Overovanie odolné voči phishingu pre slovenské MSP

Podľa Eurobarometra, ktorý Európska komisia zverejnila 30. septembra 2026, sa tri štvrtiny zamestnancov v EÚ stretli v práci s podozrivým e-mailom, správou alebo odkazom. Phishing uviedlo 39 % opýtaných a 15 % sa stretlo s podvodom vytvoreným pomocou AI. Pre slovenské MSP z toho nevyplýva, že každý kolega musí byť digitálny forenzný expert. Dôležitejšie je, aby citlivé rozhodnutie nezáviselo od toho, či jeden človek pod časovým tlakom rozpozná presvedčivý podvrh.

Moderný podvod môže napodobniť štýl dodávateľa, odkazovať na skutočný projekt, reprodukovať hlas konateľa alebo prísť z reálneho, no kompromitovaného účtu. Profesionálny vzhľad je preto slabým dôkazom. Bezpečnejšia otázka neznie „Vyzerá táto správa pravdivo?“, ale „Aký nezávislý dôkaz vyžadujeme pred týmto konkrétnym úkonom?“

Prečo samotná informovanosť nestačí

Školenie má naďalej význam: ľudia majú spozornieť pri naliehavosti, nečakaných odkazoch, zmenených platobných údajoch či požiadavkách na utajenie. Dobre pripravený útočník však zámerne vytvára uveriteľný kontext. Aj legitímnu požiadavku môže preťažený kolega posúdiť nesprávne. Ak kontrola stojí iba na osobnom podozrení, jej účinnosť sa bude meniť podľa pracovného zaťaženia, sebavedomia a postavenia odosielateľa.

Eurostat uvádza, že v roku 2024 zaznamenalo bezpečnostný incident v oblasti IKT 22 % podnikov v EÚ; Slovensko patrilo s 12 % medzi krajiny s najnižším nahláseným podielom. Toto číslo opisuje skúsenosť podnikov zachytenú prieskumom, nie imunitu. Rovnaká publikácia uvádza, že povinnosti v oblasti bezpečnosti IKT komunikovalo zamestnancom iba približne 60 % podnikov v EÚ. Firma preto potrebuje informovaných ľudí aj krátky postup, ktorý sa dá použiť počas bežného rušného dňa.

Určte rozhodnutia, ktoré si zaslúžia overenie

Nespomaľujte každý e-mail. Začnite úkonmi, pri ktorých môže falošná autorita spôsobiť neprimeranú škodu:

pridanie alebo zmena bankových údajov dodávateľa;
mimoriadna, naliehavá alebo rozdelená platba;
obnovenie hesla alebo metódy viacfaktorového overenia;
pridelenie administrátorských práv či prístupu k spoločnej schránke;
odoslanie mzdových, zákazníckych, zmluvných alebo identifikačných údajov;
otvorenie neočakávaného zdieľaného súboru, ktorý žiada nové prihlásenie;
dôverná požiadavka pripísaná majiteľovi alebo vedúcemu pracovníkovi.

Tieto spúšťače vytvoria hranicu overovacieho systému. Bežná práca s nízkym rizikom zostane rýchla. Zmena s vážnymi následkami dostane krátku vedomú prestávku, nezávislú kontrolu a malú dôkazovú stopu.

Pripravte dôveryhodnú cestu ešte pred incidentom

Spätné zavolanie pomôže iba vtedy, ak je číslo dôveryhodné. Nevolajte na číslo uvedené v podozrivom e-maile, faktúre alebo profile v aplikácii. Udržiavajte stručný adresár overených interných a dodávateľských kontaktov získaných pri nástupe, zazmluvnení alebo počas predchádzajúcej legitímnej spolupráce. Obmedzte, kto môže tento adresár meniť, a zaznamenávajte zmeny citlivých kontaktných údajov.

Pri internej požiadavke použite známe firemné číslo, už vytvorenú konverzáciu, osobné overenie alebo požiadavku v bežnom firemnom systéme. Pri dodávateľovi použite číslo v schválenom zázname alebo na známej oficiálnej stránke – nie kontakt zo žiadosti o zmenu. Druhý kanál nemusí byť zložitý; musí byť nezávislý.

Definujte, ako znie platné potvrdenie

Nejasný telefonát môže zlyhať. Otázka „Poslali ste nám niečo?“ zvádza ku krátkej odpovedi áno a môže sa týkať inej správy. Overujúci má pomenovať podstatný úkon: „Potvrďte, prosím, že vaša spoločnosť dnes požiadala o zmenu účtu na faktúrach z čísla končiaceho 4821 na číslo končiace 7394.“ Pri zmene prístupu uveďte účet, oprávnenie a trvanie. Pri odovzdaní údajov pomenujte príjemcu aj súbor údajov.

Nepoužívajte osobné fakty, hlas ani vzhľad vo videu ako jediný overovací prvok. Verejné informácie a médiá vytvorené AI dokážu napodobniť dôvernosť. Silnejšie potvrdenie využíva vopred zavedenú cestu, druhú oprávnenú osobu alebo záznam v kontrolovanom systéme.

Oddeľte zadanie od schválenia

V malej firme nemusí byť dokonalé rozdelenie povinností realistické. Pomôže aj primeraná verzia: človek, ktorý zadá nové bankové údaje, nemá sám schváliť prvú platbu; administrátor nemá obnoviť MFA iba podľa nového telefónneho čísla žiadateľa; požiadavka vedenia nad dohodnutý limit má dostať druhú kontrolu aj vtedy, keď vyzerá, že ju poslal majiteľ.

Nastavte limity podľa firmy. Druhé schválenie môže platiť pre každú zmenu bankových údajov, kým nezvyčajné platby môžu mať finančný prah. Niektoré úkony, napríklad vytvorenie nového globálneho administrátora, si zaslúžia overenie bez ohľadu na sumu. Pravidlá zapíšte, aby o nich ľudia nemuseli vyjednávať počas naliehavej situácie.

Podporte postup technickými kontrolami

Proces má dopĺňať základné technické opatrenia. Používajte viacfaktorové overenie, podľa možností metódy odolné voči phishingu; oddeľte privilegované účty od bežného e-mailu; obmedzte administrátorské práva; filtrujte škodlivú poštu; inštalujte aktualizácie a udržiavajte obnoviteľné zálohy. Nastavte ochranu domény a monitoring primeraný používanej poštovej službe. Žiadne z týchto opatrení neurobí ľudí neomylnými, ale každé zúži cestu útočníka alebo obmedzí následok jednej chyby.

Aktuálny prehľad hrozieb ENISA upozorňuje, že vzájomné digitálne závislosti rozširujú plochu útoku a AI bude čoraz viac podporovať škodlivé operácie. Aj preto je lepšie stavať kontrolu na oprávneniach, nezávislom kanáli a obmedzených právach než na gramatike, logu alebo zdanlivo známom hlase.

Urobte hlásenie rýchle a bez hľadania vinníka

Kolega, ktorý klikne a okamžite to oznámi, môže firmu ochrániť. Kolega, ktorý udalosť zatají, pretože nevie komu ju nahlásiť alebo sa bojí reakcie, nemôže. Zaveďte jeden viditeľný spôsob hlásenia podozrivej správy alebo možnej chyby. Ľudia nemajú pokračovať v konverzácii, vymazať originál ani skúšať odkaz. Zodpovedná osoba potom uchová dôkazy, zabezpečí dotknutý účet, preverí súvisiace pravidlá a rozhodne, či treba externú pomoc alebo formálne hlásenie.

Zaznamenávajte aj odvrátené pokusy. Zastavená zmena účtu ukáže, ktorý dodávateľský záznam, schvaľovací limit alebo kontaktný kanál treba zlepšiť. Cieľom nie je rebríček, kto odhalil najviac phishingu. Cieľom je proces, ktorý sa poučí skôr, než z firmy odídu peniaze alebo údaje.

Praktické zavedenie za 30 dní

1. týždeň – Mapa: spíšte päť až desať úkonov, pri ktorých môže falošná autorita spôsobiť najväčšiu škodu. Pomenujte zadávateľa, schvaľovateľa a dôveryhodný záznam.
2. týždeň – Návrh: určte spúšťače overenia, nezávislé kanály, limity, eskalačné kontakty a minimálny dôkaz, ktorý sa má uchovať.
3. týždeň – Nácvik: prejdite tri realistické situácie: zmenený účet dodávateľa, naliehavú platbu vedenia a obnovenie MFA. Odstráňte nejasnosti a zbytočné trenie.
4. týždeň – Zakotvenie: pridajte pravidlo do kontrolných zoznamov pre platby, prístupy a údaje; vysvetlite ho novým kolegom a skontrolujte prvé reálne použitia.

Merajte, či sa kontrola dá používať

Sledujte niekoľko prevádzkových signálov: podiel definovaných rizikových zmien s nezávislým potvrdením, čas bežného overenia, počet výnimiek, nahlásené pokusy a nájdené neaktuálne kontakty. Ak sa kontrola neustále obchádza, môže byť nejasná, pomalá alebo bez podpory vedenia. Zlepšite cestu, nie hranicu rozhodnutia.

Najlepším výsledkom nie je nulový počet podozrivých správ. Je ním firma, v ktorej sa ani presvedčivá správa potichu nezmení na nezvratný úkon. Na to netreba veľké bezpečnostné oddelenie: určte citlivé rozhodnutia, overujte cez vopred pripravenú cestu, primerane rozdeľte oprávnenia a urobte včasné hlásenie bezpečným.

Podporu pri návrhu praktických digitálnych postupov, prístupových kontrol a bezpečnej automatizácie nájdete v našej sekcii Technológie.

Zdroje a ďalšie čítanie

Fakty, čísla a aktuálny kontext sme 11. októbra 2026 overili podľa nasledujúcich oficiálnych európskych a slovenských zdrojov. Model overovania, spúšťače rozhodnutí, 30-dňový plán zavedenia, praktické odporúčania, závery a formulácie sú pôvodnou redakčnou prácou spoločnosti Merkle s. r. o.

Údaje Eurobarometra opisujú hlásené skúsenosti a postoje zamestnancov; ukazovateľ Eurostatu zachytáva podniky, ktoré uviedli konkrétne bezpečnostné incidenty v IKT. Ani jedna štatistika nepredpovedá riziko konkrétnej firmy. Článok poskytuje všeobecné prevádzkové odporúčania a nenahrádza individuálne posúdenie kybernetickej bezpečnosti, službu riešenia incidentov ani právne poradenstvo.