Zdrojový kód tohto nástroja sme sa rozhodli nezverejniť. Nie preto, že by na ňom bolo niečo zložité. Práve naopak, a to je celé jadro veci. Ktokoľvek s prístupom k dnešným jazykovým modelom si ho postaví za pár hodín, sám, z verejne dostupných kúskov. My sme ho postavili za jeden večer. Riziko, o ktorom je tento článok, je reálne a je veľké.

Píšeme o tom nie preto, aby sme dali niekomu návod. Práve naopak, aby bolo jasné, že návod už netreba, keďže ho postaví hociktorý model za odpoludnie. Keď je bariéra taká nízka, že ju prekročí večerný projekt, prestáva byť bariérou.

Tento text nadväzuje na Štát ako najväčšia hrozba súkromia. Tam sme opísali, čo sa stalo. Tu ukazujeme, čo to znamená v praxi: koľko to stojí, ako rýchlo to ide a čo sa s tým dá spraviť.

Čo sa stalo

17. augusta 2026 začal nový obchodný register oficiálne sprístupňovať zbierku listín tak, že si z nej ktokoľvek na svete stiahne rodné číslo, úplnú adresu trvalého pobytu, číslo občianskeho preukazu a overený vlastnoručný podpis každého konateľa a spoločníka slovenskej firmy. Nie únikom. Nie chybou v kóde. Zverejnil to štát, podľa zákona, cez riadny legislatívny proces.

Bez prihlásenia. Bez elektronického občianskeho. Bez preukázania právneho záujmu. Zadarmo. A bez akéhokoľvek záznamu o tom, kto si čo stiahol.

Jediná prekážka pred hromadným sťahovaním je štvormiestny obrázkový kód. CAPTCHA.

A prečo je práve únik rodného čísla horší než únik hesla? Lebo rodné číslo sa u nás používa naraz v dvoch nezlučiteľných úlohách. Ako identifikátor (niečo ako používateľské meno, čo pokojne poznajú iní) aj ako autentifikátor (niečo ako heslo, čím dokazujete, že ste to vy). To je, ako keby vám banka dala jeden reťazec a povedala: toto je zároveň vaše prihlasovacie meno aj vaše heslo, a nikdy si ho nezmeníte.

Nástroj

Aby sme si overili, čo tá prekážka v roku 2026 naozaj znamená, postavili sme si za jeden večer aplikáciu. Voláme ju ORSR agregátor. Zadáte meno firmy alebo IČO. Aplikácia jedným kliknutím a za pár sekúnd pre ľubovoľného majiteľa či konateľa vráti:

• dátum narodenia
• rodné číslo
• adresu trvalého pobytu
• číslo občianskeho preukazu (ak ho listina obsahuje)
• podpisový vzor, vystrihnutý priamo z naskenovanej listiny, ako JPG

A ešte jednu vec, ktorú sme čakali menej. Jedným kliknutím zistíte, v ktorej zdravotnej poisťovni je daný človek poistený, cez jeho rodné číslo, na verejnom overovači ÚDZS. Ten je chránený „silnejšou“ Google reCAPTCHA. Aplikácia si ju vyrieši automaticky, rovnako ako tú obrázkovú. Rozdiel medzi vami a skriptom je len v cene za jeden token, a tá cena je v centoch.

Fungovanie je jednoduché: verejné dáta z registra sa spoja, listiny zo zbierky sa stiahnu cez CAPTCHA, text sa prečíta (aj skeny, cez OCR), rodné číslo a adresa sa priradia správnej osobe podľa dátumu narodenia a podpis sa vyreže z obrazu strany. Nič z toho nie je výskum. Je to večerné lepenie hotových dielov.

Priznáme sa, najviac nás na tom zamrazilo, aké to bolo nudné. Žiadny prielom, žiadna geniálna chyba v systéme. Pár hodín pre AI agenta.

CAPTCHA nezastavuje boty. Zastavuje vás

Toto treba povedať nahlas, lebo je to podstata omylu, na ktorom celá „ochrana“ registra stojí.

Rozpoznať štyri znaky z obrázka je úloha, v ktorej stroje prekonali človeka pred rokmi. Existuje na to celý trh služieb, komerčných brán, ktoré vám kód vyriešia cez API za zlomok centa. Náš nástroj používa štyri naraz:

• DeathByCaptcha
• 2Captcha
• CapMonster
• NoCaptchaAI

Ten istý obrázok pošle všetkým štyrom súčasne a zoberie odpoveď tej, ktorá odpovie najrýchlejšie a správne. Rýchle brány vrátia riešenie do dvoch sekúnd. Register pritom neúspešný pokus captchu „nespotrebuje“, takže na jeden obrázok môžete skúšať viac odpovedí, a stačí, aby trafila jedna.

Dôsledok: CAPTCHA na obchodnom registri spomaľuje jediného účastníka, a to človeka. Vás, keď si chcete pozrieť tri listiny a musíte tri razy lúštiť rozmazané písmená. Skriptu, ktorý ich chce stiahnuť päťstotisíc, neprekáža vôbec. Je to zámok, ktorý drží dvere zavreté pred majiteľom bytu a otvorené pred zlodejom s paklúčom, čo mu ten zámok otvorí za desatinu centa.

Adresa a dátum narodenia sú zadarmo, aj bez CAPTCHA

Skôr než sa dostaneme k cene za rodné čísla, treba povedať nepríjemnú vec. Časť toho balíka nestojí ani tú desatinu centa.

Register právnických osôb, ktorý spravuje Štatistický úrad SR, má oficiálne verejné REST API pod otvorenou licenciou Creative Commons (CC-BY). Vráti vám v strojovom formáte meno, dátum vzniku a adresu každého konateľa a spoločníka, vrátane adresy trvalého pobytu fyzických osôb. Bez CAPTCHA, bez limitu, bez prihlásenia. Subjekty majú číselné identifikátory, takže sa celý register dá prejsť sekvenčne alebo po dávkach cez dátumové filtre.

To znamená: adresu trvalého pobytu a základ identity každého slovenského podnikateľa dnes dostanete zadarmo a strojovou rýchlosťou. CAPTCHA chráni už len rodné číslo a podpis, teda to, čo je v zoskenovaných listinách. Nič viac.

Koľko stojí stiahnuť celý register

Poďme to vyčísliť. Na Slovensku je zhruba pol milióna firiem so zbierkou listín a v nich státisíce konateľov a spoločníkov. Aby útočník získal rodné číslo aj podpisový vzor každej osoby, potrebuje stiahnuť zopár listín na firmu: zakladateľský dokument a podpisové vzory. Počítajme približne 1,5 milióna stiahnutí, každé za jedno úspešne vyriešené CAPTCHA.

Čísla, ktoré nasledujú, sú rádové odhady, nie účtovná uzávierka. Počet firiem, počet listín na firmu aj úspešnosť brán sa dajú spochybniť o desiatky percent. Na závere to nič nemení: či to vyjde na osemsto dolárov alebo na štyritisíc, stále hovoríme o cene použitého notebooku za identitu každého podnikateľa v krajine.

Ceny brán sme odmerali na reálnych captchách z registra. Kľúčové číslo nie je cena za tisíc pokusov, ale cena za tisíc úspešných stiahnutí, teda cena podelená úspešnosťou danej brány:

Aby bolo jasné, o akých sumách hovoríme: posledné dva stĺpce nie sú cena za jednu osobu. Je to cena za stiahnutie údajov všetkých podnikateľov a konateľov na Slovensku naraz, teda celého registra. Stĺpec „len rodné čísla“ pokrýva rodné čísla všetkých, stĺpec „celý balík“ k tomu pridáva podpisový vzor každého z nich.

Ak vám ide o rýchlosť a pošlete obrázok všetkým štyrom naraz, platíte všetky, ale trafíte takmer vždy na prvý pokus, a celý register vyjde približne na $4 000. Ak vám ide o cenu a použijete jednu spoľahlivú lacnú bránu, dostanete sa pod $1 300. Rodné čísla samotné, bez podpisov, sú otázka niekoľkých stoviek dolárov.

K tomu voliteľne poisťovňa každého človeka cez ÚDZS. To je iný typ CAPTCHA (reCAPTCHA), drahší, no aj tak lacný: na milión osôb od ~$600 cez najlacnejšiu bránu.

V eurách je to prakticky to isté číslo. Zhrnuté: rodné číslo, podpis a poisťovňu každého majiteľa slovenskej firmy dnes kúpite za cenu použitého notebooku. Adresu a dátum narodenia dostanete k tomu zadarmo.

Ako rýchlo

Cena nie je jediná os. Druhá je čas, a ten záleží od toho, koľko strojov nasadíte.

Register obmedzuje počet dopytov z jednej IP adresy. Z jedného počítača teda sťahovanie potrvá dni. Lenže útočník nesedí za jedným počítačom. V cloude si za pár stoviek dolárov prenajme tisíce rotujúcich IP adries a prácu si rozloží:

• 100 IP: celý register asi za dva dni
• 1 000 IP: asi za päť hodín
• 5 000 IP: do hodiny

Brány na riešenie CAPTCHA zvládajú tisíce súbežných úloh, tie úzkym hrdlom nie sú. Úzkym hrdlom je jedine počet IP adries, a tie sa dnes kupujú ako komodita. Povedané inak: kompletnú kópiu citlivých údajov o všetkých slovenských podnikateľoch spraví jeden priemerne zdatný človek za jedno popoludnie.

Kde všade sa na Slovensku rodné číslo používa

Vráťme sa k tej dvojrole identifikátora a autentifikátora. Kde všade rodné číslo nesie váhu:

• Zdravotné poistenie: rodné číslo je identifikátor poistenca. Cez verejný overovač sa dá (ako ukazuje náš nástroj) zistiť aj to, kde ste poistení.
• Sociálna poisťovňa: dôchodky, dávky, odvody, celá história vášho pracovného života visí na rodnom čísle.
• Banky a najmä nebankové spoločnosti: pri telefonickom a online overení totožnosti sa dodnes bežne pýtajú rodné číslo a adresu ako dôkaz, že ste to vy. Nebankovky sú tým povestné. A ak veríte, že vás pri volaní do banky ochráni identifikácia hlasom, pozrite si, čo dnes dokáže hlasová syntéza ElevenLabs AI: na presvedčivý klon vášho hlasu stačí pár sekúnd nahrávky.
• Telekomunikační operátori: zmluvy, registrácia SIM, overenie na zákazníckej linke.
• Daňová správa: daňové identifikačné číslo fyzickej osoby je z rodného čísla priamo odvodené.
• Kataster: vlastnícke vzťahy k nehnuteľnostiam sú vedené na rodné číslo.
• eZdravie, lekári, lekárne: elektronický recept aj zdravotná dokumentácia sú viazané na rodné číslo.
• Zamestnávateľ a mzdová agenda, poisťovne, notári, súdy, školy, úrady.

Všimnite si ten vzorec. Na väčšine týchto miest slúži rodné číslo ako dôkaz totožnosti pri overení na diaľku: pri telefonáte, na priehradke, vo formulári. Presne tam, kde ho útočník, ktorý ho teraz pozná, použije proti vám. Heslo, ktoré poznajú všetci, nie je heslo.

Poisťovňa: jeden údaj vynásobený miliónom

Ešte raz k tomu overeniu poisťovne, lebo je zaujímavejšie, než na prvý pohľad vyzerá. Pri jednom človeku je to, v ktorej zdravotnej poisťovni je, len ďalší úlomok do profilu. Ale ten istý nástroj, ktorý overí jedného, overí aj milión. A vtedy sa z neškodného údaja stáva niečo iné.

Overovač je verejná veštica. ÚDZS pre zadané rodné číslo potvrdí, či patrí reálnemu, poistenému človeku, a v ktorej z troch poisťovní je. To nie je len o podnikateľoch. Rodné číslo má predvídateľnú stavbu (dátum narodenia, poradie, kontrolná číslica), takže sa dá generovať a overovať. Z automaticky riešenej reCAPTCHA sa stáva stroj, ktorý vo veľkom potvrdzuje platnosť rodných čísel a dopĺňa k nim poisťovňu, ďaleko za okruhom konateľov firiem, potenciálne pre veľkú časť populácie. V akom rozsahu to reálne ide, závisí od toho, ako agresívne ÚDZS limituje dopyty, no princíp sa tým nemení. Údaj, ktorý mal slúžiť na to, aby si človek overil sám seba, sa mení na nástroj na overovanie cudzích.

Spravodajská databáza, akú nemajú ani samotné poisťovne. Keď k rodným číslam z registra priradíte vek, adresu, hodnotu podielu a poisťovňu, dostanete mapu, ktorú oficiálne nemá nikto: koľko klientov má ktorá poisťovňa v segmente podnikateľov, akú majú vekovú, príjmovú a regionálnu štruktúru a ako sa to hýbe v čase, keď meranie zopakujete. To je citlivá konkurenčná informácia, ktorá sa inak platí draho alebo sa nedá získať vôbec.

Cielené preberanie tých „správnych“ klientov. S takou mapou vie poisťovňa alebo maklér presne zacieliť ziskový segment konkurencie (mladí, zdraví, dobre zarábajúci) a ostatných nechať tak. To je presný opak toho, na čom stojí solidárne poistenie, kde sa riziko rozkladá. Rovnaká logika platí opačne, dá sa odhadnúť, kto je pre systém „drahý“.

Zdravotný údaj cez zadné dvierka. Že niekto zmenil poisťovňu alebo v niektorej nie je, samo osebe nič neprezrádza. V kombinácii s dátumom, adresou a ďalšími útržkami sa z toho ale dá usudzovať na životné udalosti a zdravotný stav. Presne ten typ informácie, ktorý nemá čo hľadať v rukách zamestnávateľa, veriteľa ani nikoho, kto o vás rozhoduje.

Pri jednom človeku detail. Pri celej populácii register poistencov, ktorý nikto nikdy neschválil.

Ako sa to dá zneužiť

Nie sú to hypotézy. Sú to priame dôsledky toho, čo je teraz verejné.

Falzifikát. Overený podpisový vzor spolu s rodným číslom a číslom dokladu je presne ten balík, ktorý potrebujete na presvedčivú falošnú listinu. Zápisnica z valného zhromaždenia, zmluva o prevode obchodného podielu, plnomocenstvo. Pri všetkých sa pravosť podpisu porovnáva práve s tým vzorom, ktorý je teraz verejný. Podpisový vzor kedysi vznikol preto, aby si pravosť vedel overiť notár. Zverejnený celému svetu dáva oveľa viac možností podpis sfalšovať než overiť. V krajnom prípade hovoríme o prevzatí firmy cez sfalšovaný prevod podielu.

Telefonát, ktorý neodhalíte. Volajúci, ktorý pozná vaše rodné číslo, číslo občianskeho, adresu a presnú štruktúru vašej firmy, je na linke banky alebo operátora nerozoznateľný od vás. Pridajte hlasový deepfake, na ktorý dnes stačí tridsať sekúnd nahrávky, a máte útok, ktorý neodhalí ani opatrná obeť. Sem patrí aj prevzatie SIM karty (SIM swap), ktoré následne obíde SMS overenie k vášmu bankovému účtu.

Zoznam cieľov. V registri je adresa trvalého pobytu spolu s hodnotou obchodného podielu. To je zoznam ľudí zoradený podľa majetku, s adresou domov. Pre kohokoľvek, kto drží krypto, je to doslova zoznam cieľov pre fyzický útok. Pre novinára, sudcu, advokáta či aktivistu s vlastnou eseročkou je to hotový nástroj na zastrašovanie. A dá sa pokračovať. Adresu z registra prevediete cez verejnú mapu (OpenStreetMap alebo štátny register adries) na presné súradnice a tie pošlete do katastra, ktorý pri parcele vráti vlastníka, jeho podiel aj spoluvlastníkov. Celý ten reťazec je verejný a zadarmo: z mena vznikne domáca adresa a z nej mapa nehnuteľného majetku.

A nie je to teória. Vo Francúzsku počet brutálnych prepadnutí a únosov ľudí spojených s kryptom v roku 2026 prudko vzrástol po tom, čo z daňovej správy unikli údaje o stovkách tisíc daňovníkov vrátane ich adries a príjmov. V jednom z prípadov navyše zamestnankyňa daňového úradu priamo vyhľadávala majiteľov kryptomien a ich adresy predávala zločineckým skupinám, ktoré potom útočili v ich domovoch, pred očami rodín. Presne tento typ útoku otvára verejný zoznam adries zoradený podľa majetku. Podrobný rozbor: rekt.news/total-exposure.

A pridáme tri, ktoré vyplývajú z toho, že celé to ide automaticky a hromadne:

Prepojenie s inými únikmi. Rodné číslo je jedinečný kľúč. Kto ho má, dokáže spojiť váš záznam z registra s uniknutými KYC dokumentmi z kryptoburz, s databázami z iných leakov, s vašimi účtami. Z rozsypaných čriepkov sa stáva jeden profil.

Cielený phishing v priemyselnom meradle. Správa, ktorá pozná vaše skutočné rodné číslo a adresu, prejde cez vašu nedôveru inak než generický spam. Teraz sa dá vyrobiť na mieru pre státisíce ľudí naraz.

Ďalší predaj ako služba. Nič nebráni tomu, aby niekto celý harvest spravil raz a potom ho ponúkal ako vyhľadávateľnú databázu: zadáte meno, dostanete balík. Za tú tisícku dolárov, čo to stálo, sa to zaplatí mnohonásobne.

A tá najdôležitejšia vec: heslo si zmeníte, kartu zablokujete, občiansky vymeníte. Rodné číslo máte doživotne. Aj keby štát zajtra portál vypol a zákon novelizoval, to, čo sa medzitým stiahlo, zostane v obehu navždy. Toto je nezvratný únik. Nedá sa vziať späť, dá sa už len zdokumentovať.

A nikto nezistí, kto to bol

Zostáva posledná otázka: koho by za to chytili? Nikoho.

Všetky štyri anti-captcha brány sa dajú objednať úplne anonymne a zaplatiť kryptomenou, bez mena, bez karty, bez faktúry. Rovnako sa dá anonymne kryptom zaplatiť cloud aj rotujúce IP adresy, z ktorých harvester beží. Register si navyše, ako sme spomenuli, nevedie žiadny záznam o tom, kto si čo stiahol. Nevie ani, že sa niečo deje.

Poskladajte to dokopy. Vstupná investícia je cena použitého notebooku, zaplatená tak, že ju nikto nespojí s konkrétnou osobou. Infraštruktúra je anonymná. Cieľ nezaznamenáva prístup. Výsledkom je útok, po ktorom nezostane páchateľ, ale zostane kópia identity každého podnikateľa v krajine, ktorá bude kolovať navždy. Kombinácia lacného, rýchleho a nevystopovateľného je presne to, čo z tohto robí problém, na aký nemáme reakciu.

Čo s tým

Pre podnikateľa je len jedna rozumná reakcia: brať svoje rodné číslo za verejné. Povedzte banke, operátorovi aj poisťovni, že rodné číslo ani adresa už nie sú dôkazom totožnosti, a žiadajte silnejšie overenie. A sledujte, či sa vo vašej firme neobjaví listina, ktorú ste nepodpísali.

Štát to vyrieši jediným spôsobom: rodné čísla a podpisové vzory zo zbierky listín začierniť, prístup k citlivým dokumentom naviazať na elektronický občiansky a na záznam o tom, kto si čo stiahol. Nie je to technicky náročné, iné krajiny to robia bežne. CAPTCHA za desatinu centa nie je ochrana. Je to alibi.

Na rozdiel od štátu v tomto článku zámerne neukazujeme žiadne skutočné rodné číslo ani podpis konkrétneho človeka.