Phishing 2.0: Jak AI generuje podvody, které nepozná ani odborník

Generativní umělá inteligence (AI) otevírá novou éru podvodů. Phishing 2.0 je natolik sofistikovaný, že jej nemusí rozpoznat ani zkušený odborník na kybernetickou bezpečnost. Jak se phishing transformuje a co mohou udělat firmy i jednotlivci v Česku, aby se připravili?

Co je phishing 2.0?

Phishing 2.0 označuje novou generaci podvodů, které díky umělé inteligenci působí naprosto důvěryhodně. Zatímco dříve šlo poznat podvodný e-mail podle chyb nebo podezřelého odkazu, dnes AI zvládne během pár sekund vytvořit bezchybný text, realistickou webovou stránku i napodobeninu firemního loga. Útočník už nepotřebuje jazykové ani technické znalosti. Stačí mu pár vět zadání.

Klíčem je personalizace. Umělá inteligence si z veřejných zdrojů dokáže poskládat obraz oběti a vytvořit e-mail, který působí jako skutečná interní komunikace. Místo anonymního oslovení tak může přijít urgentní zpráva „od šéfa“ s požadavkem na schválení platby nebo okamžitý převod peněz. Protože zpráva často odkazuje na reálné projekty či kolegy, i zkušený zaměstnanec jen těžko pozná, že jde o podvod.

Stejné technologie se dnes masově využívají i ve falešných reklamách, kde AI nechá „promluvit“ známé osobnosti, politiky nebo lékaře a láká na podvodné investice či neexistující produkty. Výsledkem jsou videa, která působí naprosto důvěryhodně a šíří se mnohem rychleji než klasické phishingové e-maily.

Nová vlna phishingu tedy kombinuje tři faktory – AI-generovaný obsah, personalizaci a realismus. Jde o tak přesvědčivou formu manipulace, že i bezpečnostní experti mluví o „AI-assisted deception“ – podvodech, které už nelze odhalit jen podle vzhledu nebo stylu textu.

Jak se phishing změnil díky umělé inteligenci

1. Přesnost a personalizace 

Jak už jsme psali výše, největší změnou je schopnost umělé inteligence cílit na konkrétní oběť. Dříve útočníci rozesílali stejné zprávy tisícům lidí s nadějí, že někdo klikne. Dnes AI umí „nasát“ veřejně dostupná data (jména, pracovní pozice, e-mailové adresy, události z LinkedInu nebo fotky z Facebooku) a na jejich základě vytvořit zcela věrohodný příběh.

E-mail tak může obsahovat nejen jméno, ale i informaci o nedávné konferenci, firemní projektu nebo kolegovi. Může být psán stejným tónem, jaký používá skutečný nadřízený. To vše zvyšuje důvěryhodnost.

Podle výzkumu webu Hoxhunt dosáhly AI-generované phishingové zprávy podobnou úspěšnost jako ty, které ručně vytvářeli profesionální hackeři (přes 25 %). Rozdíl je zásadní v tom, že zatímco dříve museli útočníci každý podvodný e-mail ručně připravovat, dnes AI zvládne během několika minut vygenerovat stovky až tisíce stejně přesvědčivých variant. Kvalita útoků tak zůstala stejná, ale jejich množství a rychlost narostly o celé řády.

 2. Rychlost a škálovatelnost

Další zlom přinesla rychlost a automatizace. Umělá inteligence zvládne vygenerovat stovky e-mailů, SMS nebo zpráv na sociálních sítích během minut. Všechny přitom působí autenticky a unikátně.

Modely jako GPT-5, Claude 4 nebo Mistral umožňují útočníkům měnit styl i emocionální tón podle cílové skupiny. Na manažera pošlou formální e-mail s fakturou, na účetní přátelský dotaz od kolegy. Tento typ útoku, označovaný jako spear-phishing, je dnes nejrychleji rostoucí kategorií online podvodů.

V roce 2024 vzrostl počet phishingových kampaní využívajících AI o více než 1 200 %. AI tak umožnila útočníkům škálovat podvody stejným způsobem, jakým firmy škálují marketing, píše web StrongestLayer.

3. Realističtější vizuály a podvodné weby

Umělá inteligence už dávno nevytváří jen text. Dokáže generovat i vzhledově dokonalé webové stránky, které napodobují reálné značky – od bank až po dopravní společnosti.

Pomocí nástrojů jako Midjourney, DALL·E 3, Canva AI nebo loveble.dev vznikají bannery, loga i ikony, které působí naprosto profesionálně.

Útočník tak může během několika minut vytvořit podvodnou verzi přihlašovací stránky, která vypadá k nerozeznání od skutečné. Uživatel pak bez podezření zadá své údaje nebo číslo karty.

Pomocí umělé inteligence tak vznikají stovky nových phishingových webů denně a jejich průměrná životnost je méně než 48 hodin – poté se přesunou na jinou doménu. Taková rychlost a flexibilita ztěžuje práci bezpečnostním týmům i antivirovým databázím.

4. Multimodální útoky: text, hlas i video

Phishing 2.0 není jen o e-mailech. Díky moderním generátorům zvuku a obrazu vznikají deepfake hovory a videokonference, které dokážou napodobit hlas či tvář konkrétní osoby.

Nástroje jako ElevenLabs nebo HeyGen umožňují vytvořit video, kde „mluví“ reálný člověk, a to s intonací, gesty i výrazem. Útočník k tomu navíc nepotřebuje dlouhé nahrávky. Moderní systémy zvládnou věrohodně napodobit hlas už z 30–60 minut kvalitního audiozáznamu.

V únoru 2024 zaznamenala policie v Hongkongu případ, kdy účetní převedla přes 25 milionů dolarů (530 milionů korun) po videohovoru s deepfake kopií svého šéfa. Tento typ útoku je extrémně nebezpečný, protože překonává i tradiční formy ověření. Pokud vidíte známou tvář nebo slyšíte důvěrný hlas, lidská psychika automaticky snižuje obezřetnost. A přesně na tento efekt útočníci spoléhají.

5. Obtížnější odhalení

Klasické metody ochrany (kontrola domény, gramatiky nebo struktury e-mailu) dnes selhávají. Generativní AI umí psát bez chyb, měnit styl podle kultury i regionu a využívat reálné jazykové vzorce.

Dle serveru IBM X-Force dokáže průměrný bezpečnostní filtr zachytit méně než 40 % moderních AI-phishingových zpráv. Důvodem je, že umělá inteligence nepoužívá opakované vzory, ale vytváří variabilní texty lišící se každý den. Odborníci proto mluví o nutnosti kontextové detekce, tedy nástrojů, které vyhodnocují význam zprávy, nikoli jen klíčová slova.

Dopady pro firmy a jednotlivce

Dopady phishingu 2.0 jsou výrazně vážnější než u starších typů podvodů. AI umožňuje útočníkům vytvářet zprávy a weby natolik přesné, že se jejich úspěšnost dramaticky zvyšuje. Phishing tak patří mezi nejdražší příčiny bezpečnostních incidentů, přičemž průměrné škody přesahují 4,8 milionu dolarů (111,9 milionu korun), píše web IBM.

Útočníci už neútočí jen na platební údaje – míří na přístup k firemním účtům, e-mailům a cloudovým službám. Jakmile získají kontrolu nad jedním účtem, pokračují dál pod „důvěryhodnou identitou“. To vede k manipulaci faktur, zneužití firemní komunikace nebo změně bankovních údajů u dodavatelů.

Příklad podvodného e‑mailu vydávajícího se za doručovací službu – simuluje oficiální komunikaci, láká ke kliknutí na odkaz. (Zdroj: gov.cz / Návod, jak poznat phishingové útoky).

Roste také reputační riziko. Pokud útočníci převezmou firemní e-mail nebo sociální sítě, mohou během minut poškodit důvěru zákazníků i partnerů. Reputační ztráta je pak často násobně vyšší než samotná finanční škoda, protože poškozuje dlouhodobé vztahy a značku.

Ztráty se netýkají jen firem. Europol označuje AI-podvody za nejrychleji rostoucí formu finanční kriminality v EU. Podvodné SMS od “dopravce”, falešné bankovní stránky či investiční nabídky generované AI vypadají natolik profesionálně, že často selhávají i zkušenější uživatelé.

Situaci navíc komplikuje fakt, že tradiční bezpečnostní filtry ztrácejí účinnost. AI generuje zprávy a weby unikátně, takže neodpovídají známým vzorcům. Kvůli tomu klesla úspěšnost klasických antiphishingových filtrů pod 50 %. Bezpečnost se tak posouvá z roviny „poznávání podvodů“ do roviny „ověřování identity“.

Jak proti phishingu 2.0 bojovat

1. Posilte technickou ochranu – Používejte moderní antiphishingové filtry, které hodnotí obsah podle kontextu. Aktivujte vícefázové ověřování (MFA) u všech důležitých účtů – u většiny útoků funguje jako nejspolehlivější poslední bariéra.
2. Nastavte jasné interní procesy – Ověřujte změny bankovních údajů, neobvyklé požadavky i urgentní instrukce přes druhý komunikační kanál. Útočníci často míří na fakturaci a firemní workflow, takže kontrolní mechanismy jsou zásadní.
3. Pravidelně školte zaměstnance – Zařaďte moderní typy útoků: AI-generované e-maily, deepfake hovory, falešné faktury. Zaměstnanci se nesmí spoléhat na pocit, phishing 2.0 nevypadá podezřele.
4. Používejte simulované phishingové kampaně – Testy pomohou odhalit slabá místa a přizpůsobit školení tomu, co se ve firmě skutečně děje. Cílem není nachytat, ale naučit tým reagovat správně.
5. Ověřujte identitu u důležitých požadavků – Zásada „důvěřuj, ale prověřuj“ je dnes klíčová. Pokud přijde žádost o platbu, změnu účtu nebo sdílení citlivých dat, vždy si ji potvrďte jinou cestou – telefonem, interním chatem nebo osobně.
6. Aktualizujte bezpečnostní nástroje a postupy – Útočníci používají novou generaci umělé inteligence, takže obrana se musí vyvíjet stejně rychle. Pravidelné aktualizace, monitoring domén a kontrola firemních účtů by měly být rutinní součástí provozu.

Phishing 2.0 je jiný než všechny podvody, které jsme znali dříve. Je rychlý, přesvědčivý a často neviditelný. Moderní ochrana proto musí stát na kombinaci technologií, procesů i vzdělávání. Bezpečnost není jednorázový projekt. Je to dlouhodobý proces, který je třeba udržovat – stejně pečlivě jako infrastrukturu, domény a firemní data.

Právě zde dávají smysl i nástroje, které pomáhají posílit technologické základy firemního prostředí. CZECHIA.COM umožňuje zabezpečit domény pomocí DNSSEC, spravovat přesměrování, SSL/TLS a mít výstrahy při expiraci. 

To jsou klíčové prvky proti útokům, které spoléhají na podvržené domény nebo falešné přihlašovací stránky. Ověřená doména a správně nastavené DNS snižují šanci, že útočník vytvoří věrohodnou kopii webu a využije ji k phishingu.

Také infrastruktura hraje zásadní roli. ZonerCloud nabízí stabilní a oddělené prostředí pro hosting webu, e-mailů či aplikací spolu s pravidelnými aktualizacemi, automatickými zálohami a 99,99% dostupností. Oddělení kritických systémů, monitoring a správa ve spolehlivém cloudu výrazně zvyšují šanci odhalit neobvyklé chování a omezit následky případného incidentu.