Poslal mi to předseda...

Poslal mi to předseda.“ Opravdu? Podvody, na které už nestačí hledat překlep v e-mailu

Zpráva přišla z účtu se jménem předsedy. Profilová fotografie sedí, oslovení také a požadavek dává na první pohled smysl. Jen je potřeba něco rychle zaplatit, poslat dokument nebo potvrdit přístup. Ještě před několika lety jsme se učili hledat v podvodných zprávách kostrbatou češtinu a podezřelé formulace. Dnes může být perfektní čeština naopak to poslední, podle čeho podvod poznáte.

Představte si celkem obyčejnou situaci. Pokladníkovi nebo dalšímu členovi výboru přijde během pracovního dne zpráva:

„Ahoj, jsem teď mimo kancelář a nemůžu se přihlásit do banky. Potřebujeme dnes uhradit zálohu dodavateli, jinak nám neposunou termín opravy. Pošlu ti podklady.“

Jméno předsedy sedí. Fotografie také. Pisatel ví, že se v domě skutečně něco opravuje, a dokonce zná jméno firmy.

Co na tom má být podezřelého? Možná vůbec nic. Předseda opravdu může sedět na jednání a potřebovat rychle něco vyřešit. Jenže úplně stejnou zprávu může poslat i někdo, kdo předsedou není.

A k tomu už dnes nepotřebuje napadnout informační systém SVJ.

O vašem domě se dá zjistit víc, než si možná myslíte

Část informací o SVJ je veřejně dostupná z principu. Z veřejných rejstříků lze dohledat samotné společenství a osoby, které za něj jednají. Další informace může obsahovat web domu, veřejné profily, nabídky dodavatelů, zveřejněné dokumenty nebo sociální sítě.

Pak stačí jednotlivé střípky spojit.

Podvodník nemusí znát kompletní fungování domu. Někdy mu stačí vědět, jak se jmenuje předseda, jaký dům spravuje a kdo další se kolem jeho správy pohybuje. Pokud navíc zjistí, že právě probíhá rekonstrukce střechy, výměna výtahu nebo jiná větší investice, dokáže vytvořit zprávu, která už nepůsobí jako náhodný spam rozeslaný na deset tisíc adres.

Působí jako běžná pracovní komunikace a právě v tom je skutečný rozdíl.

Podvodný e-mail už nemusí vypadat jako podvodný e-mail

Dlouhá léta jsme dostávali poměrně jednoduché rady. Podívejte se na gramatiku. Pozor na podivné oslovení. Všímejte si kostrbaté češtiny a zvláštních formulací.

Tyhle signály samozřejmě úplně nezmizely. Jen už na ně není rozumné spoléhat.

Generativní umělá inteligence dokáže během několika sekund vytvořit přirozeně znějící text v češtině, změnit jeho tón, opravit chyby nebo připravit několik variant stejné zprávy. Když jí někdo poskytne dostatek kontextu, může být výsledkem velmi uvěřitelná komunikace.

Nemusí tedy přijít:

„Vážený zákazník, váš bankovní účet bude terminován.“

Může přijít:

„Petře, prosím tě, mrkni na tu fakturu za výtah. Dodavatel tvrdí, že pořád nemá zálohu a zítra nám tam nikoho nepošle.“

A pojďme si říct, že ta druhá zpráva je pro člověka, který skutečně řeší opravu výtahu, podstatně nebezpečnější.

A nemusí zůstat jen u textu

Další prolomenou hranicí je hlas. Technologie pro napodobení lidského hlasu jsou dostupnější než dříve a kvalita syntetického hlasu se výrazně zlepšila. Není proto dobré stavět bezpečnost důležitého rozhodnutí pouze na tom, že „jsem přece slyšel jeho hlas“.

To neznamená, že odteď máme pokládat každý telefonát od předsedy za deepfake a sousedovi při setkání ve výtahu chtít občanku.

Znamená to něco mnohem praktičtějšího: u některých požadavků by neměla být důvěryhodnost člověka jediným bezpečnostním prvkem.

Pokud někdo žádá o mimořádnou platbu, změnu bankovního účtu dodavatele, předání přístupových údajů nebo zaslání citlivých dokumentů, má smysl mít předem domluvený způsob ověření.

💡

Neověřujte podezřelou zprávu odpovědí na podezřelou zprávu

Tohle pravidlo je jednoduché a překvapivě důležité.

Přijde-li neobvyklý požadavek e-mailem, jeho pravost neověřujeme tím, že na stejný e-mail napíšeme: „Opravdu jsi to posílal ty?“

Pokud někdo získal přístup k dané schránce, pravděpodobně dokáže odpovědět také.

Stejně tak není ideální volat na telefonní číslo uvedené přímo v podezřelé zprávě.

Ověření by mělo proběhnout jiným, předem známým kanálem. Zavolat předsedovi na číslo, které máme dlouhodobě uložené. Ověřit změnu bankovního účtu přímo u dodavatele přes kontakt ze smlouvy. U mimořádně vysoké platby vyžadovat potvrzení dalšího člena výboru.

Není potřeba dělat z každé faktury bezpečnostní operaci. Důležité je poznat situace, které se vymykají běžnému provozu.

Podvodníci mají rádi spěch

„Potřebujeme to ještě dnes.“

„Dodavatel čeká.“

„Jsem na schůzce, nemůžu volat.“

„Pošli mi to prosím hned.“

Právě tlak na rychlé rozhodnutí je užitečný varovný signál, protože člověku bere prostor udělat tu nejjednodušší věc: ověřit si, co se vlastně děje.

Ve správě domu přitom podobné situace nejsou nijak výjimečné. Havárie skutečně nepočká do příštího zasedání výboru. Dodavatelé skutečně někdy potřebují rychlé rozhodnutí. Předseda skutečně může být na dovolené.

Proto není řešením automaticky nevěřit všemu urgentnímu. Řešením je mít pravidla ještě předtím, než urgentní situace nastane.

Například že změna bankovního účtu dodavatele se vždy ověřuje telefonicky. Platba nad určitou částku potřebuje druhé schválení. Přístupové údaje se neposílají prostřednictvím běžné zprávy. A mimořádný požadavek jednoho člena výboru lze potvrdit jednoduchým zavoláním.

Pět minut navíc může být velmi levné bezpečnostní opatření.

Vlastníci jsou součástí stejného problému

Podvodná komunikace nemusí mířit pouze na výbor.

Útočník může stejně dobře vystupovat jeho jménem směrem k vlastníkům. Informace o nedoplatku, nové číslo účtu pro zálohy, mimořádný příspěvek na opravu, odkaz na dokument nebo žádost o doplnění osobních údajů – to všechno jsou zprávy, které mohou v kontextu SVJ působit naprosto věrohodně.

Právě proto má velkou hodnotu dlouhodobě jednotná komunikace.

Vlastníci by měli vědět, kudy jejich SVJ běžně komunikuje, kde najdou oficiální dokumenty a jakým způsobem dostávají informace o platbách. Čím větší chaos v komunikaci panuje, tím snazší je do něj vložit falešnou zprávu.

Pokud jednou přijde důležitá informace ze soukromého e-mailu předsedy, podruhé přes WhatsApp, potřetí z jiné adresy a dokumenty jsou pokaždé někde jinde, vlastník jen těžko pozná, co je standardní způsob komunikace a co už standardní není.

I tady může pomoci jedno společné prostředí, ve kterém vlastníci vědí, že najdou oficiální informace svého domu. Právě proto má smysl používat nástroje, jako jsou Sousedé.cz, nejen jako digitální nástěnku, ale jako stabilní komunikační místo mezi výborem a vlastníky.

Neznamená to, že podvodníci zmizí. Znamená to, že jim ztížíme jednu důležitou věc: vydávat nestandardní komunikaci za něco naprosto běžného.

Důvěra ano. Slepá důvěra ne

Dům nemůže fungovat tak, že si každý vlastník před otevřením zprávy telefonicky ověří totožnost předsedy a členové výboru budou podezírat jeden druhého při každé platbě.

Bez důvěry by se správa domu velmi rychle změnila v peklo.

Bez kontroly ale může být stejně problematická.

Rozumné zabezpečení proto není o tom přestat lidem věřit. Je o tom určit několik situací, u kterých se prostě ověřuje vždy – bez ohledu na to, kdo požadavek poslal a jak přesvědčivě zpráva vypadá.

A možná je čas zapomenout na jednu starou poučku. Podvodnou zprávu už nemusí prozradit špatná čeština, divná grafika ani nigerijský princ.

Klidně může mít správné jméno, správnou fotografii, perfektní češtinu a velmi dobrou představu o tom, co právě ve vašem domě řešíte.

Otázka proto už není jen „Vypadá tahle zpráva důvěryhodně?“, ale také „Máme způsob, jak si ji v případě potřeby ověřit?“