Školy a úrady ohrozuje obyčajný klik na podvodný e-mail

Veľká časť kyberútokov sa nezačína prelomením systému, ale kliknutím na podvodný odkaz, otvorením prílohy alebo zadaním hesla do falošnej stránky. Agentúra Európskej únie pre kybernetickú bezpečnosť ENISA vo svojej správe o hrozbách za rok 2025 označila phishing za hlavný počiatočný vstup do systémov. Pre školy, samosprávy aj bežných používateľov to znamená, že samotný antivírus nestačí a dôležité sú návyky, školenia aj pripravený postup na prípad incidentu.

Slovenský kontext je pritom veľmi konkrétny. Januárový incident v katastri pripomenul, že kybernetický problém sa neuzavrie v serverovni, ale rýchlo zasiahne úrady, firmy aj ľudí, ktorí potrebujú vybaviť bežné úkony. Keď sa digitálna služba zastaví, následky necíti iba IT oddelenie, ale aj občan čakajúci na zápis, obec či banka.

ENISA vo svojej správe o hrozbách za rok 2025 píše, že phishing zostal primárnym počiatočným vektorom prieniku. V praxi to znamená, že útočníci sa často nedostanú dnu cez exotickú technickú dieru, ale cez človeka, ktorý naletí podvodnej správe. Taká správa môže viesť ku krádeži prihlasovacích údajov, prevzatiu relácie používateľa aj k spusteniu škodlivého kódu.

Prečo podvodný e-mail funguje aj na skúsených ľudí

ENISA na stránke venovanej povedomiu a digitálnej hygiene opisuje phishing ako formu sociálneho inžinierstva. Útočník sa nespolieha iba na techniku, ale na to, že príjemca správy bude v strese, ponáhľať sa alebo automaticky poslúchne zdanlivú autoritu. Preto býva v správe naliehavá výzva, upozornenie na blokáciu účtu, žiadosť od „kolegu“ alebo odkaz na „nové prihlásenie“.

Práve rutina robí z bežného dňa slabé miesto. Učiteľ, úradníčka či rodič otvoria desiatky správ a väčšinu vybavia rýchlo. Ak podvodný e-mail napodobní známu službu alebo nadriadeného, šanca na chybu rastie. Nejde teda iba o to, či človek o phishingu niekedy počul, ale či si v konkrétnej chvíli všimne varovné signály.

To potvrdzuje aj štúdia publikovaná cez PubMed, ktorá pracovala so vzorkou 145 účastníkov. Výskumníci zistili, že schopnosť rozpoznať phishing najlepšie vysvetľovalo to, či ľudia v správe využívali konkrétne vodítka. Samotná znalosť pojmu phishing nestačila ako jediný rozhodujúci faktor. Pre školenia to je dôležitá správa: nestačí raz odškrtnúť prezentáciu, ľudia si musia nacvičiť, čo majú v podozrivej správe hľadať.

Medzi najčastejšie varovné signály patria tieto situácie:

• správa vytvára nátlak a žiada okamžitú reakciu,
• odosielateľ sa tvári ako známa inštitúcia, ale používa podozrivú adresu,
• odkaz vedie na stránku s podobnou, nie však presnou doménou,
• príloha alebo formulár pýta heslo, kód alebo iné citlivé údaje.

Antivírus je len časť obrany

V mnohých organizáciách sa kyberbezpečnosť stále zužuje na technické vybavenie. Antivírus, firewall či filtre na e-mailoch sú potrebné, ale útok často prejde cez rozhodnutie používateľa. Ak zamestnanec zadá heslo do falošného prihlasovania alebo potvrdí prístup útočníkovi, problém nevyrieši ani dobrý bezpečnostný program.

ENISA aj Európska komisia preto v kampaniach Európskeho mesiaca kybernetickej bezpečnosti opakovane zdôrazňujú povedomie používateľov a rozpoznávanie sociálneho inžinierstva. Pre školy a verejnú správu z toho vyplýva jednoduchý záver: ochranu netvorí len technológia, ale aj každodenný režim. Kto môže inštalovať programy, kto má prístup k citlivým údajom, ako sa nahlasuje podozrivá správa a kto rozhodne o odpojení zariadenia, to všetko má byť jasné ešte pred incidentom.

Základný postup pred incidentom by mal obsahovať aspoň niekoľko pevných bodov. Organizácia má pravidelne školiť ľudí, používať viacfaktorové overenie pri dôležitých účtoch, obmedzovať zbytočne široké prístupy a mať zálohy, ktoré sa dajú obnoviť aj v prípade napadnutia. Rovnako dôležitý je jednoduchý kanál na hlásenie podozrivých správ, aby sa zamestnanec nebál ozvať, keď si nie je istý.

Čo má urobiť škola alebo úrad

Pre školu alebo samosprávu býva slabým miestom predstava, že kyberbezpečnosť vybaví jeden informatik. V skutočnosti s e-mailami, zdieľanými dokumentmi a online službami denne pracujú desiatky ľudí. Útočník si pritom nevyberá iba podľa veľkosti organizácie. Menšia obec alebo škola môže byť zaujímavá práve preto, že má menej času, peňazí a nastavených procesov.

Centrálny portál kybernetickej bezpečnosti preto odporúča bezplatný e-learning pre zamestnancov verejnej správy. Portál uvádza, že kurz sa venuje rozpoznaniu podvodných správ, používaniu hesiel, viacfaktorovému overeniu aj reakcii na incident. Pre vedúcich škôl a úradov je to použiteľný základ, ale sám osebe problém nevyrieši. Školenie musí mať pokračovanie v internej praxi, opakovaní a testovaní.

Užitočné je aj rozdelenie rolí. Jeden človek má vedieť, komu sa incident hlási, ďalší rozhoduje o odpojení zariadenia od siete a vedenie musí mať pripravené, ako bude komunikovať výpadok navonok. Keď sa tieto kroky riešia až počas útoku, organizácia stráca čas a škoda rastie.

Ako si pomôže bežný používateľ

Pre rodiča alebo bežného používateľa digitálnych služieb sa ochrana začína pri drobných návykoch. Netreba klikať na odkazy v správach, ktoré vyvolávajú paniku alebo nútia okamžite sa prihlásiť. Lepšie je otvoriť si službu cez vlastnú záložku alebo ručne napísanú adresu. Ak sa správa tvári ako banka, škola či štátny portál, oplatí sa skontrolovať odosielateľa a doménu skôr, než človek zadá heslo.

Pomáha aj to, keď jeden uniknutý údaj neotvorí útočníkovi všetko naraz. Preto má zmysel používať rozdielne heslá pre dôležité služby a všade, kde je to možné, zapnúť viacfaktorové overenie. Ak si používateľ nie je istý, bezpečnejšie je správu neotvárať a pravosť si overiť iným kanálom, napríklad telefonicky alebo cez oficiálnu stránku.

Rovnako dôležitá je reakcia po chybe. Ak človek klikol na podozrivý odkaz alebo zadal heslo do pochybnej stránky, nemá čakať, či sa niečo stane. Má okamžite zmeniť heslo, odhlásiť aktívne relácie, kontaktovať správcu systému alebo podporu služby a nahlásiť incident. Prvé minúty často rozhodnú o tom, či pôjde o nepríjemnosť pre jedného používateľa, alebo o problém pre celú organizáciu.

Pre Slovensko je to praktická téma aj preto, že školy, obce a úrady používajú digitálne služby denne a vo veľkom. Otvorenou otázkou zostáva, koľko z nich dnes reálne využíva pravidelné školenia a či štát zverejní údaje o tom, či takáto prevencia naozaj znižuje počet incidentov.