Vlákno názorů k článku Postřehy z bezpečnosti: AI jako pomocník, záškodník i dobrodruh od Filip Jirsák - Myslím, že by bylo užitečné, kdyby (asi po...
-
Filip JirsákStříbrný podporovatelMyslím, že by bylo užitečné, kdyby (asi po vyšetření) bylo o případu hradecké Správy nemovitostí zveřejněno víc informací. Napadá mne k tomu totiž několik otázek:
- Byla zaměstnankyně, která měla právo převádět peníze z podnikového účtu, proškolena ohledně bezpečnostních hrozeb týkajících se bankovních účtů? Každému, kdo nějaké takové školení absolvoval, by se měla v hlavě rozblikat výrazná červená kontrolka, když mu volá někdo údajně z banky, České národní banky nebo od Policie ohledně bankovního účtu; a ještě víc, když říká něco o chráněném účtu.
- Poskytuje banka možnost nastavení limitů na množství peněz převedených jedním člověkem za nějaký čas (za den, za týden)? Poskytuje možnost limitu výše jedné platby (asi ano)? Poskytuje možnost kombinovaných limitů, aby bylo možné převádět více menších částek, ale ne méně vyšších částek? Ve všech případech tak, aby převody přes tyto limity podléhaly kontrasignaci?
- Pokud banka ty limity poskytuje, byly nastavené?
- Proč tyto operace neodhalily interní kontrolní mechanismy banky?
Chápu, že pokud někdo o tomto typu útoku nikdy neslyšel, může mu podlehnout. (Pokud si někdo myslí, že jemu se nic takového stát nemůže, je na nejlepší cestě, aby nějakému podvodu podlehl.) Ale dneska by už snad každý, kdo má přístup k cizím penězům na bankovním účtu, měl o tomto typu útoků vědět.
Nastavení správných limitů může být obtížné, aby to neblokovalo běžný provoz – ale převést 46 milionů bez kontrasignace v časovém úseku pravděpodobně o dost menším, než jeden den, to je divné. Samozřejmě pokud se neobcházela kontrasignace, to také teoreticky může být problém.
-
Aniž bych znal větší podrobnosti, tak na několik těch dotazů se lze odpověď poměrně snadno dovtípit.
Vzhledem k tomu, že šlo Správu nemovitostí, tak ty limity musely být poměrně velkorysé - platby třeba za stavební práce mohou být klidně v milionech. Tomu nejspíš odpovídala i míra pozornosti, jakou takovým převodům všichni věnovali...
Takže ani pro banku nejspíš nešlo o nijak podezřelé transakce - rozhodně ne natolik, aby se někderozezvučel alarm
. Ani kumulovaný limit by zřejmě nepomohl - dá se předpokládat, že stejná pracovnice posílá různé větší částky všude možně...
Takže reálně zbývají dvě otázky:
1. byla ta pracovnice pořádně proškolená?
2. Kdo jí ty transakce schválil a jak?
Osobně bych si tipl:
1. Nebyla.
2. Schvaloval nějaký dovolenkový zástup a ve větším objemu transakcí mu to nebylo podezřelé. -
Filip JirsákStříbrný podporovatel
Platba za stavební práce by měla podléhat kontrasignaci a měla by být na základě faktur. Vzhledem k tomu, že všude je zmiňována jen „pracovnice“, nemyslím si, že by ty platby potvrzoval někdo druhý.
-
Předpokládám (jen na základě zkušeností s jinými organizacemi), že platby zadává účetní, a hromadně předá ke schválení/kontrasignaci. Ten druhý už faktury fyzicky
nevidí
a má k disposici v podstatě jen ty údaje, které jsou v tom příkazu napsané... (Respektive: nepřekvapilo by mne to.)27. 7. 2026, 12:01 editováno autorem komentáře
-
Filip JirsákStříbrný podporovatel
Což je pak kontrola trochu k ničemu. Nicméně i u toho příkazu obvykle bývají třeba údaje identifikující přijatou fakturu, což v tomto případě asi nebylo.
Navíc všude se píše o obejití kontrolních procesů, takže buď tam žádná kontrasignace technicky vyžadována nebyla; nebo bylo zvykem tam sdílet možnost autentizace, pokud se používal nějaký prostředek, který to umožňuje.
-
Filip JirsákStříbrný podporovatel
Na iRozhlas.cz píšou, že ty příkazy byly odeslané v rozmezí několika dní. Chápu, že někdo takhle převede peníze v domnění časového tlaku, a když to někomu řekne, je po všem. Ale provádět to naněkolikrát několik dnů, a nikomu o tom neříct? Nebo to někomu řekla a ani tomu to nepřipadalo divné?
Ad sdílená čipová karta: To je (trochu paradoxní) výhoda ověřování přes mobil, ideálně přes mobilní bankovnictví – „tady máš můj mobil na dva týdny“ udělá málokdo.
-
Jirsaku, ve spouste firmach/organizacich se bezne provadeji prevody za desitky mega ... denne. Takze milion sem nebo tam nikdo nevnima jako nejaky extrem.
Ano, tam kde to funguje to funguje nasledovne. Dorazi faktura a fakturantka ji zada do nejakyho systemu. Nasledne na tu fakturu privaze cloveka, ktery za to odpovida = ten kdo prisluny utraceni schvaluje. A pokud treba castka presahne nejaky limit, tak po schvaleni v teto prvni instanci muze schvalovaci proces pokracovat na vyssi mista. A dokud neni schvaleno, nikdo to neuhradi.
Jenze to muze fungovat tam, kde na to jsou desitky lidi, protoze musi byt deklarovana i zastupitelnost atd atd. Pokud se to chce resit na urovni bankovnich transakci, tak tim spis. Banky (vsechny) umej deklarovat treba schvalovani na tema 3z5 .... jenze to znamena, ze ti 3 proste musi potvrdit kazdou transakci a tudiz musi byt trvale k dispozici. A pak stejne nastava problem, ze klidne 3ze3 vubec netusi, co ze to vlastne schvaluji.
-
Neviem ako je to v Cesku ale na Slovensku maju obce ucet v NBS (Narodna Banka Slovenska) a odtial si len prevadzaju male ciastky na ucet v komercnej banke na potrebny chodu miestneho uradu. Prevod z NBS moze urobit len starosta, pripadne poverena osoba a vzdy sa musi uvadzat presny ucel.
P.S. Nechapem ako mozu dovolit zarabat komercne banky na peniazoch obcanov co zaplatili dane.