Klon namiesto originálu: ako sa falošná stránka dostane v Google nad pravú

Zadáte do Googlu názov známej kryptopeňaženky. Prvý výsledok je reklama. Kliknete, lebo je prvý. Stránka vyzerá presne tak, ako má, adresa sedí, značka sedí, všetko sedí. O desať minút nemáte nič. Toto nie je článok o tom, že si máte dávať pozor. Je to článok o tom, prečo rada „skontrolujte si adresu“ v roku 2026 prestala stačiť a čo robiť namiesto nej.

Najprv čísla, aby bolo jasné, o akom rozsahu hovoríme

Federálny úrad pre vyšetrovanie (FBI) zverejňuje každý rok správu o internetovej kriminalite. Za rok 2025 uvádza:

• 11,37 miliardy dolárov strát v prípadoch súvisiacich s kryptomenami, o 22 % viac než rok predtým,
• 181 565 oznámení s kryptomenovým prvkom, o 21 % viac,
• 62 604 dolárov priemerná strata na jedno oznámenie,
• 18 589 ľudí stratilo viac než 100 000 dolárov,
• ľudia nad 60 rokov stratili 4,43 miliardy dolárov, teda viac než ktorákoľvek iná veková skupina.

Pre porovnanie, celkové nahlásené straty z internetovej kriminality boli za rok 2025 20,88 miliardy dolárov. Kryptomeny teda tvoria viac než polovicu. A to sú len prípady, ktoré niekto nahlásil.

Samostatne sa dá sledovať užšia kategória: okradnutie peňaženky cez podvodnú stránku. Firma Scam Sniffer, ktorá tieto útoky meria na sieťach kompatibilných s Ethereom, uvádza za rok 2025 83,85 milióna dolárov a 106 106 obetí, pričom priemerná strata bola 790 dolárov. Oproti roku 2024, keď to bolo 494 miliónov a asi 332 000 obetí, je to pokles o 83 %. Autori sami upozorňujú, že časť poklesu môže znamenať presun útočníkov k ťažšie merateľným spôsobom, nie ich ústup.

Slovenska sa to týka priamo. Národná banka Slovenska počas roka 2026 opakovane zverejňovala zoznamy webov, ktoré u nás ponúkajú kryptoslužby bez povolenia, a pri jednom z nich uviedla, že časť domén pôsobí ako generovaná umelou inteligenciou a že zoznam zrejme nepokrýva všetky podozrivé stránky.

Prečo rada „pozrite si adresu“ prestala fungovať

V auguste 2026 analyzoval tím ThreatLabz bezpečnostnej firmy Zscaler kampaň zameranú na používateľov hardvérových peňaženiek Ledger. Jej priebeh stojí za podrobný opis, pretože vysvetľuje, prečo bežné rady zlyhávajú.

1. Reklama v Googli. Vo výsledkoch vyhľadávania sa zobrazila platená reklama. Ako zobrazovaná adresa pri nej svietilo google.com.
2. Google Cloud Storage. Po kliknutí sa otvorila adresa na storage.googleapis.com, teda na skutočnej infraštruktúre Googlu.
3. Presmerovanie. Odtiaľ šiel používateľ cez stránku na službe Vercel, ktorá ho poslala ďalej. Výskumníci zistili, že cieľová doména sa menila zhruba každých 15 až 20 minút, čo znemožňuje blokovanie podľa reputácie.
4. Google Sites. Skončil na stránke v službe Google Sites, ktorá mala podvodnú stránku vloženú v rámci (iframe).

Zhrňme, čo z toho vyplýva pre bežného človeka. Celý reťazec prebehol cez pravé domény Googlu. V adresnom riadku nebol preklep, nebola podozrivá koncovka, nebolo tam nič, čo by sa dalo odhaliť pozretím sa na adresu. Nefungoval ani certifikát: všetky tie služby majú platné certifikáty, lebo sú pravé.

A reklama bola kúpená cez overený účet

Toto je bod, ktorý býva v návodoch vynechaný. Podľa analýzy reklamu zaplatil dlhodobo existujúci inzerentský účet s overenou totožnosťou inzerenta a bez pozorovanej histórie škodlivých reklám, so sídlom uvedeným v Nemecku. Výskumníci pripúšťajú, že útočník účet pravdepodobne prevzal.

Inými slovami: prešlo to overením Googlu, pretože ten účet overením naozaj prešiel. Roky budovaná dôveryhodnosť značky aj platformy pracovala v prospech útočníka.

Ako vyzerala samotná stránka

Falošná stránka ponúkla stiahnutie pre Windows, macOS, Linux aj mobil, potom zobrazila hlášky „pripájam vaše zariadenie“ a „inicializujem aktualizáciu firmvéru“ a nakoniec si pod zámienkou overenia vlastníctva vypýtala obnovovaciu frázu.

Dva detaily ukazujú, s akou starostlivosťou to bolo postavené:

• Políčka na zadanie frázy napovedali slová z oficiálneho zoznamu BIP-39, teda z tých istých 2 048 slov, aké používa pravý softvér. Pôsobilo to ako štandardné správanie peňaženky.
• Po prvom zadaní stránka ohlásila chybu a vyzvala na opätovné zadanie. Výskumníci nenašli nič, čo by tie dve zadania porovnávalo. Chyba bola falošná, jej jediným účelom bolo získať frázu druhý raz a overiť si ju proti preklepom. Používateľ pritom nadobudol dojem, že prebehla normálna kontrola.

Stránka navyše sledovala pohyby myši, stlačenia klávesov a dotyky, aby odlíšila skutočného návštevníka od automatizovaného analytického nástroja.

Nejde o ojedinelý prípad. Organizácia Security Alliance uviedla, že phishing naviazaný na škodlivé reklamy v Googli pripravil ľudí o viac než 1,27 milióna dolárov len medzi 13. a 30. marcom 2026. Rovnaký postup bol zdokumentovaný aj proti používateľom peňaženiek Trezor.

Prečo vás hardvérová peňaženka v tomto prípade nezachráni

Toto je najčastejšie nepochopená časť a treba ju povedať presne. Hardvérová peňaženka chráni veľmi dobre proti jednej veci: pred odcudzením súkromného kľúča z počítača. Kľúč zo zariadenia nevyjde. Vírus v notebooku ho neprečíta.

Lenže útočníci na kľúč neútočia. Útočia na dve iné miesta, a obe sú mimo dosahu hardvéru.

Cesta prvá: frázu zadáte sami

Ak obnovovaciu frázu napíšete do políčka v prehliadači, hardvérová peňaženka je úplne bezpredmetná. Práve ste útočníkovi dali to, čo zariadenie celý čas strážilo. Odtiaľ si peňaženku obnoví u seba a hardvér, ktorý vám leží na stole, na tom nič nezmení.

Cesta druhá: podpíšete to sami a dobrovoľne

Táto je zákernejšia, pretože pri nej nikto nežiada frázu a všetko prebehne „správne“. Pripojíte peňaženku k stránke, ktorá vyzerá ako známa služba, a tá vás požiada o podpis. Vy podpis potvrdíte na zariadení, tak ako vždy. Zariadenie podpíše to, čo ste mu povedali, lebo presne na to je.

Problém je, čo podpisujete. Býva to povolenie, ktoré útočníkovi umožní nakladať s vašimi tokenmi:

• Permit a Permit2 sú podpisy mimo blockchainu. Nestoja žiadny poplatok, v peňaženke nevyzerajú ako prevod peňazí a pôsobia preto neškodne.
• approve a setApprovalForAll udelia prístup k tokenom alebo k celej zbierke NFT.

Čísla to potvrdzujú. Podľa Scam Sniffer bola najväčšia jednotlivá krádež roku 2025 vo výške 6,5 milióna dolárov vykonaná práve podpisom typu Permit. Pri veľkých prípadoch tvorili Permit a Permit2 38 % objemu strát.

Na malom displeji pritom často vidíte reťazec, ktorý sa nedá zmysluplne prečítať. Hovorí sa tomu podpisovanie naslepo. Zariadenie vás poslúchlo dokonale. Len ste mu dali zlý pokyn.

Prečo si podvodník vyberie práve vás

Nie je to náhoda a stojí za tým často únik údajov. Ukážkový prípad je Ledger z roku 2020: útočník sa cez zle nastavený prístupový kľúč dostal do databázy e-shopu a na internete skončilo približne 272 000 záznamov s menami, adresami a telefónnymi číslami zákazníkov, popri viac než milióne e-mailových adries.

Samotné kryptomeny ten únik neohrozil, kľúče ani frázy v databáze neboli. Dôsledky boli iné a trvajú dodnes:

• zákazníci dostávali vlny phishingových e-mailov a SMS, ktoré ich posielali zadať frázu na falošnú stránku,
• niektorí dostali výhražné listy s požiadavkou na platbu v bitcoinoch,
• v roku 2021 chodili na adresy z úniku fyzicky upravené „náhradné“ zariadenia v pôvodnom balení.

Útočník teda nestrieľa naslepo. Vie, že vlastníte hardvérovú peňaženku, pozná vaše meno aj adresu. Preto jeho e-mail nepôsobí ako spam: pôsobí ako správa od firmy, od ktorej ste si naozaj niečo kúpili.

Čo si overiť, keď podmienky chýbajú

V článku o identifikácii neznámych volajúcich sme písali, že sa oplatí prečítať si podmienky, aj keď sú dlhé a cudzojazyčné. Pri podvodných stránkach to platí tiež, ale naopak, a práve preto je to taká spoľahlivá pomôcka.

Pri legitímnej službe tie údaje byť musia. Smernica o elektronickom obchode a na Slovensku § 4 zákona č. 22/2004 Z. z. ukladajú poskytovateľovi uviesť názov a sídlo, daňové identifikačné číslo pri platiteľovi DPH, kontaktný e-mail a telefón, register, v ktorom je zapísaný, a orgán dohľadu, pričom tieto údaje musia byť ľahko a trvalo prístupné. Pri finančných službách k tomu pristupuje povolenie, ktoré sa dá overiť v zozname dohliadaných subjektov Národnej banky Slovenska.

Pri podvode tieto údaje chýbajú. Podvodník ich uviesť nemôže, lebo pravdivé by ho prezradili a nepravdivé sa dajú vyvrátiť. Tak ich jednoducho neuvedie. Prejdite si preto pätičku a podstránky a všímajte si:

• chýbajúce sídlo, identifikačné číslo a meno prevádzkovateľa,
• obchodné podmienky, ktoré tam vôbec nie sú, alebo sú odkazom do prázdna,
• podmienky zjavne skopírované odinakiaľ: iný názov firmy v texte než v pätičke, iná krajina, iná mena, zvyšky cudzieho jazyka,
• kontakt iba cez formulár alebo Telegram, bez adresy a bez telefónu,
• text preložený strojovo do slovenčiny pri inak profesionálnej grafike.

Ak sú podmienky v cudzom jazyku, vložte ich do prekladača. Nerezignujte na ne preto, že sú dlhé; stačí hľadať meno firmy a adresu. Keď sa nezhodujú so značkou, ktorú si myslíte, že navštevujete, máte odpoveď.

Veta, ktorú počujeme zakaždým

Keď sa s klientmi dostaneme na túto tému, takmer vždy príde tá istá reakcia: „To sa stalo niekomu inému. Ja si dávam pozor, mne by sa to nikdy nestalo.“ Zaručujeme vám, že sme to počuli zakaždým.

A nestalo sa len raz, že o nejaký čas prišiel telefonát, ktorý sa začínal slovami „prosím ťa, stalo sa mi to a to“. Ten istý človek, tá istá veta o opatrnosti, iný tón hlasu.

Nepíšeme to preto, aby sme niekoho zhadzovali. Píšeme to preto, že pocit opatrnosti nie je obrana. Nikto nenaletí podvodu, ktorý vyzerá ako podvod. Útok opísaný vyššie je postavený presne tak, aby ním opatrný človek prešiel: reklama bola overená, doména patrila Googlu, certifikát bol platný, stránka napovedala správne slová zo správneho zoznamu. Opatrnosť nemala čoho sa chytiť.

Preto nasleduje zoznam pravidiel, a nie výzva, aby ste si dávali pozor. Pravidlo funguje aj vtedy, keď opatrnosť nefunguje: keď ste unavení, keď sa ponáhľate, keď vám obrazovka tvrdí, že ide o naliehavú aktualizáciu, a keď je všetko ostatné na tej stránke v poriadku. Presne na takú chvíľu je útok navrhnutý.

Postup, ktorý zaberie proti všetkému vyššie

1. Nikdy neklikajte na platený výsledok pri finančných službách a peňaženkách. Reklamy sú hore preto, že za ne niekto zaplatil, nie preto, že sú pravé. Posuňte sa nižšie na neplatené výsledky.
2. Adresu si napíšte ručne alebo si ju uložte do záložiek a používajte výhradne tú záložku. Toto jediné opatrenie by zastavilo celú kampaň opísanú vyššie.
3. Softvér sťahujte len z oficiálnej stránky výrobcu, na ktorú ste sa dostali vlastnou záložkou.
4. Obnovovaciu frázu nezadávajte nikde okrem zariadenia. Bez výnimky, bez ohľadu na to, aká naliehavá je hláška na obrazovke.
5. Čítajte, čo podpisujete. Keď nerozumiete tomu, čo je na displeji, nepodpisujte. Legitímna operácia počká, podvodná sa ponáhľa.
6. Pravidelne rušte staré povolenia. Povolenia udelené kedysi platia, kým ich nezrušíte.
7. Pri väčších sumách používajte oddelenú peňaženku, ktorá sa k stránkam nepripája vôbec.
8. Overte si poskytovateľa v zozname dohliadaných subjektov Národnej banky Slovenska skôr, než mu pošlete peniaze.

Čo si z toho odniesť

Rady typu „pozrite si, či je adresa správna“ vznikli v čase, keď podvodné stránky bývali na preklepových doménach s neplatným certifikátom. Tá doba skončila. Dnešná kampaň beží cez pravú doménu Googlu, s overeným inzerentom, s cieľom, ktorý sa mení každých dvadsať minút.

Zostali dve veci, ktoré fungujú stále. Prvou je nedôverovať ceste, po ktorej ste na stránku prišli, a chodiť na ňu vlastnou záložkou. Druhou je čítať: podmienky, identifikačné údaje a to, čo máte podpísať. Pri legitímnej službe to tam nájdete. Pri podvode tam nebude nič, a to je presne tá informácia, ktorú potrebujete.

Súvisiace čítanie

O tom, čo sa dá vyčítať z podmienok bežnej mobilnej aplikácie a prečo sa to týka aj ľudí, ktorí si ju nenainštalovali, píšeme v článku Volá neznáme číslo: ako fungujú služby na identifikáciu volajúceho a čo za to dáte.

Rovnaký prístup, teda overovanie pred podpisom namiesto dôvery v dojem, sme rozpísali pre výber dodávateľa v článku Ako preveriť dodávateľa vývoja: desať otázok pred podpisom.

A ak vás zaujíma, či váš vlastný web nenaháňa návštevníkom zbytočné riziko, náš Audit zdarma ukáže, aké cudzie skripty na ňom bežia a čo odosielajú.