Bankéřka vypráví, jak banka chránila klienty před podvodníky. A jak neuspěla

Klienti bank se v Česku stávají stále častěji obětí on-line podvodu. Počty pokusů rostou a jsou stále promyšlenější. Z tuzemských bank jdou podle členky představenstva České spořitelny Daniely Peškové do oblasti kyberbezpečnosti investice v řádech stovek milionů až miliard korun.

„Situace s kybernetickými útoky ještě na vrcholu není a obávám se, že budeme ještě překvapení, jaké nové způsoby podvodů se opět objeví,“ říká v rozhovoru pro SZ Byznys.

Už před několika lety začaly banky v souvislosti s velkým technologickým rozvojem učit rozpoznávat podvodné transakce umělou inteligenci (AI). Ta se podle Peškové v následujících letech stane fenoménem, který „může změnit styl práce“.

Už nyní Česká spořitelna nasazuje AI nejen v oblasti bezpečnosti.

„Umělou inteligenci využívá i naše personální oddělení. Díky ní umí z dat predikovat nespokojenost našeho zaměstnance. Umí odhadnout, zda například zvažuje odchod. Podobně umíme predikovat také odchod klientů,“ uvedla v rozhovoru Pešková.

Kyberútokem bylo jen za letošních 10 měsíců zatíženo asi 50 000 klientů bank v Česku. Přišli dohromady o necelou miliardu korun. Co na to říkáte?

Je to obrovské téma, do kterého dnes banky musí neuvěřitelně investovat. Ten vývoj souvisí s tím, jak se lidé přesouvají do mobilního světa. Realizují okamžité platby, ale na druhé straně jsou subjekty, které mají motivaci opačnou a chtějí z této rychlosti těžit. Fenomén dnešní doby je, že se od ukradené identity či phishingu přesouváme k podvodům. Princip phishingu byl, že vám ukradnou identitu a provedou co nejvíc transakcí, než si toho všimnete. Princip podvodu je jiný, vy jako klient se stanete součástí toho podvodu, uvěříte tomu a jedete v tom docela dlouhou dobu, třeba půl roku. A stanete se fanouškem toho podvodu.

Jak to myslíte, že se stávají fanoušky?

Můžu zmínit příklad z praxe. V Olomouci jsme měli bankéřku, za kterou přišel klient a chtěl si vybrat větší částku z bankovního účtu, zhruba 400 tisíc korun s tím, že se je chystá investovat. Popsal bankéřce detaily s tím, že takový výnos by mu jeho banka nikdy nenabídla.

Nebo případ z Brna. Tam bankéři řešili investiční podvod jedné klientky, která byla přesvědčená a útočníky varovaná, že ji její banka může od „investice“ odrazovat. Týdny trvalo, než si uvědomila, že jde opravdu o podvod.

Útoky jsou stále sofistikovanější a přibývá jich. Může být podle vás ještě vůbec hůř?

Myslím si, že banky v Česku v oblasti kyberbezpečnosti udělaly obrovský kus práce a snaží se klienty vzdělávat, což se podle mého daří.

Problém je v tom, že se neustále objevují nové způsoby útoků, na které se snaží útočníci klienty nalákat. Než se naučíme konkrétní scénáře popsat, podvodníci už jsou napřed.

V tomto ohledu se obávám, že situace s kybernetickými útoky ještě na vrcholu není, a obávám se, že budeme ještě překvapení, jaké nové způsoby podvodů se opět objeví. Na nás bude, abychom se tempu podvodníků přizpůsobili a snažili se nové scénáře odhalit co nejdříve.

Zmínila jste, že banky do této oblasti musí investovat vysoké částky. Můžete být konkrétnější?

Mluvíme tu o řádech stovek milionů až miliard nainvestovaných korun. Pokud jde o konkrétní kroky, v tomto nemohu být z bezpečnostních důvodů konkrétní. Jednou z oblastí, do které ale velmi investujeme, jsou právě ty zmíněné instantní platby, které probíhají v řádu několika sekund. Pracujeme na tom, aby v tomto velice krátkém čase, kdy je platba připsána, naše systémy dokázaly rozpoznat netypickým způsobem zadanou platbu.

Pokud se tak stane, banka si vyžádá ještě ověření, zda klient opravdu ví, že je platba aktuálně zadávána.

Kybernetické útoky míří i na samotné banky, nejen na jejich klienty. Zhruba před měsícem většina bank v Česku bojovala s DDoS útoky, které jim na několik hodin znepřístupnily internetové bankovnictví, webové stránky i mobilní aplikace. Jsou toto problémy, které banky řeší na denní bázi?

Asi nebude žádným překvapením, když řeknu, že tyto útoky bezpečnostní experti v bance řeší neustále. O většině útoků se ale běžný člověk vůbec nedozví, protože bezpečnostní struktura je už nastavená tak, že už běžný chod z pohledu klientů neovlivní. Na veřejnost se dostávají jen ty největší.

Na závěr téma umělá inteligence v bankovním sektoru.

Hodně se v současnosti mluví o jazykových modelech umělé inteligence. V bankovnictví se toto téma začalo do běžných mechanismů propisovat už před čtyřmi až pěti lety. Jeden z prvních procesů, kdy se použilo AI, bylo detekování falešných a podvodných transakcí. Do této oblasti banky hodně investují.

Využíváte umělou inteligenci v České spořitelně i mimo bezpečnostní procesy?

Testujeme ji v různých oblastech. Hezký příklad byl, když jsme zaváděli nový nástroj pro marketingovou komunikaci. Je to software, který přemýšlí, kterému klientovi, v jakou dobu, kam a vůbec jakou zprávu poslat, aby na ni dobře zareagoval. Zvažuje například, jestli to má být textová zpráva, upozornění v mobilní aplikaci, nebo e-mail.

Příkladů máme ale víc. Umělou inteligenci využívá i naše personální oddělení. Díky ní umí z dat predikovat nespokojenost našeho zaměstnance. Umí odhadnout, zda zvažuje odchod z pozice. Podobně umíme predikovat také odchod klientů.

Využíváme i jazykové modely umělé inteligence. V rámci verze, kterou jsme našim zaměstnancům dali k dispozici, měsíčně evidujeme téměř čtvrt milionu dotazů. Lidé se s tím učí pracovat, a to je přesně to, co chceme. Je to skutečně věc, která může změnit styl práce.

A jaký vliv to může mít na pracovní pozice?

Mluvilo se o tom, že by umělá inteligence mohla ovlivnit pracovní místa u rutinní práce, ale například pracovníci v oblasti IT se bát nemusí. Co paradoxně my nyní sledujeme, je, že AI by dokázala velmi pomoci s obsahem práce, kterou vykoná například juniorní developer v IT, a to až do takové míry, že by jej mohla nahradit. Práci to ale rozhodně nenahradí těm, kteří pracují přímo s klientem. Tam se má umělá inteligence ještě hodně co učit, aby uměla přinést ten vztah a emoce, tak jako to umí živý člověk.

Na celý rozhovor se můžete podívat v úvodním videu.