Phishing je podvod, pri ktorom sa útočník cez e-mail, SMS alebo telefonát vydáva za banku, kuriéra či úrad a snaží sa z obete vylákať heslá, údaje karty alebo priamy prevod peňazí. Klientom Slovenskej sporiteľne takto len do konca septembra 2025 zmizlo z účtov vyše 14 miliónov eur. Podľa bezpečnostnej firmy ESET tvorili falošné prihlasovacie okná k online službám vyše 15 % všetkých kybernetických detekcií na Slovensku v druhom polroku 2025 - najrozšírenejšiu hrozbu spomedzi všetkých.
Podvodníci pritom nepotrebujú prelomiť žiadny systém. Stačí im presvedčivá SMS s odkazom a pár sekúnd neopatrnosti.
Čo je phishing a prečo funguje aj na skúsených ľudí?#
Phishing je pokus podvodníka vydávať sa za dôveryhodnú inštitúciu, aby z obete vylákal citlivé údaje alebo peniaze. Meno pochádza z anglického „fishing“ (rybolov) - útočník hodí návnadu a čaká, kto sa chytí. Podľa formy sa rozlišuje smishing (SMS), vishing (telefonát) a quishing (falošný QR kód).
Funguje to na princípe sociálneho inžinierstva. Správa vyvolá strach („váš účet bude zablokovaný“) alebo pokušenie („máte preplatok 47 eur“), a k tomu pridá časový tlak. Mozog pod stresom prestáva overovať detaily a rovno klikne.
Umelá inteligencia navyše zdvihla kvalitu podvodov. Staršie phishingové SMS prezrádzala chýbajúca diakritika a krkolomná slovenčina, dnešné správy generované cez AI nástroje pôsobia gramaticky čisto. ESET upozorňuje aj na rastúci trend deepfake videí, kde podvodníci zneužívajú tváre a hlasy verejne známych osôb pri investičných podvodoch.
Aké phishingové kampane aktuálne kolujú na Slovensku?#
Najčastejšie sa objavujú falošné SMS v mene bánk, kuriérskych služieb a štátnych úradov. Podvodníci menia iba obal, princíp zostáva rovnaký - odkaz vedie na kópiu prihlasovacej stránky.
V mene bánk chodia SMS s hrozbou pozastavenia služieb, napríklad falošné správy v mene značky 365.bank alebo podvodné odkazy s logom ČSOB. Slovenská sporiteľňa koncom roka 2025 zaznamenala aj vlnu takzvaných falošných bankárov - podvodníci pri telefonáte použijú meno skutočného zamestnanca banky a presviedčajú obeť, aby peniaze preposlala na „bezpečný účet“.
Kuriérske SMS zneužívajú mená Packety, DPD aj Slovenskej pošty s textom o nevyzdvihnutej zásielke a odkazom na doplatenie drobnej sumy. Ďalšia vlna sa tvári ako preplatok z Finančnej správy alebo pokuta od Ministerstva vnútra SR. Cez WhatsApp zase koluje podvod „Ahoj mami“, kde sa páchateľ vydáva za dieťa obete so zničeným telefónom.
V júli 2026 polícia varovala pred vlnou SMS smerujúcich na domény ako whaetsapp.icu alebo tegrarm.com - mená zámerne pripomínajú známe aplikácie, len s preklepom.
Ako presne funguje podvod na Bazoši alebo Vinted?#
Falošný kupujúci na inzertnom portáli pošle predávajúcemu odkaz na „platobnú bránu kuriéra“ a vypýta si údaje platobnej karty vrátane CVC kódu. Skutočná platba pritom na prijatie peňazí kartu vôbec nepotrebuje.
Postup je takmer vždy rovnaký. Záujemca o tovar presunie komunikáciu na WhatsApp, dohodne si kúpu a pošle odkaz na stránku, ktorá kopíruje dizajn Packety, DPD alebo Zásielkovne vrátane loga a formulára na „prijatie platby od kupujúceho“. Práve v tom je háčik: na prijatie peňazí sa nikdy nezadáva číslo karty ani CVC, tie sú potrebné len na platenie, nie na prijímanie. Keď predávajúci údaje zadá, útočník ich okamžite použije na vlastný nákup.
Bezpečná verzia predaja vyzerá inak. Kupujúcemu stačí dať IBAN účtu - samotné číslo účtu bez hesiel sa zneužiť nedá. Podrobnejší rozbor mechaniky nájdete v článku o tom, ako funguje systém podvodníkov na Bazoš.sk.
Podľa čoho spoznám podvodnú správu?#
Podvodná správa sa dá spoznať podľa kombinácie siedmich typických znakov - urgencie, podozrivej domény, jazykových chýb, všeobecného oslovenia, žiadosti o citlivé údaje, adresy odosielateľa, ktorá nesedí, a neočakávanej prílohy. Stačí, aby sa v jednej správe objavili dva alebo tri z nich, a je namieste opatrnosť.
| Znak podvodu | Ako vyzerá v praxi |
|---|---|
| Urgencia a časový limit | „Účet bude do 24 hodín zablokovaný, potvrďte údaje ihneď.“ |
| Odlišná doména | Odkaz vedie na doménu, ktorá pripomína banku, ale nie je jej oficiálna adresa (napr. s preklepom alebo príponou .icu, .top). |
| Jazykové chyby | Chýbajúca diakritika, čudný slovosled - pri novších AI generovaných správach sa už vyskytuje menej. |
| Všeobecné oslovenie | „Vážený klient“ namiesto skutočného mena z databázy banky. |
| Žiadosť o citlivé údaje | Formulár pýta heslo, PIN, číslo karty alebo CVC kód - žiadna banka toto cez SMS ani e-mail nepýta. |
| Adresa odosielateľa nesedí | Meno odosielateľa je „Slovenská sporiteľňa“, ale skutočná adresa je náhodný reťazec na cudzej doméne. |
| Neočakávaná príloha alebo QR kód | Príloha alebo QR kód, ktorý ste nečakali a otvorenie spustí presmerovanie na falošnú stránku. |
Ako overím odosielateľa a či je stránka pravá?#
Skutočnú komunikáciu overíte tak, že sa nikdy neprihlásite cez odkaz zo správy, ale ručne zadáte adresu banky do prehliadača alebo použijete jej oficiálnu aplikáciu. Pri e-maile skontrolujte celú adresu odosielateľa za znakom @, nie iba zobrazené meno - to si vie nastaviť ktokoľvek. Banka aj kuriér zároveň posielajú odkazy len na svoju vlastnú doménu, nikdy nie na skrátený odkaz s neznámym reťazcom znakov.
HTTPS zámok pri adrese nie je zárukou pravosti - falošné stránky ho v drvivej väčšine prípadov majú tiež, keďže certifikát si dnes zadarmo zaobstará ktokoľvek. Skutočnú kontrolu treba urobiť inak: prečítajte doménu znak po znaku, podvodníci menia jedno písmeno alebo pridávajú pomlčku (napríklad „slovenska-sporitelna-sk.com“ namiesto oficiálnej adresy banky). Pri väčších podvodoch pomôže aj rýchla kontrola histórie domény cez verejný nástroj WHOIS - novo zaregistrovaná doména stará pár dní je vždy podozrivá.
Čo robiť, keď som klikol na podvodný odkaz alebo zadal údaje?#
Prvým krokom je okamžitý telefonát banke a zablokovanie karty alebo prístupu do internetbankingu, ideálne do niekoľkých minút od zistenia. Čím rýchlejšie sa účet zablokuje, tým menšia je šanca, že útočník stihne peniaze presunúť ďalej.
Po telefonáte banke zmeňte všetky heslá, ktoré ste na falošnej stránke mohli zadať, a to aj na iných službách, ak ste ich používali opakovane. Podajte trestné oznámenie na polícii - na linke 158 alebo osobne na oddelení - a priložte celú komunikáciu s podvodníkom.
Samotnú phishingovú stránku má zmysel nahlásiť aj mimo polície, aby prestala ohrozovať ďalších ľudí. Bezpečnostný incident nahláste na SK-CERT na adresu [email protected], falošnú stránku priamo cez formulár phishing.eset.com alebo cez Google Safe Browsing.
Vráti mi banka peniaze, ak som sa stal obeťou podvodu?#
Banka väčšinou nemusí škodu vrátiť, ak klient transakciu sám autorizoval - napríklad zadaním PIN kódu alebo nadiktovaním overovacieho kódu podvodníkovi po telefóne. Podľa Národnej banky Slovenska tvorí prevažnú väčšinu bankových podvodov práve tento typ, kde si obeť prevod sama schváli pod manipuláciou útočníka.
Národná banka Slovenska v roku 2025 vybavila 2 129 spotrebiteľských podaní, pričom v 26 % z nich sa klient stal obeťou podvodu a takmer 42 % podaní sa týkalo práve bánk. Dohliadané inštitúcie napriek tomu klientom vyplatili približne 550 000 eur ako kompenzácie, hoci na to nemali zákonnú povinnosť. V decembri 2025 spustila NBS spolu s Ministerstvom vnútra, políciou a firmou ESET spoločnú platformu na koordináciu boja proti online podvodom.
Ochráni ma dvojfaktorová autentifikácia pred phishingom?#
Dvojfaktorová autentifikácia (2FA) zablokuje podľa Microsoftu 99,9 % automatizovaných útokov na online účet, aj keď podvodník získa vaše heslo. Ide o druhé overenie prihlásenia - napríklad kód z aplikácie alebo potvrdenie v mobile - ktoré útočník bez fyzického prístupu k vášmu telefónu nezíska.
Existuje však jedna dôležitá výnimka: ak vám podvodník zavolá a presvedčí vás, aby ste mu overovací kód nadiktovali sami, 2FA nepomôže. Kód nikdy nehovorte nikomu po telefóne, ani keby sa vydával za pracovníka banky. Najsilnejšou ochranou sú takzvané passkeys, moderná alternatíva k heslám, ktorá podľa Googlu blokuje phishing prakticky na 100 %, pretože sa naviaže priamo na konkrétne zariadenie a doménu. Rovnaká opatrnosť platí aj pri komunikácii cez mobilné aplikácie, ktorú rozoberá aj náš návod na rozpoznanie podvodu cez SMS a WhatsApp.
Prečo je phishing na Slovensku taký rozšírený?#
Na slovenské organizácie smerovalo v druhej polovici roka 2025 v priemere 1 842 kybernetických útokov týždenne, medziročne o 27 % viac. Pribúda aj podvodov na senioroch - za rok 2025 zaznamenalo Ministerstvo vnútra 215 poškodených seniorov so škodou 2,7 milióna eur, počet prípadov medziročne narástol o 72 % a škody až o 80 %.
Rastú aj útoky cez bezkontaktné platby mobilom - takzvané NFC útoky medziročne o 87 %. Slovenská sporiteľňa napriek tomu v roku 2024 zastavila 75 % pokusov o krádež ešte predtým, než peniaze opustili účet klienta, čo ukazuje, že bankové systémy detekcie držia krok s podvodnými technikami. Rovnakú opatrnosť si vyžadujú aj online nákupy, kde funguje podobný princíp presvedčivého dizajnu a nízkej ceny - viac v texte o rozpoznávaní falošného e-shopu.
