BEC podvod (kompromitácia firemného e-mailu): ako overiť odosielateľa skôr, než zaplatíte

Rýchla odpoveď

BEC (business email compromise, kompromitácia firemného e-mailu) je podvod, pri ktorom zločinci posielajú e-maily, ktoré vyzerajú, akoby boli od vášho šéfa, dodávateľa alebo právnika, a žiadajú platbu alebo zmenu bankových údajov. Pri overovaní odosielateľa skontrolujte skutočnú adresu a doménu písmeno po písmene, v podrobnostiach správy hľadajte „pass“ pri SPF, DKIM a DMARC a na žiadosť o platbu nikdy nereagujte, kým danej osobe nezavoláte na číslo, ktoré ste už mali. Ak ste zaplatili, okamžite volajte do banky a nahláste to.

Kľúčové čísla

• 3,05 mld. USDstratili obete BEC podvodov nahlásených FBI v roku 2025, v 24 768 sťažnostiachFBI IC3 2025 Internet Crime Report
• 679 mil. USDzmrazil pre obete tím FBI Recovery Asset Team v roku 2025, úspešnosť 58 % z nahlásených 1,16 mld. USDFBI IC3 2025 Internet Crime Report
• 41,3 mil. libierstratili ľudia a firmy v Spojenom kráľovstve v roku 2025 pri podvodoch s faktúrami a platobnými príkazmi, v 2 305 prípadochUK Finance Annual Fraud Report 2026
• 55,5 mld. USDzistených strát pri BEC podvodoch na celom svete od októbra 2013 do decembra 2023, v 305 033 incidentochFBI IC3 PSA, september 2024

Príde e-mail od dodávateľa, ktorému platíte každý mesiac. Zmenil banku a ďalšia faktúra má ísť na nový účet. Alebo vám píše generálny riaditeľ z letiska: naliehavá, dôverná platba musí odísť ešte dnes. Meno sedí, tón sedí, logo sedí. Otázka je, či ho naozaj poslal ten, o kom si myslíte, že ho poslal.

Toto je BEC podvod, teda kompromitácia firemného e-mailu, a patrí medzi najdrahšie trestné činy, ktoré FBI sleduje. Firmy a jednotlivci nahlásili v roku 2025 straty 3,05 miliardy dolárov pri BEC podvodoch, v 24 768 sťažnostiach centru FBI Internet Crime Complaint Center. Riešenie je jednoduché, ale prísne: niekoľko kontrol e-mailu a pravidlo spätného hovoru, ktoré nikto nevynechá.

Čo je BEC podvod (kompromitácia firemného e-mailu)?

BEC je podvod, pri ktorom sa zločinci cez e-mail vydávajú za niekoho, komu dôverujete, napríklad za dodávateľa, manažéra, zamestnanca alebo právnika, aby vás prinútili poslať peniaze alebo citlivé údaje. FBI ho opisuje ako útok na ľudí a firmy, ktoré pravidelne posielajú bankové prevody, pomocou napadnutých alebo podvrhnutých e-mailových účtov a čoraz častejšie aj telefónnych čísel a aplikácií na videohovory. Írske National Cyber Security Centre uvádza štyri bežné formy:

• Podvod s dodávateľom alebo faktúrou: e-mail skutočného dodávateľa je hacknutý alebo napodobnený podobnou doménou a posiela falošné faktúry alebo „nové bankové údaje“.
• CEO podvod: falošný manažér žiada naliehavý, tajný prevod alebo darčekové karty.
• Presmerovanie výplaty: falošný zamestnanec žiada personálne oddelenie, aby mu posielalo mzdu na nový účet.
• Vydávanie sa za právnika: falošný advokát alebo realitná kancelária pošle platobné pokyny k obchodu alebo kúpe nehnuteľnosti.

V Spojenom kráľovstve banky v roku 2025 zaznamenali straty 41,3 milióna libier pri podvodoch s faktúrami a platobnými príkazmi v 2 305 prípadoch a ďalších 5,6 milióna libier pri CEO podvodoch.

Ako vyzerá BEC e-mail?

Vyzerá obyčajne, a práve o to ide. BEC e-maily len zriedka obsahujú malvér alebo odkazy. Stavajú na uveriteľnom príbehu, termíne a malej zmene. Toto sú typické príklady, voľne prerozprávané:

Dobrý deň, dovoľujeme si vás informovať, že sme presunuli bankové služby k novému poskytovateľovi. Aktualizované údaje nájdete v prílohe. Prosíme, použite ich pri faktúre č. 4471 a všetkých ďalších platbách. Náš pôvodný účet je zrušený.

Ste pri počítači? Potrebujem, aby ste dnes vybavili dôvernú platbu súvisiacu s akvizíciou. Zatiaľ to s nikým neriešte. Som na stretnutiach, takže len e-mailom.

Dobrý deň, zmenil som banku. Môžete mi pred touto výplatou aktualizovať účet na mzdu? Nové údaje sú nižšie.

FBI upozorňuje, že umelá inteligencia dnes tieto e-maily vylepšuje: chatovacie nástroje vedia napodobniť štýl písania manažéra a klonovanie hlasu môže žiadosť podporiť telefonátom. Firmy nahlásili v roku 2025 straty viac ako 30 miliónov dolárov pri BEC podvodoch s využitím AI.

Ako overím odosielateľa e-mailu?

Skontrolujte skutočnú adresu, doménu, výsledky overenia a potom si to potvrďte telefonicky na čísle, ktoré ste už mali. Postupujte v tomto poradí.

1. Zobrazte celú adresu. Zobrazované meno („Sára Lee, účtovníctvo“) môže byť čokoľvek. Ťuknite naň alebo naň prejdite myšou a uvidíte skutočnú adresu. Na mobile sa tento krok ľahko prehliadne, preto FBI odporúča nastaviť si e-mail tak, aby zobrazoval celé adresy.
2. Čítajte doménu písmeno po písmene. Hľadajte vymenené alebo pridané znaky: „acme-corp.com“ namiesto „acmecorp.com“, „rn“ namiesto „m“, „l“ namiesto „i“, „.co“ namiesto „.com“ alebo bezplatnú adresu ako Gmail pri firme, ktorá má vlastnú doménu.
3. Skontrolujte adresu pre odpoveď (Reply-To). Kliknite na Odpovedať a pred písaním sa pozrite na riadok „Komu“. Ak sa zmení na inú adresu, e-mail je navrhnutý tak, aby vašu odpoveď presmeroval inam.
4. Skontrolujte výsledky overenia (SPF, DKIM, DMARC), vysvetlené nižšie.
5. Pozrite sa na históriu konverzácie. Je to nové vlákno, ktoré „pokračuje“ v starom? Zmenil sa podpis, telefónne číslo alebo tón?
6. Zavolajte a overte si to na čísle z vlastných záznamov, nikdy nie na čísle z e-mailu. Práve tento krok stratu naozaj zastaví.

Skutočný e-mail z hacknutého účtu prejde každou technickou kontrolou. Preto krok 6 nie je pri žiadnej platbe ani zmene bankových údajov voliteľný.

Ako skontrolujem SPF, DKIM a DMARC v e-maile?

Otvorte úplné podrobnosti alebo hlavičky správy a hľadajte slová „pass“ alebo „fail“ pri SPF, DKIM a DMARC. V Gmaile otvorte e-mail, kliknite na ponuku s tromi bodkami a zvoľte „Zobraziť originál“. V Outlooku otvorte vlastnosti správy alebo „Zobraziť zdroj správy“ a hľadajte riadok „Authentication-Results“.

„Fail“ pri e-maile o platbe je stopka. „Pass“ len dokazuje, že e-mail prišiel z danej domény. Nedokazuje, že je to tá správna doména (podobná doména môže prejsť všetkými tromi kontrolami), ani že účet nebol hacknutý. Berte tieto kontroly ako filter, nie ako verdikt.

Ako zistím, komu patrí doména alebo e-mailová adresa?

Vyhľadajte dátum registrácie domény a potom preverte osobu za adresou. Použite bezplatné vyhľadávanie registračných údajov ICANN. Doména dodávateľa, ktorá má desať rokov, je normálna. Podobná doména zaregistrovaná minulý týždeň je podvod. Írske NCSC práve z tohto dôvodu odporúča blokovať alebo označovať poštu z novo zaregistrovaných domén.

Pri novom kontakte, novom dodávateľovi alebo mene, ktoré nepoznáte, pomôže obchodné vyhľadávanie Search A-Z. Zadajte meno a priezvisko odosielateľa a krajinu, zvoľte „Obchodný kontakt“ a pridajte e-mailovú adresu a firmu. Správa overí, či je e-mail skutočný a aké je riziko podvodu, a ukáže pracovný e-mail osoby, súčasnú prácu a firmu, pracovnú históriu, verejné profesijné profily, registráciu firmy (funkcie v britskom Companies House a celosvetový register LEI), správy a zmienky na webe a prípadné verejné varovania pred podvodmi. Ak po „novom manažérovi účtov“ u dodávateľa nie je ani stopa, máte odpoveď. Hľadaná osoba sa nikdy nedozvie, že ste ju hľadali.

Čo je pravidlo spätného overovacieho hovoru?

Pravidlo spätného hovoru je písomné pravidlo, že každú novú platbu, zmenu bankových údajov alebo naliehavú žiadosť o prevod treba pred odoslaním peňazí potvrdiť odchádzajúcim hovorom na číslo, ktoré už máte v evidencii. Je to najúčinnejšia ochrana pred BEC, ale len ak sa robí poriadne. Návod JPMorgan o tom, kedy spätné hovory zlyhávajú, uvádza bežné chyby: dôverovať prichádzajúcemu hovoru, ktorý e-mail „potvrdí“, použiť telefónne číslo uvedené v e-maile alebo na faktúre a hovoriť s niekým, kto nie je tá správna osoba.

Jednoduché pravidlá, ktoré môžete prevziať:

• Každú zmenu bankových údajov dodávateľa alebo zamestnanca treba potvrdiť odchádzajúcim hovorom na číslo z evidencie dodávateľov, zo zmluvy alebo z oficiálneho webu dodávateľa, nikdy nie zo žiadosti.
• Hovor ide konkrétnej osobe, s ktorou ste už predtým jednali.
• Žiadosti označené ako naliehavé alebo dôverné dostanú viac kontrol, nie menej.
• Platby nad stanovenú sumu musia schváliť dvaja ľudia.
• Nové bankové údaje sa pred prvou platbou podržia na čakaciu dobu (napríklad 24 až 48 hodín).
• Zamestnanci majú písomne potvrdené, že nikto, ani generálny riaditeľ, im nebude vyčítať, že platbu zdržali, aby ju overili.

Scenár hovoru:

Dobrý deň, tu Alex z účtovníctva Northfield. Dostali sme e-mail o nových bankových údajoch k vašim faktúram. Skôr než niečo zmeníme, môžete potvrdiť, že ste ho poslali vy, a prečítať mi posledné štyri číslice nového čísla účtu?

Ako má firma postupovať pri žiadosti o zmenu platobných údajov?

Každú zmenu platby považujte za podozrivú, kým ju neoveríte iným kanálom, a každý krok zaznamenajte. Tento postup funguje pre malé aj veľké firmy:

1. Zaevidujte žiadosť s dátumom, adresou odosielateľa a požadovanými údajmi. Zatiaľ na ňu neodpovedajte.
2. Zavolajte dodávateľovi na číslo, ktoré už máte v systéme, a overte si to so svojím zvyčajným kontaktom.
3. Skontrolujte meno majiteľa nového účtu. V Spojenom kráľovstve služba Confirmation of Payee povie, či sa meno na účte zhoduje. V eurozóne, teda aj na Slovensku, robí to isté pri prevodoch v eurách od 9. októbra 2025 overenie príjemcu platby (Verification of Payee). Výsledok „nezhoduje sa“ alebo „takmer sa zhoduje“ je varovný signál.
4. Zmenu nech schváli druhá osoba.
5. Pošlite malú skúšobnú platbu a pred odoslaním celej sumy si telefonicky potvrďte, že prišla.
6. Sledujte ďalšie správy. Tlak na vynechanie niektorého z týchto krokov je sám osebe varovným signálom.

Rovnaké pravidlá chránia aj vás ako dodávateľa: písomne oznámte klientom, že bankové údaje nikdy nezmeníte len e-mailom. Pri nových klientoch rozoberá širšie kontroly náš návod, ako preveriť nového klienta skôr, než začnete.

Čo mám robiť, ak som zaplatil falošnú faktúru?

Okamžite volajte do banky a požiadajte o stiahnutie platby, potom to ešte v ten deň nahláste FBI alebo národnej polícii. Rýchlosť je dôležitejšia než čokoľvek iné. Írske NCSC varuje, že väčšina peňazí sa nedá získať späť, ak sa podvod nenahlási v priebehu prvých niekoľkých hodín.

1. Hneď volajte podvodové oddelenie svojej banky. Požiadajte o stiahnutie prevodu a o to, aby banka príjemcu peniaze zmrazila. Uveďte sumu, dátum, účet príjemcu a prípadný variabilný symbol či referenciu.
2. USA: podajte hlásenie na ic3.gov s úplnými údajmi o transakcii, bez ohľadu na sumu. Tím FBI Recovery Asset Team používa postup Financial Fraud Kill Chain a spolu s bankami peniaze zmrazuje. V roku 2025 riešil 3 900 incidentov a zmrazil 679 miliónov dolárov, s úspešnosťou 58 %. Ak mu poskytnete údaje, dokáže sledovať aj ďalšie prevody („second hop“) a pri medzinárodných prevodoch spolupracuje s FinCEN.
3. Spojené kráľovstvo: nahláste to cez Report Fraud, ktorý v decembri 2025 nahradil Action Fraud, na čísle 0300 123 2040, alebo Police Scotland na čísle 101. Vaša banka zároveň spustí vlastné vymáhanie.
4. EÚ: nahláste to národnej polícii a svojej banke. V Írsku chce byť informované aj NCSC. Na Slovensku podajte trestné oznámenie na Polícii SR (linka 158) a kybernetický incident môžete nahlásiť aj národnému tímu SK-CERT.
5. Zabezpečte e-mailový účet. Zmeňte heslá, zapnite viacfaktorové overenie a skontrolujte pravidlá preposielania alebo pravidlá schránky, ktoré skrývajú odpovede. Sú to bežné znaky, že účet niekto ovládol.
6. Uchovajte dôkazy. Uložte e-maily s úplnými hlavičkami, faktúry, záznamy hovorov a transakcií. Nič nemažte.
7. Upozornite skutočného dodávateľa alebo klienta. Jeho účet, prípadne váš, môže byť stále napadnutý.

Ak vás osloví „služba na vymáhanie“, ktorá vám za poplatok ponúka vrátenie peňazí, je to ďalší podvod. Skutočné vymáhanie ide cez vašu banku a orgány činné v trestnom konaní.

Ako ochránim firmu pred e-mailovými podvodmi?

Spojte prísny platobný postup s niekoľkými technickými základmi. FBI aj írske NCSC odporúčajú:

• Viacfaktorové overenie na každom e-mailovom účte.
• Nastavené SPF, DKIM a DMARC na vlastných doménach, aby sa za vás zločinci nemohli pred zákazníkmi ľahko vydávať.
• E-mail, ktorý zobrazuje celé adresy odosielateľov a označuje externých odosielateľov.
• Registrácia zjavných podobných domén k vlastnej doméne alebo ich sledovanie.
• Overený zoznam dodávateľov so známymi telefónnymi kontaktmi.
• Pravidelné školenie zamestnancov na skutočných príkladoch, ako sú tie vyššie.

BEC sa často začína prieskumom vášho tímu: kto schvaľuje platby, kto sú dodávatelia, kto cestuje. Náš návod, ako spoznať falošné profily na LinkedIne, vysvetľuje, ako falošné účty tieto informácie zbierajú.

Zhrnutie

Hacknutý e-mail od skutočného podľa vzhľadu nerozoznáte, tak sa o to ani nepokúšajte. Skontrolujte adresu a doménu, berte SPF a DKIM ako prvý filter a každú zmenu platby si potvrďte hovorom na číslo, ktoré ste už mali. Ak peniaze odišli, volajte do banky a nahláste to v priebehu hodín, nie dní.

Časté otázky

Čo je BEC podvod?

BEC (business email compromise, kompromitácia firemného e-mailu) je podvod, pri ktorom sa zločinci cez e-mail vydávajú za dôveryhodný kontakt, napríklad dodávateľa, manažéra alebo právnika, aby vás oklamali a prinútili poslať peniaze alebo zmeniť bankové údaje. FBI v roku 2025 dostala 24 768 sťažností na BEC so stratami 3,05 miliardy dolárov.

Ako zistím, či je e-mail naozaj od toho, za koho sa vydáva?

Zobrazte celú adresu odosielateľa, skontrolujte doménu písmeno po písmene, pozrite sa, kam idú odpovede, a v podrobnostiach správy hľadajte „pass“ pri SPF, DKIM a DMARC. Pri čomkoľvek, čo sa týka peňazí, si to overte telefonátom na číslo, ktoré ste už mali.

Môže byť pri podvode použitá skutočná e-mailová adresa?

Áno. Ak je účet dodávateľa alebo kolegu hacknutý, podvodné e-maily prichádzajú z jeho skutočnej adresy a prejdú každou technickou kontrolou. Preto treba zmeny platieb vždy overiť telefonicky, na čísle z vlastných záznamov.

Čo znamená DMARC fail?

Znamená, že doména v riadku Od sa nezhoduje s doménou, ktorá prešla kontrolou SPF alebo DKIM. Pri e-maile o platbe alebo zmene bankových údajov to berte ako silný znak, že odosielateľ je podvrhnutý.

Môžem po zaplatení falošnej faktúry dostať peniaze späť?

Niekedy, ak konáte rýchlo. Okamžite volajte do banky a požiadajte o stiahnutie platby a nahláste to na ic3.gov v USA, cez Report Fraud v Spojenom kráľovstve alebo polícii vo vašej krajine. Tím FBI Recovery Asset Team v roku 2025 zmrazil pre obete 679 miliónov dolárov, ale šance po prvých hodinách prudko klesajú.

Čo je FBI Financial Fraud Kill Chain?

Je to postup, ktorý tím FBI Recovery Asset Team používa spolu s bankami na zmrazenie podvodných prevodov, vrátane medzinárodných prevodov cez FinCEN. Spustíte ho rýchlym hlásením na ic3.gov s úplnými údajmi o transakcii a žiadosťou o stiahnutie platby vo vašej banke.

Čo je podobná doména?

Webová alebo e-mailová doména vytvorená tak, aby vyzerala ako skutočná, napríklad acme-corp.com namiesto acmecorp.com, alebo s písmenom vymeneným za podobné. Dátum registrácie overíte cez vyhľadávanie ICANN: podobná doména je zvyčajne stará len niekoľko dní alebo týždňov.

Zdroje

1. FBI Internet Crime Complaint Center, 2025 Internet Crime Report
2. FBI IC3 PSA: Business Email Compromise, podvod za 55 miliárd dolárov (september 2024)
3. UK Finance Annual Fraud Report 2026
4. National Cyber Security Centre (Írsko): návod k BEC podvodom (júl 2025)
5. J.P. Morgan: keď spätné hovory zlyhajú
6. City of London Police: spustenie služby Report Fraud (december 2025)
7. ICANN: vyhľadávanie registračných údajov (RDAP)
8. Mason Hayes & Curran: nariadenie EÚ o okamžitých platbách a overenie príjemcu platby

Čísla sú najnovšie, ktoré jednotlivé zdroje zverejnili v čase aktualizácie návodu. Nahlásené straty z podvodov sú len spodná hranica: väčšina podvodov sa nikdy nenahlási.