Krátka odpoveď: útočníkovi stačí meno vášho konateľa z webu alebo z obchodného registra a schránka, z ktorej odíde e-mail vyzerajúci ako firemný. Napíše účtovníčke, že sa mení bankový účet dodávateľa, a požiada o úhradu „naliehavej“ faktúry. Funguje to preto, lebo e-mail v mene vašej domény dokáže poslať ktokoľvek na svete – pokiaľ si to sami technicky nezakážete. Škoda sa bežne počíta v tisíckach eur a naspäť sa nevracia.
Ako podvod funguje
Princíp je starý a presne preto funguje: útočník sa vydáva za niekoho, koho obeť pozná a komu dôveruje, a spolieha sa na to, že v strese a pod tlakom termínu si nikto neoverí detaily.
Postup je spravidla takýto:
- Útočník si z webu firmy, z obchodného registra alebo zo sociálnych sietí zistí meno konateľa a meno účtovníčky alebo osoby, ktorá schvaľuje platby.
- Pošle e-mail, ktorý vyzerá, že ide od konateľa – v mene aj v podpise. Adresa odosielateľa sa na prvý pohľad zhoduje s firemnou doménou.
- Text je krátky, naliehavý a mimo bežnej komunikácie: je na rokovaní, nemôže telefonovať, potrebuje to vybaviť dnes.
- Nasleduje pokyn – uhradiť faktúru na účet, ktorý sa „práve zmenil“, alebo rovno zmeniť bankový účet dodávateľa priamo v systéme.
- Peniaze odídu z firmy do niekoľkých hodín, spravidla ďalej do zahraničia, a odtiaľ sa väčšinou nevrátia.
Niekedy útočník aj zavolá alebo pošle SMS, aby pôsobil dôveryhodnejšie – z čísla, ktoré s dodávateľom ani s vašou firmou nemá nič spoločné. Presne preto platí, že sa vždy volá na číslo, ktoré máte uložené vy sami, nikdy na číslo, z ktorého niekto zavolal alebo napísal vám.
Nie je to sofistikovaný hackerský útok. Je to sociálne inžinierstvo postavené na jedinej technickej diere – podvodný e-mail sa dá odoslať tak, aby vyzeral ako pravý, a nič v ňom samom to nedokáže.
Modelová situácia: podvodná faktúra za 18 400 eur
Nasledujúci príklad je modelová situácia zložená z bežných prípadov, nie opis konkrétnej firmy.
Firma s 25 zamestnancami. Účtovníčke prišiel e-mail, ktorý vyzeral ako od konateľa – správne meno, správny tón, správny podpis. Pokyn: uhradiť faktúru od zavedeného dodávateľa, ale na nový bankový účet, lebo starý sa vraj ruší pri prechode dodávateľa na inú banku. Suma nebola nijako nápadná – presne taká, aká pri tomto dodávateľovi bežne chodievala.
Účtovníčka platbu vybavila v ten istý deň. 18 400 eur odišlo na účet, ktorý so skutočným dodávateľom nemal nič spoločné. Keď sa o dva dni neskôr ozval samotný dodávateľ, že platba neprišla, bolo neskoro – peniaze boli preč a nevrátili sa.
Príčina: doména firmy nemala nastavené SPF ani DMARC. Poštový server, ktorý e-mail prijal, nemal ako overiť, že odosielateľ nie je ten, za koho sa vydáva – a tak ho doručil do schránky rovnako ako ktorýkoľvek iný.
Náprava prišla až po škode, ale prišla rýchlo:
- SPF, DKIM a DMARC nastavené do dvoch dní.
- Nové pravidlo: zmena bankového účtu dodávateľa sa vždy overuje telefonicky na známe číslo – nikdy na číslo uvedené priamo v e-maile, ktorý o zmenu žiada.
- Kontrola oprávnení v účtovnom systéme: kto smie zmeniť bankový účet dodávateľa a či sa táto zmena vôbec zaznamenáva.
Incident stál 18 400 eur, plus čas a náklady na nápravu naviac. Tieto tri opatrenia zavedené vopred by stáli len zlomok tejto sumy. Rozdiel medzi „urobiť to vopred“ a „urobiť to po“ je mnohonásobný.
Prečo to vôbec niekomu prejde
Kľúčová vec, ktorú väčšina firiem netuší: e-mail bez ďalšej ochrany nemá nič, čo by dokazovalo, kto je jeho skutočný odosielateľ. Pole „Od“ si nastaví odosielateľ sám – podobne, ako sa dá na papierovú obálku napísať ľubovoľná spiatočná adresa.
Proti tomu existujú tri bežne dostupné technické opatrenia:
- SPF (Sender Policy Framework) – zoznam v nastaveniach domény, kto smie v mene vašej firmy posielať e-maily. Ak server, z ktorého e-mail prišiel, na zozname nie je, niečo nesedí.
- DKIM – elektronický podpis pripojený ku každému odchádzajúcemu e-mailu. Dokazuje, že správa naozaj prišla od vás a cestou sa nezmenila.
- DMARC – pravidlo, ktoré poštovému serveru hovorí, čo urobiť s e-mailom, ktorý sa vydáva za vašu doménu, ale nemá platný SPF ani DKIM: zamietnuť ho, poslať do spamu, alebo nechať prejsť. K tomu posiela hlásenia o tom, kto sa o také niečo pokúsil.
Bez týchto troch záznamov je vaša doména voľne použiteľná pre kohokoľvek, kto si dá tú námahu napísať e-mail s menom vášho konateľa v podpise. So správne nastavenými SPF, DKIM aj DMARC skončí podvodný e-mail v spame príjemcu, alebo sa nedoručí vôbec – u vášho dodávateľa aj u vás samých.
Nie je to len odporúčanie. Podľa vyhlášky NBÚ č. 227/2025 patrí ochrana elektronickej pošty pred phishingom a podvrhnutím odosielateľa medzi bezpečnostné opatrenia, ktoré musia mať zavedené firmy regulované zákonom o kybernetickej bezpečnosti (č. 366/2024 Z. z.). Firmám, ktoré pod zákon spadajú, do konca prechodného obdobia 31. 12. 2026 zostávajú necelé tri mesiace. Firmám, ktoré pod zákon nespadajú, sa rovnaké nastavenie odporúča bez výnimky – útočníkovi je jedno, či ste regulovaný subjekt.
Ako podvodný e-mail spoznať
Technická ochrana domény odchytí veľkú časť pokusov skôr, než sa dostanú do schránky. Zvyšok musia odchytiť ľudia. Signály, na ktoré si dať pozor:
- Naliehavosť a tlak na rýchlosť – „dnes“, „hneď“, „nemôžem telefonovať“.
- Žiadosť obísť bežný postup, napríklad platiť bez druhého schválenia, na ktoré je firma inak zvyknutá.
- Zmena bankového účtu tesne pred splatnosťou, alebo priamo v e-maile, ktorý o platbu žiada.
- Odosielateľ píše inak, než je zvykom – iný pozdrav, iná štruktúra viet, iný čas dňa.
- Adresa „odpovedať na“ sa nezhoduje s adresou odosielateľa, alebo je doména na prvý pohľad podobná, no mierne iná.
- Žiadosť príde tesne pred víkendom, pred sviatkom alebo vtedy, keď je konateľ preukázateľne mimo – teda presne vtedy, keď je najťažšie si to overiť.
Doménu odosielateľa si overte písmeno po písmene, nielen na prvý pohľad. Bežné triky: zámena „rn“ za „m“, pridané alebo chýbajúce písmeno, číslica namiesto písmena, alebo iná koncovka – napríklad .com namiesto .sk. Vo väčšine e-mailových programov stačí najazdiť myšou na meno odosielateľa a zobrazí sa skutočná adresa, nie len to meno, ktoré sa zobrazuje.
Ani jeden z týchto signálov sám osebe nič nedokazuje. Spolu sú ale dôvod zdvihnúť telefón skôr, než niekto odošle platbu.
Čo urobiť, aby sa to nestalo
Tri opatrenia z modelovej situácie vyššie pokrývajú väčšinu rizika a nie sú drahé:
| Opatrenie | Čo rieši |
|---|---|
| SPF, DKIM, DMARC na doméne | zabráni, aby sa niekto v e-maile vydával za vašu firmu |
| Telefonické overenie zmeny účtu na známe číslo | zachytí podvod aj vtedy, keď e-mail vyzerá presvedčivo |
| Kontrola oprávnení v účtovnom alebo ERP systéme | obmedzí, kto môže bankový účet dodávateľa zmeniť, a zaznamená, kto to urobil |
K tomu jedno pravidlo, ktoré nestojí nič: zmena bankového účtu ktoréhokoľvek dodávateľa sa vždy overuje telefonicky na vopred známe číslo – nikdy na číslo z e-mailu alebo z podpisu správy, ktorá o zmenu žiada. Toto jediné pravidlo by v modelovej situácii vyššie zastavilo celý podvod.
Pridajte druhé schválenie pri platbách nad určitú sumu a krátke, opakované pripomenutie ľuďom, ktorí faktúry schvaľujú – nie raz ročne formou prezentácie, ale tak, aby si to naozaj zapamätali.
Rovnaká otázka – kto smie zmeniť bankový účet dodávateľa a ako sa to overuje – sa čoraz častejšie objavuje aj v bezpečnostných dotazníkoch, ktoré firmám posielajú ich vlastní odberatelia. Ak takýto dotazník vypĺňate, toto je presne to miesto, kde sa dá odpovedať poctivo a bez rozpakov.
Čo robiť, ak sa to už stalo
Ak platba odišla, čas sa počíta na hodiny, nie na dni.
- Okamžite volajte svojej banke a žiadajte stiahnutie alebo zablokovanie platby. Kým peniaze ešte len prechádzajú medzi bankami, šanca na zastavenie existuje. Účty, na ktoré takéto platby smerujú, bývajú nastavené tak, aby sa z nich dalo vybrať alebo previesť ďalej v priebehu hodín – len čo sa tak stane, šanca na návrat prudko klesá. Rozhoduje rýchlosť, nie dôkladnosť.
- Nahláste to polícii. Bez oznámenia sa nedá viesť vyšetrovanie ani prípadné vymáhanie.
- Preverte, či útočník mal prístup aj k samotnej firemnej schránke, alebo len napodobnil odosielateľa zvonka – a podľa toho zmeňte prístupové heslá.
- Informujte skutočného dodávateľa – jeho faktúra ostala neuhradená a bude sa pýtať prečo.
- Zapíšte si, čo presne sa stalo a kedy, kým je to čerstvé. Zíde sa to pri poisťovni aj pri nastavovaní opatrení, aby sa to neopakovalo.
A potom, bez ohľadu na to, ako incident dopadol, nastavte SPF, DKIM, DMARC a pravidlo telefonického overovania. Väčšina firiem to urobí presne v tomto poradí – až po vlastnej skúsenosti. Lacnejšie je urobiť to pred ňou.