Vaše heslo je v úniku dát: čo to znamená a čo sa z toho dá poskladať

Prehliadač vám jedného dňa vyhodí okienko: toto heslo sa objavilo v úniku údajov, mali by ste si ho zmeniť. Väčšina ľudí ho zavrie. Je to otravné, heslo funguje a nič zlé sa predsa nedeje. Tento článok je o tom, odkiaľ to prehliadač vie, čo sa stane, keď to budete ignorovať, a prečo je samotné heslo tá najmenej zaujímavá vec z celej skladačky, ktorá sa dá o konkrétnom človeku poskladať.

Odkiaľ to prehliadač vie, keď heslo nikde neposlal

Prvá otázka, ktorú dostávame, znie rozumne: ak prehliadač vie, že moje heslo uniklo, musel ho predsa niekam poslať. Neposlal.

Funguje to tak, že z hesla sa priamo vo vašom zariadení vypočíta odtlačok a z neho sa odošle iba prvých päť znakov. Server vráti zoznam zhruba piatich stoviek odtlačkov, ktoré sa tými piatimi znakmi začínajú, a porovnanie prebehne znova u vás. Server sa teda nikdy nedozvie, ktoré heslo ste overovali, lebo tých kandidátov je pre každú otázku niekoľko stoviek.

Je to pekný príklad toho, že bezpečnosť a súkromie si neodporujú, keď sa to navrhne poriadne. Podrobnejšie je to v technickej prílohe.

Čo sa stane, keď to budete ignorovať

Útočník s vaším heslom nesedí a nelúšti váš účet. Robí niečo oveľa lacnejšie.

Zoberie zoznam miliónov dvojíc e mail a heslo a automaticky ich skúša na bankách, e shopoch, schránkach a sociálnych sieťach. Nepotrebuje uspieť u vás, stačí mu zlomok percenta z celého zoznamu. Ak ste to isté heslo použili na dvoch miestach, útok nie je zameraný na vás a aj tak vás trafí.

Najhoršie dopadne e mailová schránka. Nie preto, že by v nej bolo niečo tajné, ale preto, že cez ňu sa dá resetovať heslo ku všetkému ostatnému. Kto má vašu schránku, nepotrebuje vaše ďalšie heslá, jednoducho si ich vypýta.

A je tu vec, ktorá sa prehliada: únik sa často zverejní roky po tom, čo sa stal. Heslo, ktoré ste zmenili pred dvoma rokmi, je v poriadku. Heslo, ktoré ste si v roku 2019 nastavili na malom e shope a používate ho dodnes, je problém, aj keď sa vám nikdy nič nestalo.

Únik nie je jeden súbor, je to skladačka

Tu sa článok láme a začína tá menej príjemná časť.

Keby existoval jeden únik s jedným heslom, bolo by to nepríjemné a riešiteľné. Realita je, že únikov sú tisícky a dajú sa spájať cez to, čo majú spoločné: cez e mail alebo telefónne číslo. Z jedného úniku vypadne e mail a heslo. Z druhého k tomu istému e mailu telefón. Z tretieho adresa z doručovania. Zo štvrtého dátum narodenia, lebo ho chcel nejaký vernostný program.

Samo osebe je každý z tých údajov banálny. Poskladané dokopy to prestáva byť zoznam údajov a začína to byť profil človeka. A profil je presne to, čo potrebuje niekto, kto sa za vás chce vydávať.

Na tom sa dá postaviť telefonát, ktorý znie dôveryhodne, lebo volajúci vie vašu adresu aj to, kde ste naposledy nakupovali. O tom, ako takéto útoky vyzerajú v praxi, píšeme v článku Volá neznáme číslo.

A potom je tu to, čo zverejňuje štát sám

Pri únikoch sa nadáva na firmy, ktoré si nedali pozor. Lenže časť tej skladačky nepochádza zo žiadneho úniku. Je zverejnená legálne a zámerne.

Na Slovensku to dostalo veľmi konkrétnu podobu. Od 17. augusta 2026 platí nový zákon o obchodnom registri a s ním sa zbierka listín stala prístupnou komukoľvek bez prihlásenia, bez preukázania záujmu a bezplatne. V tých listinách sú pri fyzických osobách okrem mena aj rodné čísla, adresy trvalého pobytu, čísla dokladov totožnosti a podpisové vzory.

Zvláštne na tom je, že ten istý zákon v paragrafe 100 najskôr v druhom odseku hovorí, že rodné čísla a adresy sa nezverejňujú, a v treťom odseku povie, že listiny zo zbierky sú prístupné každému, a to aj keď takéto údaje obsahujú. Ministerstvo spravodlivosti tvrdí, že mu to zákon prikazuje a že ide o plnenie zákonnej povinnosti. Úrad na ochranu osobných údajov s tým nesúhlasí, 19. augusta 2026 začal voči ministerstvu konanie z vlastnej iniciatívy a uviedol, že rodné číslo medzi verejne dostupné údaje nepatrí.

V čase, keď toto píšeme, výsledok toho konania zverejnený nie je a minister spravodlivosti povedal, že pravidlá meniť neplánuje. Čiže to stále platí.

Prečo je podpisový vzor iná liga

Heslo si zmeníte za dve minúty. Číslo občianskeho si viete dať vymeniť. Rodné číslo vám zostane do konca života a váš podpis tiež.

Podpisový vzor nie je informácia o vás, je to predloha. Je to presne tá vec, ktorú niekto potrebuje, keď chce napodobniť váš podpis na dokumente. A keďže je to vzor určený práve na porovnávanie, býva napísaný čitateľne a nacvičene.

K tomu si pripočítajte, že rodné číslo nie je náhodné číslo. Je v ňom zakódovaný dátum narodenia aj pohlavie. Takže to nie je jeden údaj, sú to tri naraz.

Biometria: údaj, ktorý sa zmeniť nedá vôbec

Poznáme človeka, ktorý robil pre firmu preberajúcu projekty od nadnárodných korporácií. Keď od neho začali chcieť biometriu a ďalšie osobné údaje na evidenciu príchodu a odchodu, vrátane práce z domu, dal výpoveď. Nebol to vzdor, bola to rozvaha, a stojí za to rozobrať prečo.

Jeho argument nebol „teraz sa niečo deje". Jeho argument bol: ja tú tretiu stranu nepoznám a keď o päť rokov nastane únik, odtlačok si nevymením. Heslo je dočasné, doklad sa dá vymeniť, odtlačok prsta a tvár máte jedny.

Právne za tým stojí viac, než sa zdá. Biometrický údaj použitý na jednoznačnú identifikáciu človeka patrí podľa európskeho nariadenia medzi osobitné kategórie údajov, teda do najprísnejšieho režimu. Pred nasadením takého systému musí zamestnávateľ urobiť posúdenie vplyvu na ochranu údajov. A čo je najdôležitejšie: súhlas zamestnanca sa v tomto vzťahu považuje za slabý právny základ, pretože medzi zamestnancom a zamestnávateľom nie je rovnováha. Súhlas, ktorý neviete odmietnuť bez následkov, nie je slobodný.

K tomu Zákonník práce nepredpisuje, akou formou sa dochádzka eviduje. Keď tú istú vec zvládne karta alebo prihlásenie, biometria je pri bežnej dochádzke neprimeraná. Nie je to teda tak, že by zamestnávateľ nesmel nič. Je to tak, že musí vedieť zdôvodniť, prečo nestačí miernejší prostriedok, a ponúknuť alternatívu.

Keby ste sa v takej situácii ocitli, nemusíte hneď dávať výpoveď. Stačí sa opýtať na tri veci: aké je posúdenie vplyvu, kto je spracovateľ a kde sú údaje uložené, a aká je nebiometrická alternatíva. Odpoveď na tie otázky je sama osebe veľmi výrečná.

Krádež identity: v Amerike bežná, u nás už nie sci fi

V Spojených štátoch je prevzatie identity a úver zobratý na cudzie meno rutina. Podľa odhadov súkromných analytických firiem počet ľudí, ktorým niekto otvoril účet na ich meno, medziročne výrazne rastie a ide o milióny prípadov za rok. Čísla sa medzi zdrojmi dosť líšia, preto sem nepíšeme jedno konkrétne; smer je však vo všetkých rovnaký.

U nás to zatiaľ nie je bežné, ale dôvod nie je ten, že by to bolo technicky ťažšie. Dôvod je, že diaľkové overovanie totožnosti sa u nás rozbieha pomalšie. Každý rok, keď pribudne služba, kde sa dá niečo vybaviť na diaľku bez fyzickej kontroly dokladu, sa ten rozdiel zmenšuje.

A práve preto je skladačka z predchádzajúcich odsekov podstatná. Overovanie na diaľku sa opiera presne o tie údaje, ktoré sú buď v únikoch, alebo ich zverejňuje štát. Meno, dátum narodenia, rodné číslo, adresa, číslo dokladu a podoba podpisu. To je skoro celý zoznam.

Čo s tým viete urobiť dnes

Poradie je zámerné, od toho, čo má najväčší účinok na vynaložený čas.

• Jedinečné heslo na každú službu, uložené v správcovi hesiel. Toto jediné opatrenie ruší celú kategóriu útokov popísanú vyššie. Nemusíte si pamätať nič, stačí jedno dobré heslo do správcu.
• Dvojfaktorové overenie aspoň na e maile a v banke. Uniknuté heslo potom samo osebe nestačí. Ak si máte vybrať jedno miesto, je to e mailová schránka.
• Keď príde upozornenie, zmeňte heslo tam aj všade, kde ste ho použili znova. Tá druhá časť vety je dôležitejšia než prvá.
• Berte vážne telefonáty, kde druhá strana vie o vás prekvapivo veľa. Vedomosť o vašej adrese dnes nie je dôkaz, že volá banka. Zložte a zavolajte na číslo z vlastnej karty.
• Pri podnikaní rátajte s tým, že vaše údaje z registra sú vonku. Ak vás to znepokojuje, o obmedzenie sa dá požiadať ministerstvo; pri najbližšej zmene zápisu sa dá podať aj nový podpisový vzor.
• Nedávajte údaje len preto, že ich niekto pýta. Rodné číslo, kópia dokladu či biometria majú svoje miesto, ale vernostná karta ani evidencia dochádzky medzi ne nepatria. Otázka „na čo to potrebujete a ako dlho to budete mať" je úplne legitímna.

Na záver

Nič z toho nie je dôvod na paniku a už vôbec nie výzva odpojiť sa, nosiť len hotovosť a vrátiť sa k Nokii 3310. Tá cesta nevedie nikam a nikto ňou aj tak nepôjde.

Platí tu to, čo pri všetkom ostatnom: byť pozorný, overovať si informácie a používať zdravý sedliacky rozum. Rozdiel medzi človekom, ktorému sa niečo stane, a človekom, ktorému nie, je zvyčajne jedno jediné rozhodnutie. Napríklad to, že si na banku nedal to isté heslo ako na fórum o akváriách.

Technická príloha

Detaily, ktoré by článok zdržiavali, ale bez ktorých sa to nedá overiť.

Ako presne funguje overenie hesla bez odoslania hesla

Postup sa volá k anonymita a prebieha takto:

• Z hesla sa vo vašom zariadení vypočíta odtlačok SHA 1, čo je 40 znakov.
• Na server sa odošle iba prvých päť znakov toho odtlačku.
• Server vráti všetky odtlačky, ktoré sa týmito piatimi znakmi začínajú. Býva ich okolo piatich stoviek.
• Porovnanie zvyšných 35 znakov prebehne znova u vás. Server sa teda nedozvie, ktoré heslo ste hľadali.

Obmedzenie: SHA 1 sa tu nepoužíva ako bezpečnostná funkcia, ale ako spôsob, akým je zostavený zoznam. Aj tak platí, že odpoveď sa dá odpozorovať na sieti, preto má zmysel heslo zmeniť bez ohľadu na to, kto sa pýtal.

Čo je v rodnom čísle

Rodné číslo nie je poradové číslo. Prvých šesť číslic je dátum narodenia v poradí rok, mesiac, deň, pričom u žien je k mesiacu pripočítaných päťdesiat. Zvyšné číslice rozlišujú ľudí narodených v ten istý deň a posledná slúži na kontrolu správnosti.

Preto je rodné číslo zradné: nie je to identifikátor, ktorý by sám osebe nič neprezrádzal. Kto ho má, má aj dátum narodenia a pohlavie. A pretože sa historicky používa aj ako overenie totožnosti, nie iba ako označenie, jeho zverejnenie je iný problém než zverejnenie mena.

Právny stav okolo obchodného registra

Poznámka k zdrojom

Údaje o obchodnom registri pochádzajú z právnych rozborov a zo spravodajstva z augusta 2026 a z textu zákona. Stav sa môže zmeniť rozhodnutím úradu alebo novelou, preto je v tabuľke uvedený dátum.

Čísla o krádeži identity v Spojených štátoch pochádzajú od súkromných analytických firiem a od dozorných orgánov a medzi zdrojmi sa výrazne líšia podľa toho, čo presne počítajú. Preto v článku uvádzame smer, nie konkrétnu hodnotu.

Pri biometrii vychádzame zo všeobecného nariadenia o ochrane údajov a z výkladu slovenských odborných zdrojov. Nejde o právne poradenstvo; pri konkrétnom systéme je namieste posúdenie vplyvu a právnik.

Súvisiace čítanie

Čo o vás prezradí jedna fotka: poloha, rýchlosť pohybu aj sériové číslo prístroja.

Ako znie telefonát, ktorý o vás vie priveľa: Volá neznáme číslo.

Čo ste odklikli sociálnym sieťam: rytmus písania, pohyb myši a vaše zvyky.

A keď chcete vedieť, čo o návštevníkoch zbiera váš vlastný web: Audit webu zdarma.