Podvodníci s AI obchádzajú staré varovné signály

Internetové podvody prestávajú mať podobu lámaných e-mailov s podozrivou gramatikou. Generatívna AI pomáha útočníkom písať prirodzenou slovenčinou, klonovať hlas známej osoby a pripraviť presvedčivý videohovor. Podľa kyberbezpečnostnej firmy ESET je phishing na Slovensku opäť najrozšírenejšou kybernetickou hrozbou a jeho kvalita rastie aj vďaka AI nástrojom.

Staré pravidlo, že podvod prezradí zlá slovenčina, prestáva stačiť. Kyberbezpečnostná firma ESET vo svojom Threat Report H2 2025 uvádza, že phishing je na Slovensku najrozšírenejšou hrozbou a nástroje umelej inteligencie zvyšujú jeho presvedčivosť. V slovenských detekciách tvoril HTML/Phishing.Agent podľa ESET-u viac ako 15 percent a medzi najčastejšími hrozbami sa objavili aj investičné podvody využívajúce deepfake technológiu.

Národný bezpečnostný úrad SR vo svojej správe Cybersecurity opisuje, že AI pomáha útočníkom vytvárať kvalitnejšie preklady a phishingové texty a automatizovať viacero krokov kampane. V slovenskom prostredí sa podvody často vydávali za doručovacie služby, banky, políciu alebo štátne autority. Pre bežného človeka to znamená, že prirodzene znejúca správa už nie je dôkazom dôveryhodnosti.

AI mení najmä tri veci: jazyk, mieru personalizácie a rýchlosť reakcie. Podvodník si vie pripraviť e-mail, ktorý používa správne oslovenie, napodobňuje štýl banky alebo zamestnávateľa a neobsahuje chyby, ktoré by kedysi pôsobili podozrivo. Ak obeť odpovie, automatizovaný systém môže pokračovať v konverzácii, vysvetľovať údajný problém a tlačiť na rýchle rozhodnutie.

Medzinárodná policajná organizácia INTERPOL v správe Global Financial Fraud Threat Assessment 2026 upozornila, že podvody posilnené AI sú 4,5-krát ziskovejšie než tradičné metódy. INTERPOL zároveň píše, že takzvaná agentná AI vie autonómne plánovať a vykonávať celé podvodné kampane. Nejde teda len o krajší text e-mailu, ale o nástroj, ktorý môže útočníkovi pomôcť s výberom obetí, komunikáciou aj eskaláciou tlaku.

Ešte väčšie riziko prinášajú hlasové klony. Federálna bezpečnostná a vyšetrovacia agentúra USA FBI v upozornení z decembra 2025 uviedla, že útočníci minimálne od roku 2023 používajú AI-generované hlasové správy na vydávanie sa za vysokopostavených amerických predstaviteľov. Cieľom bolo presunúť komunikáciu na šifrované aplikácie a získať dôveru obete.

Pre slovenskú domácnosť môže mať rovnaká technika jednoduchšiu podobu. Volajúci sa môže vydávať za dieťa, rodiča alebo kolegu a tvrdiť, že potrebuje okamžite poslať peniaze, autorizačný kód alebo prihlasovacie údaje. Hlas pritom nemusí znieť roboticky, pretože útočníkovi môže stačiť verejne dostupná nahrávka zo sociálnych sietí, videa alebo pracovnej prezentácie.

Európsky parlamentný výskumný servis v materiáli Scam calls in times of Generative AI píše, že generatívna AI umožňuje replikovať hlasy, vytvárať deepfake videohovory a syntetické identity. Materiál zároveň pripomína, že AI Act v článku 50 vyžaduje označovanie a detegovateľnosť deepfake obsahu. Pre obete podvodu je však problém v tom, že označenie alebo technická detekcia často nepríde vo chvíli, keď majú pod časovým tlakom rozhodnúť o platbe.

Ako vážne môžu byť následky, ukázal prípad inžinierskej spoločnosti Arup. Firma podľa denníka The Guardian potvrdila, že prišla o 200 miliónov hongkonských dolárov po tom, čo zamestnanec v Hongkongu naletel na AI-generovaný videohovor. V hovore vystupovali falošné podoby firemných manažérov, ktoré zamestnanca presvedčili, aby poslal peniaze.

Základné pravidlo preto znie: neoverovať podľa toho, či správa alebo hlas pôsobia dôveryhodne, ale podľa nezávislého kanála. FBI odporúča pri podozrivých hlasových a textových správach nezávisle overiť identitu volajúceho, neposielať peniaze bez potvrdenia cez dôveryhodný kontakt a mať v rodine dohodnuté tajné slovo alebo frázu. Takéto pravidlo má fungovať najmä v situácii, keď volajúci vytvára paniku a tvrdí, že na spätné overenie nie je čas.

Domácnosti a malé firmy si môžu nastaviť jednoduchý postup pre každú nečakanú žiadosť o peniaze, heslá alebo autorizačné kódy:

• zavolať späť na číslo uložené v kontaktoch, nie na číslo alebo link zo správy,
• overiť požiadavku druhým kanálom, napríklad telefonátom po e-maile alebo osobnou správou po telefonáte,
• dohodnúť si v rodine krátke heslo pre núdzové situácie,
• pri firme vyžadovať druhého schvaľovateľa pri neštandardnej platbe,
• neposielať prihlasovacie údaje, kódy z SMS ani fotografie dokladov cez četovacie aplikácie.

Pri malých firmách je dôležité oddeliť rýchlosť od dôvery. Ak údajný konateľ, účtovník alebo obchodný partner žiada urgentnú platbu mimo bežného procesu, zamestnanec by mal mať právo prevod zastaviť a overiť. Interné pravidlo musí byť jednoduché: zmena čísla účtu, mimoriadna faktúra alebo platba mimo pracovného času sa potvrdzuje iným kanálom a ideálne inou osobou.

Riziko zvyšuje aj verejné zdieľanie osobných informácií. Útočníkovi pomáha, ak na sociálnych sieťach nájde mená rodinných príslušníkov, pracovnú pozíciu, cestovné plány alebo nahrávky hlasu. To neznamená, že ľudia majú prestať používať internet, ale mali by obmedziť verejné údaje, ktoré môžu podvodníci vložiť do presvedčivého príbehu.

Pri podozrení na podvod má zmysel okamžite kontaktovať banku, zmeniť heslá a skontrolovať zariadenia, cez ktoré obeť klikla na odkaz alebo otvorila prílohu. Ak už odišli peniaze, rozhodujú minúty, pretože banka môže ešte skúsiť platbu zastaviť alebo označiť podozrivý prevod. Pri firemných incidentoch treba zachovať aj e-maily, telefónne čísla, správy a časovú postupnosť, aby bolo možné prípad riešiť s bankou, políciou alebo kyberbezpečnostným tímom.

Otvoreným problémom zostáva, že slovenské verejné dáta zatiaľ neukazujú samostatne škody spôsobené AI-asistovaným phishingom, vishingom a deepfake podvodmi, hoci ich presvedčivosť podľa bezpečnostných inštitúcií rastie.