. Dalším už velmi konkrétním dopadem je rozhodnutí okresního soudu, který zajistil majetek zaměstnankyně SNHK. Ta už čelí trestnímu oznámení.

Další dopady následují a jsou logické. Rozjede se seriál školení a trénink několika stovek zaměstnanců města šitý na míru kybernetické bezpečnosti a cílené manipulaci.

Šla a 46 milionů poslala. Úřednice obešla nařízení, která sama vymyslela

„Bezprostředně po útoku jsme všechny naše příspěvkové organizace, obecně prospěšné společnosti nebo zapsané ústavy zavázali k tomu, že musí mít nastavené bankovní transakce tak, aby byly maximálně bezpečné a měly víceúrovňové zajištění. Součástí vnitřní kontroly je řada dalších opatření, která budeme komunikovat s našimi organizacemi. Testy jsou nezbytnou součástí a školení začnou fungovat už ke konci srpna,“ řekla primátorka Pavlína Springerová (HDK).

Podle ní město angažuje externí odborníky, ale i interní zdroje z vlastního IT odboru: „Bude to kombinace obojího a kromě jiného půjde také o trénink na vishingové útoky. Naše zaměstnance proškolujeme dlouhodobě, dostávají například simulované podvodné maily, a zkoušíme tak jejich ostražitost. Máme také celou řadu vzdělávacích možností a kurzů od externích firem, které naši zaměstnanci často podstupují.“

Nová sada instrukcí

Také na Správě nemovitostí byla pravidelná školení. „Každý nový zaměstnanec byl proškolen právě od té paní. Pokud ale vím, neexistovalo tam například posílání falešných e-mailů na zkoušku, které měly představovat hrozbu. To je naopak věc, která úplně automaticky běží na magistrátu i na technických službách,“ řekl náměstek primátorky Pavel Vrbický (Piráti).

6 fotografií

Ředitelé městských organizací museli po útoku zajistit vícenásobnou autorizaci všech platebních příkazů, uzavírání smluv a dalších finančně významných úkonů.

„Ředitelé zajistí oddělení kompetencí tak, aby jedna osoba nemohla samostatně připravit, schválit a realizovat příkaz k platbě bez kontroly další odpovědné osoby. Zajistí také nastavení přístupových práv v bankovních systémech, účetních programech a dalších informačních systémech souvisejících s nakládáním s finančními prostředky,“ stojí v písemné sadě instrukcí a opatření pro šéfy městských organizací, kterou má redakce iDNES.cz k dispozici.

Podlehne jen hlupák? Mýtus

Hradecká kauza však boří zažitý mýtus, že na falešné telefonáty a vishing může naletět jen mimořádně důvěřivý člověk, senior, technicky nepříliš zdatný jednotlivec či důkladně neproškolený člověk.

Smutný rekord 46 vylouděných milionů drží žena, jež byla vzorem maximálně edukované pracovnice a sama školila ostatní. Podle policejních dat jsou nejčastějšími oběťmi kyberpodvodů ženy, jejich průměrný věk je 45 let a průměrná škoda kolem tři čtvrtě milionu korun.

Obětí podvodu v Hradci byla i úřednice, která 46 milionů vyplatila. Oklamali ji

Policie hradecký případ vyšetřuje a dosud není znám modus operandi, tedy metoda, jak podvodníci na ženu zapůsobili. Například jihočeská policie v červenci popsala příběh ženy, kterou podvodníci drželi pod tlakem celé tři dny.

Falešný policista jí dokázal namluvit, že její notářsky ověřenou plnou mocí disponuje neznámý muž, který obchází banky s žádostmi o úvěr. Po další komunikaci a videohovorech s údajnými pracovníky bezpečnostních oddělení bank a policisty tato žena umožnila vzdálený přístup k počítači a internetovému bankovnictví. Z jejích i firemních účtů tito podvodníci vyluxovali více než čtyři miliony korun.

Člověk v jiné dimenzi

„Neznám dosavadní výsledky vyšetřování a podrobnosti k případu, ale myslím si, že to byl obvyklý postup podvodníků, který se nevymyká. Předpokládám, že telefonující se vydával za policistu, bankéře či jinou autoritu, která působí v podvodném modelu. Pak zavazuje oběť například k mlčenlivosti a vytvoří příběh, který sofistikovaně, sociálním inženýrstvím a psychologickými metodami toho člověka uvede do zcela jiné dimenze. Racionálním úhlem pohledu se to zdá až neuvěřitelné, ale ty metody jsou opravdu velmi propracované,“ upozornila Pavlína Springerová.

Podle Josefa Horálka z hradecké fakulty informatiky a managementu se oběti dostávají pod extrémní tlak. Je pravděpodobné, že podvodníci se cíleně zaměřili na konkrétní ženu a zneužili i osobní a důvěrné informace. K nim se často dostávají přes darknet, kde si „vishingovou službu“ objednají v podstatě na klíč.

iDNES Lounge: Podvodníkům na internetu je jedno, jestli jste dělník, nebo lékař

„Je otázka, zda nedošlo k nějakému prvotnímu útoku ve formě sociálního inženýrství, tedy zjištění informací nejen o společnosti, ale i na konkrétního člověka. Jisté je, že na tu pracovnici byl vytvořen výjimečný tlak, a ani nechci domýšlet, jak by se zachovali jiní lidé. Pro mě je neskutečné zlo, když podvodné maily nebo smsky chodí například seniorům,“ poznamenal Josef Horálek.

„Neumím si představit morální úroveň lidí, kteří to dělají. Klíčové, jak tomu předcházet, je hlavně edukace. A také trénink a tabletopová cvičení, při kterých se snažíme účastníky dostat pod časový stres. Dosud se takto testovali spíš IT specialisté, poslední dobou se spíš zaměřujeme na posílení kompetencí a technických dovedností, aby se lidé dokázali ubránit,“ upozornil Horálek.