Ako spoznať podvodný odkaz na stiahnutie súboru

Publikované 5. 8. 2026 · Ako píšeme návody

Príde správa: „Posielam ti tú faktúru, stiahni si ju tu." Odkaz vyzerá normálne, meno odosielateľa poznáte, stránka má zámok v adresnom riadku. Napriek tomu môže ísť o podvod. Tento text je o troch veciach, ktoré sa dajú overiť za pár sekúnd a bez inštalácie čohokoľvek: kam odkaz naozaj vedie, čo z neho naozaj stiahnete a čo od vás stránka žiada navyše. Pre predstavu o rozsahu problému: APWG v správe zverejnenej 18. 2. 2026 uvádza, že za štvrtý kvartál 2025 zaevidovala 853 244 phishingových útokov, o 4 % menej ako v predchádzajúcom kvartáli. Najčastejším terčom boli podľa meraní člena APWG, spoločnosti Crane Authentication, sektory sociálnych sietí a SaaS/webmailu — oba s podielom 20,3 %.

Doménu čítajte sprava doľava

Prvý krok je zistiť, komu stránka patrí. Adresa má pevnú štruktúru: za https:// nasleduje hostiteľské meno a to sa končí prvou lomkou. Všetko za tou lomkou si útočník vymyslí ľubovoľne, takže cesta typu /firma.sk/faktura nehovorí nič.

Hostiteľské meno sa skladá z návestí oddelených bodkami a číta sa sprava doľava. Úplne vpravo je doména najvyššej úrovne (.sk, .com, .ru). Zaujíma vás registrovaná doména — teda najvyššia úroveň, na ktorej si ju ktokoľvek môže zaregistrovať. Presne na to slúži Public Suffix List, verejný zoznam prípon, ktorý pre každú doménu najvyššej úrovne určuje, kde táto hranica leží. Pri .sk a .com je to jedno návestie pred príponou, pri niektorých príponách (napríklad .co.uk) sú to dve.

Na príkladoch:

• faktury.firma.sk — registrovaná doména je firma.sk. Návestie „faktury" je subdoména a vytvoriť ju vie iba držiteľ firma.sk. V poriadku.
• firma.sk.dokumenty-online.ru — registrovaná doména je dokumenty-online.ru. Text „firma.sk" je tu iba subdoména, ktorú si nastavil útočník. Podvod.
• firma-sk.ru alebo firma.sk.com — obe sú cudzie domény, ktoré len začínajú známym reťazcom.

Dva ďalšie triky využívajú to, že adresa sa nečíta zľava. Znak @ oddeľuje v adrese takzvaný userinfo od skutočného hostiteľa — podľa RFC 3986 platí zápis userinfo@host. V adrese https://firma.sk@dokumenty.ru/faktura je teda skutočný cieľ dokumenty.ru a „firma.sk" je iba ozdoba. Podobne v adrese https://dokumenty.ru/?firma.sk je známy reťazec až v parametri, kde nemá žiadny význam.

Na mobile je to horšie: adresný riadok je krátky a dlhé meno sa oreže, takže vidíte začiatok a nie koniec — a koniec je práve to podstatné. Ak sa adresa nezmestí, skopírujte ju do poznámkového bloku a prečítajte celú.

Písmená, ktoré nie sú tým, čím vyzerajú

Doména môže obsahovať aj neanglické znaky. V DNS sa prenášajú zakódovane: podľa pravidiel IDNA2008 sa takéto návestie zapíše algoritmom Punycode a dostane predponu xn--. Tomuto tvaru sa hovorí A-label — definuje ho RFC 5890, postup kódovania popisuje RFC 5891. Problém je, že cyrilické „а" alebo grécke „ο" vyzerajú na obrazovke rovnako ako latinské — a útočník si zaregistruje doménu, ktorá je opticky nerozoznateľná od skutočnej.

Prehliadače proti tomu majú vlastné pravidlá a oplatí sa vedieť, čo od nich čakať. Podľa dokumentácie projektu Chromium zobrazí Chrome návestie v tvare punycode okrem iného vtedy, keď sa v ňom miešajú latinka, cyrilika a gréčtina (tie sa navzájom miešať nesmú), keď sa miešajú dve číselné sústavy, alebo keď sú všetky písmená z jedného nelatinského písma, vyzerajú ako latinské a doména najvyššej úrovne k tomu písmu nepatrí. Osobitne rieši aj podobnosť s populárnymi doménami po odstránení diakritiky. Firefox podľa vlastného popisu algoritmu používa zoznam dôveryhodných registrov a profil „Moderately Restrictive" z Unicode Technical Report 39 — a otvorene priznáva, že napodobeniny v rámci jedného cudzieho písma nerieši a spolieha sa na pravidlá registrov.

Praktický záver je jednoduchý. Ak v adresnom riadku uvidíte doménu začínajúcu na xn-- tam, kde čakáte bežnú latinku, prehliadač vám práve povedal, že s tou doménou niečo nie je v poriadku. A naopak — to, že prehliadač zobrazuje pekné písmená, ešte neznamená, že sú latinské. Preto adresu overujte kopírovaním do textového poľa, nie okom.

Prípona rozhoduje o tom, čo sa stane po otvorení

Windows štandardne prípony známych typov súborov skrýva. Zapnete ich vo Windows 11 cez Zobraziť > Zobraziť > Prípony názvov súborov, vo Windows 10 je to začiarkavacie políčko Prípony názvov súborov v skupine Zobraziť alebo skryť na karte Zobraziť. Kým to neurobíte, súbor faktura.pdf.exe sa v prieskumníkovi zobrazí ako faktura.pdf — s ikonou, ktorú si do neho útočník vložil sám.

Že nejde o teoretické riziko, vidno na tom, ktoré prípony poštové služby vôbec nepustia do prílohy. Outlook svoj zoznam uvádza vetou, že prílohy sú jedným z najčastejších spôsobov prenosu vírusov. Gmail blokuje svoj zoznam prípon aj v komprimovanej podobe a vnútri archívov, a rovnako neprepustí archívy chránené heslom.

Posledný riadok je najzaujímavejší. Dokument s makrom cez poštu prejde, lebo je to legitímny formát. Microsoft preto od verzie Current Channel 2206 (nasadzovanie sa začalo 27. 7. 2022) blokuje makrá v súboroch z internetu priamo v Office. Týka sa to iba balíka Office na Windows a aplikácií Access, Excel, PowerPoint, Project, Publisher, Visio a Word; na Macu, na mobiloch a vo webovej verzii toto blokovanie nie je. Rozhoduje o tom značka Mark of the Web, ktorú Windows pridá k stiahnutému súboru — hodnota ZoneId 3 znamená internetovú zónu. Používateľ potom vidí pruh SECURITY RISK, ktorý zámerne nemá tlačidlo na povolenie obsahu.

Z toho vyplýva veľmi spoľahlivý príznak: keď vás návod v e-maile presviedča, aby ste na súbore klikli pravým tlačidlom, otvorili Vlastnosti a zaškrtli Odblokovať, prípadne aby ste povolili obsah, žiada vás niekto o vypnutie presne tej ochrany, ktorú Microsoft zapol kvôli takýmto prílohám. Legitímny dokument to nepotrebuje.

Skrátené odkazy si rozbaľte skôr, než kliknete

Skracovač adries funguje tak, že na požiadavku odpovie presmerovaním. Podľa RFC 9110 znamená stavový kód 301 trvalé a 302 dočasné presmerovanie a cieľová adresa je v hlavičke Location. Tú si viete prečítať bez toho, aby ste stránku otvorili v prehliadači — stačí požiadavka, ktorá si vypýta iba hlavičky:

curl -sI https://skratene.example/xyz

V odpovedi hľadajte riadok začínajúci na Location:. Ak je presmerovaní viac za sebou, prejdite celý reťazec:

curl -sIL https://skratene.example/xyz

Tri poctivé upozornenia k tomuto postupu. Po prvé, aj takáto požiadavka je návšteva — skracovač ju započíta a uvidí vašu IP adresu. Po druhé, cieľová stránka môže rôznym návštevníkom vrátiť rôzny obsah, takže samotná adresa je indícia, nie dôkaz. Po tretie, ak sa presmerovanie robí až v prehliadači cez JavaScript alebo cez meta refresh v HTML, v hlavičkách ho nevidno. Pri neznámej skratke je preto najbezpečnejšia odpoveď nekliknúť vôbec a opýtať sa odosielateľa iným kanálom, než ktorým odkaz prišiel.

Zámok v adresnom riadku nie je pečiatka dôveryhodnosti

Toto je najrozšírenejšie nedorozumenie. Certifikát typu Domain Validation potvrdzuje jedinú vec: že prevádzkovateľ stránky preukázal kontrolu nad danou doménou. Certifikačná autorita Let's Encrypt to formuluje priamo — DV certifikát tvrdí, že verejný kľúč patrí doméne, a nič iné; neobsahuje žiadnu informáciu o reputácii stránky, o skutočnej identite prevádzkovateľa ani o jej bezpečnosti.

Vydanie takého certifikátu je dnes automatické, bezplatné a trvá pár sekúnd. Podvodník ho teda získa rovnako ľahko ako ktokoľvek iný a phishingová stránka so zámkom je dnes úplne bežná. Zámok znamená len to, že spojenie nikto po ceste nečíta — vrátane spojenia s podvodníkom. Otázka teda neznie „je tam https", ale „komu tá doména patrí".

Žiadosť o heslo je najspoľahlivejší príznak podvodu

Ak vás stránka na stiahnutie súboru žiada prihlásiť sa do e-mailu, do konta Microsoft alebo Google, prípadne chce číslo karty „na overenie totožnosti", je to podvod. Niet výnimky, pri ktorej by dávalo zmysel, aby služba na prenos súborov potrebovala prístup do vašej schránky, aby vám vydala prílohu. Rovnako sem patria stránky, ktoré napodobňujú prihlasovaciu obrazovku známej služby, hoci ste sa nikam prihlasovať nechceli.

Pozor na jedno rozlíšenie: heslo k odkazu, ktoré vám odosielateľ povie zvlášť (napríklad esemeskou), je bežná a rozumná praktika. To je heslo k súboru, nie k vášmu kontu. Rozdiel je v tom, čo prípadný útočník získa — v prvom prípade jeden súbor, v druhom celý váš e-mail a s ním možnosť resetovať heslá kdekoľvek inde.

Pravidlo platí aj pre službu, na ktorej práve ste. Zdielajsubor.sk odkaz na stiahnutie nespája so žiadnym kontom: kto má odkaz, stiahne súbor, a nikdy od vás nepýtame prihlásenie do e-mailu ani platobné údaje. Ak sa vám takáto výzva zobrazí na stránke, ktorá vyzerá ako naša, nie ste na našej stránke — skontrolujte doménu podľa prvej sekcie tohto článku.

Klikol som. Čo teraz?

1. Len sa otvorila stránka a nič ste nezadali. Zatvorte kartu. Stránku si už neotvárajte znova a odkaz nikam neposielajte ďalej.
2. Súbor sa stiahol, ale nespustili ste ho. Zmažte ho z priečinka Stiahnuté súbory aj z koša.
3. Súbor ste spustili. Odpojte počítač od siete, aby prípadný škodlivý kód nemal spojenie von, a spustite kontrolu antivírusom. Na firemnom zariadení to hláste správcovi IT hneď, nie po víkende — neriešte to sami.
4. Zadali ste heslo. Zmeňte ho okamžite, a to z iného zariadenia, o ktorom viete, že je čisté. Potom zapnite dvojfaktorové overenie a v nastaveniach schránky skontrolujte, či tam nepribudlo presmerovanie pošty alebo nové pravidlo — presmerovanie na cudziu adresu je typický krok útočníka po prevzatí konta.
5. Zadali ste údaje z karty. Volajte banku a kartu nechajte zablokovať. Nečakajte na to, či sa niečo strhne.
6. Nahláste to. CSIRT.SK prijíma hlásenia na adrese incident@csirt.sk a pri phishingu žiada pripojiť úplnú adresu URL. Pôvodnú správu nemažte — uložte si ju ako súbor EML alebo MSG, obsahuje hlavičky, ktoré sú pri analýze podstatné.

Zdroje

• Public Suffix List — Learn more about the Public Suffix List — zoznam určuje najvyššiu úroveň, na ktorej sa dá doména pre danú príponu zaregistrovať.
• RFC 3986, sekcia 3.2 — Authority — zápis userinfo@host a rola znaku @ v adrese.
• RFC 5891 — IDNA: Protocol — kódovanie návestia algoritmom Punycode s predponou xn--; samotnú definíciu pojmu A-label obsahuje RFC 5890, sekcia 2.3.2.1.
• Chromium Docs — Internationalized Domain Names (IDN) in Google Chrome — pravidlá, kedy Chrome zobrazí doménu v tvare punycode.
• Mozilla Wiki — IDN Display Algorithm — zoznam dôveryhodných registrov, profil Moderately Restrictive podľa UTR 39 a priznané obmedzenie pri napodobeninách v rámci jedného písma.
• Microsoft Support — Common file name extensions in Windows — postup na zobrazenie prípon vo Windows 10 a Windows 11.
• Nápoveda Gmailu — Blocked file types — zoznam blokovaných prípon; platí aj vnútri archívov a pri archívoch chránených heslom.
• Microsoft Support — Blocked attachments in Outlook — zoznam prípon blokovaných v prílohách a dôvod ich blokovania.
• Microsoft Learn — Macros from the internet are blocked by default in Office — dotknuté aplikácie a kanály, pruh SECURITY RISK bez tlačidla na povolenie obsahu, Mark of the Web a hodnoty ZoneId.
• RFC 9110 — HTTP Semantics — význam stavových kódov 301 a 302 a hlavičky Location pri presmerovaní.
• Let's Encrypt — Phishing and Malware — DV certifikát potvrdzuje len príslušnosť kľúča k doméne a neobsahuje informáciu o reputácii, identite ani bezpečnosti stránky.
• APWG — Phishing Activity Trends Report, 4th Quarter 2025 (PDF) — 853 244 phishingových útokov v Q4 2025, pokles o 4 % oproti Q3 a podiely najčastejšie napádaných sektorov podľa Crane Authentication.
• CSIRT.SK — Nahlásiť incident — adresa incident@csirt.sk a požiadavka priložiť pri phishingu úplnú adresu URL.

Prečítajte si aj: kontrola súboru cez SHA-256 · bezpečné zdieľanie súborov · heslo na archív