Ako rozpoznať phishingový e-mail: prípad, ktorý mohol zničiť firmu

Jeden e-mail. Jeden klik. A naraz má cudzí človek prístup k vášmu firemnému účtu, faktúram aj kontaktom na klientov. Znie to ako scenár z filmu? Pre účtovnícku firmu z Trnavy to bol skutočný pondelkový ráno. Poďme si ukázať, čo presne sa stalo a čo z toho plynie pre každú menšiu firmu na Slovensku.

Ako to celé začalo: jeden zdanlivo nevinný e-mail

Firma mala sedem zamestnancov. Spravovala účtovníctvo pre desiatky klientov. Každý deň prijímali desiatky e-mailov s prílohami, faktúrami a výkazmi.

V utorok ráno prišiel e-mail s predmetom: "Platba zamietnutá". Odosielateľ vyzeral ako ich banka. Logo, podpis, formát, všetko sedelo. E-mail žiadal overenie platby cez priložený odkaz.

Účtovníčka klikla. Zadala prihlasovacie údaje. A tým to začalo.

Čo sa dialo za scénou

Útočníci použili techniku nazývanú spear phishing. To nie je hromadný spam. Je to cielený útok, pri ktorom si útočník vopred zistí, s akou bankou firma pracuje, kto je kontaktná osoba a aký je štýl komunikácie.

Podvodná stránka vyzerala identicky ako skutočný bankový portál. Po zadaní údajov útočníci okamžite prevzali kontrolu nad firemným e-mailovým účtom.

Do 48 hodín rozoslali z tohto účtu faktúry trom klientom firmy, s pozmenenými bankovými údajmi. Celková škoda presiahla 14 000 eur. Navyše firma prišla o dôveru dvoch dlhoročných klientov.

Ako vyzerá phishingový e-mail v praxi

Moderné phishingové e-maily sú oveľa prepracovanejšie ako kedysi. Žiadne gramatické chyby ani krkolomné formulácie. AI nástroje umožňujú útočníkom generovať presvedčivé texty v bezchybnej slovenčine.

Napriek tomu existujú znaky, ktoré vás majú zastaviť pred kliknutím:

• Neznáma alebo mierne pozmenená doména (napr. tatra-banka.com namiesto tatrabanka.sk)
• Naliehavý tón: "Okamžite overte", "Váš účet bude zablokovaný do 24 hodín"
• Odkaz, ktorý nesmeruje na oficiálnu stránku: prejdite kurzorom (bez kliknutia) a pozrite si skutočnú URL dole v prehliadači
• Žiadosť o prihlasovacie údaje alebo platbu cez e-mail (banky ani úrady toto nerobia)
• Prílohy s nezvyčajnými príponami (.exe, .zip, .iso namiesto bežných dokumentov)

Čo firma urobila zle a čo mohla urobiť inak

Žiadne školenie, žiadna prevencia

Zamestnanci firmy nikdy neabsolvovali žiadne školenia o IT bezpečnosti. Nikto ich nenaučil, čo skontrolovať pred kliknutím na odkaz.

Pritom jedno praktické cvičenie dokáže znížiť mieru kliknutia na phishingové odkazy o viac ako 70 %. To sú reálne čísla z firemných programov po celej EÚ.

Žiadne viacfaktorové overenie

Keby mala firma zapnuté viacfaktorové overenie (MFA) na firemnom e-maile, útočník by sa nedostal ďalej aj keby mal správne heslo. Táto ochrana je dnes štandardom. Inšpiráciu, ako nastavovať silnejšiu autentifikáciu, nájdete aj v našom článku Bezpečné heslá v roku 2026: čo funguje a čo nie.

Chýbajúca ochrana zariadení a e-mailov

Firma nemala nasadenú ochranu zariadení, ktorá dokáže zachytiť podozrivé e-maily ešte pred tým, ako ich zamestnanec vôbec otvorí. Taktiež chýbal správne nastavený firewall s filtráciou sieťovej komunikácie.

Čo by bolo treba urobiť inak: praktický záver z prípadovej štúdie

Trnавská firma napokon celý incident vyriešila. Zapojila externého IT partnera, prešla na bezpečnejší e-mailový systém s filtrovaním phishingu a absolvovala školenie pre celý tím. Niekoľko mesiacov trvalo, kým sa podarilo obnoviť plnú dôveru klientov.

Škodám sa dalo predísť kombináciou troch vecí, ktoré nie sú žiadna rocket science:

• Pravidelné školenie zamestnancov (aspoň raz ročne, ideálne so simulovanými phishingovými testami)
• Zapnuté MFA na všetkých firemných účtoch (e-mail, cloud, fakturačný systém)
• Technická ochrana: spam filtre, ochrana zariadení, monitoring podozrivej aktivity

Ak chcete ísť ešte ďalej, prečítajte si aj článok o prístupe Zero Trust v roku 2026: prečo už neveríme nikomu v sieti. Je to moderný prístup, ktorý mení základnú logiku firemnej bezpečnosti.

Podľa odporúčaní ENISA (Agentúra EÚ pre kybernetickú bezpečnosť) patrí vzdelávanie zamestnancov medzi najefektívnejšie investície do digitálnej bezpečnosti firmy. Nie technológie. Ľudia.

Čo by vás ešte mohlo zaujímať

Môže sa phishing stať aj firme, ktorá má antivírus?

Áno, určite. Antivírus chráni pred škodlivým softvérom, ale phishing útočí na ľudí, nie na počítač. Zamestnanec klikne na odkaz, zadá údaje a antivírus sa o tom väčšinou ani nedozvie. Preto je školenie zamestnancov rovnako dôležité ako technická ochrana.

Ako rýchlo dokáže útočník zneužiť ukradnuté prihlasovacie údaje?

Útočníci sú rýchli. V mnohých prípadoch dôjde k zneužitiu do niekoľkých minút od zadania údajov na podvodnej stránke. Preto je kľúčové mať zapnuté viacfaktorové overenie. Heslo samo o sebe nestačí.

Ako spoznám, že nás niekto už napadol?

Príznaky môžu byť nenápadné: neznáme odoslané e-maily, zmeny v nastaveniach účtu, neočakávané prihlásenia z cudzích krajín alebo sťažnosti klientov na podozrivé správy od vás. Ak máte pochybnosti, je čas na IT audit a preverenie stavu vašich systémov.

Oplatí sa riešiť bezpečnosť aj pre malú firmu s piatimi ľuďmi?

Práve malé firmy sú častým terčom, pretože útočníci počítajú s tým, že nemajú IT oddelenie ani zavedené procesy. Škoda z jedného úspešného útoku môže byť pre malú firmu likvidačná. Základné opatrenia pritom nie sú komplikované ani časovo náročné.