Útočníci dnes fungují jako dravé korporace – počítají si návratnost investic a útočí tam, kde klademe nejmenší odpor. A často je to právě váš soukromý mobilní telefon, který je ovšem hrozbou i pro vaši firmu.

Expert na kyberbezpečnost Pavel Matějíček alias Spajk v tomto rozhovoru vysvětluje, proč 8místné heslo hacker prolomí za hodinu a jak české firmy přicházejí o miliony korun kvůli jedinému telefonátu a technologii Deepfake. Jak vypadá manuál na přežití pro vás i váš byznys?

Obsah videa

Odkaz se otevře v novém okně na příslušném místě.

• 01:11 Aktuální trendy v kyberzločinu
• 05:13 Jak vypadá typický kyberútok
• 10:46 Ransomware a vydírání firem: Jaká je realita?
• 15:16 Základní principy bezpečnosti ve firmách: proč už heslo nestačí
• 21:40 Jak vybrat a nastavit antivir
• 26:06 Nutnost krizového plánu pro případ kyberútoku
• 30:15 Základní výbava každého: správce hesel…
• 37:40 … dvoufaktor,
• 42:19 … zálohování
• 45:41 Bezpečnost mobilu vs. počítače
• 49:50 Jak si nastavit mobil
• 55:44 Sociální inženýrství, deepfake útoky: jak se bránit?

To nejdůležitější, co v rozhovoru zaznělo

Pavel Matějíček, známý také jako Spajk, v rozhovoru popisuje kyberbezpečnost jako oblast, ve které nestačí spoléhat na antivirus, PIN nebo pocit, že „mně se to nestane“. Útočníci podle něj fungují stále víc jako běžné firmy: počítají si návratnost investic, vybírají si slabší cíle a kombinují technické chyby se sociálním inženýrstvím.

Největší hrozbou přitom nejsou jen sofistikované hackerské útoky, ale také online podvody, slabé firemní procesy, špatná práce s hesly, nezabezpečené mobily a deepfake útoky, které dokážou napodobit hlas nebo podobu šéfa.

Kyberzločin roste, ale často nejde o klasický hacking

Pavel Matějíček upozorňuje, že podíl kybernetické trestné činnosti na celkové kriminalitě v Česku roste. Zatímco v roce 2024 šlo podle něj o 10,7 procenta, ke konci roku 2025 už mluví o 12,4 procenta. Důležité ale je, že největší část netvoří klasické hackerské útoky, jak si je lidé často představují, ale online podvody.

„Reálný hacking, že vás někdo ‚vyháčkuje‘, chce po vás výkupné, sundá firmu a tak, dělá v nahlášených případech relativně malé číslo. Největší část koláče jsou různé online podvody,“ říká. Podle Matějíčka je proto potřeba rozlišovat mezi technickým průnikem do systému a podvodem, který využívá lidskou důvěřivost, stres nebo nepozornost.

Kyberzločinci jsou stále aktivnější. Počet pokusů o útok v ČR rychle roste

U firem je typickým scénářem ransomware. Útočníci už ale podle něj často nepostupují jen tak, že data zašifrují a požadují výkupné. Nejprve je potichu vykradou a teprve poté firmu vydírají. „Vy když jim řeknete: ‚Mně to nevadí, já mám zálohy, já se obnovím do včera a vám nic platit nemusím.‘ Tak řeknou: ‚Ale my máme ta tvoje data.‘“ Firma pak neřeší jen obnovu provozu, ale také reputační škody, hrozbu zveřejnění dat nebo riziko pokut.

Útočníci si vybírají nejslabší cíl. Malé firmy nejsou mimo hru

Velkým omylem je podle Matějíčka představa, že malé a střední firmy nejsou pro útočníky zajímavé. Ale opak je pravdou. Často totiž nemají dostatečný rozpočet, vlastní bezpečnostní tým ani dobře nastavené procesy. Útočník přitom podle něj nepřemýšlí romanticky, ale ekonomicky.

„Útočník funguje jako firma,“ říká. „Když si jde někdo vydělávat hackingem, tak si spočítá návratnost své časové investice.“ Pokud má na výběr mezi firmou s dobrým zabezpečením a firmou se starým webem, propadlým certifikátem a zastaralými systémy, půjde tam, kde má větší šanci na úspěch.

Malé firmy podle něj často řeší technologii, ale zapomínají na lidi a procesy. Koupí antivirus, ale nikdo nesleduje logy ani podezřelé události. Udělají školení, ale nemají nastavená pravidla pro schvalování plateb. Právě na to podle Matějíčka doplácejí firmy, kde může jeden člověk poslat miliony korun bez kontroly. „Tady v Čechách nějaká paní může vzít 5,5 milionu a někam to poslat. To není normální. To je o tom, že není nastavený proces.“

Firmám proto doporučuje začít analýzou dopadů. Mají si spočítat, kolik je stojí den nebo týden výpadku. „Spočítáte si, kolik stojí den výpadku, a firma to zjistí, řekne si: ‚Aha, takže buď zainvestujeme čtvrt milionu do nějaké základní bezpečnosti, anebo tady máme oproti tomu za týden výpadku milion.‘“

Základem je správce hesel, dvoufaktor a vrstvená obrana

Pavel Matějíček upozorňuje, že lidé často celý život používají několik málo variant jednoho hesla, které vychází z jejich osobních údajů, jména psa, roku narození nebo jiných dohledatelných informací. Takový vzorec je podle něj pro útočníka velmi dobře zneužitelný.

Hesla s vámi nesmí mít nic společného. Vůbec žádný pattern se tam nesmí opakovat nebo recyklovat. Musí být unikátní, musí být dlouhé.

Osm znaků považuje za nedostatečné. „Heslo osmiznakové prolomíte zhruba za hodinku.“ Doporučuje používat správce hesel, který pro každý účet vytvoří dlouhé a unikátní heslo. Sám mluví o tom, že používá hesla dlouhá 32 znaků.

Pravidelné nucené změny hesel podle něj často vedou k opačnému efektu. Lidé si vytvoří jednoduchý algoritmus a mění jen měsíc nebo rok v hesle. „Dneska se říká, že heslo máte měnit ideálně jen, když víte, že uteklo, nebo preventivně, aby tam nějaký návyk byl, tak třeba jednou ročně.“

Druhým základním prvkem je vícefaktorové ověřování. Matějíček ho doporučuje zapnout na všech důležitých účtech, ale zároveň varuje, že nejde o všespásné řešení. Pokud se do počítače dostane malware a ukradne přihlašovací token nebo session cookie, dvoufaktor už nepomůže.

Firmy čekají na rok 2027, první povinnosti podle CRA ale přijdou už teď v září

Bezpečnost proto přirovnává k hradu: nestačí jedna hradba, je potřeba vodní příkop, vykácený les kolem a další vrstvy ochrany. „V security nefungují stříbrné kulky,“ říká. „Musíte ty věci nakombinovat.“

Firma potřebuje krizový plán. A musí ho skutečně trénovat

Každá firma by podle Matějíčka měla mít plán pro případ kyberútoku. Nestačí ho ale napsat a uložit do šuplíku. Musí se pravidelně testovat podobně jako požární poplach nebo krizové cvičení. Teprve při reálné simulaci se ukáže, zda fungují zálohy, zda lidé vědí, komu volat, a zda firma dokáže obnovit provoz.

„Nejen že by měla mít nějaký Disaster Recovery Plan, jak se tomu běžně říká, ale měla by ho i trénovat,“ říká. Častým problémem je podle něj falešný pocit bezpečí: firma tvrdí, že má zálohy, ale nikdy nezkoušela obnovu. Až při incidentu zjistí, že jsou nekonzistentní, nekompletní nebo uložené jen krátkou dobu.

České firmy čelí více než 2500 kyberútokům týdně. Každý 128. e-mail je phishing

Matějíček připomíná, že bezpečnost začíná i „papírovou“ částí, která sice nemusí být atraktivní, ale je nezbytná. Firma musí vědět, jaká data má, co je pro ni kritické, co musí být dostupné, co důvěrné a co chráněné proti poškození.

Zmiňuje také princip Zero Trust, tedy „nikomu nevěř“. Ten se netýká jen technologií, ale i procesů a lidí uvnitř firmy. „Vy nemůžete věřit technologiím, nemůžete věřit procesům, nemůžete věřit vlastním lidem a v ideálním světě nevěříte ani sám sobě,“ vysvětluje.

Mobil je často větší riziko než počítač

Matějíček upozorňuje, že lidé často důvěřují víc mobilním telefonům než počítačům, i když právě v mobilu mají nejvíc citlivých dat. Mobil používají k práci, soukromé komunikaci, bankovnictví, sociálním sítím i firemní poště. Často se v něm navíc míchá osobní a pracovní svět.

„V mobilu toho děláte nejvíc, nejvíc toho o vás práská ven, dostává se z něj často více citlivých informací než z počítače,“ říká. Problém podle něj nastává zejména ve firmách, které zaměstnancům dovolí používat vlastní zařízení bez jasných pravidel. Člověk se pak stává „sám sobě ajťákem“ a každý si zabezpečení nastaví jinak.

Za základ považuje nikoho do telefonu nepouštět, ani partnera nebo děti, pokud jsou v zařízení pracovní data. Dále doporučuje biometrické odemykání, šifrování telefonu, pravidelné aktualizace a opatrnost při instalaci aplikací. Varuje zejména před stahováním aplikací mimo oficiální obchody.

Velké riziko vidí také v mobilním phishingu. Na telefonu často není dobře vidět adresa odkazu, komunikace přes SMS nebo chat působí rychleji a lidé méně přemýšlejí, na co klikají. „Být opravdu obezřetný, na co klikám. Dvakrát si rozmyslet, na co kliknu,“ shrnuje.

Deepfake útoky a sociální inženýrství mění pravidla důvěry

Deepfake podvody podle Pavla Matějíčka navazují na starší formy sociálního inženýrství, ale posouvají je na novou úroveň. Útočníci mohou napodobit hlas nebo obraz blízkého člověka, šéfa či finančního ředitele a vytvořit krizovou situaci, ve které oběť jedná rychle a pod tlakem.

„Často je to krizová situace, volají někomu z vaší rodiny, manželce, rodičům, komukoliv, kteří jsou pod tlakem situace ochotní poslat okamžitě peníze,“ popisuje. Ve firmách může podobný scénář vypadat jako telefonát nebo videohovor od šéfa, který žádá rychlé odeslání peněz nebo sdělení citlivých údajů.

Ukradnou vám tvář i hlas? Všechno o deepfake videích a AI podvodech

Jako obranu doporučuje jednoduché, ale účinné opatření: domluvit si ověřovací otázku nebo heslo, které není dohledatelné na sociálních sítích. Platí to podle něj pro rodiny i firmy. „Nejen že se s manželkou dohodnete na klíčovém slově, ve stylu: ‚Pamatuješ, jak jsme byli na líbánkách v restauraci, jakou jsem ti dal kytku?‘ což nemáte na Instagramu, ale víte to jen vy dva, to samé by si měli domluvit lidé ve firmách.“

Podstatné je podle něj nepodlehnout dojmu, že obětí podvodů se stávají jen naivní nebo staří lidé. Ve skutečnosti se to může stát komukoli. „Máme pocit, že nám se to nestane. Jenže opravdu, to si můžete dohledat, že opravdu nelžu, průměrný ročník oběti je 81, to znamená lidi, kterým je 45 let,“ říká Matějíček.

Kyberbezpečnost proto podle něj není jen technická disciplína. Je to kombinace nástrojů, procesů, návyků a zdravé nedůvěry. Nejde o to žít ve strachu, ale chápat, že digitální svět už není oddělený od běžného života ani od fungování firmy.

(red)