Martinus a viac než milión pokusov o prihlásenie: čo robí e-shop s uniknutými heslami zákazníkov

Dobrý zákaznícky účet znamená pohodlie: uložená adresa, história objednávok, poukážky, kredit. Zároveň to znamená, že niekto má dôvod skúšať prihlasovacie údaje na váš e-shop. Prípad slovenského online kníhkupectva Martinus z apríla 2026 je dobrá ukážka toho, ako takýto útok vyzerá a ako ho rozumne zvládnuť.

Čo sa stalo

Podľa článku Živé.sk z 14. 4. 2026, ktorý vychádza z vyjadrenia vedúceho vývoja firmy, nešlo o prienik do systémov. Útočníci použili automatické pokusy o prihlásenie s údajmi, ktoré pochádzali z predchádzajúceho úniku inde (takzvaný credential stuffing). Firma zaznamenala viac než milión pokusov, z ktorých približne 12 000 bolo úspešných. Útočníci využili viac než 3 500 IP adries od bežných slovenských a českých poskytovateľov internetu, napodobňovali správanie reálneho prehliadača a každý pár e-mailu a hesla použili iba raz, takže sa útok skrýval v bežnej prevádzke.

Podľa firmy hackeri po prihlásení zobrazili iba prvú stranu zoznamu zakúpených e-kníh a nezaznamenali sa sťahovania. Hesla v systémoch sú hashované a neboli kompromitované. Niektorým zákazníkom mali zmiznúť poukážky alebo kredit; v čase vyjadrenia firma neevidovala neoprávnené použitie poukážok a situáciu preverovala. Zákazníkom s podozrivým prihlásením v rizikovom čase preventívne resetovala heslá a všetkých dotknutých upozornila na zneužitie. K tomu nasadila ďalšiu úroveň ochrany, ktorej detaily z bezpečnostných dôvodov nezverejnila.

Pôvod uniknutých údajov firma s istotou určiť nevedela. Podľa jej vyjadrenia ide najčastejšie o kombináciu starších únikov z iných služieb, škodlivého softvéru alebo phishingu. Zároveň nevie, či sa útočníci s rovnakou databázou skúšali dostať aj do účtov na iných webových stránkach; pri credential stuffingu je bežné, že sa tá istá databáza skúša na viacerých službách. Útok išiel cez bežné slovenské adresy a splýval s legitímnou prevádzkou, takže iní prevádzkovatelia ho nemuseli zachytiť. Dotknutým zákazníkom firma odporučila zmeniť heslo aj tam, kde ho používajú inde.

Prečo to zaujíma aj menší e-shop

Martinus nie je malý e-shop. Podľa Registra účtovných závierok vzrástol jeho čistý obrat z 27,0 mil. € v účtovnom období 2019/20 na 57,8 mil. € v období 2025/26, teda 2,1-krát. Zisk po zdanení sa pritom pohyboval od 0,2 do 1,4 mil. €.

Finančné údaje s útokom nesúvisia a z útoku ani z nich nemožno usudzovať zavinenie firmy. Tieto čísla nehovoria nič o tom, koľko útok stál; to firma nezverejnila. Ukazujú len, že aj e-shop s tržbami vyše 50 mil. € pracuje s podielom čistého zisku na obrate niekoľkých percent. Pre menší e-shop to neznamená menšie riziko: uniknuté heslá môže vyskúšať útočník na každom e-shope, ktorý má prihlásenie.

Ako sa proti credential stuffingu bránia

OWASP radí použiť viac vrstiev a pri každej sledovať metriky, aby sa dalo zistiť, že prestala fungovať:

• Viacfaktorové overenie (MFA). Podľa OWASP je to „zďaleka najlepšia“ obrana; žiadna iná vrstva samostatne nie je taká účinná. Pre e-shop to môže byť prihlasovací odkaz alebo kód pri rizikovom prihlásení, nie povinnosť pri každom nákupe.
• Kontrola uniknutých hesiel. Pri registrácii alebo zmene hesla porovnať s databázou známych únikov, napríklad cez Pwned Passwords.
• CAPTCHA pri rizikových prihláseniach. Dá sa obísť, preto ju používať len tam, kde je podozrenie, a sledovať úspešnosť.
• Odtlačok zariadenia. Pri neznámom zariadení vyžiadať ďalšie overenie. Atribúty z prehliadača sa dajú sfalšovať.
• Obmedzenie počtu pokusov a IP. Postupné spomaľovanie podľa objemu a reputácie adresy. Samotné blokovanie IP je podľa OWASP slabé, útočníci vedia adresu zmeniť; Martinus pritom uvádza viac než 3 500 adries.

Čo robiť, keď sa to stane

1. Zablokujte účty s podozrivým prihlásením alebo resetujte heslá, ako to urobil Martinus. Pri uloženom kredite alebo poukážkach pozastavte ich použitie, kým si zákazník prihlásenie neoverí.
2. Posúďte riziko pre zákazníkov. Pri porušení ochrany osobných údajov je prevádzkovateľ povinný ohlásiť ho dozornému orgánu bez zbytočného odkladu a ak je to možné, do 72 hodín, pokiaľ nie je nepravdepodobné, že povedie k riziku pre práva fyzických osôb (čl. 33 GDPR). Ak je riziko vysoké, musí informovať aj dotknuté osoby (čl. 34). Každé porušenie sa dokumentuje. Z verejných zdrojov nevieme, či Martinus incident ohlásil úradu; toto pravidlo však platí aj pre vás.
3. Napíšte zákazníkom jasný text. Čo sa stalo, čo mali útočníci k dispozícii, čo majú urobiť (zmeniť heslo aj inde) a ako vás kontaktovať. Martinus podľa vlastných slov dotknutých upozornil.
4. Skontrolujte, čo útočník v účte vidí. Hodnotu majú adresy, telefónne čísla, história objednávok a uložené kupóny. Čo zákazník v účte nepotrebuje vidieť, nezobrazujte.
5. Sledujte prihlasovaciu prevádzku. Nárast neúspešných prihlásení z rozmanitých adries v krátkom čase je prvý signál; Martinus spomína, že útok bolo možné zachytiť už počas jeho priebehu.

Poučenie pre slovenský e-shop

Povinná registrácia znamená viac účtov, ktoré treba chrániť. Ak zákazníci nemusia mať účet, nemá čo uniknúť; ako zmeniť nastavenie, ukazuje článok Povinná registrácia pred nákupom: koľko vás stojí. Ak účet ponúkate (kredit, poukážky, história), počítajte s tým, že je cieľ. Zvážte aspoň e-mailové upozornenie pri prihlásení z nového zariadenia a pri zmene e-mailu či hesla; dá sa nasadiť aj bez povinného druhého faktora. Zákazníkom odporučte jedinečné heslo pre každú službu a správcu hesiel, lebo útočníci uspeli s heslami uniknutými z iných služieb.

O tom, že rýchly rast prináša aj iné riziká než bezpečnostné, hovorí príbeh Dedoles: keď rast predbehne dopyt. Opis útoku na Martinus vychádza z jedného mediálneho zdroja s vyjadrením firmy; vlastné vyhlásenie firmy sme nenašli. Právne veci konzultujte s odborníkom.