Business email compromise: jak ověřit odesílatele e-mailu, než zaplatíte

Rychlá odpověď

Business email compromise (BEC) je podvod, při kterém zločinci posílají e-maily, které vypadají, jako by byly od vašeho šéfa, dodavatele nebo právníka, a žádají vás o platbu nebo změnu bankovních údajů. Při ověřování odesílatele zkontrolujte skutečnou adresu a doménu písmeno po písmenu, v podrobnostech zprávy hledejte u SPF, DKIM a DMARC výsledek „pass“ a na žádnou žádost o platbu nereagujte, dokud dané osobě nezavoláte na číslo, které jste už měli. Pokud jste zaplatili, okamžitě volejte bance a věc nahlaste.

Klíčová čísla

• 3,05 miliardy dolarůztráty z business email compromise nahlášené FBI v roce 2025, ve 24 768 stížnostechFBI IC3 2025 Internet Crime Report
• 679 milionů dolarůzmrazil pro oběti tým FBI Recovery Asset Team v roce 2025, úspěšnost 58 % z nahlášených 1,16 miliardy dolarůFBI IC3 2025 Internet Crime Report
• 41,3 milionu £ztráty z podvodů s fakturami a změnou platebních údajů ve Spojeném království v roce 2025, ve 2 305 případechUK Finance Annual Fraud Report 2026
• 55,5 miliardy dolarůzjištěných ztrát z BEC po celém světě od října 2013 do prosince 2023, ve 305 033 incidentechFBI IC3 PSA, září 2024

Přijde e-mail od dodavatele, kterému platíte každý měsíc. Změnil banku a další faktura má jít na nový účet. Nebo vám z letiště píše generální ředitel: dnes do konce dne musí odejít naléhavá, důvěrná platba. Jméno sedí, tón sedí, logo sedí. Otázka je, jestli ho opravdu poslal ten, kdo si myslíte.

Tomu se říká business email compromise (BEC), česky zhruba kompromitace firemního e-mailu, a patří k nejnákladnějším trestným činům, které FBI sleduje. Firmy a jednotlivci v roce 2025 nahlásili ztráty 3,05 miliardy dolarů kvůli BEC, ve 24 768 stížnostech centru FBI Internet Crime Complaint Center. Řešení je jednoduché, ale přísné: několik kontrol e-mailu a pravidlo zpětného volání, které nikdo nevynechá.

Co je business email compromise?

Business email compromise je podvod, při kterém se zločinci v e-mailu vydávají za někoho, komu věříte, třeba za dodavatele, vedoucího pracovníka, zaměstnance nebo právníka, aby vás přiměli poslat peníze nebo citlivá data. FBI ho popisuje jako útok na lidi a firmy, které pravidelně posílají bankovní převody, s využitím kompromitovaných nebo podvržených e-mailových účtů a čím dál častěji také telefonních čísel a aplikací pro videoschůzky. Irské National Cyber Security Centre uvádí čtyři běžné podoby:

• Podvod s dodavatelem nebo fakturou: e-mail skutečného dodavatele je hacknutý nebo napodobený podobnou doménou a posílá falešné faktury nebo „nové bankovní údaje“.
• CEO fraud: falešný vedoucí žádá o naléhavý, tajný převod nebo dárkové karty.
• Přesměrování výplaty: falešný zaměstnanec žádá personální oddělení, aby mu posílalo mzdu na nový účet.
• Vydávání se za právníka: falešný advokát nebo realitní kancelář pošle platební pokyny k obchodu nebo ke koupi nemovitosti.

Ve Spojeném království banky zaznamenaly v roce 2025 ztráty 41,3 milionu £ z podvodů s fakturami a změnou platebních údajů ve 2 305 případech a dalších 5,6 milionu £ z CEO fraudu.

Jak vypadá e-mail typu business email compromise?

Vypadá obyčejně, a o to právě jde. E-maily BEC málokdy obsahují malware nebo odkazy. Sázejí na uvěřitelný příběh, termín a malou změnu. Toto jsou typické příklady, volně přeložené:

Dobrý den, upozorňujeme, že jsme převedli bankovní služby k novému poskytovateli. Aktualizované údaje najdete v příloze. Prosíme, použijte je pro fakturu č. 4471 a všechny další platby. Náš starý účet je zrušený.

Jste u počítače? Potřebuji, abyste dnes vyřídil důvěrnou platbu za akvizici. Zatím to s nikým neprobírejte. Jsem na jednáních, takže jen e-mailem.

Dobrý den, změnila jsem banku. Můžete mi před dalším zpracováním mezd upravit účet pro výplatu? Nové údaje níže.

FBI upozorňuje, že díky umělé inteligenci jsou tyto e-maily uhlazenější: chatovací nástroje dokážou napodobit styl psaní vedoucího a klonovaný hlas může žádost podpořit telefonem. Firmy v roce 2025 nahlásily přes 30 milionů dolarů ztrát z BEC, při kterých byla použita umělá inteligence.

Jak ověřit odesílatele e-mailu?

Zkontrolujte skutečnou adresu, doménu a výsledky ověření a pak to potvrďte telefonicky na číslo, které jste už měli. Postupujte v tomto pořadí.

1. Zobrazte celou adresu. Zobrazované jméno („Sarah Lee, účtárna“) může být cokoli. Klepněte na něj nebo na něj najeďte myší a uvidíte skutečnou adresu. Na telefonu se tento krok snadno přehlédne, a proto FBI radí nastavit si e-mail tak, aby ukazoval celé adresy.
2. Přečtěte doménu písmeno po písmenu. Hledejte prohozené nebo přidané znaky: „acme-corp.com“ místo „acmecorp.com“, „rn“ místo „m“, „l“ místo „i“, „.co“ místo „.com“, nebo bezplatnou adresu jako Gmail u firmy, která má vlastní doménu.
3. Zkontrolujte adresu pro odpověď (Reply-To). Klikněte na Odpovědět a než začnete psát, podívejte se na řádek „Komu“. Pokud se změní na jinou adresu, e-mail je navržený tak, aby vaši odpověď odklonil jinam.
4. Zkontrolujte výsledky ověření (SPF, DKIM, DMARC), vysvětlené níže.
5. Podívejte se na historii konverzace. Jde o nové vlákno, které „navazuje“ na staré? Změnil se podpis, telefonní číslo nebo tón?
6. Zavolejte a ověřte si to na číslo z vlastních záznamů, nikdy ne na číslo z e-mailu. Právě tento krok ztrátu skutečně zastaví.

Skutečný e-mail z hacknutého účtu projde všemi technickými kontrolami. Proto krok 6 není u žádné platby ani změny bankovních údajů volitelný.

Jak zkontrolovat SPF, DKIM a DMARC u e-mailu?

Otevřete úplné podrobnosti nebo hlavičky zprávy a hledejte slova „pass“ nebo „fail“ u SPF, DKIM a DMARC. V Gmailu otevřete e-mail, klikněte na nabídku se třemi tečkami a zvolte „Zobrazit originál“. V Outlooku otevřete vlastnosti zprávy nebo „Zobrazit zdroj zprávy“ a hledejte řádek „Authentication-Results“.

„Fail“ u e-mailu s platbou je stopka. „Pass“ jen dokazuje, že e-mail přišel z dané domény. Nedokazuje, že je to ta správná doména (podobná doména může projít všemi třemi kontrolami), ani že účet nebyl hacknutý. Berte tyto kontroly jako filtr, ne jako verdikt.

Jak zjistit, komu patří doména nebo e-mailová adresa?

Vyhledejte datum registrace domény a pak prověřte člověka za adresou. Použijte bezplatné vyhledávání registračních údajů organizace ICANN. Deset let stará doména dodavatele je normální. Podobná doména registrovaná minulý týden je podvod. Irské NCSC doporučuje právě z tohoto důvodu blokovat nebo označovat poštu z nově registrovaných domén.

U nového kontaktu, nového dodavatele nebo jména, které neznáte, pomůže vyhledávání Search A-Z pro firmy. Zadejte jméno a příjmení odesílatele a zemi, zvolte „Obchodní kontakt“ a přidejte e-mailovou adresu a firmu. Zpráva ověří, zda je e-mail skutečný a jaké je u něj riziko podvodu, a ukáže pracovní e-mail osoby, její současnou práci a firmu, pracovní historii, veřejné profesní profily, registraci firmy (funkce v britském Companies House a celosvětový rejstřík LEI), zprávy a zmínky na webu a případná veřejná varování před podvody. Pokud po „novém správci účtů“ u dodavatele není ani stopa, máte odpověď. Hledaná osoba se nikdy nedozví, že jste ji hledali.

Co je pravidlo zpětného ověřovacího volání?

Pravidlo zpětného volání je písemná zásada, že každá nová platba, změna bankovních údajů nebo naléhavá žádost o převod se před odesláním peněz potvrdí odchozím hovorem na číslo, které už máte v evidenci. Je to nejúčinnější ochrana proti BEC, ale jen pokud se dělá pořádně. Doporučení JPMorgan o tom, kdy zpětná volání selhávají, uvádí obvyklé chyby: důvěřovat příchozímu hovoru, který e-mail „potvrdí“, použít telefonní číslo uvedené v e-mailu nebo na faktuře a mluvit s někým, kdo není ta správná osoba.

Jednoduchá zásada, kterou si můžete převzít:

• Každá změna bankovních údajů dodavatele nebo zaměstnance se potvrdí odchozím hovorem na číslo z vaší evidence dodavatelů, ze smlouvy nebo z oficiálního webu dodavatele, nikdy ne z žádosti.
• Hovor jde konkrétnímu člověku, se kterým jste už jednali.
• Žádosti označené jako naléhavé nebo důvěrné dostanou víc kontrol, ne méně.
• Platby nad stanovenou částku musí schválit dva lidé.
• Nové bankovní údaje se před první platbou nechají „odležet“ (například 24 až 48 hodin).
• Zaměstnanci mají písemně, že nikdo, ani generální ředitel, je nebude trestat za to, že platbu zdrželi kvůli ověření.

Scénář hovoru:

Dobrý den, tady Alex z účtárny Northfield. Přišel nám e-mail o nových bankovních údajích pro vaše faktury. Než cokoli změníme, můžete mi potvrdit, že jste ho poslali, a přečíst mi poslední čtyři číslice nového čísla účtu?

Jak má firma postupovat při žádosti o změnu platebních údajů?

Každou změnu platebních údajů berte jako podezřelou, dokud ji neověříte jiným kanálem, a každý krok zaznamenejte. Tento postup funguje pro malé i velké firmy:

1. Zaznamenejte žádost s datem, adresou odesílatele a požadovanými údaji. Zatím na ni neodpovídejte.
2. Zavolejte dodavateli na číslo, které už máte v systému, a ověřte si to u svého obvyklého kontaktu.
3. Zkontrolujte název nového účtu. Ve Spojeném království vám služba Confirmation of Payee řekne, jestli jméno na účtu odpovídá. V eurozóně dělá totéž pro převody v eurech od 9. října 2025 služba ověření příjemce (Verification of Payee). Výsledek „neshoda“ nebo „částečná shoda“ je varovný signál.
4. Nechte změnu schválit druhou osobou.
5. Pošlete malou zkušební platbu a než pošlete celou částku, ověřte si telefonicky, že dorazila.
6. Dávejte pozor na další zprávy. Tlak na vynechání kteréhokoli z těchto kroků je sám o sobě varovným signálem.

Stejná pravidla chrání i vás jako dodavatele: sdělte klientům písemně, že nikdy nebudete měnit bankovní údaje jen e-mailem. U nových klientů popisuje širší kontroly náš návod, jak prověřit nového klienta, než začnete.

Co dělat, když jsem zaplatil podvodnou fakturu?

Okamžitě volejte své bance a požádejte ji o stažení platby, a ještě týž den to nahlaste FBI nebo své národní policii. Rychlost je důležitější než cokoli jiného. Irské NCSC varuje, že většinu peněz už nelze získat zpět, pokud se podvod nenahlásí během prvních několika hodin.

1. Hned volejte protipodvodnému oddělení své banky. Požádejte o stažení převodu a o zmrazení peněz u přijímající banky. Uveďte částku, datum, účet příjemce a případný variabilní symbol nebo referenci.
2. USA: podejte hlášení na ic3.gov s úplnými údaji o transakci, bez ohledu na částku. Tým FBI Recovery Asset Team využívá postup Financial Fraud Kill Chain a spolupracuje s bankami na zmrazení peněz. V roce 2025 řešil 3 900 incidentů a zmrazil 679 milionů dolarů, s úspěšností 58 %. Pokud mu je poskytnete, dokáže sledovat i převody „druhého skoku“ a u mezinárodních převodů spolupracuje s FinCEN.
3. Spojené království: nahlaste to službě Report Fraud, která v prosinci 2025 nahradila Action Fraud, na čísle 0300 123 2040, nebo Police Scotland na čísle 101. Vaše banka také zahájí vlastní proces vymáhání.
4. EU: nahlaste to své národní policii a bance. V Irsku chce být informováno také NCSC. V Česku podejte trestní oznámení u Policie ČR (na kterékoli služebně nebo na lince 158).
5. Zabezpečte e-mailový účet. Změňte hesla, zapněte vícefaktorové ověřování a zkontrolujte pravidla pro přeposílání nebo pravidla schránky, která skrývají odpovědi. Ta jsou častým znakem, že účet někdo převzal.
6. Uschovejte důkazy. Uložte e-maily s úplnými hlavičkami, faktury, záznamy hovorů a transakcí. Nic nemažte.
7. Varujte skutečného dodavatele nebo klienta. Jeho účet, nebo ten váš, může být stále kompromitovaný.

Pokud vás kontaktuje „služba pro vymáhání“, která vám za poplatek nabízí vrácení peněz, jde o další podvod. Skutečné vymáhání probíhá přes vaši banku a policii.

Jak ochránit firmu před e-mailovými podvody?

Spojte přísný platební proces s několika technickými základy. FBI i irské NCSC doporučují:

• Vícefaktorové ověřování u každého e-mailového účtu.
• SPF, DKIM a DMARC nastavené na vašich vlastních doménách, aby se za vás zločinci nemohli před zákazníky snadno vydávat.
• E-mail, který ukazuje celé adresy odesílatelů a označuje externí odesílatele.
• Registraci zjevně podobných variant vaší domény, nebo jejich sledování.
• Ověřený seznam dodavatelů se známými telefonními kontakty.
• Pravidelné školení zaměstnanců na skutečných příkladech, jako jsou ty výše.

BEC často začíná průzkumem vašeho týmu: kdo schvaluje platby, kdo jsou dodavatelé, kdo je na cestách. Náš návod, jak odhalit falešné profily na LinkedInu, vysvětluje, jak falešné účty tyto informace sbírají.

Shrnutí

Hacknutý e-mail od skutečného na pohled nerozeznáte, tak se o to ani nepokoušejte. Zkontrolujte adresu a doménu, berte SPF a DKIM jako první filtr a každou změnu platebních údajů potvrďte zavoláním na číslo, které jste už měli. Pokud peníze odešly, volejte bance a nahlaste to během hodin, ne dnů.

Časté dotazy

Co je business email compromise?

Business email compromise (BEC) je podvod, při kterém se zločinci v e-mailu vydávají za důvěryhodný kontakt, třeba za dodavatele, vedoucího nebo právníka, aby vás přiměli poslat peníze nebo změnit bankovní údaje. FBI v roce 2025 obdržela 24 768 stížností na BEC se ztrátami 3,05 miliardy dolarů.

Jak poznám, že je e-mail opravdu od toho, za koho se vydává?

Zobrazte celou adresu odesílatele, zkontrolujte doménu písmeno po písmenu, podívejte se, kam jdou odpovědi, a v podrobnostech zprávy hledejte u SPF, DKIM a DMARC výsledek „pass“. U všeho, co se týká peněz, si to ověřte zavoláním na číslo, které jste už měli.

Může být k podvodu použita skutečná e-mailová adresa?

Ano. Pokud je účet dodavatele nebo kolegy hacknutý, podvodné e-maily přicházejí z jeho skutečné adresy a projdou všemi technickými kontrolami. Proto se změny plateb musí vždy potvrdit telefonicky, na číslo z vašich vlastních záznamů.

Co znamená DMARC fail?

Znamená to, že doména uvedená v řádku Od neodpovídá doméně, která prošla kontrolou SPF nebo DKIM. U e-mailu s platbou nebo změnou bankovních údajů berte DMARC fail jako silný signál, že je odesílatel podvržený.

Dostanu peníze zpět, když jsem zaplatil podvodnou fakturu?

Někdy, pokud jednáte rychle. Okamžitě volejte bance a požádejte o stažení platby a nahlaste to v USA na ic3.gov, ve Spojeném království službě Report Fraud a v Česku Policii ČR. Tým FBI Recovery Asset Team v roce 2025 zmrazil pro oběti 679 milionů dolarů, ale šance po prvních několika hodinách prudce klesají.

Co je FBI Financial Fraud Kill Chain?

Je to postup, kterým tým FBI Recovery Asset Team spolupracuje s bankami na zmrazení podvodných převodů, včetně mezinárodních převodů přes FinCEN. Spustíte ho rychlým nahlášením na ic3.gov s úplnými údaji o transakci a žádostí bance o stažení platby.

Co je podobná doména?

Webová nebo e-mailová doména vytvořená tak, aby vypadala jako skutečná, třeba acme-corp.com místo acmecorp.com, nebo s písmenem zaměněným za podobné. Zkontrolujte datum registrace ve vyhledávání ICANN: podobná doména je obvykle stará jen pár dní nebo týdnů.

Zdroje

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, podvod za 55 miliard dolarů (září 2024)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Irsko): doporučení k business email compromise (červenec 2025)
5. J.P. Morgan: kdy zpětná volání selhávají
6. City of London Police: spuštění služby Report Fraud (prosinec 2025)
7. ICANN: vyhledávání registračních údajů (RDAP)
8. Mason Hayes & Curran: nařízení EU o okamžitých platbách a ověření příjemce

Čísla jsou nejnovější, jaká jednotlivé zdroje zveřejnily v době aktualizace tohoto průvodce. Nahlášené ztráty z podvodů jsou spodní hranicí: většina podvodů se nikdy nenahlásí.