Co všechno můžou podvodníci udělat, když vám ukradnou e-mail? Ze seznamu možností budete mít noční můry

E-mail není jen schránka, je to klíč od všeho ostatního

E-mailová adresa dávno přestala být pouhým komunikačním kanálem. Slouží jako identifikační uzel, přes který si ověřujeme totožnost u bank, sociálních sítí i cloudových služeb. Chodí na ni odkazy pro obnovu hesla, upozornění na platby, potvrzení rezervací i faktury. Když si uvědomíte, kolik let historie taková schránka uchovává (kde jste byli, co jste si koupili, komu důvěřujete), je jasné, proč po ní útočníci tolik touží.

Jakmile se někdo dostane do vašeho e-mailu, může resetovat hesla k dalším účtům a nechat si přitom poslat i jednorázové ověřovací kódy, například ze sociálních sítí nebo z cloudového úložiště. Často se útočníci snaží zůstat neviditelnými, nastaví si automatické přeposílání zpráv, takže jim i po změně hesla budou dál chodit kopie vaší korespondence. Někteří útočníci zneužívají také přístupové tokeny, propojené aplikace nebo aktivní přihlášené relace, aby si udrželi přístup, i když majitel účtu myslí, že problém vyřešil.

Co útočníkovi přinese přístup k vaší poště

Z ukradené schránky se dá vytěžit i osobní materiál. Třeba fotografie, které mohou posloužit k vydírání. Útočník navíc může měsíce nenápadně sledovat vaši komunikaci a připravit si tak velmi věrohodný phishingový e-mail, který bude vypadat, jako by přišel od organizace, jíž skutečně důvěřujete. Cílem bývá vylákání peněz, poplatků nebo dalších osobních údajů. Čím víc informací o vás útočník má, tím přesvědčivější phishingový e-mail dokáže připravit.

V pracovním prostředí bývají následky ještě horší. Přístup k firemní schránce často znamená i přístup do cloudových aplikací, sdílených disků, CRM systémů, účetnictví nebo personálních databází. Útočník tak může nepozorovaně sledovat komunikaci s kolegy i zákazníky a dostat se i k citlivým datům klientů. Napadení pracovního e-mailu bývá jen prvním krokem k rozsáhlejšímu úniku dat, vydírání pomocí ransomwaru nebo dokonce k průmyslové špionáži.

Podle statistik britské vlády byl phishing v posledním roce nejčastější formou kybernetického útoku. Tvořil zhruba 38 procent případů. Na druhém místě, s podílem 12 procent, se umístily případy, kdy se útočníci v e-mailech vydávali za jinou organizaci.

Phishing útočí na to nejslabší, na lidskou pozornost

E-mail zůstává tak oblíbeným cílem hlavně proto, že spojuje technologii, identitu a lidskou důvěru. Denně procházíme desítky zpráv pod tlakem: faktury, avíza o doručení, HR oznámení, žádosti zákazníků, výzvy k obnovení hesla, pozvánky na schůzky nebo bezpečnostní upozornění. Spousta z nich nás vybízí kliknout, schválit, stáhnout přílohu nebo něco zaplatit. Útočníci přesně tohle zneužívají, protože i opatrný člověk udělá chybu, když zpráva vypadá, že přišla od známého odesílatele nebo v sobě nese pocit naléhavosti.

Podle analýzy společnosti Verizon hrál lidský faktor roli u 62 procent loňských úniků dat a sociální inženýrství bylo se 16 procenty třetím nejčastějším způsobem, jak k úniku došlo. Zpráva také upozorňuje, že úspěšnost phishingových testů na mobilních telefonech bývá až o 40 procent vyšší než u klasického e-mailu na počítači.

Útočníkům navíc dnes významně pomáhají chatboti a AI nástroje. Generativní umělá inteligence dokáže napsat phishingovou zprávu bez pravopisných chyb, přizpůsobit tón konkrétní firmě a rozeslat obrovské množství personalizovaných e-mailů během pár minut. To, co dřív poznal pozorný uživatel podle kostrbaté češtiny nebo divné angličtiny, dnes vypadá naprosto profesionálně.
Podle telemetrie společnosti ESET vzrostl počet zachycených škodlivých e-mailů ve druhé polovině roku 2025 o 36 procent oproti předchozímu půlroku.

Když phishing stojí miliardy

Historie zná i případy, kdy jeden napadený e-mail stál firmy astronomické částky. Společnosti Facebook a Google přišly dohromady o víc než 120 milionů dolarů, v přepočtu přibližně 2,56 miliardy korun, poté co jim útočník vydávající se za skutečného dodavatele poslal falešné faktury i s podvrženými dokumenty.

V americké dětské nemocnici Children's Healthcare of Atlanta zase podvodníci zareagovali na veřejné oznámení o výběru stavební firmy pro nový projekt. Poslali nemocnici žádost o platbu, vydávali se za onu stavební firmu a podle všeho zfalšovali i její hlavičkový papír a e-mailovou adresu, jako by zpráva přišla přímo od finančního ředitele.

Belgická Crelan Bank přišla o víc než 75 milionů dolarů, tedy asi 1,6 miliardy korun, poté, co podvodníci unesli e-mailový účet vysoce postaveného manažera a jeho jménem přesvědčili zaměstnance, aby poslal peníze na účet pod jejich kontrolou.

Jak si schránku ubránit

Pro běžného uživatele platí základní pravidla: na každý účet silné a jedinečné heslo, ideálně uložené v důvěryhodném správci hesel, nebo rovnou přechod na přístupový klíč bez hesla. K tomu vždy zapnutá dvoufaktorová autentizace, dnes ji nabízí prakticky každá služba. Stejně důležité je mít aktuální obnovovací údaje, aby útočník nemohl obnovit přístup přes starý telefon nebo zapomenutý záložní e-mail.
Vyplatí se také čas od času zkontrolovat nastavení schránky. Podívejte se, jestli tam nejsou neznámá pravidla pro přeposílání zpráv, podivné filtry nebo připojené aplikace a zařízení, která nepoznáváte. Pokud máte podezření na napadení, změňte heslo, odhlaste podezřelé relace, zkontrolujte obnovovací údaje a ověřte, jestli se zprávy tajně nepřeposílají někam jinam.

Mezi další doporučené kroky patří:

• Podezřívavost vůči nevyžádaným zprávám: u odesílatele si ověřte celou adresu, ne jen zobrazené jméno, a všímejte si překlepů v doméně.
• Nikdy neklikat na odkazy ani neotevírat přílohy z podezřelých e-mailů, v případě pochybností ověřit informaci u odesílatele jiným kanálem.
• Neschvalovat žádné bezpečnostní kódy nebo MFA výzvy na mobilu, které jste sami nevyvolali.
• Mít vždy aktuální a jasně nastavené možnosti obnovy účtu.
• Firemní e-maily s naléhavou žádostí o platbu vždy ověřit u kolegy nebo jiným komunikačním kanálem, i kdyby zpráva vypadala, že přišla od generálního ředitele.
• Pravidelně absolvovat školení bezpečnostního povědomí a sledovat aktuální triky útočníků.
• Používat kvalitní bezpečnostní řešení od ověřeného výrobce, které dokáže odhalit škodlivé přílohy i podezřelé zprávy.

E-mail používá téměř každý, a právě proto zůstane pro útočníky lákavým cílem i nadále. To ale neznamená, že vaše schránka musí zůstat zranitelná. Pár rozumných kroků dokáže riziko výrazně snížit.

Zdroj: ESET, Australian Cyber Security, Security.org, Software One