Keď sa z formulára stane problém

Na našom webe máme dva bežné formuláre – prihlásenie na newsletter a kontaktný formulár. Nič nezvyčajné, takmer každá firma ich má. Pred časom sme si však všimli, že nám do schránky pravidelne padajú notifikácie, ktoré s reálnym záujmom o naše služby nemajú nič spoločné.

Na newsletter sa prihlasujú e-mailové adresy, ktoré nikto z nás nepozná, často v dávkach a v nezvyčajných časoch. Cez kontaktný formulár zase prichádzajú „dopyty“, ktoré nedávajú zmysel.

U nás to vyzeralo napríklad takto: tá istá otázka „chcel som vedieť vašu cenu“ prišla postupne v gréčtine, taliančine, vietnamčine, bulharčine aj zulučine – z rôznych adries. Inokedy len náhodné reťazce znakov s našou vlastnou doménou v texte. A do tretice výherné lákadlá typu „YOUR $25,000 PROMO CODE“ či „vyhrajte Lamborghini“ s odkazom, na ktorý rozhodne neklikáte.

Prvá reakcia bola jednoduchá – vymazať a ísť ďalej. Ako človek, ktorý sa denne venuje ochrane osobných údajov a kybernetickej bezpečnosti, som sa však začal pýtať inak: prečo sa to vlastne deje, kto za tým stojí a čo tým sleduje? Odpoveď je zaujímavejšia, než by sa mohlo zdať – a týka sa takmer každej firmy, ktorá má web s formulárom.

Nie je to náhoda, je to biznis model

Prvá a možno najdôležitejšia informácia: nikto si nás nevybral osobne. Za väčšinou takýchto aktivít nestojí človek, ktorý sedí pri počítači a ručne vypĺňa formuláre na našom webe. Stoja za tým automatizované programy – boti – často zapojené do rozsiahlych sietí infikovaných zariadení, tzv. botnetov.

Tieto programy plošne a nepretržite prechádzajú internet a hľadajú jediné: formuláre, ktoré sa dajú zneužiť. Bezpečnostná spoločnosť Proofpoint opisuje, že útočníci pomocou botov vyhľadávajú najmä newsletterové formuláre bez ochrany typu CAPTCHA. Váš web je pre nich len jedna z miliónov adries v zozname.

Celý ekosystém funguje ako služba. Niekto prevádzkuje infraštruktúru, niekto predáva zoznamy funkčných formulárov, niekto si prenajíma kapacitu na rozosielanie. Formulár na vašom webe je v tomto reťazci lacným a spoľahlivým zdrojom – a práve preto ho niekto zneužíva.

Šesť dôvodov, prečo vám boti vypĺňajú formuláre

1. Subscription bombing – váš newsletter ako zbraň proti niekomu inému

Toto je najmenej známy, no najzaujímavejší prípad. Útočník zadá e-mailovú adresu svojej obete do stoviek až tisícov newsletterových formulárov naraz. Obeti začnú v priebehu minút chodiť potvrdzovacie a uvítacie e-maily – z úplne legitímnych webov, ktoré nič zlé nespravili. Podľa Proofpointu dokáže takýto útok doručiť viac ako 1 500 e-mailov za hodinu a schránku obete znefunkčniť v priebehu niekoľkých minút.

Cieľom nie je obťažovať. Ide o vytvorenie toľkého šumu, aby obeť prehliadla dôležité správy, a útočník získal čas na finančný podvod, skrytie zmien na účte alebo prístup ku kompromitovaným službám. V záplave stoviek newsletterov tak zapadne notifikácia banky o podozrivej platbe alebo upozornenie na zmenu hesla. Nejde len o okrajový jav – podľa výskumu Hornetsecurity túto techniku aktívne využíva aj známa ransomvérová skupina Black Basta.

Ak sa vám teda na newsletter prihlási neznáma adresa, vaša firma sa mohla stať nevedomým nástrojom útoku na niekoho úplne iného.

2. Obchádzanie spamových filtrov

E-mail z vášho kontaktného formulára odchádza z vášho vlastného systému. Vaša e-mailová schránka mu preto dôveruje oveľa viac ako neznámemu odosielateľovi. Na tom stoja služby, ktoré ponúkajú „marketing cez kontaktné formuláre“ – hromadné rozosielanie reklamy (SEO, tvorba webov, „zdvojnásobíme vaše tržby“) práve cez formuláre cudzích webov. Pre odosielateľa je to lacné a doručiteľnosť je takmer stopercentná.

3. Phishing a malvér prezlečený za dopyt

Formulár môže slúžiť aj ako kanál na doručenie škodlivého odkazu. Dobre zdokumentovaný prípad opísal Microsoft: útočníci posielali cez kontaktné formuláre firiem vymyslené právne hrozby – správy o údajnom porušení autorských práv fotografa, ilustrátora či dizajnéra s odkazom na „dôkazy“. Odkaz v skutočnosti viedol na stránku, ktorá sťahovala malvér IcedID. Použitie formulárov pomohlo obísť spamové filtre a zároveň dodalo správam dôveryhodnosť.

Riziko nie je len teoretické: IcedID sa vyvinul z bankového trójskeho koňa na vstupnú bránu pre sofistikovanejšie útoky vrátane ransomvéru. A nešlo o ojedinelý prípad – podobnú kampaň s kontaktnými formulármi odhalili výskumníci Cisco Talos už v septembri 2020.

Pre firmy v našom odbore je to obzvlášť citlivé. Dopyt typu „potrebujeme posúdiť súlad s GDPR, podklady nájdete na odkaze“ je presne ten typ správy, na ktorý by sme reagovali rýchlo a bez váhania.

4. Social engineering – nadviazanie konverzácie

Nie každý falošný dopyt obsahuje odkaz. Nevinná otázka („Aká je cena vašich služieb?“) môže byť prvým krokom. Útočník potrebuje, aby odpovedal skutočný človek. Tým si overí, že adresa je aktívna, a získa dôveru – nadviazaná konverzácia pôsobí legitímne. Škodlivý odkaz, príloha alebo podvodná faktúra (tzv. Business Email Compromise) prichádza až v ďalšej správe.

5. Testovanie zraniteľností

Dopyty s náhodnými reťazcami znakov („asdkjh“, „test123“) bývajú sondovaním. Bot zisťuje, či formulár funguje, či má ochranu, či odosiela e-mail a či je zraniteľný – napríklad voči vloženiu škodlivého kódu alebo manipulácii s hlavičkami e-mailu, vďaka ktorej by sa váš server dal zneužiť na rozosielanie spamu. Zoznamy funkčných a nechránených formulárov majú na čiernom trhu svoju hodnotu.

6. Overovanie e-mailových adries

Ak váš systém po odoslaní formulára automaticky odpovedá, útočník tým môže overovať platnosť adries – napríklad z uniknutých databáz. Overená a aktívna adresa je pre ďalšie phishingové kampane cennejšia než neoverená.

Kto za tým stojí

Za falošnými prihláseniami a dopytmi nestojí jeden typ aktéra. Zjednodušene ich môžeme rozdeliť do troch skupín:

  • Spammeri a „marketéri“ – využívajú formuláre ako lacný reklamný kanál, ktorý obchádza spamové filtre. Ich cieľom je predaj, nie škoda, no ich aktivita zahlcuje schránky a zvyšuje riziko, že medzi nimi prehliadnete niečo nebezpečné.
  • Kyberzločinci – používajú formuláre ako nástroj na phishing, šírenie malvéru, sociálne inžinierstvo alebo na zakrytie podvodu prostredníctvom subscription bombingu. Ich cieľom sú peniaze, prístupové údaje a prístup do firemných systémov.
  • Prevádzkovatelia botnetov a infraštruktúry – poskytujú ostatným „službu“: kapacitu na hromadné vypĺňanie formulárov, zoznamy funkčných a nechránených webov, overené e-mailové adresy. Kyberkriminalita dnes funguje ako trh, na ktorom si každý kupuje to, čo potrebuje.

Spoločné majú jedno – nechránený formulár je pre všetkých lacný a spoľahlivý zdroj.

Prečo je to compliance téma, nie len IT problém

Na prvý pohľad ide o technickú nepríjemnosť, ktorú vyrieši správca webu. V skutočnosti má každý formulár na webe aj právny rozmer – a ten sa týka priamo prevádzkovateľa.

GDPR a priamy marketing – súhlas, ktorý nedokážete preukázať

Pri prihlásení na newsletter spracúvate osobný údaj – e-mailovú adresu – spravidla na základe súhlasu dotknutej osoby podľa čl. 6 ods. 1 písm. a) GDPR. Podľa čl. 7 ods. 1 GDPR musí byť prevádzkovateľ schopný súhlas preukázať.

Ak bot zadá do formulára cudziu adresu a váš systém ju automaticky zaradí do databázy, spracúvate osobný údaj osoby, ktorá vám súhlas nikdy nedala. Zároveň jej posielate obchodné oznámenia, hoci priamy marketing prostredníctvom elektronickej pošty je na Slovensku podľa § 116 ods. 3 zákona č. 452/2021 Z. z. o elektronických komunikáciách dovolený len so súhlasom adresáta. V Českej republike vyžaduje predchádzajúci súhlas § 7 odst. 2 zákona č. 480/2004 Sb., o některých službách informační společnosti.

Riešením je double opt-in – potvrdenie prihlásenia kliknutím na odkaz v overovacom e-maile. Až potvrdený záznam je preukázateľný súhlas. Pozor však na obsah samotného overovacieho e-mailu: súhlas s marketingom nemožno vyžiadať e-mailom, preto má byť potvrdzovacia správa čisto technická, bez reklamného obsahu. Nepotvrdené adresy by mali byť po primeranej dobe automaticky vymazané, čo zodpovedá zásade minimalizácie údajov a zásade správnosti podľa čl. 5 ods. 1 písm. c) a d) GDPR.

Bezpečnosť spracúvania – čl. 32 GDPR a kybernetická bezpečnosť

Čl. 32 GDPR ukladá prevádzkovateľovi povinnosť prijať primerané technické a organizačné opatrenia s ohľadom na riziká spracúvania. Formulár, ktorý dokáže hocikto automaticky zneužiť na doručenie škodlivého odkazu do firemnej schránky, je zraniteľnosť – a ochrana formulárov patrí medzi základné opatrenia.

Ak by kliknutie na odkaz z falošného dopytu viedlo k infikovaniu zariadenia a k neoprávnenému prístupu k osobným údajom, ide o porušenie ochrany osobných údajov s povinnosťou posúdiť oznámenie dozornému orgánu do 72 hodín podľa čl. 33 GDPR.

Pre subjekty, na ktoré sa vzťahuje smernica NIS2 – na Slovensku prostredníctvom zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení zákona č. 366/2024 Z. z., v Českej republike prostredníctvom zákona č. 264/2025 Sb., o kybernetické bezpečnosti – je phishing doručený cez webový formulár typickým rizikom, ktoré musí byť zohľadnené v riadení rizík, v bezpečnostných opatreniach aj vo vzdelávaní zamestnancov.

Reputácia domény a doručiteľnosť

Existuje aj praktický, menej viditeľný dôsledok. Keď obeť subscription bombingu dostane z vášho systému nevyžiadaný e-mail, pravdepodobne ho označí ako spam. Každé takéto nahlásenie znižuje reputáciu vašej domény u poskytovateľov e-mailových služieb. Google aj Yahoo od roku 2024 uplatňujú prísne pravidlá pre hromadných odosielateľov, vrátane limitov pre podiel sťažností na spam. Výsledok? Váš skutočný newsletter začne končiť v spame aj u tých, ktorí sa naň prihlásili dobrovoľne.

Paradox ochrany: CAPTCHA, ktorá sama spracúva osobné údaje

Najrozšírenejšou ochranou formulárov je Google reCAPTCHA. Funguje spoľahlivo, no z pohľadu ochrany osobných údajov prináša vlastné otázky. Na rozlíšenie človeka od bota analyzuje údaje o zariadení a správaní používateľa, pracuje s cookies a údajmi uloženými v zariadení a údaje sa prenášajú spoločnosti Google.

To znamená, že prevádzkovateľ musí posúdiť:

  • či ide o ukladanie informácií alebo prístup k informáciám uloženým v koncovom zariadení, ktorý vyžaduje preukázateľný súhlas podľa § 109 ods. 8 zákona č. 452/2021 Z. z. (v ČR § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích), alebo či ho možno považovať za nevyhnutný,
  • právny základ spracúvania a jeho transparentné uvedenie v informáciách pre dotknuté osoby,
  • prenos údajov do tretej krajiny.

Ak používateľ súhlas s cookies odmietne a reCAPTCHA sa nenačíta, nemusí formulár vôbec odoslať – čo je problém aj pre reálnych záujemcov.

Existujú alternatívy, ktoré sú šetrnejšie k súkromiu: Friendly Captcha (nemecký poskytovateľ, bez cookies), ALTCHA (open-source riešenie, ktoré môžete prevádzkovať na vlastnom serveri), prípadne Cloudflare Turnstile. Veľa urobia aj neviditeľné opatrenia bez akéhokoľvek zásahu do používateľského zážitku – o nich v checkliste nižšie.

Praktický checklist: ako ochrániť formuláre na webe

Technické opatrenia

  • Zaveďte double opt-in pre newsletter a nepotvrdené adresy automaticky mažte.
  • Pridajte honeypot – skryté pole, ktoré človek nevidí, ale bot ho vyplní a tým sa prezradí.
  • Nastavte časovú kontrolu – formulár odoslaný za menej ako niekoľko sekúnd od načítania stránky takmer určite nevyplnil človek.
  • Obmedzte počet odoslaní z jednej IP adresy za určitý čas (rate limiting).
  • Zvoľte CAPTCHA riešenie s ohľadom na ochranu súkromia a správne ho premietnite do cookie lišty a informácií pre dotknuté osoby.
  • Ošetrite vstupy formulára proti vloženiu kódu a manipulácii s hlavičkami e-mailu.
  • Nevkladajte do automatickej odpovede obsah, ktorý odosielateľ zadal do formulára – inak ju možno zneužiť na rozosielanie spamu vaším menom.

Organizačné opatrenia

  • Poučte zamestnancov, že dopyt z formulára je neoverený vstup – neklikajú na odkazy ani neotvárajú „podklady“ bez overenia.
  • Zbystrite pri správach, ktoré tlačia na rýchlu reakciu – právne hrozby, sťažnosti, urgentné žiadosti.
  • Ochranu formulárov zahrňte do posúdenia rizík a do dokumentácie bezpečnostných opatrení.
  • Pravidelne kontrolujte databázu kontaktov a podozrivé záznamy odstraňujte.

Záver: formulár nie je len políčko na webe

Falošné prihlásenia na newsletter a nezmyselné dopyty nie sú náhoda ani technická chyba. Sú súčasťou dobre fungujúceho kriminálneho ekosystému, v ktorom môže byť váš web nástrojom útoku na niekoho iného – alebo vstupnou bránou útoku na vás.

Dobrá správa je, že ochrana nie je zložitá ani drahá. Vyžaduje však pozrieť sa na formulár nielen očami marketéra či programátora, ale aj očami prevádzkovateľa osobných údajov.

Potrebujete pomôcť s GDPR? Neváhajte nás kontaktovať na office@codamore.sk.

Zdroje: Proofpoint: Subscription bombing hides real cyberattacks · Mobile Ecosystem Forum: The smokescreen in your inbox (2026) · Hornetsecurity: Email bombing · Threatpost: IcedID cez webové formuláre (výskum Microsoft) · BleepingComputer: Attackers deliver legal threats, IcedID malware via contact forms · Cisco Talos: Salfram – kampane cez kontaktné formuláre (september 2020) · Úrad pre reguláciu elektronických komunikácií a poštových služieb: Stanovisko k získavaniu súhlasu (12. 11. 2025) · Zákon č. 264/2025 Sb., o kybernetické bezpečnosti