Zdrojový kód tohoto nástroje jsme se rozhodli nezveřejnit. Ne proto, že by na něm bylo něco složitého. Právě naopak, a to je celé jádro věci. Kdokoli s přístupem k dnešním jazykovým modelům si ho poskládá za pár hodin, sám, z veřejně dostupných kousků. My jsme ho postavili za jeden večer. Riziko, o kterém je tento článek, je reálné a je velké.

Píšeme o tom ne proto, abychom někomu dali návod. Právě naopak, aby bylo jasné, že návod už není potřeba, protože ho sestaví kterýkoli model za odpoledne. Když je bariéra tak nízká, že ji překročí večerní projekt, přestává být bariérou.

Tento text navazuje na Stát jako největší hrozba soukromí. Tam jsme popsali, co se stalo. Zde ukazujeme, co to znamená v praxi: kolik to stojí, jak rychle to jde a co se s tím dá dělat.

Co se stalo

17. srpna 2026 začal nový obchodní rejstřík oficiálně zpřístupňovat sbírku listin tak, že si z ní kdokoli na světě stáhne rodné číslo, úplnou adresu trvalého bydliště, číslo občanského průkazu a ověřený vlastnoruční podpis každého jednatele a společníka slovenské firmy. Ne únikem. Ne chybou v kódu. Zveřejnil to stát, podle zákona, řádným legislativním procesem.

Bez přihlášení. Bez elektronického občanského. Bez prokázání právního zájmu. Zdarma. A bez jakéhokoli záznamu o tom, kdo si co stáhl.

Jedinou překážkou před hromadným stahováním je čtyřmístný obrázkový kód. CAPTCHA.

A proč je právě únik rodného čísla horší než únik hesla? Protože rodné číslo se u nás používá zároveň ve dvou neslučitelných rolích. Jako identifikátor (něco jako uživatelské jméno, které klidně znají druzí) i jako autentikátor (něco jako heslo, kterým dokazujete, že jste to vy). Je to, jako by vám banka dala jeden řetězec a řekla: tohle je zároveň vaše přihlašovací jméno i vaše heslo, a nikdy si ho nezměníte.

Nástroj

Abychom si ověřili, co ta překážka v roce 2026 doopravdy znamená, postavili jsme si za jeden večer aplikaci. Říkáme jí ORSR agregátor. Zadáte název firmy nebo IČO. Aplikace jedním kliknutím a za pár vteřin pro libovolného majitele či jednatele vrátí:

• datum narození
• rodné číslo
• adresu trvalého bydliště
• číslo občanského průkazu (pokud ho listina obsahuje)
• podpisový vzor, vystřižený přímo z naskenované listiny, jako JPG

A ještě jednu věc, kterou jsme čekali méně. Jedním kliknutím zjistíte, u které zdravotní pojišťovny je daný člověk pojištěn, přes jeho rodné číslo, na veřejném ověřovači ÚDZS. Ten je chráněn „silnější“ Google reCAPTCHA. Aplikace si ji vyřeší automaticky, stejně jako tu obrázkovou. Rozdíl mezi vámi a skriptem je jen v ceně za jeden token, a ta cena je v centech.

Funguje to jednoduše: veřejná data z rejstříku se spojí, listiny ze sbírky se stáhnou přes CAPTCHA, text se přečte (i skeny, přes OCR), rodné číslo a adresa se přiřadí správné osobě podle data narození a podpis se vyřízne z obrazu stránky. Nic z toho není výzkum. Je to večerní lepení hotových dílů.

Přiznáme se: nejvíc nás na tom zamrazilo, jak to bylo nudné. Žádný průlom, žádná geniální chyba v systému. Pár hodin práce pro AI agenta.

CAPTCHA nezastavuje boty. Zastavuje vás

Tohle je potřeba říct nahlas, protože je to podstata omylu, na kterém celá „ochrana“ rejstříku stojí.

Rozpoznat čtyři znaky z obrázku je úloha, ve které stroje překonaly člověka před lety. Existuje na to celý trh služeb, komerčních bran, které vám kód vyřeší přes API za zlomek centu. Náš nástroj používá čtyři najednou:

• DeathByCaptcha
• 2Captcha
• CapMonster
• NoCaptchaAI

Tentýž obrázek pošle všem čtyřem současně a vezme odpověď té, která odpoví nejrychleji a správně. Rychlé brány vrátí řešení do dvou vteřin. Rejstřík přitom neúspěšným pokusem CAPTCHU „nespotřebuje“, takže na jeden obrázek můžete zkoušet víc odpovědí, a stačí, aby trefila jedna.

Důsledek: CAPTCHA na obchodním rejstříku zpomaluje jediného účastníka, a to člověka. Vás, když si chcete prohlédnout tři listiny a musíte třikrát luštit rozmazaná písmena. Skriptu, který jich chce stáhnout pět set tisíc, nepřekáží vůbec. Je to zámek, který drží dveře zavřené před majitelem bytu a otevřené před zlodějem s paklíčem, co mu ten zámek otevře za desetinu centu.

Adresa a datum narození jsou zdarma, i bez CAPTCHy

Než se dostaneme k ceně za rodná čísla, je potřeba říct nepříjemnou věc. Část toho balíku nestojí ani tu desetinu centu.

Registr právnických osob, který spravuje Statistický úřad SR, má oficiální veřejné REST API pod otevřenou licencí Creative Commons (CC-BY). Vrátí vám ve strojovém formátu jméno, datum vzniku a adresu každého jednatele a společníka, včetně adresy trvalého bydliště fyzických osob. Bez CAPTCHy, bez limitu, bez přihlášení. Subjekty mají číselné identifikátory, takže se celý rejstřík dá projít sekvenčně nebo po dávkách přes datumové filtry.

To znamená: adresu trvalého bydliště a základ identity každého slovenského podnikatele dnes dostanete zdarma a strojovou rychlostí. CAPTCHA chrání už jen rodné číslo a podpis, tedy to, co je v naskenovaných listinách. Nic víc.

Kolik stojí stáhnout celý rejstřík

Pojďme to vyčíslit. Na Slovensku je zhruba půl milionu firem se sbírkou listin a v nich statisíce jednatelů a společníků. Aby útočník získal rodné číslo i podpisový vzor každé osoby, potřebuje stáhnout pár listin na firmu: zakladatelský dokument a podpisové vzory. Počítejme přibližně 1,5 milionu stažení, každé za jednu úspěšně vyřešenou CAPTCHU.

Čísla, která následují, jsou řádové odhady, ne účetní uzávěrka. Počet firem, počet listin na firmu i úspěšnost bran se dají zpochybnit o desítky procent. Na závěru to nic nemění: ať to vyjde na osm set dolarů nebo na čtyři tisíce, pořád mluvíme o ceně použitého notebooku za identitu každého podnikatele v zemi.

Ceny bran jsme změřili na reálných CAPTCHách z rejstříku. Klíčové číslo není cena za tisíc pokusů, ale cena za tisíc úspěšných stažení, tedy cena podělená úspěšností dané brány:

Aby bylo jasné, o jakých částkách mluvíme: poslední dva sloupce nejsou cena za jednu osobu. Je to cena za stažení dat všech podnikatelů a jednatelů na Slovensku najednou, tedy celého rejstříku. Sloupec „jen rodná čísla“ pokrývá rodná čísla všech, sloupec „celý balík“ k tomu přidává podpisový vzor každého z nich.

Pokud vám jde o rychlost a pošlete obrázek všem čtyřem najednou, platíte všechny, ale trefíte téměř vždy na první pokus, a celý rejstřík vyjde přibližně na $4 000. Pokud vám jde o cenu a použijete jednu spolehlivou levnou bránu, dostanete se pod $1 300. Rodná čísla samotná, bez podpisů, jsou otázka několika set dolarů.

K tomu volitelně pojišťovna každého člověka přes ÚDZS. To je jiný typ CAPTCHy (reCAPTCHA), dražší, ale stejně levný: na milion osob od ~$600 přes nejlevnější bránu.

V eurech je to prakticky totéž číslo. Shrnuto: rodné číslo, podpis a pojišťovnu každého majitele slovenské firmy dnes koupíte za cenu použitého notebooku. Adresu a datum narození dostanete k tomu zdarma.

Jak rychle

Cena není jediná osa. Druhá je čas, a ten záleží na tom, kolik strojů nasadíte.

Rejstřík omezuje počet dotazů z jedné IP adresy. Z jednoho počítače by tedy stahování trvalo dny. Jenže útočník nesedí za jedním počítačem. V cloudu si za pár set dolarů pronajme tisíce rotujících IP adres a práci si rozloží:

• 100 IP: celý rejstřík asi za dva dny
• 1 000 IP: asi za pět hodin
• 5 000 IP: do hodiny

Brány na řešení CAPTCH zvládají tisíce souběžných úloh, ty úzkým hrdlem nejsou. Úzkým hrdlem je jedině počet IP adres, a ty se dnes kupují jako komodita. Řečeno jinak: kompletní kopii citlivých dat o všech slovenských podnikatelích udělá jeden průměrně zdatný člověk za jedno odpoledne.

Kde všude se na Slovensku rodné číslo používá

Vraťme se k té dvojroli identifikátoru a autentikátoru. Kde všude rodné číslo nese váhu:

• Zdravotní pojištění: rodné číslo je identifikátor pojištěnce. Přes veřejný ověřovač se dá (jak ukazuje náš nástroj) zjistit i to, kde jste pojištěni.
• Sociální pojišťovna: důchody, dávky, odvody, celá historie vašeho pracovního života visí na rodném čísle.
• Banky a zvláště nebankovní společnosti: při telefonickém a online ověření totožnosti se dodnes běžně ptají na rodné číslo a adresu jako důkaz, že jste to vy. Nebankovky jsou tím pověstné. A pokud věříte, že vás při volání do banky ochrání identifikace hlasem, podívejte se, co dnes dokáže hlasová syntéza ElevenLabs AI: na přesvědčivý klon vašeho hlasu stačí pár vteřin nahrávky.
• Telekomunikační operátoři: smlouvy, registrace SIM, ověření na zákaznické lince.
• Daňová správa: daňové identifikační číslo fyzické osoby je z rodného čísla přímo odvozeno.
• Katastr: vlastnické vztahy k nemovitostem jsou vedeny pod rodným číslem.
• eZdraví, lékaři, lékárny: elektronický recept i zdravotní dokumentace jsou vázány na rodné číslo.
• Zaměstnavatel a mzdová agenda, pojišťovny, notáři, soudy, školy, úřady.

Všimněte si toho vzorce. Na většině těchto míst slouží rodné číslo jako důkaz totožnosti při ověření na dálku: při telefonátu, na přepážce, ve formuláři. Přesně tam, kde ho útočník, který ho teď zná, použije proti vám. Heslo, které znají všichni, není heslo.

Pojišťovna: jeden údaj vynásobený milionem

Ještě jednou k tomu ověření pojišťovny, protože je zajímavější, než na první pohled vypadá. U jednoho člověka je to, u které zdravotní pojišťovny je, jen další úlomek do profilu. Ale tentýž nástroj, který ověří jednoho, ověří i milion. A tehdy se z neškodného údaje stává něco jiného.

Ověřovač je veřejná věštírna. ÚDZS pro zadané rodné číslo potvrdí, zda patří reálnému, pojištěnému člověku, a u které ze tří pojišťoven je. To není jen o podnikatelích. Rodné číslo má předvídatelnou stavbu (datum narození, pořadí, kontrolní číslice), takže se dá generovat a ověřovat. Z automaticky řešené reCAPTCHy se stává stroj, který ve velkém potvrzuje platnost rodných čísel a doplňuje k nim pojišťovnu, daleko za okruhem jednatelů firem, potenciálně pro velkou část populace. V jakém rozsahu to reálně jde, závisí na tom, jak agresivně ÚDZS omezuje dotazy, ale princip se tím nemění. Údaj, který měl sloužit k tomu, aby si člověk ověřil sám sebe, se mění na nástroj na ověřování cizích.

Zpravodajská databáze, jakou nemají ani samotné pojišťovny. Když k rodným číslům z rejstříku přiřadíte věk, adresu, hodnotu podílu a pojišťovnu, dostanete mapu, kterou oficiálně nemá nikdo: kolik klientů má která pojišťovna v segmentu podnikatelů, jakou mají věkovou, příjmovou a regionální strukturu a jak se to hýbe v čase, když měření zopakujete. To je citlivá konkurenční informace, která se jinak platí draho nebo se nedá získat vůbec.

Cílené přebírání těch „správných“ klientů. S takovou mapou umí pojišťovna nebo makléř přesně zacílit ziskový segment konkurence (mladí, zdraví, dobře vydělávající) a ostatní nechat být. To je přesný opak toho, na čem stojí solidární pojištění, kde se riziko rozkládá. Stejná logika platí obráceně, dá se odhadnout, kdo je pro systém „drahý“.

Zdravotní údaj zadními vrátky. Že někdo změnil pojišťovnu nebo u některé není, samo o sobě nic neprozrazuje. V kombinaci s datem, adresou a dalšími útržky se z toho ale dá usuzovat na životní události a zdravotní stav. Přesně ten typ informace, který nemá co pohledávat v rukou zaměstnavatele, věřitele ani nikoho, kdo o vás rozhoduje.

U jednoho člověka detail. U celé populace registr pojištěnců, který nikdy nikdo neschválil.

Jak se to dá zneužít

Nejsou to hypotézy. Jsou to přímé důsledky toho, co je teď veřejné.

Falzifikát. Ověřený podpisový vzor spolu s rodným číslem a číslem dokladu je přesně ten balík, který potřebujete na přesvědčivou falešnou listinu. Zápis z valné hromady, smlouva o převodu obchodního podílu, plná moc. U všech se pravost podpisu porovnává právě s tím vzorem, který je teď veřejný. Podpisový vzor kdysi vznikl proto, aby si pravost mohl ověřit notář. Zveřejněný celému světu dává mnohem víc možností podpis zfalšovat než ověřit. V krajním případě mluvíme o převzetí firmy přes zfalšovaný převod podílu.

Telefonát, který neodhalíte. Volající, který zná vaše rodné číslo, číslo občanského, adresu a přesnou strukturu vaší firmy, je na lince banky nebo operátora nerozeznatelný od vás. Přidejte hlasový deepfake, na který dnes stačí třicet vteřin nahrávky, a máte útok, který neodhalí ani opatrná oběť. Sem patří i převzetí SIM karty (SIM swap), které následně obejde SMS ověření k vašemu bankovnímu účtu.

Seznam cílů. V rejstříku je adresa trvalého bydliště spolu s hodnotou obchodního podílu. To je seznam lidí seřazený podle majetku, s domácí adresou. Pro kohokoli, kdo drží krypto, je to doslova seznam cílů pro fyzický útok. Pro novináře, soudce, advokáta či aktivistu s vlastní eseróčkou je to hotový nástroj na zastrašování. A dá se pokračovat. Adresu z rejstříku převedete přes veřejnou mapu (OpenStreetMap nebo státní registr adres) na přesné souřadnice a ty pošlete do katastru, který u parcely vrátí vlastníka, jeho podíl i spoluvlastníky. Celý ten řetězec je veřejný a zdarma: ze jména vznikne domácí adresa a z ní mapa nemovitého majetku.

A není to teorie. Ve Francii počet brutálních přepadení a únosů lidí spojených s kryptem v roce 2026 prudce vzrostl poté, co z daňové správy unikla data o statisících poplatníků včetně jejich adres a příjmů. V jednom z případů navíc zaměstnankyně daňového úřadu přímo vyhledávala majitele kryptoměn a jejich adresy prodávala zločineckým skupinám, které pak útočily v jejich domovech, před očima rodin. Přesně tento typ útoku otevírá veřejný seznam adres seřazený podle majetku. Podrobný rozbor: rekt.news/total-exposure.

A přidáme tři, které vyplývají z toho, že celé to jde automaticky a hromadně:

Propojení s jinými úniky. Rodné číslo je jedinečný klíč. Kdo ho má, dokáže spojit váš záznam z rejstříku s uniklými KYC dokumenty z kryptoburz, s databázemi z jiných úniků, s vašimi účty. Z rozsypaných střípků se stává jeden profil.

Cílený phishing v průmyslovém měřítku. Zpráva, která zná vaše skutečné rodné číslo a adresu, projde přes vaši nedůvěru jinak než obecný spam. Teď se dá vyrobit na míru pro statisíce lidí najednou.

Další prodej jako služba. Nic nebrání tomu, aby někdo celý harvest udělal jednou a pak ho nabízel jako vyhledatelnou databázi: zadáte jméno, dostanete balík. Za tu tisícovku dolarů, co to stálo, se to zaplatí mnohonásobně.

A ta nejdůležitější věc: heslo si změníte, kartu zablokujete, občanský vyměníte. Rodné číslo máte doživotně. I kdyby stát zítra portál vypnul a zákon novelizoval, to, co se mezitím stáhlo, zůstane v oběhu navždy. Tohle je nevratný únik. Nedá se vzít zpět, dá se už jen zdokumentovat.

A nikdo nezjistí, kdo to byl

Zbývá poslední otázka: koho by za to chytili? Nikoho.

Všechny čtyři anti-captcha brány se dají objednat úplně anonymně a zaplatit kryptoměnou, bez jména, bez karty, bez faktury. Stejně se dá anonymně kryptem zaplatit cloud i rotující IP adresy, ze kterých harvester běží. Rejstřík si navíc, jak jsme zmínili, nevede žádný záznam o tom, kdo si co stáhl. Neví ani, že se něco děje.

Poskládejte to dohromady. Vstupní investice je cena použitého notebooku, zaplacená tak, že ji nikdo nespojí s konkrétní osobou. Infrastruktura je anonymní. Cíl nezaznamenává přístup. Výsledkem je útok, po kterém nezůstane pachatel, ale zůstane kopie identity každého podnikatele v zemi, která bude kolovat navždy. Kombinace levného, rychlého a nevystopovatelného je přesně to, co z tohoto dělá problém, na který nemáme odpověď.

Co s tím

Pro podnikatele je jen jedna rozumná reakce: brát své rodné číslo za veřejné. Řekněte bance, operátorovi i pojišťovně, že rodné číslo ani adresa už nejsou důkazem totožnosti, a žádejte silnější ověření. A sledujte, jestli se u vaší firmy neobjeví listina, kterou jste nepodepsali.

Stát to vyřeší jediným způsobem: rodná čísla a podpisové vzory ze sbírky listin začernit, přístup k citlivým dokumentům navázat na elektronický občanský a na záznam o tom, kdo si co stáhl. Není to technicky náročné, jiné země to dělají běžně. CAPTCHA za desetinu centu není ochrana. Je to alibi.

Na rozdíl od státu v tomto článku záměrně neukazujeme žádné skutečné rodné číslo ani podpis konkrétního člověka.