Ne „jestli“, ale „kdy“. Úniky dat zaměstnanců se stávají stále běžnějšími

Oddělení lidských zdrojů a systémy správy mezd se stávají čím dál častějšími terči kybernetických útoků. Odborníci varují, že v mnoha společnostech už není otázka, zda dojde k úniku dat, ale kdy se to stane.

Podle studie „Potenciál mezd 2026“, kterou provedla společnost ADP, se za poslední dva roky 70 % firem setkalo alespoň s jedním incidentem kybernetické bezpečnosti týkajícím se mezd – což představuje výrazný nárůst oproti předešlé edici výzkumu z roku 2025, kdy podobný problém hlásilo 57 % organizací. Současně třetina firem označuje zabezpečení dat jako klíčovou oblast plánovaných zdokonalení na globální úrovni. Navzdory rostoucímu povědomí o hrozbách se však mnoho firem stále není schopno adekvátně připravit na závažné incidenty. Pouze 41 % společností uvádí, že disponují komplexním záchranným plánem pro případ kybernetického útoku, který zahrnuje celou organizaci, zatímco 49 % z nich má tyto opatření pouze v některých zemích, kde působí.

Pro kyberzločince jsou mimořádně lákavá data shromažďovaná v odděleních lidských zdrojů a systémech mezd. Právě tam se nacházejí informace, které je možné snadno zneužít k finančním podvodům. Mezi citlivými daty se nacházejí například čísla občanských průkazů, údaje z identifikačních dokumentů, adresy bydliště či čísla bankovních účtů zaměstnanců. V rukou zločinců mohou tato data být použita k pokusům o podvodné úvěry, převzetí bankovních účtů nebo k provádění podvodů zaměřených na nahrazování čísla účtů, na které mají být vypláceny mzdy.

Důsledky úniku těchto informací mohou být vážné jak pro zaměstnance, tak pro samotné organizace. Osoby, jejichž data byla odhalena, čelí riziku pokusů o finanční podvody, zvýšené telefonní aktivitě ze strany zločinců, stejně jako falešným SMS zprávám či pokusům o převzetí účtů na internetových portálech. Pro firmy takové incidenty znamenají nebezpečí vysokých finančních sankcí a vážných reputačních ztrát. Podle předpisů o ochraně osobních údajů mohou být společnosti, které nezabezpečí odpovídající ochranu, uloženy administrativní pokuty až do výše 20 milionů eur nebo 4 % ročního celosvětového obratu. K tomu se přidávají možné občanskoprávní nároky od poškozených osob.

Důsledky kybernetických útoků jsou také spojeny s reálnými provozními náklady. Dle odborníků z ADP musí organizace provádět audity bezpečnosti svých IT systémů, informovat tisíce lidí o porušení ochrany údajů, najímat specializované firmy na kybernetickou bezpečnost a čelit vyšším nákladům na pojištění. V některých případech může útok dokonce dočasně paralyzovat fungování společnosti, například tím, že znemožní provádění plateb.

Úniky dat často nastávají v důsledku na první pohled jednoduchých chyb nebo efektivních technik sociálního inženýrství. Mezi nejčastější scénáře patří phishing, což jsou e-maily předstírající komunikaci od kolegů, kurýrních služeb nebo finančních institucí. Kliknutí na infikovaný odkaz nebo otevření přílohy může vést k instalaci škodlivého softwaru, který umožní získání přihlašovacích údajů do firemních systémů. Někdy se také stává, že zaměstnanci neúmyslně odesílají soubory s citlivými informacemi nesprávným příjemcům nebo ztrácejí datové nosiče. Problémová bývá rovněž správa informací v veřejných cloudových službách bez odpovídajícího omezení přístupu.

Mariusz Koczwara, vedoucí prodeje v ADP Polska, upozorňuje, že kyberzločinci se stále častěji zaměřují na organizace, které uchovávají data mnoha zaměstnanců, protože potenciální zisky z takového útoku jsou daleko vyšší. „Firmy, které jsou na trhu delší dobu a mají více zaměstnanců, se vyhýbají tak jednoduchým chybám, ale přesto se stávají oběťmi datových podvodů. Hackeři hledají nové metody, přičemž vycházejí z předpokladu, že účinnější je zaútočit na organizaci uchovávající data alespoň několika desítek osob než několika. Ulehčující faktor pro ně představuje uchovávání a zpracování dat prostřednictvím různých, rozptýlených systémů. Konsolidace dat do jedné šifrované platformy výrazně snižuje takzvanou útočnou plochu. To umožňuje IT týmům rychle odhalit anomálie, jako je například přihlášení z exotické lokace nebo hromadné stahování dat. V rozptýlených, místních systémech je téměř nemožné takové jevy v reálném čase zaznamenat,“ dodává.

foto.
zpracoval /kp/