BEC (Business Email Compromise) je sofistikovaný útok zameraný na firmy. Útočník buď priamo ovládne e-mailovú schránku konateľa (po phishingu), alebo si zaregistruje doménu líšiacu sa o jedno písmeno (firma-sk.com namiesto firma.sk) a posiela z nej účtovníčke správy so žiadosťou o naliehavý prevod. Slovenské firmy pri jednom takom prípade bežne prichádzajú o tisíce až desaťtisíce eur, pri väčších podnikoch aj o podstatne viac.

Ako to funguje

Tri najčastejšie varianty — 1) podvod s falošným riaditeľom — útočník napodobní e-mail konateľa a píše účtovníčke „prevedte rýchlo 80-tisíc na tento účet, kupujem firmu, nikomu o tom nehovorte“; 2) podvod s faktúrou — útočník zachytí korešpondenciu s dodávateľom a podstrčí faktúru s vlastným číslom účtu; 3) podvod so mzdou — útočník sa vydáva za zamestnanca, ktorý žiada zmenu účtu na výplatu. Často to kombinuje s pretextingom (telefonické potvrdenie) a klonovaným hlasom.

Ako to rozpoznať

  • Doména odosielateľa sa od pravej líši o jediné písmeno alebo má inú koncovku (.com namiesto .sk).
  • Žiadosť je naliehavá a obchádza bežný schvaľovací proces („urob to hneď, vysvetlím neskôr“).
  • Číslo účtu (IBAN) na úhradu je iné než zvyčajne — často v inej krajine než sídlo dodávateľa.
  • Šéf údajne nemá čas na overenie telefonátom alebo videohovorom.
  • Pri overení príjemcu v internetbankingu banka hlási nezhodu mena majiteľa účtu s uvedeným príjemcom.
Reklama

Čo robiť

  1. Pri každom prevode nad nastavený limit zavolajte späť na overené číslo príjemcu — nie na číslo z e-mailu.
  2. Zaveďte schvaľovanie dvoma osobami pri veľkých prevodoch (dva podpisy, dva prístupy).
  3. Aktivujte SPF, DKIM a DMARC na vlastnej doméne — chránia pred podvrhnutím vašej adresy.
  4. Pri podozrení okamžite kontaktujte banku — čerstvý prevod sa niekedy dá ešte zastaviť alebo vyžiadať späť.
  5. Prípad nahláste Polícii SR a SK-CERT (incident@nbu.gov.sk) — útoky bývajú sériové.

Situácia na Slovensku

Od 9. októbra 2025 musia všetky banky v eurozóne, teda aj slovenské, pri každej SEPA úhrade bezplatne overiť, či zadané meno príjemcu sedí s majiteľom IBAN-u (služba Overenie príjemcu podľa nariadenia EÚ 2024/886). Pri podvodnej faktúre so zmeneným účtom sa tak v internetbankingu zobrazí nezhoda alebo iba čiastočná zhoda — je to jeden z najsilnejších signálov BEC, no platbu banka nezablokuje, rozhodnutie zostáva na vás. Slovenské banky (Tatra banka, Slovenská sporiteľňa a ďalšie) firmám zároveň odporúčajú overovať každú zmenu bankového spojenia dodávateľa telefonátom na známe číslo a neposielať peniaze na základe samotného e-mailu.

Reklama

Časté otázky

Vráti mi banka peniaze, keď som podľahol BEC?

Niekedy áno, ak to nahlásite veľmi rýchlo (v priebehu hodín, najneskôr do 24 až 48 hodín) a banka príjemcu stihne prostriedky zadržať. Po odčerpaní peňazí z účtu príjemcu sa už spravidla nedajú získať späť. Niektoré poistenia kybernetických rizík firemné BEC pokrývajú, väčšinou ako voliteľné pripoistenie.

Ako chrániť malú firmu bez IT oddelenia?

Tri kroky — 1) zapnite si SPF/DKIM/DMARC na svojej doméne (poskytovateľ e-mailu to zvládne v nastaveniach); 2) zaveďte interné pravidlo, že nový účet príjemcu znamená telefonát na overené číslo; 3) limit v internetbankingu nastavte nízko a pri veľkých prevodoch vyžadujte druhé potvrdenie.