VšZP vám vraj vracia 250 eur. Neklikajte, je to pasca na vaše peniaze!

Do redakcie nám (a určite nielen nám) prišiel e-mail, ktorý sa tváril ako oznámenie Všeobecnej zdravotnej poisťovne. Sľuboval preplatok 250 eur.

Stačilo vraj jediné – kliknúť na tlačidlo a „prijať platbu“. Nenechajte sa potešiť príliš skoro. Peniaze by ste nedostali, podvodníci by sa, naopak, pokúsili dostať k tým vašim.

Podvodníci už dávno neposielajú iba správy o afrických princoch a dedičstvách po príbuzných, ktorých ste nikdy nemali. Tentoraz siahli po oveľa uveriteľnejšom príbehu: Všeobecná zdravotná poisťovňa vám po ročnom zúčtovaní údajne vracia preplatok.

E-mail s predmetom „Oznámenie o výsledku ročného zúčtovania a refundácii“ prišiel aj do redakčnej schránky TECHBOX. Správa tvrdila, že nám VšZP vypočítala preplatok presne 250 eur. Stačilo stlačiť výrazné tlačidlo „Spracovať vrátenie preplatku online“, overiť totožnosť, aktualizovať údaje a prijať platbu.

Pekné. Až na to, že redakcia nemá vo VšZP nikoho poisteného. Poisťovňa teda nemala čo zúčtovať a už vôbec nám nemala dôvod vracať 250 eur.

Podvod prezradila už adresa odosielateľa

V e-mailovej schránke sa ako odosielateľ zobrazoval názov VšZP, skutočná adresa však končila doménou offisecure.com. S oficiálnou doménou zdravotnej poisťovne nemá absolútne nič spoločné.

Podvodníci počítajú s tým, že väčšina ľudí sleduje iba zobrazené meno odosielateľa. Ak vidíte „VšZP“, mozog si automaticky doplní, že správu poslala poisťovňa. Celú adresu si otvorí málokto, najmä keď ho hneď pod ňou čaká správa o nečakaných peniazoch.

Ďalšiu stopu nájdete priamo v päte falošného oznámenia. Dokument uvádza telefónne číslo so švajčiarskou predvoľbou +41, hoci oficiálne call centrum VšZP používa slovenské číslo 0850 003 003, prípadne +421 220 817 003 pri volaní zo zahraničia. Poisťovňa na svojej stránke zároveň potvrdila, že podvodné správy o údajnom preplatku dostávajú aj ľudia, ktorí u nej vôbec nie sú poistení. 

VšZP už preto upozornila na aktuálnu phishingovú kampaň. Podvodníci podľa nej rozposielajú e-maily o preplatkoch a prikladajú odkazy na falošné stránky, ktoré kopírujú vzhľad poisťovne. VšZP zároveň zdôrazňuje, že cez e-mail nikdy nežiada citlivé ani platobné údaje. 

Vidina peňazí vypína opatrnosť

Mnohé podvody pracujú so strachom. Tvrdia, že vám zablokujú účet, nezaplatili ste faktúru alebo vám o niekoľko hodín vyprší predplatné. Tento útok si zvolil opačnú emóciu – radosť.

Keď vám niekto oznámi, že máte zaplatiť 250 eur, začnete skúmať každý detail. Keď vám rovnakú sumu chce poslať, pozornosť často poľaví. Už nerozmýšľate, čo od vás odosielateľ žiada, ale čo si za získané peniaze kúpite. Podvodníci vám pritom nedávajú nič. Iba vás motivujú, aby ste im sami otvorili dvere k platobnej karte alebo bankovému účtu.

Druhú polovicu pasce tvorí časový nátlak. Falošné oznámenie tvrdí, že proces musíte dokončiť „čo najskôr“, inak údajne vyprší platobný príkaz. Žiadny rozumný dôvod na takúto paniku neexistuje. Útočník len nechce, aby ste zavolali poisťovni, skontrolovali ePobočku alebo si všimli podivnú adresu odosielateľa.

Skutočný preplatok z ročného zúčtovania neprepadne preto, že ste do niekoľkých hodín nestlačili tlačidlo v e-maile. Podľa oficiálnych pravidiel ročného zúčtovania máte po doručení oznámenia 15 dní na prípadné nesúhlasné stanovisko. Poisťovňa následne pošle preplatok najneskôr do 45 dní po uplynutí tejto lehoty, teda celkovo do 60 dní od doručenia oznámenia. 

Čo by nasledovalo po kliknutí?

Po otvorení odkazu z nášho e-mailu prehliadač zobrazil veľké červené upozornenie na podvodnú stránku. Bezpečnostný systém teda adresu už poznal alebo ju vyhodnotil ako nebezpečnú. Tým sa cesta skončila skôr, než sa mohol zobraziť samotný formulár.

Podľa textu správy a priebehu podobných útokov by však ďalší krok pravdepodobne žiadal osobné údaje a informácie z platobnej karty. Formulár môže pýtať číslo karty, dátum platnosti, bezpečnostný CVC alebo CVV kód, telefónne číslo a následne autorizačný kód z SMS či potvrdenie v bankovej aplikácii.

Útočník môže autorizačnú požiadavku vydávať za overenie totožnosti alebo potvrdenie prijatia peňazí. V skutočnosti však môžete potvrdiť platbu, registráciu karty do digitálnej peňaženky alebo inú operáciu, ktorá posiela peniaze opačným smerom.

Aj Tatra banka opisuje rovnaký typ útoku, pri ktorom podvodník tvrdí, že vám chce poslať peniaze. Na falošnej stránke následne žiada kompletné údaje z karty, prístup do internet bankingu alebo autorizačný kód. Po získaní údajov môže kartou platiť, pridať ju do vlastného zariadenia alebo sa pokúsiť dostať k bankovému účtu. 

Na prijatie preplatku nepotrebujete platobnú kartu

VšZP posiela skutočný preplatok na evidovaný bankový účet alebo poštovým poukazom. Ak chcete použiť iný účet, zmenu oznámite cez mobilnú aplikáciu VšZP, ePobočku, portál Slovensko.sk alebo oficiálne tlačivo. Poisťovňa od vás kvôli prijatiu preplatku nepotrebuje číslo platobnej karty, jej dátum platnosti, CVV, PIN ani kód z bankovej aplikácie. 

Výsledok ročného zúčtovania si navyše môžete overiť priamo v ePobočke VšZP alebo v mobilnej aplikácii. Poisťovňa tam zobrazí výpočet preplatku či nedoplatku, takže nemusíte používať odkaz z doručeného e-mailu. 

Mimochodom, podvodný e-mail neprišiel náhodou. VšZP v tomto období naozaj začala rozosielať ročné zúčtovania za rok 2025. Útočníci sa teda snažia splynúť so skutočnou komunikáciou poisťovne. Správa o preplatku v júli alebo auguste pôsobí oveľa dôveryhodnejšie než rovnaký e-mail odoslaný napríklad vo februári. 

Čo robiť, ak ste na odkaz klikli?

Ak ste e-mail iba otvorili alebo klikli na odkaz, ale nič ste nevyplnili, nepotvrdili a nestiahli, podvodníci pravdepodobne ešte nezískali údaje potrebné na krádež. Stránku okamžite zatvorte, nič na nej nepovoľujte a správu označte ako phishing alebo nevyžiadanú poštu.

Ak ste zadali údaje z platobnej karty, nečakajte na prvú podozrivú platbu. Okamžite kartu zablokujte v bankovej aplikácii a zavolajte svojej banke na číslo uvedené na jej oficiálnej stránke alebo na zadnej strane karty. Ak ste odovzdali prihlasovacie údaje do internet bankingu, zmeňte ich cez oficiálnu aplikáciu alebo web banky a požiadajte banku, aby skontrolovala účet.

Ak ste už potvrdili platbu, autorizačný kód alebo pridanie karty do digitálnej peňaženky, kontaktujte banku bezodkladne. Čím skôr zareagujete, tým väčšiu šancu máte, že banka transakciu zastaví alebo obmedzí ďalšie škody. Národná banka Slovenska odporúča pri podozrení okamžite kontaktovať banku alebo políciu a nikomu neposkytovať čísla kariet, PIN ani prístupové údaje k bankovníctvu. 

Najjednoduchšie pravidlo teda znie: keď vám má inštitúcia poslať peniaze, no namiesto IBAN-u od vás žiada údaje platobnej karty alebo potvrdenie v bankovej aplikácii, neposiela vám peniaze. Pokúša sa ich zobrať.