Ako rozpoznať podvodné SMS: smishing, kuriéri aj banky

Príde vám SMS: „Vaša zásielka je zadržaná na colnom úrade, doplaťte 2,99 eura, inak ju vrátime odosielateľovi.“ Pod správou je odkaz a hodiny tikajú – veď balík naozaj čakáte. Presne na tomto momente stavia smishing: podvod cez SMS, ktorý vás má prinútiť konať skôr, než stihnete premýšľať. Slovenská pošta pritom za doručenie cez SMS nikdy nič nepýta. A vy ste len pár sekúnd od toho, aby ste útočníkovi sami nadiktovali číslo svojej platobnej karty.

Aktualizované 16. októbra 2026.

Čo je smishing a prečo je nebezpečnejší než e-mail

Smishing je spojenie slov SMS a phishing. Útočník rozosiela podvodné SMS, v ktorých sa vydáva za banku, kuriéra, poštu alebo úrad, a snaží sa vás prinútiť kliknúť na odkaz alebo zadať citlivé údaje na falošnej stránke. Oproti e-mailu je SMS kratšia, podľa spoločnosti ESET si ju väčšina ľudí prečíta a skrátený odkaz ukryje skutočnú adresu.

V čom je teda rozdiel medzi smishingom a phishingom? Európsky policajný úrad Europol definuje smishing (spojenie slov SMS a phishing) ako pokus podvodníkov získať osobné, finančné alebo bezpečnostné údaje cez textovú správu. SMS vás zvyčajne vyzve kliknúť na odkaz alebo zavolať na číslo, aby ste účet „overili“, „aktualizovali“ alebo „znovu aktivovali“. Odkaz však vedie na falošnú stránku a číslo k podvodníkovi, ktorý sa vydáva za legitímnu firmu.

Ak postavíte vedľa seba smishing vs. phishing cez e-mail, SMS má podľa bezpečnostnej spoločnosti ESET niekoľko zákerných výhod. Väčšina ľudí si SMS prečíta, kým e-mail často zahodíme neotvorený. Text správy má menej slov, takže máte menej príležitostí odhaliť podvod podľa slabej gramatiky. Správa zvyčajne obsahuje skrátený odkaz, ktorý obvykle vedie na falošnú stránku, a telefónne číslo či meno odosielateľa sa dá ľahko sfalšovať (spoofing). Útočník tak dostane správu, ktorú si takmer určite prečítate, pod menom, ktoré poznáte.

Že nejde o okrajový jav, potvrdzujú aj európske inštitúcie. Europol v správe „Online fraud schemes: a web of deceit“ (súčasť IOCTA 2023) označuje phishing za kľúčovú vstupnú bránu pre väčšinu typov podvodov a smishing (SMS phishing) aj vishing uvádza ako jeho bežné alternatívne techniky. Správa agentúry Európskej únie pre kybernetickú bezpečnosť ENISA (Threat Landscape 2024) zase radí sociálne inžinierstvo vrátane smishingu medzi najvýznamnejšie vstupné brány útokov – kampane mieria najmä na jednotlivcov (38 %) a úverové inštitúcie (36 %), teda na klientov bánk hromadným rozosielaním.

Ako rozpoznať podvodnú SMS – varovné signály

Podvodnú SMS spoznáte podľa naliehavého tónu a tlaku na okamžité konanie, podľa skráteného alebo divného odkazu, podľa neočakávaného obsahu (problém s balíkom, ktorý ste neobjednali) a podľa chýbajúcich identifikačných prvkov, ako je logo, číslo zásielky či kontakt na firmu. Seriózna inštitúcia cez SMS nikdy nepýta heslá ani údaje o karte.

Slovenská kybernetická firma ESET zhrnula varovné signály do niekoľkých bodov. Naliehavosť je úmyselná – útočník chce, aby ste reagovali skôr, než si správu poriadne prečítate. Práve tu sa spúšťa celý mechanizmus podvodu:

Dôležité je vedieť, čo seriózna inštitúcia nikdy neurobí. Bezpečnostná spoločnosť ESET to hovorí priamo: „Žiadna spoločnosť od vás nebude pýtať osobné údaje ako číslo CVV alebo heslá, či informácie o platobnej karte.“ Raiffeisen banka dopĺňa, že banka neposiela odkazy, na ktorých máte vyplniť platobné údaje či iné citlivé informácie, a Slovenská sporiteľňa radí neposkytovať nikomu heslá, SMS kľúč na potvrdenie platby ani kompletné údaje o platobnej karte. SMS, ktorá o takéto údaje žiada, je preto podvod. Slovenská pošta zasa na svojom webe uvádza, že platby za doručenie nikdy nežiada prostredníctvom e-mailu ani SMS, a výzvy na doplatenie poštovného alebo cla cez SMS či e-mail radí medzi najčastejšie typy podvodov. Informácie o prichádzajúcich zásielkach odporúča hľadať vo svojej mobilnej aplikácii a dodáva, že službu platobnej brány neposkytuje. Podľa Raiffeisen banky ani doručovateľské spoločnosti nežiadajú platbu uprostred doručovania, ale vopred alebo pri prevzatí.

„Nikdy nežiadame platby za doručenie prostredníctvom e-mailu alebo SMS.“

–Slovenská pošta

Jeden tradičný varovný signál však už neplatí tak spoľahlivo ako kedysi. Národná jednotka SK-CERT v apríli 2025 zdokumentovala vlnu podvodných SMS a správ v aplikáciách písaných v bezchybnej slovenčine – bez skomolenej diakritiky a gramatických chýb, podľa ktorých sa podvod donedávna dal ľahko odhaliť. Absencia gramatických chýb preto už nie je spoľahlivým dôkazom, že správa je pravá. Namiesto jazyka sa spoľahnite na overiteľné znaky: očakávali ste túto správu, sedí odkaz a kontaktovala by vás daná inštitúcia naozaj takto?

Prečo je toho zrazu tak veľa? Časť odpovede má meno – Smishing Triad. Ide o čínsku zločineckú skupinu, ktorá svoje phishingové nástroje nepoužíva len sama, ale predáva ich ako službu ďalším podvodníkom po celom svete. Na Slovensku pôsobí od roku 2023, pôvodne pod menom Slovenskej pošty, no od januára 2025 čoraz častejšie útočí aj v mene bánk. V marci 2025 vydala nový nástroj s názvom „Lighthouse“, ktorý dokáže napodobniť desiatky bankových aplikácií naraz – odtiaľ aj pocit, že sa vlny podvodných SMS z posledných mesiacov ponášajú jedna na druhú. Nejde totiž o osamotených páchateľov, ale o priemyselne škálovaný „balíček na mieru“, ktorý si kúpi ktokoľvek. (Zdroj: Vosveteit.sk.)

Najčastejšie podvodné SMS na Slovensku

Na Slovensku sa najčastejšie objavujú falošné SMS od kuriéra alebo Slovenskej pošty o zadržanej zásielke a nedoplatku za doručenie či clo, falošné upozornenia banky na podozrivú aktivitu alebo zablokovanú kartu, podvody na inzertných portáloch (bazár), falošné pokuty a falošné výhry, prípadne správy o „odmietnutej platbe“ za predplatné, napríklad Netflix.

Scenáre sa opakujú, pretože fungujú. Najrozšírenejšie podoby vyzerajú takto:

• Kuriér alebo pošta: zásielka je vraj zadržaná, chýbajú údaje alebo treba doplatiť malú sumu za doručenie či clo. Práve preto je presvedčivá – balík často naozaj čakáte.
• Banka: SMS varuje pred podozrivou aktivitou alebo zablokovanou kartou a vyzýva „overiť“ prístup cez odkaz, ktorý vedie na falošnú prihlasovaciu stránku.
• Falošná pokuta alebo clo: správa sa tvári ako úradné upozornenie na nezaplatený poplatok s hrozbou ďalších sankcií.
• Výhra a predplatné: oznámenie o výhre alebo o „neúspešnej platbe“ za službu typu Netflix, ktoré vás má dotlačiť zadať údaje o karte.

Spoločného menovateľa majú jediného: malá, „neškodná“ suma alebo strach, že o niečo prídete – a odkaz, ktorý všetko „vyrieši“.

Aktuálnu podobu tejto hrozby opísala Polícia SR v júli 2026: prebiehajúca vlna smishingu stavia na takzvanom typosquattingu. Podvodníci registrujú domény, ktoré napodobňujú známe aplikácie a inštitúcie a od pravej adresy sa líšia často len v jedinom písmene – zámenou „l“ za „i“, pridaným písmenom alebo inou koncovkou. Cieľ zostáva rovnaký: vylákať prihlasovacie a platobné údaje. Práve preto sa oplatí prečítať adresu v odkaze znak po znaku a v prípade pochybností ju do prehliadača radšej ručne napísať.

Konkrétne prípady z posledného obdobia

V roku 2026 na Slovensku prúdia falošné SMS s vymyslenou dopravnou pokutou aj podvodné výzvy v mene kuriéra GLS na doplatenie poplatku za doručenie; v mene rodinného príslušníka útočí schéma „ahoj mami“ a svoje meno si musia brániť aj Sociálna poisťovňa a inkasná spoločnosť Intrum Slovakia. Každý z týchto prípadov má spoločné jadro: naliehavosť, malú sumu alebo strach a odkaz, ktorý „všetko vyrieši“.

Falošná pokuta za dopravný priestupok. Ministerstvo vnútra SR v júli 2026 opakovane upozornilo na pretrvávajúcu vlnu podvodných SMS so sfalšovaným (spoofovaným) číslom odosielateľa, ktoré tvrdia, že príjemca má nezaplatenú pokutu za dopravný priestupok. Podľa portálu TECHBYTE.sk rezort otvorene priznal, že nemá právne ani technické prostriedky, ako tomuto konkrétnemu podvodu zabrániť – jediná obrana je overenie na strane občana. Odporúča preto prípadné priestupky si vždy overiť až po prihlásení cez eID a BOK v elektronických službách rezortu, nikdy nie cez odkaz v SMS.

Falošný poplatok v mene kuriéra GLS. V júni 2026 sa podľa portálu TECHBOX.sk šírila SMS, ktorá v mene kuriérskej spoločnosti GLS žiadala doplatiť 1,39 eura ako „príspevok na opätovné doručenie“. Odkaz viedol na falošnú doménu glsgroupojds.top, ktorá si pri „platbe“ pýtala číslo karty, meno držiteľa, dátum platnosti aj CVV kód – teda presne tie údaje, ktoré stačia na okamžité vybratie peňazí z účtu. GLS na svojom webe potvrdzuje, že platobné údaje cez odkaz v SMS nikdy nežiada.

„Ahoj mami, mám nové číslo.“ Ministerstvo vnútra SR varovalo už v roku 2025 (podľa Finreport.sk) pred schémou, pri ktorej sa páchateľ cez SMS vydáva za dieťa obete – s rozbitým alebo novým telefónom – a následne si od rodiča vypýta peniaze. Napriek staršiemu pôvodu sa táto schéma naďalej objavuje aj v roku 2026. Rezort odporúča situáciu vždy overiť priamym telefonátom na známe, pôvodné číslo dieťaťa, nikdy neodpovedať v danej konverzácii a peniaze v žiadnom prípade neposielať.

Sociálna poisťovňa a Intrum Slovakia. Podvodníci si nevyberajú len banky a kuriérov – požičiavajú si aj meno inštitúcií, ktoré s peniazmi ľudí bežne komunikujú úradne. Sociálna poisťovňa na svojom webe oficiálne upozorňuje na podvodné SMS správy rozosielané v jej mene, ktoré zneužívajú dôveru klientov. Inkasná spoločnosť Intrum Slovakia zasa potvrdzuje, že podvodníci v jej mene rozosielajú falošné upomienky s vymyslenými číslami pohľadávok a účtami na úhradu – spoločnosť pritom priamo uvádza, že príjemcovia týchto správ nie sú jej skutočnými dlžníkmi, a odporúča namiesto platby kontaktovať jej zákaznícke centrum.

Čo robiť, keď ste klikli alebo zadali údaje

Ak ste už klikli na odkaz alebo zadali údaje z karty, konajte v prvých minútach: bezodkladne kontaktujte banku cez oficiálnu linku a požiadajte o zablokovanie karty, zmeňte si heslá, podozrivé číslo zablokujte a nahláste ako spam a podvod oznámte Polícii SR aj inštitúcii, za ktorú sa podvodník vydával. Rýchla reakcia výrazne znižuje finančnú škodu.

Banka Raiffeisen aj ďalší poskytovatelia zhodne zdôrazňujú, že rozhoduje čas. Postupujte v tomto poradí:

Kam podvodnú SMS nahlásiť

Bezpečnostný incident môžete nahlásiť slovenským tímom SK-CERT (sk-cert.sk) pri Národnom bezpečnostnom úrade a CSIRT.SK (csirt.gov.sk). Pri nahlásení phishingu pripojte úplnú URL adresu falošnej stránky a dôkazy – screenshoty správ a prípadné bankové výpisy. Ak ste prišli o peniaze, podajte trestné oznámenie na Polícii SR.

Nahlásenie nie je len formalita: pomáha úradom zachytiť vlnu podvodov a varovať ďalších. Slovenská pošta aj polícia opakovane zverejňujú výstrahy pred konkrétnymi vlnami podvodných SMS, a čím skôr sa nová kampaň dostane k SK-CERT, tým rýchlejšie sa dá falošná stránka zablokovať.

Je smishing trestný čin?

Áno. Smishing môže napĺňať skutkovú podstatu trestného činu podvodu podľa § 221 Trestného zákona (zákon č. 300/2005 Z. z.). Podvod sa začína spôsobením škody nad 700 eur a pri závažných formách hrozí páchateľovi trest odňatia slobody až do 10 rokov; falošné správy môžu napĺňať aj vydieranie či hrubý nátlak.

Štát na hrozbu reaguje aj systémovo. Národná banka Slovenska 1. decembra 2025 spustila koordinačnú platformu proti online podvodom v rámci štruktúr Ministerstva vnútra SR – zapojili sa doň prokuratúra, polícia, bankový sektor aj firma ESET a z európskej úrovne Európska komisia a Eurojust.

Ako sa pred smishingom chrániť do budúcna

Podľa Europolu neklikajte na odkazy, prílohy ani obrázky v nevyžiadaných SMS bez toho, aby ste najprv overili odosielateľa, nenechajte sa súriť a nikdy neodpovedajte na SMS, ktorá žiada PIN, heslo do internetbankingu alebo iné bezpečnostné údaje. Navyše si zapnite dvojfaktorové overenie a spamové filtre v telefóne a podozrivé čísla blokujte a nahlasujte ako spam.

Technika sama nestačí. Mobilní operátori združení v ASMOS (Telekom a O2; Orange a SWAN zapojenie zvažujú) zaviedli systém vzájomného overovania pravosti volaní proti spoofingu, ktorý denne odfiltruje niekoľko desiatok tisíc podvodných volaní (oznámené 13. novembra 2024). Lenže útočníci rotujú stovky čísel a cez spoofing dokážu na displeji zobraziť skutočný názov či číslo banky – zobrazenému odosielateľovi sa preto dôverovať nedá.

„Spoofing považujem za momentálne najväčší problém v oblasti elektronických komunikácií a vítam akúkoľvek aktivitu zo strany operátorov na ochranu svojich zákazníkov.“

–Ivan Marták, predseda Úradu pre reguláciu elektronických komunikácií a poštových služieb

Do budúcna navyše pribúda nový faktor. Národný bezpečnostný úrad (NBÚ) pre rok 2026 varuje, že umelá inteligencia a veľké jazykové modely posúvajú phishing aj smishing na novú úroveň dôveryhodnosti – podvodné správy sú plynulé, personalizované a čoraz ťažšie rozpoznateľné. To len potvrdzuje, prečo sa už nedá spoliehať ani na „zlú gramatiku“, ani na zobrazené číslo odosielateľa.

Rozhodujúcim faktorom tak zostáva obozretnosť používateľa. Bežná rada „neverte SMS z cudzieho čísla“ je nedostatočná – pri spoofingu sa správa zobrazí pod štandardným slovenským číslom alebo priamo pod názvom banky. Spoľahnúť sa preto možno len na nezávislé overenie cez oficiálny kanál, nie na zobrazené číslo odosielateľa.