AI a nové hrozby

Jak umělá inteligence mění kybernetické hrozby

V letech 2025–2026 se výrazně ukázalo, jak AI zvyšuje rychlost a přesvědčivost kybernetických útoků. Pokročilé AI systémy dokáží automaticky nacházet zranitelnosti v softwaru, generovat přesvědčivé phishingové e-maily a napodobovat hlasy i obličeje skutečných lidí. Pro malé obce to znamená, že některé útoky jsou dnes dostupnější širšímu okruhu útočníků a jejich příprava je rychlejší než dříve. ^[2] Že nejde o okrajový jev, ukazují americká čísla: Centrum pro oznamování internetové kriminality FBI (IC3) ve výroční zprávě za rok 2025 poprvé vyčlenilo samostatnou kategorii podvodů s využitím AI – 22 364 oznámení a škody kolem 893 milionů dolarů; celkové škody z internetové kriminality poprvé přesáhly 20 miliard dolarů. ^[2]

Phishing generovaný AI

Klasický phishing – podvodné e-maily s pravopisnými chybami a podezřelými odkazy – byl relativně snadno rozpoznatelný. Phishing generovaný AI je jiný: je gramaticky bezchybný, personalizovaný a kontextově relevantní. Útočníci předkládají AI veřejně dostupné dokumenty obcí (územní plány, stavební předpisy, zápisy z jednání zastupitelstva) jako předlohu, aby generovali e-maily, které vypadají jako legitimní komunikace.

AI phishing

přesvědčivější a lépe cílený

jazykově čistší, personalizovaný – tradiční phishing je snáze rozpoznatelný [4]

Útočníci generují falešné faktury s úředními razítky, napodobují e-maily od krajského úřadu nebo ministerstev a odkazují na skutečné právní předpisy. Zaměstnanec obce dostane e-mail „od kraje“ s přílohou „aktualizace metodického pokynu“ – ve skutečnosti je příloha malware.

Jak rozpoznat phishing (i phishing generovaný AI)

NÚKIB doporučuje zaměřit se především na odkazy v e-mailech. Najeďte myší na odkaz bez kliknutí – ve většině desktopových prohlížečů (Chrome, Firefox, Edge) se cílová adresa zobrazí ve stavovém řádku vlevo dole. Na mobilu tento trik nefunguje – tam odkaz nejprve podržte delším stiskem a zkontrolujte náhled. Útočníci používají typosquatting: „rnicrosoft“ místo „microsoft“, velké „I“ místo malého „l“ (vypadají stejně), „Iekarna“ místo „lekarna“ (v doménách se diakritika typicky nepoužívá, takže záměna funguje). Používají také zkracovače URL, které skryjí skutečný cíl. ^[3]

Vishing – telefonní phishing

Vishing je phishing po telefonu. Útočník se vydává za IT oddělení, banku nebo jinou důvěryhodnou instituci a požaduje přihlašovací údaje nebo převod peněz. AI dnes umožňuje vytvářet velmi přesvědčivé napodobeniny hlasu – veřejně dostupné nahrávky (záznamy z jednání zastupitelstva, rozhovory pro média) mohou útočníkům výrazně usnadnit práci. ^[4]

Jak se bránit: ptejte se na informace, které by volající měl znát, pokud je legitimní. Volá-li banka – zeptejte se „Jaký je zůstatek na mém účtu?” Volá-li IT podpora – „Kdo konkrétně z IT oddělení toto řeší?” Podezřelé hovory hlaste IT oddělení – pravděpodobně nejste jediným cílem.

Smishing – SMS phishing

Podvodné SMS zprávy se vydávají za legitimní instituce – Českou poštu, banku, MPSV. Obsahují odkaz na falešnou stránku, kde mají vylákat údaje ke kartě, přihlašovací údaje nebo nainstalovat malware. Vytvářejí časový tlak: „Vyzvedněte zásilku do 24 hodin“ nebo „Ověřte neautorizovanou platbu“. ^[3]

Deepfakes – falešné hlasy a video

Deepfake technologie dokáže napodobit hlas i obraz konkrétní osoby. Podle NÚKIB patří mezi příklady zneužití personalizované phishingové e-maily bez jazykových chyb, falešné dokumenty a smlouvy, klonování hlasu konkrétní osoby (např. bankéře) pro podvodné telefonáty, automatizovaná komunikace s potenciálními oběťmi ve velkém měřítku, realistická falešná videa/fotografie známých osob. ^[4]

Deepfake podvody

na vzestupu

kvalita i dostupnost deepfake nástrojů rychle roste [4]

Rizika AI nástrojů na pracovišti

Vedle útoků zvenčí přináší AI i rizika při interním používání. Zaměstnanci obcí stále častěji využívají AI nástroje k práci s dokumenty – ne vždy ale bezpečně.

NÚKIB varuje před třemi hlavními riziky AI na pracovišti: (1) Osobní údaje a citlivé informace vložené do AI se mohou stát součástí trénovacích dat nebo mohou uniknout (tzv. únik dat – model nechtěně „vyzradí“ vaše data jinému uživateli). (2) AI poskytuje odpovědi, které mohou být nepřesné nebo zcela vymyšlené – nelze je přijímat bez ověření. (3) Nadměrná závislost na AI oslabuje schopnost kritického myšlení a rozpoznání podvodu (tzv. cognitive offloading (přenechání úsudku stroji)). ^[4]

Automatické hledání zranitelností

Nejnovější AI modely (2025–2026) dokáží automaticky nacházet dosud neznámé zranitelnosti v běžně používaném softwaru. Společnost Anthropic v dubnu 2026 oznámila, že její model Claude Mythos Preview našel tisíce zranitelností ve velkých operačních systémech a prohlížečích, a spustil iniciativu Project Glasswing, která dává přístup k modelu pouze omezenému okruhu obránců (AWS, Apple, Microsoft, Google, Cisco, Linux Foundation a další). ^[1] V červnu 2026 na tento model navázala veřejně dostupná verze Claude Fable 5 (s bezpečnostními pojistkami) a přísně omezená verze Claude Mythos 5 (jen pro prověřené partnery); okruh organizací zapojených do Project Glasswing se mezitím rozšířil zhruba na dvě stě. ^[6] Nezávislé testy navíc ukázaly, že srovnatelné výsledky dokážou přinést i výrazně levnější a volně dostupné modely – nejde tedy o schopnost jediné firmy, ale o obecný a rychle se šířící trend. ^[7] Klíčový problém: rychlost, s jakou AI nachází zranitelnosti, dramaticky převyšuje rychlost záplatování.

Baiting – fyzické útoky přes USB

Útočníci nechávají na chodbách a v jednacích místnostech USB disky s lákavými popisky („Seznam propouštěných zaměstnanců“, „Návrh odměn“). Podle NÚKIB 2 z 5 zaměstnanců takový disk připojí k počítači. Výsledek: malware místo očekávaného obsahu. Sofistikované USB disky se mohou tvářit jako klávesnice a obejít tak bezpečnostní politiku, nebo fungovat jako skrytý odposlech. ^[3]

E-mailová autentizace proti spoofingu (podvržení odesílatele)

SPF, DKIM a DMARC jsou tři technologie, které zabraňují útočníkům odesílat e-maily vaším jménem. SPF definuje, které servery smí odesílat e-maily z vaší domény. DKIM přidává digitální podpis ověřující, že e-mail nebyl cestou pozměněn. DMARC říká příjemcům, co dělat s e-maily, které SPF/DKIM neprošly. Požádejte svého IT správce nebo dodavatele o nastavení – je to zdarma a zásadně snižuje riziko spoofingu.