Ředitelka uvěřila podvodníkům. Škola přišla o deset milionů.

Dvě školy, stejný scénář

V Blansku to nezačalo bankéřem. Zavolal policista z Šumperka, který ředitelce oznámil, že se někdo pokouší vzít bankovní půjčku na její jméno. Ředitelka přitom zrovna postrádala doklady a bála se, že by je někdo mohl zneužít. Přišlo to v nejhorší možný okamžik – a útočníci přesně takové okamžiky hledají.

Pak se hlasy střídaly: falešný policista, falešný bankéř, falešný pracovník České národní banky. Každý nový hlas přidal vrstvu věrohodnosti a zesílil tlak. Několikahodinový hovor skončil tím, že ředitelka převedla z osobního účtu přes 800 tisíc korun – a pak téměř 9 milionů z účtu školy, ke kterému měla dispoziční práva. Na závěr ji útočníci přesvědčili k instalaci programu pro vzdálenou správu počítače.

Celková škoda: bezmála 10 milionů korun. Policie zpětně zajistila 1,7 milionu. Zbytek je pryč.

Podobně dopadla škola v Nymbursku. Tam útočníci zavolali přímo účetní školy – ženě, která s financemi školy pracuje každý den. Varovali ji, že se někdo pokoušel na její jméno vzít v Pardubicích úvěr 250 tisíc korun a že musí ihned jednat, jinak přijde o vše. Převedla peníze z osobního účtu. A pak ze školního.

„Dvě různé školy. Dvě různé role. Jeden a týž scénář.”

Proč to funguje

Ani ředitelka, ani účetní neudělaly svou chybu z hlouposti. Obě ženy měly přístup k účtům svých organizací. Ať už to útočníci věděli předem, nebo to zjistili až v průběhu hovoru – stačilo to.

Mechanismus je vždy podobný: nečekaný hovor, naléhavá hrozba, přesný postup co dělat. Útočník zpravidla zná jen jméno a telefonní číslo oběti. Kde má účet, mu zpravidla prozradí ona sama – zaskočená naléhavým hovorem. Útočník tvoří dojem legitimity a pak přidá tlak: jednat musíte teď, nesmíte o tom říct nikomu – jinak tím maříte vyšetřování. Tahle instrukce mlčení je klíčová. Izoluje oběť od všech, kteří by ji mohli zastavit.

Útočníci zpravidla cílí na fyzické osoby. Že jejich oběť má přístup k účtům školy nebo obce, zjistí někdy náhodou – v průběhu hovoru, kdy se to oběť sama prozradí. Jindy si takového člověka záměrně vytipují. Výsledek je v obou případech stejný.

Stejný vzorec – útok na jednoho člověka, dopad na celou organizaci – jsem popsal i u případu místopředsedkyně SVJ. Škola, SVJ nebo obec – název organizace se mění, mechanismus ne.

Když to samé potká starostu

Případ z Horní Stropnice na Českobudějovicku byl ze začátku záhadný. V září 2024 zmizelo z obecního účtu přes 10 milionů korun. Přístup k bankovnictví měli jen oblíbený starosta Václav Kučera (ve funkci 28 let) a dvě účetní. Nikdo prý nic neprovedl.

Postupně se ukázalo, že starosta podlehl investičnímu podvodu. V jeho průběhu si na počítač nainstaloval aplikaci pro vzdálené ovládání – patrně Supremo nebo AnyDesk. Útočníci se přes ni dostali k jeho počítači. A přes počítač ke všemu, k čemu se starosta přihlašoval. Včetně obecních účtů.

Kolektivní dopad bez kolektivní viny

V Blansku škola ze dne na den přišla o peníze na běžný provoz – výplaty zaměstnanců, výlety, fungování jídelny. Nymburská obec se jako zřizovatel ocitla v situaci, kterou nezpůsobila. V Horní Stropnici nese ztrátu 10 milionů celá obec – a starosta, který patrně vědomě nikomu ublížit nechtěl, čelí trestnímu stíhání.

Tenhle rozměr se v mediálních zprávách ztrácí. Příběh je vždy o jednom člověku, který naletěl. Ale dopad nese celá organizace: učitelé nevědí, jestli se vyplatí mzdy, kuchařky nevědí, z čeho nakoupí potraviny, rodiče nevědí, co se bude dít. A starosta, kterého volili jeho sousedé, čelí obvinění.

Co by to zastavilo

V každém z těchto případů byl okamžik, kdy bylo možné útok zastavit.

1. Pravidlo dvou podpisů. Pokud platbu nad stanovenou hranici nemůže provést jedna osoba sama, výrazně se snižuje riziko. Ředitelka nebo účetní by musela požádat o souhlas – a druhá osoba by se téměř jistě zeptala, co se děje.
2. Jasný postup pro případ hovoru z banky. Zavěsit. Počkat pět minut. Zavolat zpět na číslo z webových stránek banky – ne na číslo, ze kterého přišel hovor. Tento postup stačí vytisknout a přilepit ke každému počítači, kde se přistupuje k bankovnictví.
3. Žádná aplikace pro vzdálené ovládání na cizí pokyn. AnyDesk, Supremo, TeamViewer – to jsou legitimní nástroje, které útočníci zneužívají k převzetí kontroly nad počítačem. Pokud vám to někdo radí po telefonu, je to útok. Bez výjimky.
4. Mluvit o tom nahlas. Nejúčinnější izolační zbraní útočníků je instrukce mlčení. Jakmile někdo z organizace ví, co se děje, útok s vysokou pravděpodobností selže. Otevřená kultura, kde se o podezřelých situacích a rizicích mluví nahlas, je jedna z nejlevnějších ochran, které existují.