AI zrýchľuje online podvody, bežným používateľom nestačí len heslo

Umelá inteligencia mení kybernetické útoky z technického problému na bežné spotrebiteľské riziko. Podľa CERT-EU a Europolu sú podvody presvedčivejšie, rýchlejšie a častejšie využívajú voice phishing, deepfake či zneužitie prihlásenia cez cudzí účet. Pre používateľov to znamená, že samotné heslo ani SMS kód už nestačia a po napadnutí účtu rozhodujú prvé minúty.

Útoky sú rýchlejšie a ťažšie rozpoznateľné

Európska kyberbezpečnostná inštitúcia CERT-EU vo svojej výročnej správe za rok 2025 uvádza, že hrozbové prostredie sa skomplikovalo a útočníci čoraz viac využívali umelú inteligenciu na spresnenie útokov. Inštitúcia zároveň sledovala 174 hrozbových aktérov, čo ukazuje, že problém sa netýka jedného typu podvodu, ale širokého spektra skupín a techník.

Pre bežného používateľa je dôležité najmä to, že sociálne inžinierstvo sa posúva ďalej než klasický podvodný e-mail. CERT-EU píše o raste voice phishingu, teda telefonátov, v ktorých útočník tlačí obeť do rýchleho rozhodnutia, o AI deepfake nahrávkach, o zneužití prihlásenia cez služby typu Google či Microsoft a aj o takzvaných ClickFix útokoch. Pri nich útočník navádza obeť, aby sama spustila škodlivý príkaz alebo opravný postup, ktorý vyzerá ako technická pomoc.

Agentúra Európskej únie Europol v materiáli IOCTA zároveň upozorňuje, že kyberzločinci obchodujú s ukradnutými dátami a používajú AI nástroje od phishingu po deepfake pri kompromitácii systémov a krádeži osobných údajov. Praktický dôsledok je jednoduchý: správy, telefonáty aj falošné prihlasovacie stránky dnes vyzerajú presvedčivejšie, jazykovo čistejšie a častejšie sa opierajú o údaje, ktoré už o obeti niekde unikli.

Na Slovensku to nie je okrajová téma. Ľudia cez internet riešia banku, e-mail, pracovné účty, sociálne siete aj štátne digitálne služby. Ak útočník získa prístup k hlavnému e-mailu alebo telefónnemu číslu, často sa tým otvorí cesta aj k ďalším službám, pretože práve tam smerujú obnovy hesiel a bezpečnostné upozornenia.

Heslo je len prvá bariéra

Americká vládna agentúra Cybersecurity and Infrastructure Security Agency upozorňuje, že samotné heslo už nestačí a odporúča viacfaktorové overenie. Ešte ďalej ide v odporúčaní používať takzvané phishing-resistant MFA, teda také overovanie, ktoré sa nedá ľahko vylákať cez podvodnú stránku alebo falošnú výzvu.

Pre bežného používateľa to znamená, že SMS kód je síce lepší než nič, ale nie je ideálny. CISA upozorňuje, že ak phishing-resistant MFA nie je dostupné, je lepšie použiť aspoň silnejšie metódy než SMS. V praxi to býva overovacia aplikácia, passkeys alebo hardvérový bezpečnostný kľúč, ak ich služba podporuje. SMS zostáva rozšírená najmä preto, že je jednoduchá a známa, nie preto, že by bola najbezpečnejšia.

Dôležitý je aj rozdiel medzi pohodlím a odolnosťou. Pri AI-poháňaných podvodoch dnes útočník nemusí poslať zlú slovenčinu z podozrivej adresy. Môže zavolať, predstierať pracovníka banky, použiť hlas podobný známemu človeku alebo poslať správu, ktorá vyzerá ako reálna bezpečnostná výzva. Ak potom používateľ zadá heslo a ešte aj SMS kód, útočník dostane prístup takmer v reálnom čase.

Z odporúčaní CISA a z praktických rád technologického portálu TOUCHIT.sk vyplýva minimum, ktoré má zmysel nastaviť hneď. Pre väčšinu ľudí ide o päť základných krokov:

• používať správcu hesiel a mať pre každú dôležitú službu iné heslo,
• tam, kde sa dá, prepnúť druhý faktor zo SMS na overovaciu aplikáciu, passkey alebo bezpečnostný kľúč,
• skontrolovať, aký e-mail a telefón sú nastavené na obnovu účtu,
• priebežne aktualizovať telefón aj počítač,
• mať bezpečné zálohy fotiek, dokumentov a ďalších dôležitých dát.

Po napadnutí účtu rozhodujú minúty

Ak už niekto účet prevezme, najväčšou chybou je čakať. TOUCHIT.sk odporúča po zistení incidentu okamžite zmeniť heslo, skontrolovať a odobrať podozrivé prihlásené zariadenia a preveriť nastavenia obnovy účtu. To je dôležité preto, že útočník si po vstupe často pridá vlastný e-mail, telefón alebo ďalší spôsob overenia, aby sa vedel do účtu vrátiť aj po zmene hesla.

Pri bežných službách má zmysel postupovať v pevnom poradí. Najskôr treba zabezpečiť hlavný e-mail, pretože cez neho sa obnovujú ďalšie heslá. Potom treba zmeniť heslá na službách, kde bolo použité rovnaké alebo podobné heslo, a zapnúť silnejší druhý faktor. Ak ide o sociálnu sieť, cloud alebo pracovný účet, treba preveriť aj históriu prihlásení, aktívne relácie, pripojené aplikácie a pravidlá presmerovania správ.

Ak je s napadnutým účtom spojená banka alebo platobná karta, treba kontaktovať aj danú službu. Samotné prevzatie e-mailu ešte nemusí znamenať odcudzenie peňazí, ale môže byť medzikrokom k falošnej autorizácii platieb, k zmene kontaktných údajov alebo k presvedčivejšiemu podvodu voči rodine a kolegom.

Pri incidente má zmysel urobiť aspoň tieto kroky bez odkladu:

• zmeniť heslo na napadnutom účte,
• odhlásiť všetky cudzie alebo neznáme zariadenia,
• skontrolovať obnovovacie kontakty a dvojfaktorové overenie,
• kontaktovať podporu služby, ak používateľ stratil kontrolu nad účtom.

Prevencia je dnes bežná digitálna hygiena

To, že ochranné nástroje sú čoraz inteligentnejšie, ešte neznamená, že používateľ môže bezpečnosť nechať len na platforme, banke alebo sociálnej sieti. Automatizovaná ochrana môže zastaviť časť podozrivých prihlásení, no neochráni účet, ak človek dobrovoľne odovzdá heslo a druhý faktor na falošnej stránke alebo počas telefonátu.

Pre bežného Slováka preto dnes kyberbezpečnosť nie je technický luxus, ale podobná rutina ako zamknutie bytu alebo kontrola platby pred odoslaním. Základom je mať pod kontrolou hlavný e-mail, nepoužívať jedno heslo všade, preverovať odkazy a výzvy na prihlásenie a nespoliehať sa len na SMS overenie. Najväčší problém zostáva, že práve SMS je v mnohých službách stále predvolená voľba, hoci pri dnešných AI-podvodoch už ide len o slabšiu druhú bariéru.