Phishing: podvodné e-maily a SMS a jak je poznat

E-mail tvrdí, že váš účet bude zablokován. SMS oznamuje, že balík čeká na doručení a stačí doplnit adresu. Zpráva „od úřadu“ žádá, abyste se přihlásili a ověřili údaje. Vypadají různě, ale fungují stejně: chtějí, abyste jednali rychle a sami prozradili něco, co byste jinak neprozradili, například heslo, číslo karty nebo ověřovací kód. Tomu se říká phishing.

Tento průvodce vysvětluje, co phishing je, podle čeho ho poznáte v e-mailu i v SMS, co udělat hned a kam podvod nahlásit. Vychází z pokynů Policie ČR, České národní banky (ČNB), portálu veřejné správy, CSIRT.CZ a Zásilkovny. Jde o obecné informace, ne o právní poradenství k vaší konkrétní situaci.

Co je phishing a jak se liší e-mail, SMS a telefonát

Policie ČR popisuje phishing jako podvodné e-maily nebo zprávy, které napodobují banku, úřad, doručovací službu, zaměstnavatele nebo známou firmu. Podle portálu veřejné správy jde o formu sociálního inženýrství, jejímž cílem je získat důvěrné údaje, nejčastěji přihlašovací jména a hesla. Útočník s ukradenými údaji může zjišťovat, co všechno vám účet dovoluje, nebo z něj rozesílat další podvodné zprávy.

Stejný trik má podle kanálu několik názvů:

• phishing je podvodný e-mail nebo zpráva na sociální síti či v chatu, často s odkazem na falešnou přihlašovací stránku nebo s přílohou;
• smishing je podvodná SMS. Policie ČR uvádí, že se zprávy vydávají za banky, přepravní společnosti, státní instituce, mobilní operátory nebo rodinné příslušníky;
• vishing je podvodný telefonát. Volající se vydává například za bankéře, policistu nebo technickou podporu a snaží se vás přimět k převodu peněz nebo ke sdělení údajů;
• quishing je podle ČNB podvod s podvodnými QR kódy, které vedou na stejný druh falešných stránek.

Policie ČR k tomu dodává důležitou věc: podstatou útoku není jen technika, ale psychologický nátlak. Útok podle ní spoléhá na vyvolání důvěry, strachu, časové tísně, zvědavosti nebo pocitu autority. Cílem zprávy je vyvolat rychlou reakci bez ověřování pravosti.

Jak poznáte podvodný e-mail

Žádný jediný znak není spolehlivý. Hodnotí se celek, zejména to, zda zpráva přišla nečekaně a zda vás někam tlačí. Portál veřejné správy upozorňuje, že dříve se podvodné e-maily dalo poznat podle špatné češtiny, ale strojový překlad se zlepšil, takže je třeba sledovat i další ukazatele. Na tyto věci se zaměřte:

1. Nečekanost. Policie ČR v kampani #nePINdej! radí: jakmile je zpráva, e-mail, SMS nebo telefonát neočekávaný, je podezřelý. Zpráva od banky, o kterou jste nepožádali, nebo balík, který nečekáte, jsou důvodem k opatrnosti.
2. Tlak na čas. Hrozba blokace účtu, pokuty nebo vrácení zásilky „do hodiny“ má zabránit tomu, abyste si věc ověřili. ČNB označuje strach a naléhavost za taktiku podvodníků a radí se nebát hovor ukončit, zavěsit a v klidu přemýšlet.
3. Odesílatel. Podezřelá nebo neobvyklá adresa, například s cizí koncovkou místo české, má vzbudit pozornost. Portál veřejné správy ale upozorňuje, že sofistikované zprávy mohou přijít i z adres, které působí důvěryhodně. Zásilkovna uvádí, že její e-maily končí pouze na @zasilkovna.cz nebo @packeta.com (případně na regionální variantě), a upozorňuje na adresy, které se pravému názvu jen podobají.
4. Odkazy. Portál veřejné správy zdůrazňuje, že největší pozor je třeba dávat při klikání na jakékoli odkazy v e-mailu. Zásilkovna doporučuje u webů hledat překlepy, zvláštní zápis adresy a záměnu znaků, například číslice za písmeno nebo cizí koncovku místo české.
5. Přílohy. ČNB varuje, abyste v žádném případě nespouštěli přílohy podezřelých zpráv. Takové zprávy podle ČNB nejlépe ani neotvírejte a rovnou je smažte.
6. Žádost o údaje. Zpráva, která po vás chce heslo, PIN, ověřovací kód nebo údaje o platební kartě, je podle ČNB zpravidla podvodné jednání. Policie ČR k tomu připojuje pravidlo, že kupující na inzertních portálech nikdy nepotřebuje údaje z vaší platební karty.
7. Vzhled. Portál veřejné správy upozorňuje, že pachatelé napodobují vizuální identitu úřadů, takže od originálu se logo a barvy téměř nedají rozeznat. Profesionální vzhled tedy o pravosti nic neříká.

Policie ČR navíc připomíná, že pachatel dokáže napodobit jakékoli telefonní číslo i e-mailovou adresu. Když si nejste absolutně jistí, je podle ní lepší vše ověřit jinou cestou, než kterou vás oslovili.

Jak poznáte podvodnou SMS

Podvodné SMS mají stejné znaky jako e-maily, jen je těžší je prozkoumat, protože na telefonu často není vidět celá adresa odkazu. Policie ČR popisuje, že smishing má přimět příjemce ke kliknutí na škodlivý odkaz, zadání přihlašovacích nebo platebních údajů, instalaci škodlivé aplikace nebo provedení finanční transakce. Zprávy se vydávají za banky, dopravce, státní instituce, mobilní operátory i rodinné příslušníky.

Typické legendy:

• Zásilka. Balík se údajně nedoručil, čeká na doplnění adresy nebo na drobný poplatek. Jak ji ověřit, popisuje samostatný článek o podvodné SMS od Zásilkovny a České pošty.
• Banka. Zpráva hlásí problém s účtem nebo kartou a posílá vás na odkaz. Navazuje na ni často telefonát od „bankéře“.
• Úřad. Portál veřejné správy ukazuje příklady SMS, které se vydávají za Ministerstvo práce a sociálních věcí a za Portál občana. Nový společný doménový standard gov.cz má podle portálu pomoci lidem poznat, zda zpráva opravdu pochází z veřejné správy.
• Příbuzný. Policie ČR popisuje zprávy typu „Ahoj mami“ nebo „Ahoj tati“, ve kterých se údajné dítě představí z nového čísla a žádá o rychlou finanční pomoc nebo o platbu. Policie vyzývá, abyste na toto riziko upozornili rodiče, prarodiče a další blízké, kteří jsou podobným útokům zvlášť vystaveni.

Zásilkovna přidává praktická vodítka: její SMS obsahují jen obecné informace o doručení a nikdy nežádají platbu přes SMS. Pokud nic neočekáváte, neklikejte na odkaz ani nereagujte. Podezřelé zprávy má smysl hned smazat. Kód z potvrzovací SMS nikomu nepřeposílejte.

Co udělat hned, když dorazí podezřelá zpráva

Postup je krátký a platí pro e-mail, SMS i zprávu v aplikaci:

1. Nereagujte a nic neotvírejte. Neodpovídejte, neklikejte na odkazy, neotevírejte přílohy a neskenujte QR kódy z podezřelé zprávy. Policie ČR radí, že když si nejste absolutně jisti, máte vše ověřit jinou cestou.
2. Ověřte věc nezávisle. Adresu banky nebo dopravce zadejte sami do prohlížeče, nebo použijte oficiální aplikaci. Stav zásilky zjistíte na oficiálním sledování dopravce, například Zásilkovna uvádí tracking.packeta.com. U telefonátů zavěste a zavolejte na oficiální infolinku instituce, jak doporučuje ČNB.
3. Nikomu nesdělujte kódy ani PIN. Slogan kampaně zní: PIN nikdy nedej. Policie ČR také připomíná, aby vám nikdo nezískal vzdálený přístup do zařízení. Nikdy ho nepovolujte nikomu, komu zcela nedůvěřujete.
4. Nahlaste a smažte. Podezřelou SMS přepošlete na číslo 7726 (podrobnosti níže) a potom ji smažte. E-mail můžete nahlásit bance nebo dopravci, jehož jméno zneužívá.

Co dělat, když jste klikli nebo zadali údaje

Zásilkovna na svých stránkách rozlišuje dvě situace a jejich logika platí obecně.

Klikli jste, ale nic jste nezadali. Podle Zásilkovny by údaje měly být v bezpečí, ale na zařízení se mohl objevit škodlivý software. Pomáhá pravidelné zálohování a aktuální antivirus. Pokud zařízení po kliknutí funguje podivně nebo vám něco instalovalo, nechte ho zkontrolovat. ČNB ve svých doporučeních pro internetové bankovnictví uvádí trvale zapnutý a aktualizovaný antivirus, firewall a aktualizovaný software.

Zadali jste přihlašovací údaje nebo údaje z karty. Jednejte okamžitě:

1. Zavolejte do banky. Požádejte o zablokování karty nebo přístupu a o zastavení podezřelých plateb. ČNB v radách pro oběti uvádí jako první krok kontaktovat banku a požádat o blokaci platebních prostředků. Zavolejte na kontakt, který jste si sami dohledali, ne na číslo ze zprávy.
2. Nepotvrzujte žádosti, které jste nevyvolali. Zásilkovna radí neschvalovat výzvy k vícefaktorovému ověření, které jste sami nespustili.
3. Změňte hesla. Pokud jste na falešné stránce zadali heslo, změňte ho tam, kde ho používáte, a zapněte dvoufaktorové ověřování, je-li k dispozici. Nové heslo zadávejte jen na stránce, kterou jste otevřeli sami.
4. Oznamte případ Policii ČR. ČNB doporučuje poskytnout všechny informace: průběh, použité metody a výši škody. Uschovejte si zprávu, snímek obrazovky a údaje o platbách.
5. Sledujte účet. ČNB radí pravidelně kontrolovat pohyby na účtu a platby kartou a využívat limity v internetovém bankovnictví.

Co když podvodník neuspěl? I tak je rozumné zprávu nahlásit, aby se varování dostalo dál. Pokud ale máte podezření, že pachatel zná vaše údaje z dřívějšího úniku, přečtěte si, co dělat po úniku dat.

Kam podvod nahlásit

Nahlášení má několik cest a nevylučují se. Pořadí závisí na tom, co se stalo.

• Banka. Přišli jste o peníze nebo jste zadali údaje? Banka je první kontakt. ČNB uvádí okamžité oznámení a žádost o blokaci jako první krok.
• Policie ČR. ČNB doporučuje případ oznámit policii a uvést všechny informace. Policie přijímá oznámení internetových, investičních, bazarových a telefonických podvodů i podvodů falešných bankéřů nebo policistů. V případě bezprostředního ohrožení života, zdraví a majetku volejte tísňovou linku 158.
• Linka 7726. Podle Policie ČR ji provozuje Asociace provozovatelů mobilních sítí, je zdarma a jednotná pro všechny operátory. Podezřelou SMS na ni přepošlete. U podezřelého telefonátu pošlete SMS ve tvaru „podvod číslo volajícího datum čas“, například „podvod +420123456789 01.09.2025 12:00“. Číslo v příkladu je pouze vzorové.
• Operátor. Policie ČR doporučuje informovat i svého mobilního operátora.
• CSIRT.CZ. Národní tým pro řešení kybernetických incidentů uvádí, že slouží jako kontaktní místo pro veřejnost a subjekty mimo regulovanou oblast. Veřejnost může incident hlásit přes webový formulář na stránkách CSIRT.CZ. Podrobnosti, co formulář obsahuje a zda se hodí pro konkrétní případ, si přečtěte přímo na jeho stránce.
• Dotčená firma. Pokud někdo zneužívá jméno Zásilkovny, nahlaste to na privacy@zasilkovna.cz. Podobně můžete informovat dopravce nebo banku, jejichž jméno podvodník použil.

Podrobnější přehled kroků najdete v článku o tom, jak nahlásit podvod policii a bance.

Podvodné telefonáty a falešná čísla

Phishing nekončí u zpráv. Policie ČR popisuje vishing jako telefonáty, při nichž se volající vydává za bankovního pracovníka nebo policistu či kriminalistu, tvrdí, že na účtu jsou podezřelé transakce, a žádá spolupráci na „vyšetřování“. Cílem je podle policie přimět vás k přihlášení do internetového bankovnictví, ke sdělení údajů nebo k převodu úspor na účet, který ovládají podvodníci a který nazývají bezpečným. ČNB dodává, že volající může být i virtuální asistentka nebo voicebot, a že pachatelé zneužívají jméno ČNB, přičemž její zaměstnanci veřejnost tímto způsobem nikdy nekontaktují.

Důležité je, že číslo na displeji nic nedokazuje. Policie ČR upozorňuje, že pachatel umí napodobit telefonní číslo i e-mailovou adresu. ČNB takové napodobování čísel institucí nazývá spoofing. Obrana je jednoduchá: pokud je hovor nečekaný a tlačí na rychlý převod, zavěste a zavolejte sami na oficiální infolinku. Víc o tomto tématu čtěte v článku o spoofingu a vishingu a o falešném bankéři.

Policie ČR popisuje, že „bezpečný účet“, na který máte peníze převést, ve skutečnosti ovládají pachatelé. ČNB ve svých doporučeních uvádí, že banka od vás nebude požadovat autentizační údaje elektronickou ani jinou poštou či telefonicky. Zásada tedy zní stejně jako u e-mailu: vaše bankovní údaje nepatří nikomu, kdo se o ně sám přihlásí.

Rychlý test pěti otázek před kliknutím

Když si nejste jistí, projděte si před každým kliknutím pět krátkých otázek. Všechny vycházejí z pravidel, která opakují policie, ČNB a Zásilkovna:

1. Čekal(a) jsem tuto zprávu? Neočekávaná zpráva je podle policie podezřelá už sama o sobě.
2. Chce po mně něco hned? Naléhavost je podle ČNB varovný signál, ne důvod ke spěchu.
3. Chce údaje, kód, platbu nebo instalaci? Tyto čtyři věci nikdy neposílejte na žádost ze zprávy.
4. Mohu to ověřit jinak? Oficiální aplikace, ručně zadaná adresa nebo telefonát na číslo z oficiálního webu jsou vždy lepší než odkaz ze zprávy.
5. Co by se stalo, kdybych počkal(a) hodinu? Pokud odpověď zní „nic podstatného“, máte čas na ověření. Skutečné problémy s účtem nebo zásilkou počkají na to, až si je ověříte sami.

Pokud na některou z otázek odpovíte nejistě, zprávu neotvírejte, nic nezadávejte a ověřte věc sami. Policie ČR k tomu v kampani #nePINdej! uvádí zásadu: když si nejste absolutně jisti, vše ověřte jinou cestou.

Odkud se berou údaje, kterými phishing zní uvěřitelně

Čím víc podvodník ví, tím věrohodněji zní. Policie ČR ve své kampani uvádí, že pachatelé kombinují slabé zabezpečení zařízení, znalost osobních údajů a manipulaci s prvkem překvapení. Zpráva, která vás oslovuje jménem, zmiňuje banku, u které opravdu máte účet, nebo balík, který opravdu čekáte, působí důvěryhodněji než zpráva rozeslaná naslepo.

Tyto údaje mohou pocházet z různých míst. Něco je veřejně dostupné, něco unikne při napadení služby. Nedá se spoléhat na to, že jméno ve zprávě je důkazem pravosti. Věrohodně vypadající phishing se proto nepozná podle toho, že „ví o mně hodně“, ale podle toho, co po vás chce. Pokud chce kód, heslo, údaje z karty, instalaci aplikace nebo převod peněz, je to podvod, ať už zná vaše jméno, nebo ne.

Jak snížit riziko phishingu předem

Obrana spočívá hlavně v několika návycích. Nevyžadují technické znalosti.

• Zaveďte si pravidlo „sám otevřu, sám zavolám“. Adresu banky či dopravce zadejte ručně nebo použijte oficiální aplikaci. Při pochybnostech zavolejte na číslo z oficiálního webu nebo z karty. Policie ČR radí ověřovat kontakty jinou cestou, než kterou vás oslovili.
• Nikdy nesdělujte autentizační údaje. ČNB radí nikomu nesdělovat přihlašovací údaje a v nastavení počítače nepovolovat jejich automatické zapamatování.
• Používejte důvěryhodné a aktualizované zařízení. ČNB uvádí aktualizovaný software, antivirus a firewall.
• Zapněte nezávislé potvrzení plateb. ČNB doporučuje kombinovat přihlášení s dalším prostředkem, například potvrzením transakce SMS nebo autentizačním kalkulátorem. Žádné ověření nepomůže, pokud kód sami vyzradíte, takže ani kód z aplikace nikomu nesdělujte.
• Nastavte limity. V internetovém bankovnictví využijte limity pro výši transakcí.
• Nepřeposílejte cizí peníze. ČNB varuje před nabídkami odměny za převod peněz přes váš účet. Kdo přeposílá peníze získané podvodem, stává se článkem podvodného řetězce a hrozí mu trestní postih.
• Procvičte si to. Policie ČR na svých stránkách odkazuje na interaktivní test České bankovní asociace kybertest.cz o bezpečném bankovnictví a rozpoznání podvodů. Vzdělávací projekt Pan Prokoukl (panprokoukl.cz), na který policie také odkazuje, učí rozpoznávat internetové podvody a chránit osobní údaje.
• Mluvte o tom doma. Policie ČR opakovaně vyzývá, abyste varovali rodiče, prarodiče a další blízké. Útočí na překvapení a emoce, takže pomáhá, když člověk ví, jak podvod vypadá.

Pokud vás zajímá širší kontext internetových a telefonních podvodů, od falešných e-shopů po investiční nabídky, přečtěte si průvodce podvody na internetu a po telefonu. Pro případ, že by někdo zneužil vaši identitu, je tu postup v článku o krádeži identity.

Zjistěte, co už je o vás veřejně vidět

Podvodné zprávy bývají přesvědčivější, když pachatel používá údaje, které jsou někde k nalezení. Remove Me provede bezplatnou analýzu bez registrace. Vyhledá vaše veřejně viditelné údaje, známé úniky dat a shody v registru zprostředkovatelů dat. Přehled se odemkne šestimístným kódem, který pošleme na váš e-mail. Remove Me zatím neodesílá žádosti o výmaz vaším jménem a neslibuje, že některá služba vaše údaje odstraní. Zahájit bezplatnou analýzu.

Shrnutí

Phishing poznáte téměř vždy podle tří věcí: zpráva přišla nečekaně, tlačí na rychlé jednání a chce, abyste prozradili údaje, klikli na odkaz nebo poslali peníze. Zastavte se, neklikejte a ověřte věc sami, přes oficiální aplikaci nebo číslo, které jste si dohledali. Pokud jste údaje zadali, rozhoduje rychlost: nejdřív banka, potom policie. Podezřelé SMS přeposílejte na 7726, aby se varování dostalo dál.

Zdroje

• Policie ČR: Podvodné SMS zprávy (smishing)
• Policie ČR: Sociální inženýrství
• Policie ČR: Podvody v digitálním světě
• Policie ČR: Varování před rostoucí vlnou kybernetických podvodů (6. září 2025)
• Policie ČR: Kampaň #nePINdej!
• ČNB: Online podvody, chraňte své peníze
• ČNB: Upozornění na podvržené e-mailové či jiné zprávy
• ČNB: Upozornění na rizika internetového bankovnictví
• Portál veřejné správy: Návod, jak poznat phishingové útoky
• CSIRT.CZ: Hlášení incidentů
• Zásilkovna: Kybernetická bezpečnost
• Zásilkovna: Podvodné e-maily
• Zásilkovna: Podvodné SMS