Kupujúci napíše, že za tovar už zaplatil, a ako dôkaz pošle snímku obrazovky alebo potvrdzujúci e-mail. Podľa bezpečnostnej firmy Bitdefender taký obrázok nedokazuje vôbec nič. Peniaze na účte predávajúceho pritom nie sú a tovar už môže byť na ceste.
Týka sa to každého, kto predáva z druhej ruky a v tejto chvíli ešte drží vec v ruke. Od 9. októbra 2025 musia poskytovatelia platobných služieb v eurozóne okamžité eurové platby nielen prijímať, ale aj odosielať. Peniaze teda vedia doraziť hneď, hoci kupujúci okamžitú platbu použiť nemusí.
Okamžitá platba je na účte do 10 sekúnd
Národná banka Slovenska opisuje okamžitú platbu ako úhradu dostupnú nepretržite, teda aj cez víkendy a sviatky, pri ktorej sa suma pripíše príjemcovi do 10 sekúnd. Prijímať ich musia banky od 9. januára 2025, odosielať od 9. októbra 2025, a vzdialenosť pritom nerozhoduje.
Doterajšie štandardné platby nezmizli. Pri nich má byť suma na protiúčte najneskôr do konca nasledujúceho pracovného dňa a dlhšiu lehotu pre eurovú platbu v rámci eurozóny centrálna banka neuvádza. Do schémy sa slovenské banky zapájali od februára 2022; písali sme napríklad o tom, ako ČSOB zaviedla okamžité platby.
Od 9. októbra 2025 pribudlo aj bezplatné overenie príjemcu platby, chráni však toho, kto peniaze posiela. Pri zadávaní prevodu dostane platiteľ do 5 sekúnd jednu zo štyroch odpovedí, či meno sedí s číslom účtu. Predávajúcemu služba nepovie nič o tom, či platba odišla. Kupujúcemu stačí vaše meno a IBAN. Údaje z platobnej karty ani prihlásenie do internetbankingu nepotrebuje.
Na Bazoši prišla snímka platby z banky ScotiaBank
Výskumníci firmy ESET zdokumentovali prípad z Bazoš.sk. Kupujúci písal po anglicky, tvrdil, že za tovar zaplatil, a poslal snímku obrazovky s potvrdením o platbe cez zahraničnú banku ScotiaBank. Potvrdenie bolo vymyslené, zásielka mala ísť do Rakúska. Správa je datovaná 1. októbra 2021 a útoky ESET pozbieral počas jediného týždňa, takže nejde o dnešný stav.
Ako prípad dopadol, sa v správe nepíše. Scenár, ktorý ESET uvádza ako prvý, začína záujmom o inzerát: útočník sa vypytuje na stav a vek tovaru, ponúkne, že zaplatí prvý, keďže býva v inom meste, a pošle odkaz na neznámu platobnú alebo doručovateľskú službu. Peniaze tam vraj zložil a uvoľnia ich až po doklade o odoslaní.
Kto na takú výzvu pristúpi a tovar odošle, čaká na peniaze márne. Vlastnú kapitolu má aj falošný Bazoš kuriér. Časť útokov beží aj po slovensky, no slovosled a chyby v nich podľa ESETu naznačujú strojový preklad. Tretí prípad sa začal odkazom cez WhatsApp, ktorý zatiaľ na testovacej skupine skúša podvodné správy sám označiť.
Po kliknutí sa do počítača stiahol škodlivý kód, ktorým útočník ukradol heslá a zaplatil cez platobnú službu obete. Podľa Ondreja Kuboviča z ESETu môže byť škoda vyššia než cena tovaru: v horšom prípade obeť odovzdá aj „platobné údaje, ktoré sa dajú ďalej speňažiť“.
Bitdefender píše pre malé firmy a opisuje inú mechaniku: kupujúci pošle viac, než bola dohodnutá cena, a pýta vrátiť rozdiel. Uvádza aj platbu šekom, ktorý sa neskôr zvráti. V slovenských zdokumentovaných prípadoch nepríde na účet nikdy nič a šek nespomína ani jeden domáci zdroj. Snímka je len zámienka, aby ste odoslali tovar alebo vyplnili bankové údaje.
Dobierka ochráni tovar, pred falošným e-mailom nie
ESET radí držať sa overených poskytovateľov na slovenskom trhu a prípadne poslať zásielku na dobierku, ktorú kuriér vydá až po zaplatení druhou stranou. Lenže práve na dobierke stojí schéma, pred ktorou varovala Packeta v blogu z 15. novembra 2021.
Priebeh je jednoduchý. Útočník sa dohodne na dobierke na výdajné miesto alebo do samoobslužného boxu a len čo je zásielka pripravená, tvrdí, že si ju už vyzdvihol. Odosielateľ pritom v aplikácii prepravcu vidí notifikáciu, že vyzdvihnutá nebola.
Potom príde reč na problém s dobierkou a na to, že sa ozve dopravca. Vzápätí dorazí falošný e-mail v mene Packety, takmer na nerozoznanie od pravého, ktorý pýta overenie alebo doplnenie platobných údajov. Útočník tak hrá dve úlohy naraz, príjemcu zásielky aj prepravcu.
Rozdiel je najmä v adrese odosielateľa a tú si zneistený predávajúci nemusí všimnúť. Packeta píše zákazníkom z adries info@packeta.sk alebo noreply@packeta.sk, podvodné správy chodili napríklad z packetainfo@seznam.cz. Rovnaký nástroj poznáme aj ako podvodný e-mail o uzamknutom účte a útočníci ho ohýbajú podľa témy, tak ako vtedy, keď zneužívali koronavírus na phishing.
Sumu dobierky zadáva v aplikácii vždy sám odosielateľ a Packeta tvrdí, že tým garantuje vydanie zásielky až po pripísaní peňazí na jeho účet. Údaje sa podľa nej menia výhradne v aplikácii, nikdy nie cez odkaz v e-maile či SMS. Dobierka teda chráni tovar, nie vaše bankové údaje. V tej istej aplikácii nájdete aj vyzdvihnutie zásielky inou osobou.
Trestné oznámenie prijme ktorákoľvek polícia
Ak už peniaze alebo údaje odišli, Packeta radí bezodkladne informovať banku, zastaviť transakcie a zablokovať platobnú kartu, a vec ohlásiť polícii. Otázke, kedy vám banka vráti peniaze, sme sa venovali samostatne; tento text je o chvíli, keď tovar ešte máte.
Trestné oznámenie podľa Ministerstva spravodlivosti SR prijme ktorákoľvek polícia, prokuratúra aj súd a orgány si ho medzi sebou posunú. Podať sa dá písomne, ústne do zápisnice alebo elektronicky so zaručeným elektronickým podpisom. Advokáta ani znalosť toho, o aký trestný čin ide, na to nepotrebujete.
Do oznámenia patrí opis skutku, kontakt na vás, opis škody a informácia, či žiadate jej náhradu. Anonymné byť nesmie, no na žiadosť oznamovateľa v ňom policajt údaje o jeho osobe neuvedie. Po podaní dostanete písomné potvrdenie s dátumom, prijímajúcim orgánom a stručným predmetom.
Spravidla do 30 dní policajt rozhodne jedným zo štyroch spôsobov: oznámenie odmietne, odloží, odovzdá inému orgánu ako priestupok, alebo začne trestné stíhanie. Proti prvým trom sa dá do 3 pracovných dní podať sťažnosť; ak jej policajt nevyhovie, rozhodne o nej prokurátor. Nárok na náhradu škody treba uplatniť do skončenia vyšetrovania.
Slovenské pozorovania ESETu aj Packety sú z roku 2021, takže legendy útočníkov sa odvtedy mohli posunúť a čerstvé čísla o ich rozsahu ani jeden z týchto zdrojov nezverejňuje. Meradlo sa však nemení: kým sumu nevidíte vo vlastnom internetbankingu, tovar zostáva u vás, aj keď snímka vyzerá presvedčivo.
