Ešte pred niekoľkými rokmi bolo možné mnohé podvodné e-maily odhaliť už po prečítaní prvých viet. Podivný email o platbe cez Paypal urobil niekoľko chýb a mali sme jasno, že tu niečo nesedí. Ak VÚB banka, Tatra Banka, Slovenská sporiteľňa a iné slovenské banky komunikovali v divnej češtine, alebo slovinčine, tiež nám zasvietila kontrolka v hlave. Obsahovali preklepy, nesprávne skloňovanie, zvláštny slovosled alebo vety, ktoré pôsobili ako nepodarený preklad z cudzieho jazyka. Doslovné preklady cez Google Translator boli ľahko rozpoznateľné. Takéto správy často prezradilo aj nesprávne oslovenie či podivné slovné spojenia, aké by banka, poisťovňa alebo známy internetový obchod pravdepodobne nepoužili.

Pracovný čas v kancelárii, ilustračná snímka dôsledného vybavovača podnikovej korešpondencie, ilustračné

Toto pravidlo však dnes už neplatí. Podvodný e-mail môže byť napísaný dokonalou slovenčinou, používať prirodzené frázy a vzhľadom sa takmer nelíšiť od skutočnej správy banky. Generatívna umelá inteligencia pomáha útočníkom pripravovať presvedčivejšie texty, upravovať ich pre konkrétnu krajinu a prispôsobovať ich situácii príjemcu. Microsoft v roku 2026 upozornil aj na kampane, pri ktorých bola AI použitá na vytváranie cielených správ podľa pracovnej pozície obete a tém, ako sú faktúry, objednávky či obchodné ponuky. Umelej inteligencii dnes môžete zadať úlohu, aby pripravila taký text, ktorý bude vhodný pre konkrétnu generáciu a konkrétnu pozíciu vo firme. Tým môže zvýšiť dôveryhodnosť a úspešnosť akcie.

Kedysi podvod prezradil nedokonalý jazyk, dnes môže pôsobiť profesionálne

Staršie phishingové e-maily často vznikali hromadným prekladom jednej správy do desiatok jazykov. Výsledkom boli nepresné vety, nesprávne pády, chýbajúca diakritika alebo oslovenia, ktoré v slovenčine nedávali zmysel. Používateľ tak mohol nadobudnúť podozrenie ešte skôr, ako sa dostal k samotnému odkazu.

Dnes môže útočník vytvoriť gramaticky správny text v priebehu niekoľkých sekúnd. Stačí zadať, že správa má pôsobiť ako upozornenie slovenskej banky, kuriérskej spoločnosti, účtovníka alebo správcu e-mailovej služby. Niektoré služby majú vlastné mechanizmy, kedy pochopia, že sa majú stať nástrojom zneužitia a správu nevygenerujú, lenže dobre zvolený príkaz dokáže tieto ochrany obísť. Vo finále text môže obsahovať zdvorilé oslovenie, správne odborné výrazy aj formulácie podobné tým, ktoré používajú skutočné spoločnosti.

Profilovanie podľa spôsobu komunikácie, či zdroja kontaktu

Umelá inteligencia navyše dokáže meniť tón správy. Jeden e-mail môže pôsobiť úradne, iný priateľsky a ďalší ako stručné upozornenie zákazníckej podpory. To útočníkom umožňuje vytvárať viac variantov rovnakej kampane a vyhnúť sa jednoduchému odhaľovaniu podľa opakujúceho sa textu. Rozdiely v komunikácii môžu byť nasadené podľa toho, odkiaľ je získaná emailová adresa. Ak ide o tematické fórum, stránky, kde sa prihlasujú zákonní zástupcovia a teda dospelí, alebo ide o reálnu databázu bankových klientov, alebo ľudí z investičnej spoločnosti. Celá komunikácia a oslovenie sa dá prispôsobiť v priebehu pár minút a odoslať bez veľkých ťažkostí.

Nie každý bezchybný podvodný e-mail však musí byť vytvorený umelou inteligenciou. Útočníci môžu kopírovať skutočné správy, používať profesionálne šablóny alebo rozosielať podvod z napadnutej e-mailovej schránky reálnej osoby či spoločnosti. Práve preto už nemožno považovať správnu gramatiku za potvrdenie dôveryhodnosti. Dnes nie je žiadnou novinkou zneužitie reálnej B2B komunikácie, kde však útočníci skopírujú inú správu a vložia do nej svoje fakturačné údaje. Napríklad odosielajú falošnú faktúru a vytvárajú dojem správnej faktúry od dôležitého partnera. Dôveryhodný email pritom bežne otvoríme s menšou pozornosťou, pričom v prílohe môže byť nákaza, akú by sme od neznámeho odosielateľa nikdy neotvorili.

Podvodný e-mail môže poznať vaše meno, objednávku aj hotel

Najpresvedčivejšie správy už nie sú všeobecné. Namiesto oslovenia „Vážený zákazník“ môžu obsahovať celé meno príjemcu, názov firmy, pracovnú pozíciu, číslo objednávky alebo informáciu o skutočnej rezervácii.

Takéto údaje môžu pochádzať z verejných profilov, firemných webových stránok, sociálnych sietí alebo starších únikov databáz. V niektorých prípadoch útočníci získajú prístup k systémom konkrétnej spoločnosti a následne zneužijú reálne údaje jej zákazníkov. Staré nezabezpečené eshopy napríklad dokážu vyčítať okrem vašich údajov, aj preferencie, záujmy, alebo konkrétny sortiment nakupovaný v minulosti a podľa toho upraviť svoje oslovenie.

Zaujímavosti z reálneho sveta

Slovenský SK-CERT napríklad upozornil na podvodné správy spojené s ubytovacími rezerváciami. E-mail mohol obsahovať skutočné meno hosťa, dátum pobytu, číslo rezervácie aj názov ubytovacieho zariadenia. Príjemca bol následne presmerovaný na falošnú stránku, na ktorej mal uhradiť údajný overovací poplatok. Viac o prípade na: https://www.sk-cert.sk/sk/podvodnici-zneuzivaju-informacie-ohladom-rezervacii-v-ubytovacich-zariadeniach/index.html

Pravdivé údaje v e-maile preto ešte neznamenajú, že je pravdivá aj samotná požiadavka. Útočník môže poznať okolnosti objednávky, ale namiesto skutočnej platobnej stránky poslať vlastný odkaz.

Podobne nebezpečné sú správy, ktoré prichádzajú zo skutočnej, ale napadnutej e-mailovej adresy. E-mail od kolegu, dodávateľa alebo známeho obchodného partnera môže pôsobiť úplne prirodzene. Náhla zmena čísla účtu, nečakaná príloha alebo žiadosť o rýchlu platbu by sa preto mala overiť aj vtedy, keď odosielateľa poznáme. Tejto téme sa venuje aj článok periodika Poradca Podnikateľa, ktorý pripravil autor knihy Temná stránka slovenského internetu, kde je popísaných niekoľko prípadov zneužití emailu a vytvárania falošnej identity.

Čo si všímať, keď gramatika už nestačí?

Namiesto jednotlivých preklepov je potrebné sledovať celkový kontext správy. Medzi najčastejšie varovné signály patrí nečakaná požiadavka, nátlak na rýchle konanie a snaha dostať používateľa na inú stránku.

• Kľúčové je, odkiaľ email prichádza
• Banky a finančné inšpirácie si môžete ľahko preveriť kedykoľvek telefonicky
• Ak vás náhle na dlhšie používanom emaily kontaktuje banka, ktorej ani nie ste klientom, je vysoká pravdepodobnosť, že nejde o reálnu banku.
• sledujte, čo email vyžaduje. Ak vás posiela do oficiálnej mobilnej aplikácie, ešte nie je nutné obávať sa najhoršieho. Ak však obsahuje vlastné odkazy a tie smerujú niekde celkom inde, ako na rozhranie banky, to už stojí za pozornosť.

Americká agentúra CISA upozorňuje najmä na správy využívajúce naliehavý alebo emocionálny jazyk, hrozbu vážnych následkov a požiadavky na osobné či finančné údaje.

Pozornosť si zaslúžia najmä tieto situácie:

• e-mail tvrdí, že účet bude do niekoľkých hodín zablokovaný,
• banka údajne potrebuje okamžite potvrdiť osobné údaje,
• kuriér žiada doplatiť malú sumu za doručenie zásielky,
• obchod posiela nečakanú faktúru alebo dobropis,
• zamestnanec má urýchlene zmeniť heslo cez priložený odkaz,
• nadriadený žiada nezvyčajnú platbu alebo nákup darčekových kariet (spôsob ako rýchlo niečo uhradiť a ihneď pomocou kódu spotrebovať s minimálnymi šancami na vystopovanie),
• správa obsahuje prílohu, ktorú príjemca neočakával. Môže mať dokonca špeciálny formát, alebo PDF, v ktorom môže byť ukrytý červ.

Dôležitá je úplná adresa odosielateľa, nielen zobrazené meno. Podvodník si môže ako meno nastaviť názov banky, hoci správa v skutočnosti prichádza z úplne inej domény. NBS odporúča porovnávať e-mailovú doménu s oficiálnym názvom a webovou stránkou spoločnosti.

Rozdiel môže predstavovať jediný znak. Namiesto správnej domény môže útočník použiť podobne vyzerajúce písmeno, pridať pomlčku, slovo „security“, „support“ či „overenie“ alebo zmeniť koncovku domény. Doména https://tatrabanka.sk bude vždy len https://tatrabanka.sk a nikdy sa pre nejaký účel overenia konta nepresťahuje na https://tatrabanka.securitywebsitecreations.xyz alebo čokoľvek iné.

Rovnako treba skontrolovať cieľ odkazu. Text tlačidla môže hovoriť „Prihlásiť sa do internet bankingu“, ale samotný odkaz môže smerovať na inú stránku. Na počítači možno skutočnú adresu často zobraziť podržaním kurzora nad odkazom bez kliknutia. V telefóne je bezpečnejšie odkaz vôbec neotvárať a prejsť priamo do oficiálnej aplikácie.

HTTPS dnes môže mať hocikto, už nie je zárukou bezpečnosti

Ani ikona zabezpečeného pripojenia alebo použitie HTTPS automaticky nedokazujú, že stránka patrí banke. HTTPS chráni spojenie medzi prehliadačom a konkrétnou stránkou, no aj podvodník môže mať platný certifikát pre vlastnú falošnú doménu. Chromium preto výslovne upozorňuje, že ikona zámky neznamená, že je stránka dôveryhodná.

Ako bezpečne overiť e-mail, ktorý vyzerá ako správa z banky?

Najbezpečnejším pravidlom je neoverovať pravosť správy prostredníctvom samotnej správy. Ak e-mail tvrdí, že sa v bankovom účte niečo stalo, neklikajte na jeho tlačidlo a nevolajte na číslo uvedené v texte. Otvorte si bankovú aplikáciu samostatne alebo zadajte známu adresu banky priamo do prehliadača. Skontrolujte, či sa rovnaké upozornenie nachádza aj v internet bankingu. Pri pochybnostiach zavolajte na oficiálne telefónne číslo uvedené na platobnej karte alebo na stránke banky.

Rovnako treba postupovať pri e-mailoch od kuriéra, poisťovne, daňového úradu alebo internetového obchodu. Namiesto použitia odkazu zo správy sa prihláste do svojho účtu cez stránku, ktorú bežne používate. Nikdy neposielajte e-mailom prihlasovacie heslo, PIN, celé údaje platobnej karty alebo autorizačný kód. Mimoriadne podozrivá je situácia, keď má používateľ zadať prihlasovacie údaje na stránke otvorenej z nečakaného e-mailu.

Ak správa požaduje firemnú platbu, zmenu čísla účtu alebo odoslanie citlivých dokumentov, overenie by malo prebehnúť iným komunikačným kanálom. Zavolajte osobe na číslo, ktoré už poznáte, alebo sa jej opýtajte osobne. Neodpovedajte iba na podozrivý e-mail, pretože odpoveď môže skončiť u samotného útočníka.

Pri podozrivej správe je vhodné:

• neklikať na odkazy a neotvárať prílohy,
• neodpovedať odosielateľovi,
• overiť požiadavku cez oficiálnu aplikáciu alebo známy kontakt,
• označiť správu v e-mailovej službe ako phishing,
• upozorniť firemného správcu siete alebo IT oddelenie,
• pri odovzdaní hesla ho okamžite zmeniť,
• pri zadaní údajov platobnej karty bezodkladne kontaktovať banku.

Google aj FTC odporúčajú pri neočakávaných správach neotvárať prílohy ani odkazy a kontaktovať spoločnosť prostredníctvom údajov, o ktorých používateľ vie, že sú pravé. Umelá inteligencia odstránila z podvodných e-mailov mnohé chyby, ktoré ich v minulosti prezrádzali. Neodstránila však ich hlavný cieľ. Správa sa stále snaží prinútiť človeka, aby konal rýchlo, obišiel zaužívaný postup a odovzdal údaje, peniaze alebo prístup k účtu.

Dôveryhodnosť e-mailu preto už nemožno posudzovať podľa toho, ako pekne je napísaný. Dôležitejšie je, odkiaľ prišiel, kam smerujú jeho odkazy, čo od príjemcu požaduje a či možno rovnakú informáciu overiť nezávisle od samotnej správy.

Odporúčame:
Naozaj dobrý hosting za smiešne peniaze, najlacnejší hosting pre viac domén, mnoho vychytávok a zrýchlení pre pomalší Wordpress: