Zdrojový kód tohto nástroja sme sa rozhodli nezverejniť. Nie preto, že by na ňom bolo niečo zložité. Práve naopak, a to je celé jadro veci. Ktokoľvek s prístupom k dnešným jazykovým modelom si ho postaví za pár hodín, sám, z verejne dostupných kúskov. My sme ho postavili za jeden večer. Riziko, o ktorom je tento článok, je reálne a je veľké.

Tento text nadväzuje na Štát ako najväčšia hrozba súkromia. Tam sme opísali, čo sa stalo. Tu ukazujeme, čo to znamená v praxi: koľko to stojí, ako rýchlo to ide a čo sa s tým dá spraviť.

Čo sa stalo

17. augusta 2026 začal nový obchodný register oficiálne sprístupňovať zbierku listín tak, že si z nej ktokoľvek na svete stiahne rodné číslo, úplnú adresu trvalého pobytu, číslo občianskeho preukazu a overený vlastnoručný podpis každého konateľa a spoločníka slovenskej firmy. Nie únikom. Nie chybou v kóde. Zverejnil to štát, podľa zákona, cez riadny legislatívny proces.

Bez prihlásenia. Bez elektronického občianskeho. Bez preukázania právneho záujmu. Zadarmo. A bez akéhokoľvek záznamu o tom, kto si čo stiahol.

Jediná prekážka pred hromadným sťahovaním je štvormiestny obrázkový kód. CAPTCHA.

Nástroj

Aby sme si overili, čo tá prekážka v roku 2026 naozaj znamená, postavili sme si za jeden večer aplikáciu. Voláme ju ORSR agregátor. Zadáte meno firmy alebo IČO. Aplikácia jedným kliknutím a za pár sekúnd pre ľubovoľného majiteľa či konateľa vráti:

• dátum narodenia
• rodné číslo
• adresu trvalého pobytu
• podpisový vzor, vystrihnutý priamo z naskenovanej listiny, ako JPG

A ešte jednu vec, ktorú sme čakali menej. Jedným kliknutím zistíte, v ktorej zdravotnej poisťovni je daný človek poistený, cez jeho rodné číslo, na verejnom overovači ÚDZS. Ten je chránený „silnejšou“ Google reCAPTCHA. Aplikácia si ju vyrieši automaticky, rovnako ako tú obrázkovú. Rozdiel medzi vami a skriptom je len v cene za jeden token, a tá cena je v centoch.

Fungovanie je jednoduché: verejné dáta z registra sa spoja, listiny zo zbierky sa stiahnu cez CAPTCHA, text sa prečíta (aj skeny, cez OCR), rodné číslo a adresa sa priradia správnej osobe podľa dátumu narodenia a podpis sa vyreže z obrazu strany. Nič z toho nie je výskum. Je to večerné lepenie hotových dielov.

Priznám sa, najviac nás na tom zamrazilo, aké to bolo nudné. Žiadny prielom, žiadna geniálna chyba v systéme. Pár hodín pre AI agenta.

CAPTCHA nezastavuje boty. Zastavuje vás

Toto treba povedať nahlas, lebo je to podstata omylu, na ktorom celá „ochrana“ registra stojí.

Rozpoznať štyri znaky z obrázka je úloha, v ktorej stroje prekonali človeka pred rokmi. Existuje na to celý trh služieb, komerčných brán, ktoré vám kód vyriešia cez API za zlomok centa. Náš nástroj používa štyri naraz:

• DeathByCaptcha
• 2Captcha
• CapMonster
• NoCaptchaAI

Ten istý obrázok pošle všetkým štyrom súčasne a zoberie odpoveď tej, ktorá odpovie najrýchlejšie a správne. Rýchle brány vrátia riešenie do dvoch sekúnd. Register pritom neúspešný pokus captchu „nespotrebuje“, takže na jeden obrázok môžete skúšať viac odpovedí, a stačí, aby trafila jedna.

Dôsledok: CAPTCHA na obchodnom registri spomaľuje jediného účastníka, a to človeka. Vás, keď si chcete pozrieť tri listiny a musíte tri razy lúštiť rozmazané písmená. Skriptu, ktorý ich chce stiahnuť päťstotisíc, neprekáža vôbec. Je to zámok, ktorý drží dvere zavreté pred majiteľom bytu a otvorené pred zlodejom s paklíčom, čo mu ten zámok otvorí za desatinu centa.

Adresa a dátum narodenia sú zadarmo, aj bez CAPTCHA

Skôr než sa dostaneme k cene za rodné čísla, treba povedať nepríjemnú vec. Časť toho balíka nestojí ani tú desatinu centa.

Register právnických osôb, ktorý spravuje Štatistický úrad, má verejné REST API pod otvorenou licenciou. Vráti vám v strojovom formáte meno, dátum vzniku a adresu každého konateľa a spoločníka, vrátane adresy trvalého pobytu fyzických osôb. Bez CAPTCHA, bez limitu, bez prihlásenia. Subjekty majú číselné identifikátory, takže sa celý register dá prejsť sekvenčne alebo po dávkach cez dátumové filtre.

To znamená: adresu trvalého pobytu a základ identity každého slovenského podnikateľa dnes dostanete zadarmo a strojovou rýchlosťou. CAPTCHA chráni už len rodné číslo a podpis, teda to, čo je v zoskenovaných listinách. Nič viac.

Koľko stojí stiahnuť celý register

Poďme to vyčísliť. Na Slovensku je rádovo pol milióna firiem so zbierkou listín. Aby útočník získal rodné číslo aj podpisový vzor každej osoby, potrebuje stiahnuť zopár listín na firmu: zakladateľský dokument a podpisové vzory. Počítajme rádovo 1,5 milióna stiahnutí, každé za jedno úspešne vyriešené CAPTCHA.

Ceny brán sme odmerali na reálnych captchách z registra. Kľúčové číslo nie je cena za tisíc pokusov, ale cena za tisíc úspešných stiahnutí, teda cena podelená úspešnosťou danej brány:

Aby bolo jasné, o akých sumách hovoríme: posledné dva stĺpce nie sú cena za jednu osobu. Je to cena za stiahnutie údajov všetkých podnikateľov a konateľov na Slovensku naraz, teda celého registra. Stĺpec „len rodné čísla“ pokrýva rodné čísla všetkých, stĺpec „celý balík“ k tomu pridáva podpisový vzor každého z nich.

Ak vám ide o rýchlosť a pošlete obrázok všetkým štyrom naraz, platíte všetky, ale trafíte takmer vždy na prvý pokus, a celý register vyjde rádovo na $4 000. Ak vám ide o cenu a použijete jednu spoľahlivú lacnú bránu, dostanete sa pod $1 300. Rodné čísla samotné, bez podpisov, sú otázka niekoľkých stoviek dolárov.

K tomu voliteľne poisťovňa každého človeka cez ÚDZS. To je iný typ CAPTCHA (reCAPTCHA), drahší, no aj tak lacný: na milión osôb od ~$600 cez najlacnejšiu bránu.

V eurách je to prakticky to isté číslo. Zhrnuté: rodné číslo, podpis a poisťovňu každého majiteľa slovenskej firmy dnes kúpite za cenu použitého notebooku. Adresu a dátum narodenia dostanete k tomu zadarmo.

Ako rýchlo

Cena nie je jediná os. Druhá je čas, a ten záleží od toho, koľko strojov nasadíte.

Register obmedzuje počet dopytov z jednej IP adresy. Z jedného počítača teda sťahovanie potrvá dni. Lenže útočník nesedí za jedným počítačom. V cloude si za pár stoviek dolárov prenajme tisíce rotujúcich IP adries a prácu si rozloží:

• 100 IP: celý register asi za dva dni
• 1 000 IP: asi za päť hodín
• 5 000 IP: do hodiny

Brány na riešenie CAPTCHA zvládajú tisíce súbežných úloh, tie úzkym hrdlom nie sú. Úzkym hrdlom je jedine počet IP adries, a tie sa dnes kupujú ako komodita. Povedané inak: kompletnú kópiu citlivých údajov o všetkých slovenských podnikateľoch spraví jeden priemerne zdatný človek za jedno popoludnie.

Kde všade sa na Slovensku rodné číslo používa

Aby bolo jasné, prečo je únik rodného čísla horší než únik hesla, treba pomenovať jeho základnú chybu. Rodné číslo sa u nás používa naraz v dvoch nezlučiteľných úlohách. Ako identifikátor (niečo ako používateľské meno, čo pokojne poznajú iní) aj ako autentifikátor (niečo ako heslo, čím dokazujete, že ste to vy). To je ako keby vám banka dala jeden reťazec a povedala: toto je zároveň vaše prihlasovacie meno aj vaše heslo, a nikdy si ho nezmeníte.

Kde všade to rodné číslo nesie váhu:

• Zdravotné poistenie: rodné číslo je identifikátor poistenca. Cez verejný overovač sa dá (ako ukazuje náš nástroj) zistiť aj to, kde ste poistení.
• Sociálna poisťovňa: dôchodky, dávky, odvody, celá história vášho pracovného života visí na rodnom čísle.
• Banky a najmä nebankové spoločnosti: pri telefonickom a online overení totožnosti sa dodnes bežne pýtajú rodné číslo a adresu ako dôkaz, že ste to vy. Nebankovky sú tým povestné. A ak veríte, že vás pri volaní do banky ochráni identifikácia hlasom, pozrite si, čo dnes dokáže hlasová syntéza ElevenLabs AI: na presvedčivý klon vášho hlasu stačí pár sekúnd nahrávky.
• Telekomunikační operátori: zmluvy, registrácia SIM, overenie na zákazníckej linke.
• Daňová správa: daňové identifikačné číslo fyzickej osoby je z rodného čísla priamo odvodené.
• Kataster: vlastnícke vzťahy k nehnuteľnostiam sú vedené na rodné číslo.
• eZdravie, lekári, lekárne: elektronický recept aj zdravotná dokumentácia sú viazané na rodné číslo.
• Zamestnávateľ a mzdová agenda, poisťovne, notári, súdy, školy, úrady.

Všimnite si ten vzorec. Na väčšine týchto miest slúži rodné číslo ako dôkaz totožnosti pri overení na diaľku: pri telefonáte, na priehradke, vo formulári. Presne tam, kde ho útočník, ktorý ho teraz pozná, použije proti vám. Heslo, ktoré poznajú všetci, nie je heslo.

Ako sa to dá zneužiť

Nie sú to hypotézy. Sú to priame dôsledky toho, čo je teraz verejné.

Falzifikát. Overený podpisový vzor spolu s rodným číslom a číslom dokladu je presne ten balík, ktorý potrebujete na presvedčivú falošnú listinu. Zápisnica z valného zhromaždenia, zmluva o prevode obchodného podielu, plnomocenstvo, pri všetkých sa pravosť podpisu porovnáva práve s tým vzorom, ktorý je teraz verejný. Podpisový vzor kedysi vznikol preto, aby si pravosť vedel overiť notár. Zverejnený celému svetu dáva rádovo viac možností podpis sfalšovať než overiť. V krajnom prípade hovoríme o prevzatí firmy cez sfalšovaný prevod podielu.

Telefonát, ktorý neodhalíte. Volajúci, ktorý pozná vaše rodné číslo, číslo občianskeho, adresu a presnú štruktúru vašej firmy, je na linke banky alebo operátora nerozoznateľný od vás. Pridajte hlasový deepfake, na ktorý dnes stačí tridsať sekúnd nahrávky, a máte útok, ktorý neodhalí ani opatrná obeť. Sem patrí aj prevzatie SIM karty (SIM swap), ktoré následne obíde SMS overenie k vášmu bankovému účtu.

Cieľový zoznam. V registri je adresa trvalého pobytu spolu s hodnotou obchodného podielu. To je zoznam ľudí zoradený podľa majetku, s adresou domov. Pre kohokoľvek, kto drží krypto, je to doslova zoznam cieľov pre fyzický útok. Pre novinára, sudcu, advokáta či aktivistu s vlastnou eseročkou je to hotový nástroj na zastrašovanie.

A nie je to teória. Vo Francúzsku počet brutálnych prepadnutí a únosov ľudí spojených s kryptom v roku 2026 prudko vzrástol. V jednom z prípadov zamestnankyňa daňového úradu vo svojom systéme cielene vyhľadávala majiteľov kryptomien a ich adresy predávala zločineckým skupinám, ktoré potom útočili priamo v ich domovoch, pred očami rodín. Presne tento typ útoku otvára verejný zoznam adries zoradený podľa majetku. Podrobný rozbor: rekt.news/total-exposure.

A pridáme štyri, ktoré vyplývajú z toho, že celé to ide automaticky a hromadne:

Prepojenie s inými únikmi. Rodné číslo je jedinečný kľúč. Kto ho má, dokáže spojiť váš záznam z registra s uniknutými KYC dokumentmi z kryptoburz, s databázami z iných leakov, s vašimi účtami. Z rozsypaných čriepkov sa stáva jeden profil.

Cielený phishing v priemyselnom meradle. Správa, ktorá pozná vaše skutočné rodné číslo a adresu, prejde cez vašu nedôveru inak než generický spam. Teraz sa dá vyrobiť na mieru pre pol milióna ľudí naraz.

Poisťovňa ako ďalší kamienok. To, v ktorej zdravotnej poisťovni ste, samo osebe vyzerá neškodne. V kombinácii s ostatným je to ďalší overovací údaj, ďalšia vetva pre sociálne inžinierstvo, ďalší spôsob, ako pri telefonáte pôsobiť dôveryhodne.

Ďalší predaj ako služba. Nič nebráni tomu, aby niekto celý harvest spravil raz a potom ho ponúkal ako vyhľadávateľnú databázu: zadáš meno, dostaneš balík. Za tú tisícku dolárov, čo to stálo, sa to zaplatí mnohonásobne.

A tá najdôležitejšia vec: heslo si zmeníte, kartu zablokujete, občiansky vymeníte. Rodné číslo máte doživotne. Aj keby štát zajtra portál vypol a zákon novelizoval, to, čo sa medzitým stiahlo, zostane v obehu navždy. Toto je nezvratný únik. Nedá sa vziať späť, dá sa už len zdokumentovať.

Prečo o tom píšeme

Nie preto, aby sme dali niekomu návod. Preto, aby bolo jasné, že návod už netreba, keďže ho postaví hociktorý model za odpoludnie. Keď je bariéra taká nízka, že ju prekročí večerný projekt, prestáva byť bariérou a stáva sa formalitou, ktorá kryje zodpovednosť.

Na rozdiel od štátu v tomto článku zámerne neukazujeme žiadne skutočné rodné číslo ani podpis konkrétneho človeka.