Falošné upomienky poistného a cudzie IBAN: Ako odhaliť phishing a podvodné e-maily v mene poisťovne

Otvorili ste v e-mailovej schránke vašej firmy urgentnú výzvu na úhradu nedoplatku za poistenie firemnej flotily, no číslo účtu v správe sa nezhoduje so zmluvou? Phishing a podvodné e-maily v mene poisťovne dnes nepredstavujú len izolovaný problém nepozorných jednotlivcov, ale premyslený útok na firemné rozpočty. Medziročný nárast phishingových útokov zneužívajúcich identitu finančných inštitúcií dosiahol medzi rokmi 2023 a 2024 až 147 percent. Pre podnikateľov a správcov vozových parkov znamená nepozornosť riziko priamej finančnej straty, ale aj hrozbu neplatnosti zmluvy a pokút.

Prečo firme chodí výzva na zaplatenie poistky od inštitúcie, kde nemá zmluvu?

Podvodníci často necielia na konkrétnu zmluvu, ale rozposielajú tisíce správ naslepo. Spoliehajú sa na štatistickú pravdepodobnosť, že časť adresátov skutočne poistnú zmluvu v danej poisťovni má, prípadne že v zhone bežného pracovného dňa účtovné oddelenie faktúru uhradí bez dôkladnej kontroly. Útočníci zneužívajú vizuálnu identitu známych inštitúcií. Zneužité bývajú napríklad komunikácie tváriace sa ako Kooperativa a krytie motorových vozidiel alebo PZP od Generali, pričom e-mail vyvoláva dojem bezprostredného zániku krytia.

V praxi sa stretávame s dvoma hlavnými scenármi. Prvým je vymyslený nedoplatok na poistnom s hrozbou exekúcie či okamžitej výpovede. Druhým je naopak prísľub vyplatenia preplatku po ročnom zúčtovaní, kde podvodná správa navádza na kliknutie na externý odkaz s cieľom zadať údaje z firemnej platobnej karty. Práve pri správe firemných vozidiel, kde často hľadáte lacné poistenie auta a evidujete desiatky platieb ročne, vzniká ideálne prostredie na prehliadnutie detailov.

Falošné upomienky a podvrhnuté zahraničné účty

Kým skutočný poistiteľ disponuje slovenským bankovým účtom s predčíslím SK, podvodné e-maily a podvrhnuté PDF upomienky často obsahujú zahraničný IBAN (napríklad z Litvy, Nemecka či Spojeného kráľovstva) alebo účet vedený v nebankovej platobnej inštitúcii. Útočníci využívajú techniky spoofingu odosielateľa, kedy hlavička správy na prvý pohľad vyzerá ako odoslaná z oficiálnej adresy poisťovne. Ak si však overíte technické záznamy SPF, DKIM a DMARC, zistíte, že správa dorazila z neznámeho servera. V takýchto chvíľach je nutné poznať presné legislatívne lehoty, aby vás útočník nevystrašil tvrdením, že vaše vozidlá zostanú nechránené zo dňa na deň.

Zákonná povinnosť alebo úkon	Zákonná lehota / Limit	Právny predpis
Zánik poistenia pre nezaplatenie poistného	Uplynutím 1 mesiaca od splatnosti	§ 9 ods. 4 zákona č. 381/2001 Z. z.
Výpoveď zmluvy pred koncom poistného obdobia	Najmenej 6 týždňov pred výročím	§ 800 ods. 1 Občianskeho zákonníka
Oznámenie škodovej udalosti vzniknutej v SR	Do 15 dní od vzniku	§ 10 ods. 1 zákona č. 381/2001 Z. z.
Oznámenie škody vzniknutej v zahraničí	Do 30 dní od vzniku	§ 10 ods. 1 zákona č. 381/2001 Z. z.
Zodpovednosť klienta pri neautorizovanej platbe	Do 50 eur (pri absencii hrubej nedbanlivosti)	§ 88 zákona č. 492/2009 Z. z.
Pokuta za neuzavretie PZP od okresného úradu	Od 50 eur do 5 000 eur	§ 19 ods. 1 zákona č. 381/2001 Z. z.

Zákon jasne hovorí, že povinné zmluvné poistenie nezaniká odoslaním jedného podozrivého e-mailu. Ak vás správa tlačí do okamžitej úhrady pod hrozbou pokuty v priebehu 24 hodín, ide s istotou o manipulatívnu techniku podvodníkov. Ani lehoty na nahlásenie nehody zo zahraničia či bežné upomienkové konania nefungujú v rádoch hodín.

Ako si overiť sprostredkovateľa v registri finančných agentov NBS

Podnikatelia často nespolupracujú s poisťovňami napriamo, ale využívajú služby externých sprostredkovateľov. Zločinci to vedia a pokúšajú sa vystupovať ako zástupcovia maklérskych domov. Ak vám do schránky dorazí e-mail s návrhom novej poistnej zmluvy, ponukou prepoistenia vozového parku alebo výzvou na platbu sprostredkovateľskej provízie, prvým filtrom bezpečnosti je verejný register finančných agentov Národnej banky Slovenska (NBS).

V tomto registri si overíte, či má daná osoba alebo spoločnosť platné oprávnenie na vykonávanie činnosti v sektore poistenia alebo zaistenia. Každý legálny finančný agent má pridelené registračné číslo a presne vymedzený rozsah oprávnení. V situáciách, kedy sa rieši čo skontrolovať v zmluve na auto, vám seriózny sprostredkovateľ nikdy nezašle výzvu, kde by sa poistné platilo na jeho súkromný účet namiesto oficiálneho účtu poisťovne.

Pri správe flotily preto nastavte striktné interné pravidlo: úhrada poistného odchádza výhradne na účet samotného poistiteľa, pričom variabilný symbol musí zodpovedať číslu poistnej zmluvy. Ak sprostredkovateľ vyžaduje zaslanie platby na sprostredkovateľskú firmu, vyžiadajte si písomnú trojstrannú dohodu alebo overenie priamo v poistnom ústave. Phishing a podvodné e-maily v mene poisťovne totiž často parazitujú na zmene sprostredkovateľa či fiktívnej aktualizácii bankového spojenia.

Autorizovaná platba v mobilnej aplikácii verzus neautorizovaná transakcia

Pre správne posúdenie toho, či má firma šancu získať odcudzené prostriedky späť, je rozhodujúci rozdiel medzi autorizovanou a neautorizovanou platbou. Ak útočník získa údaje z vašej platobnej karty a vykoná nákup bez vášho vedomia a bez 3D Secure overenia, ide o neautorizovanú platobnú operáciu. V takomto prípade sa uplatňuje § 88 zákona č. 492/2009 Z. z. o platobných službách, kde klient znáša stratu len do výšky 50 eur, pokiaľ nešlo o podvodné konanie alebo hrubú nedbanlivosť.

Ak však účtovník naskenuje podvodný QR kód z e-mailu a transakciu potvrdí push notifikáciou, biometriou alebo SMS kódom vo firemnej bankovej aplikácii, banka hľadí na transakciu ako na autorizovanú. V tomto režime banka peniaze automaticky nevracia, pretože klient dal k prevodu priamy pokyn.

Právne dôsledky podľa zákona o platobných službách

Hranica hrubej nedbanlivosti býva pri autorizovaných prevodoch predmetom sporov. Ak platba prebehne cez podvrhnutú bránu a účtovník potvrdí transakciu bez toho, aby si overil sumu a príjemcu v potvrdzovacej SMS, banka reklamáciu spravidla zamietne. Nižšie uvedená tabuľka porovnáva bežné incidenty a odporúčaný postup riešenia.

Situácia	Čo platí z hľadiska zákona	Čo bezodkladne urobiť
E-mail s QR kódom na doplatok PZP	Poisťovňa nikdy nemení IBAN v prostom texte bez oficiálneho dodatku	Neklikať, porovnať IBAN so zmluvou, overiť na infolinke poisťovne
Kliknutie na odkaz a zadanie údajov z karty	Hrozí neautorizované odčerpanie prostriedkov až do limitu karty	Okamžite zablokovať kartu v bankovej aplikácii, požiadať o vydanie novej
Potvrdenie platby push notifikáciou podvodníkovi	Operácia je evidovaná ako autorizovaná, limit straty 50 eur neplatí	Zadať žiadosť o recall (späťvzatie) platby, podať trestné oznámenie
Falošný likvidátor žiada úhradu spoluúčasti na cudzí účet	Spoluúčasť sa rieši s autoservisom alebo zápočtom poistného plnenia	Odmietnuť platbu, kontaktovať likvidačné oddelenie cez overený kontakt
Správa o vymyslenom preplatku s výzvou na zadanie PIN	Poisťovňa nikdy nevyžaduje údaje z karty ani PIN na zaslanie peňazí	Správu označiť ako spam, incident nahlásiť bezpečnostnému tímu poistiteľa

Ak už došlo k odoslaniu platby na podvodný IBAN, každá minúta rozhoduje. Postupujte podľa tohto overeného protokolu:

1. Okamžite kontaktujte banku a zablokujte platobné nástroje: Požiadajte o blokáciu kompromitovanej platobnej karty a prístupu do internet bankingu, ak boli zadané prihlasovacie heslá.
2. Podajte žiadosť o recall platby: Pokiaľ išlo o bankový prevod, požiadajte svoju banku o bezodkladné späťvzatie platby. Ak peniaze ešte neopustili zúčtovacie centrum, existuje šanca na ich zadržanie.
3. Zabezpečte digitálne dôkazy: Uložte pôvodný podvodný e-mail vrátane kompletných e-mailových hlavičiek, urobte snímky obrazovky falošnej platobnej brány a SMS správ s autorizačnými kódmi.
4. Podajte trestné oznámenie na Polícii SR: Pripravte si doklad o vykonanej transakcii a zaistenú komunikáciu. Trestný čin podvodu podľa § 221 Trestného zákona má od novely č. 40/2024 Z. z. hranicu škody nie nepatrnej stanovenú od 700 eur, kým väčšia škoda začína na sume 20 000 eur.
5. Nahláste incident poistiteľovi: Informujte inštitúciu, ktorej meno bolo zneužité. Bezpečnostné tímy môžu zablokovať podvodnú doménu a varovať ostatných poistníkov.

Pri kalkuláciách a správe vozidiel môže prehľadná cena PZP jasne ukázať štandardné trhové pásmo nákladov, vďaka čomu ľahšie odhalíte absurdne nízke či naopak neočakávané požiadavky na doplatky od neznámych subjektov.

Falošný telefonát v mene likvidátora poistnej udalosti a vishing

Útoky sa neobmedzujú len na elektronickú poštu. Stále častejšou metódou je vishing – hlasový phishing. Podvodník zavolá na dispečing firmy, do účtovného oddelenia alebo priamo vodičovi referentského vozidla. Predstaví sa ako likvidátor poistnej udalosti a operuje s reálnymi informáciami, ktoré získal z verejných registrov, sociálnych sietí alebo z predchádzajúceho úniku dát.

Útočník tvrdí, že poistné plnenie za nedávnu nehodu nemôže byť vyplatené bez okamžitého zaplatenia administratívneho poplatku, prípadne požaduje úhradu regresného nároku na podvrhnutý bankový účet. Tento nátlak je psychologicky vyčerpávajúci najmä po reálnych incidentoch, kedy sa vyšetruje parkovacia škoda bez vinníka a havarijné poistenie malo škodu pôvodne kryť bez komplikácií.

Modelový príklad: Podvodné vymáhanie regresu po nehode firemnej dodávky

Spoločnosť zaoberajúca sa distribúciou tovaru zaznamenala kolíziu svojej dodávky na parkovisku. Vodič spísal správu o nehode a incident nahlásil na dispečing. O tri dni neskôr kontaktoval firemnú účtovníčku muž vystupujúci ako hlavný likvidátor poistiteľa. Telefonát pôsobil profesionálne: volajúci poznal evidenčné číslo vozidla (EČV), dátum nehody aj meno vodiča.

Falošný likvidátor tvrdil, že pri šetrení škody zistili pochybenie na strane vodiča a poisťovňa uplatňuje regresný nárok vo výške 1 850 eur. Ak firma čiastku neuhradí do troch hodín, poistiteľ podľa jeho slov odstúpi od zmluvy a prípad postúpi právnemu oddeleniu s hrozbou zastavenia celej flotily. Vzápätí doručil e-mail s faktúrou a IBAN-om patriacim virtuálnej zahraničnej banke.

Účtovníčka našťastie zachovala chladnú hlavu. Namiesto okamžitej úhrady vyhľadala originálnu zmluvu, kde bolo sjednané havarijné poistenie vozidla, zavolala na oficiálnu infolinku poisťovne a prepojila sa priamo na prideleného likvidátora podľa čísla poistnej udalosti. Skutočný likvidátor potvrdil, že spis je v štádiu štandardného posudzovania, žiadny regres uplatnený nebol a poisťovňa nikdy nevyžaduje platby v časovej tiesni na zahraničné účty. Firma tak vďaka jednoduchej krížovej kontrole zachránila 1 850 eur.

Pre minimalizáciu rizika vishingových útokov zaveďte zásadu spätného volania: ak vás kontaktuje ktokoľvek ohľadom finančného plnenia, hovor ukončite a vytočte oficiálnu infolinku poisťovne evidovanú na asistenčnej karte vozidla.

Ako správne nahlásiť bezpečnostný incident a únik osobných údajov poistníka?

Ak došlo k situácii, kedy zamestnanec firmy odoslal citlivé údaje – napríklad kópie technických preukazov, zmluvy, rodné čísla vodičov alebo prístupové heslá do klientskeho portálu poisťovateľa – nepostačuje len riešenie s bankou. Phishing a podvodné e-maily v mene poisťovne často slúžia ako vstupná brána k rozsiahlejšej priemyselnej špionáži či kompromitácii firemných dát v zmysle nariadenia GDPR.

Podľa európskej legislatívy je prevádzkovateľ povinný nahlásiť závažné porušenie ochrany osobných údajov Úradu na ochranu osobných údajov SR do 72 hodín od okamihu, kedy sa o ňom dozvedel, pokiaľ incident predstavuje riziko pre práva a slobody fyzických osôb. Rovnako je nutné informovať interného bezpečnostného manažéra (DPO) a bezodkladne zmeniť všetky prístupové heslá k online portálom, kde spravujete zmluvy pre poistenie motorových vozidiel v SR.

Z hľadiska poistnej ochrany samotnej firmy stojí za zváženie špecializované pripoistenie kybernetických rizík. Kým bežné poistenie zodpovednosti či majetku takéto škody nekryje, kybernetické krytie dokáže kompenzovať náklady na forenzné vyšetrovanie, obnovu systémov po útoku, právne zastúpenie pri sporoch o neautorizované platby či škody vzniknuté zneužitím platobných prostriedkov. Typické limity pri menších balíkoch sa pohybujú od 500 eur do 2 000 eur, no pri komplexných firemných zmluvách možno dohodnúť krytie v stovkách tisíc eur so spoluúčasťou vo výške 20 až 50 eur.

Pri dojednávaní kybernetického krytia si však dôkladne preštudujte výluky z poistenia. Poisťovne bežne neposkytujú poistné plnenie v prípadoch, kedy k škode došlo hrubým porušením bezpečnostných interných smerníc alebo vedome bez autorizačných mechanizmov.

Často kladené otázky o podvodoch v poistení

Prišiel mi e-mail o nezaplatenom poistnom na firemné autá, ako zistím, či je pravý?

V e-maile neklikajte na žiadne odkazy a nesťahujte prílohy. Otvorte si pôvodnú poistnú zmluvu a porovnajte číslo účtu (IBAN) a variabilný symbol uvedený v správe s oficiálnymi údajmi. Pravosť výzvy overte telefonátom na oficiálnu infolinku poisťovne alebo v klientskom online portáli, do ktorého sa prihlásite ručným zadaním adresy do prehliadača.

Môže mi poisťovňa zrušiť poistenie zo dňa na deň cez SMS alebo e-mail?

Nie. Zákonné poistenie zaniká pre neplatenie až uplynutím 1 mesiaca odo dňa splatnosti poistného podľa § 9 ods. 4 zákona č. 381/2001 Z. z., ak nebola v zmluve dohodnutá dlhšia lehota. Okamžité zrušenie zmluvy cez jednu správu je v rozpore so slovenským právnym poriadkom.

Posiela poisťovňa preplatok poistného tak, že požaduje číslo platobnej karty?

Nikdy. Poisťovne zasielajú preplatky z poistného alebo poistné plnenia výhradne bankovým prevodom na účet klienta uvedený v poistnej zmluve, prípadne poštovou poukážkou. Žiadosť o zadanie čísla karty, dátumu expirácie a CVV kódu na prijatie peňazí je neklamným znakom podvodu.

Vráti banka peniaze, ak účtovník platbu potvrdil kódom v aplikácii?

Šanca je nízka. Ak bola platba autorizovaná cez dvojfaktorové overenie, banka operáciu posudzuje ako platný pokyn klienta. Ochranný limit straty do 50 eur podľa § 88 zákona o platobných službách sa na autorizované platby nevzťahuje. Okamžite však požiadajte banku o žiadosť o vrátenie platby (recall) a kontaktujte Políciu SR.

Ako si nezávisle skontrolujem, či má vozidlo platné PZP?

Platnosť poistenia zodpovednosti si môžete bezplatne overiť podľa evidenčného čísla vozidla (EČV) priamo na oficiálnom webe Slovenskej kancelárie poistiteľov (SKP). Systém okamžite zobrazí, v ktorej poisťovni je vozidlo poistené a v akom období poistné krytie trvá.

Aká pokuta hrozí firme, ak poistenie skutočne zanikne pre nezaplatenie?

Ak vozidlo zostane nepoistené, okresný úrad uloží držiteľovi vozidla podľa § 19 ods. 1 zákona č. 381/2001 Z. z. pokutu vo výške od 50 eur do 5 000 eur. Pri prevádzkovaní nepoisteného vozidla navyše hrozí, že v prípade nehody bude Slovenská kancelária poistiteľov vymáhať celú vyplatenú škodu od prevádzkovateľa formou regresu.

Dá sa škoda spôsobená podvodom uhradiť z bežného PZP alebo havarijného poistenia?

Nie. Povinné zmluvné poistenie kryje výlučne zodpovednosť za škodu spôsobenú iným osobám prevádzkou motorového vozidla. Havarijné poistenie kryje poškodenie, zničenie alebo krádež samotného vozidla. Na finančné škody spôsobené internetovým podvodom slúži len špecializované pripoistenie kybernetických rizík.

Čo robiť, ak podvodníci zneužili údaje firemnej karty, no bezškodový priebeh vozidiel chceme zachovať u pôvodného poistiteľa?

Zneužitie platobnej karty je bankový incident, ktorý nemá žiaden vplyv na váš bezškodový priebeh ani bonusové triedy v poisťovni. Kartu v banke bezodkladne zablokujte a v klientskom portáli poisťovne aktualizujte spôsob platby tak, aby riadne poistné odišlo načas bez prerušenia poistného krytia.