Umelá inteligencia robí phishing na Slovensku presvedčivejším

Phishing zostáva na Slovensku najrozšírenejšou kybernetickou hrozbou a s pomocou umelej inteligencie je presvedčivejší než kedysi. Vyplýva to z najnovšieho reportu spoločnosti ESET, podľa ktorého už pri podvodných e-mailoch a správach nestačí spoliehať sa na gramatické chyby alebo kostrbatú slovenčinu. Podobný trend opisuje aj Agentúra Európskej únie pre kybernetickú bezpečnosť, ktorá phishing označuje za hlavnú vstupnú cestu útokov.

Spoločnosť ESET uvádza, že phishing je na Slovensku stále najrozšírenejšou hrozbou. V slovenskej telemetrii mal podľa firmy detekčný názov HTML/Phishing.Agent podiel 14 percent zo všetkých zachytených hrozieb. To je dôležité aj preto, že ide o typ útoku, s ktorým sa stretávajú bežní ľudia doma, ale aj malé firmy pri faktúrach, prihlasovaní do služieb či komunikácii s bankou a kuriérom.

Umelá inteligencia nemení phishing tým, že by vymyslela úplne nový trik. Mení skôr jeho kvalitu a rýchlosť. To, čo bolo kedysi nápadne zle preložené, bez diakritiky alebo plné chýb, vie dnes generatívny nástroj prepísať do plynulej slovenčiny za pár sekúnd. Útočník si tak vie pripraviť viac verzií tej istej správy, ľahšie ju prispôsobiť konkrétnej obeti a rýchlo napodobniť tón banky, internetového obchodu či nadriadeného.

Práve v tom sa mení aj základné bezpečnostné pravidlo pre používateľov. Ešte donedávna platilo, že podvodný e-mail sa často prezradil zlou gramatikou. Dnes to už podľa zistení ESETu nestačí. Ak útočník využije umelú inteligenciu na jazykovú úpravu, správa môže vyzerať dôveryhodne aj človeku, ktorý býva opatrný a bežne si podozrivé texty všíma.

Širší európsky obraz je podobný. Agentúra Európskej únie pre kybernetickú bezpečnosť vo svojom materiáli Threat Landscape 2025 uvádza, že phishing tvoril približne 60 percent prípadov, keď sa útočníci dostali k obeti. ENISA zároveň na svojej stránke o kybernetických hrozbách píše, že kriminálne aj štátom podporované skupiny čoraz viac využívajú umelú inteligenciu na zvyšovanie produktivity a optimalizáciu škodlivej činnosti.

Pre domácnosti to znamená najmä viac falošných výziev na prihlásenie, zaplatenie malej sumy alebo potvrdenie doručenia zásielky. Podvodná stránka dnes môže pôsobiť takmer rovnako ako originál, vrátane loga, farieb aj textu. Pre malé firmy je riziko ešte širšie, pretože jeden podvodný e-mail nemusí viesť len ku krádeži hesla, ale aj k falošnej platbe, zmene čísla účtu na faktúre alebo odovzdaniu prístupu do firemnej schránky. Podľa slovenského pohľadu v reporte ESETu sú menšie firmy zraniteľné aj preto, že často nemajú pevné procesy na overovanie platieb, odosielateľov a schvaľovanie prístupov.

Podvodný e-mail alebo správa dnes preto netreba hodnotiť podľa toho, či obsahuje chyby, ale podľa toho, čo od človeka žiada a kam ho vedie. Najčastejšie ide o nátlak na rýchle konanie, nečakanú výzvu na prihlásenie, žiadosť o otvorenie prílohy alebo kliknutie na odkaz, ktorý vedie na mierne zmenenú adresu webu.

Pri podozrivej správe sa oplatí skontrolovať najmä tieto veci:

• či adresa odosielateľa presne sedí s názvom firmy alebo sa líši jedným znakom,
• či odkaz po rozkliknutí alebo podržaní kurzorom vedie na skutočnú doménu banky, e-shopu alebo úradu,
• či správa vytvára zbytočný tlak slovami ako „ihneď“, „posledné upozornenie“ alebo „účet bude zablokovaný“,
• či prihlasovaciu stránku otvorila nečakaná správa namiesto bežnej aplikácie alebo ručne zadanej adresy,
• či príloha nežiada povoliť spustenie súboru alebo ďalšie kroky, ktoré by pri obyčajnej faktúre či potvrdení nemali byť potrebné.

Riziko sa nekončí pri samotnom kliknutí. ESET v rovnakom reporte uvádza, že detekcia PowerShell/CloudEye na Slovensku medzi polrokmi vzrástla o 300 percent a hrozba sa dostala do prvej trojky. V praxi to znamená, že sociálne inžinierstvo často slúži ako prvý krok k vážnejšiemu napadnutiu zariadenia alebo firemnej siete, nie iba ku krádeži jedného hesla.

Firma zároveň upozornila aj na širšie zneužívanie nástrojov umelej inteligencie. V sledovanom období analyzovala takmer 900-tisíc AI skillov a desaťtisíce z nich vyhodnotila ako podozrivé. To síce nie je to isté ako phishing v e-maili, ale trend je rovnaký: útočníci si hľadajú nové cesty, ako automatizovať podvod a znížiť náklady na jeho prípravu.

Pre bežných ľudí má najväčší efekt niekoľko jednoduchých návykov. Bezpečnostní experti dlhodobo odporúčajú neprihlasovať sa do banky alebo e-shopu cez link z e-mailu, ale cez vlastnú aplikáciu alebo ručne napísanú adresu. Rovnako dôležité je zapnúť viacfaktorové overenie, aby útočník po ukradnutí hesla nezískal účet automaticky. Pri správe o nedoplatku, zásielke alebo pokute sa oplatí na chvíľu zastaviť a overiť si informáciu cez oficiálny kontakt, nie cez číslo alebo odkaz zo správy.

Malé firmy nepotrebujú hneď drahé bezpečnostné centrum, aby znížili riziko. Veľa spraví aj jednoduché pravidlo, že zmenu čísla účtu, novú platbu alebo udelenie prístupu potvrdia dvaja ľudia a aspoň cez dva rôzne kanály. Ak účtovníčke príde zdanlivo bežný e-mail od konateľa so žiadosťou o rýchly prevod, telefonické overenie môže zabrániť škode za niekoľko minút.

Dôležité je aj to, aby ľudia vo firmách vedeli, že dnešný podvod už nemusí vyzerať amatérsky. Môže mať čistú slovenčinu, správne logo aj text, ktorý znie úplne bežne. Najbližší problém preto nebude v tom, či podvodná správa obsahuje chybu, ale v tom, či si ju príjemca stihne overiť skôr, než klikne.