Phishing: podvodná SMS a e-mail, jak je poznat a co dělat po kliknutí

Phishing je podvodná zpráva, která vás odkazem nebo přílohou láká na falešnou stránku a vyláká z vás přihlašovací údaje, údaje karty nebo potvrzení platby. Přichází jako e-mail, jako SMS (tomu se říká smishing) nebo jako zpráva v aplikaci. Poznáte ji podle nečekaného důvodu, malé nebo lákavé částky, odkazu a tlaku na rychlost.

Samotné kliknutí na odkaz ještě nemusí znamenat škodu. Podle Policie ČR vzniká škoda typicky až tehdy, když zadáte údaje nebo něco potvrdíte. Níže najdete nejběžnější podoby zpráv, techniky, které se používají, a postup podle toho, jak daleko jste došli.

Jak phishing funguje

Podvodník rozešle zprávu tisícům lidí a čeká, kdo klikne. Odkaz vede na stránku, která vypadá jako dopravce, banka nebo státní portál. Tam zadáte kartu, přihlašovací údaje nebo kód a podvodník je okamžitě použije na skutečném webu. Často následuje potvrzení v aplikaci nebo kód z SMS, který podvodník potřebuje k dokončení platby nebo přihlášení.

Někdy se na zprávu navazuje telefonát „bankéře“, který se tváří, že vám peníze zachraňuje. Právě takový scénář popisuje text o falešném bankéři a bezpečném účtu. Phishing je tedy často jen první krok složitějšího podvodu. Podle České bankovní asociace patřily phishing, smishing a vishing v období od ledna do července 2026 podle počtu případů k nejrozšířenějším útokům na klienty bank. Pojmy phishing (e-mail), smishing (SMS) a vishing (telefon) pak uvidíte v policejních i bankovních varováních společně.

Nejběžnější legendy

Policie ČR popisuje několik opakujících se příběhů. Zpráva údajně od banky hlásí podezřelou transakci a odkazuje na „přihlášení“. SMS od dopravce vyzývá k doplatku za doručení balíku. Zpráva údajně od státní správy oznamuje pokutu, datovou zprávu nebo příspěvek. Digitální a informační agentura na státním portálu doplňuje, že podvodné zprávy se maskují i jako informace o příspěvku na bydlení, o dávkách, o potížích s daňovým výkazem nebo o doručení zásilky. Přicházejí i zprávy, které se tváří jako od dítěte, o nichž pojednává podvod „Ahoj mami“.

U zásilek bývá požadovaná částka nízká, například doplatek 29 Kč. Policie upozorňuje, že cílem není vylákat těch pár korun, ale získat citlivé bankovní údaje a zmanipulovat oběť k autorizaci přístupu nebo platby. Zpráva o vrácení balíku, pokud neuhradíte poplatek, jen přidává tlak.

Falešné pokuty a státní správa

Policie ČR varuje před vlnami SMS o dopravním přestupku, které vedou na stránky podobné Portálu občana. Pokud na takové stránce vyplníte přihlášení přes bankovní identitu a potvrdíte ho v aplikaci, útočník podle Policie ČR může s vaší identitou například založit bankovní účet nebo sjednat půjčku. Jak chránit samotné přihlášení, vysvětluje článek o bankovní identitě.

Policie z jižních Čech zdůrazňuje, že přestupky v dopravě nikdy neřeší formou SMS. Finanční správa zase uvádí, že neposílá odkazy na webové stránky ani e-mailem, ani SMS, nepoužívá hlasové automaty k informování o přeplatcích či nedoplatcích a nikdy nežádá citlivé údaje e-mailem či SMS. Oficiální e-maily mají doménu @fs.gov.cz, ale pozor, odesílatele lze podvrhnout. Finanční správa sama popsala podvodný e-mail, který se v poli odesílatele tvářil jako „epodpora@fs.gov.cz“, a e-mail o „daňovém přeplatku“ s QR kódem vedoucím na falešnou stránku. Podobné triky se používají i u falešných výzev exekutora a úřadů.

Jak zprávu zkontrolovat

Kontrola netrvá dlouho a pomáhá zastavit většinu pokusů. Vyplatí se zvyk nejdřív zpomalit, i když zpráva vypadá, že se týká peněz nebo zásilky, na kterou čekáte. Nespoléhejte na hledání gramatických chyb, protože se překlady zlepšují a podvodné zprávy dnes často působí jazykově věrohodně.

• Neotevírejte odkaz ze zprávy a nevyplňujte nic na stránce, ke které vás zpráva vede. Adresu banky, dopravce nebo úřadu zadejte sami do prohlížeče nebo použijte jeho aplikaci.
• Podívejte se na doménu. Podvodná adresa často jen napodobuje skutečný název, Finanční správa například varovala před kampaní jménem České pošty s odkazem „cekposta.cz“ místo ceskaposta.cz.
• Zkrácené odkazy nejsou důkaz podvodu, ale znemožňují zkontrolovat cíl, proto jim nevěřte.
• Zámeček HTTPS u adresy neznamená důvěryhodnost, certifikát má většina phishingových webů.
• Nikdy nezadávejte údaje karty kvůli „přijetí“ peněz ani kód z SMS na požádání.

QR kódy a zprávy v aplikacích

Phishing se neomezuje na klasické SMS a e-maily. ČNB upozorňuje také na takzvaný quishing, tedy podvodné QR kódy, které vedou na falešnou stránku. Kód v nečekaném dopise, na plakátu nebo ve zprávě nemá stejnou váhu jako odkaz od důvěryhodného odesílatele. Před naskenováním si ověřte, odkud pochází, a po naskenování zkontrolujte adresu, na kterou se telefon chystá přejít.

Zprávy s odkazy chodí i přes chat nebo sociální sítě a mohou přijít z účtu známého, jehož přístup byl napaden. Pokud kamarád najednou posílá odkaz bez doprovodného textu nebo žádá o peníze, zeptejte se ho jiným kanálem, třeba telefonátem. U zpráv jménem státu pomáhá, že úřady postupně sjednocují své adresy pod jednotnou státní doménu gov.cz, takže napodobeninu poznáte snáz.

Podvržené jméno odesílatele a skutečná schránka

Policie ČR upozorňuje na dvě nepříjemné techniky. První je podvržení jména odesílatele SMS, kdy se zpráva může zobrazit ve stejném vlákně jako skutečná komunikace vaší banky. Druhá spočívá v tom, že e-mail dorazí z kompromitované skutečné schránky, takže adresa odesílatele vypadá zcela legitimně.

Pro čtenáře z toho plyne: ani známá adresa, ani vlákno s bankou nejsou důkazem. Rozhodující je, co zpráva po vás chce. Žádost o přihlášení z odkazu, doplatek nebo údaje karty je varovný signál bez ohledu na odesílatele. V pochybnostech se vždy obraťte na dotyčnou firmu jejím oficiálním kontaktem.

Tabulka: co jste udělali a co teď

Podle toho, jak daleko jste došli, se mění naléhavost kroků. Tabulka shrnuje postup.

Co když jsem klikl nebo zadal údaje

Modelový příklad: Ondřej, 29 let, dostal SMS o nevyzvednutém balíku a v odkazu zadal číslo karty a potvrdil platbu v aplikaci banky. Za pár minut se mu ozvala banka s upozorněním na nezvyklou transakci. Ondřej ihned zavolal na číslo z webu banky, nechal kartu zablokovat a popsal, co potvrdil.

Pokud jste vyzradili údaje karty, zavolejte bance a nechte ji zablokovat, jak popisuje text o ztracené platební kartě. Pokud jste se přihlásili do bankovnictví nebo něco potvrdili, volejte bance okamžitě a postupujte podle jejích pokynů. Neodkládejte nic na později a zprávu nemažte, patří k důkazům.

Pokud jste jen klikli, nic nevyplnili a stránka se chovala podivně, nic neinstalujte a zvažte kontrolu telefonu bezpečnostním softwarem. Když si nejste jistí, požádejte o pomoc poskytovatele služby nebo odborníka na IT bezpečnost. Zabezpečení účtů a limitů plateb pak doplní text o nastavení internetového bankovnictví.

Hlášení a prevence

Nahlášení pomáhá nejen vám. I když vám nic nevzniklo, je rozumné zprávu nejdřív přeposlat a smazat až poté. Varujte také okolí: podle Policie ČR se takové zprávy rozesílají ve velkém a mohou přijít i vašim blízkým, kteří nemusí být tak obezřetní.

Policie ČR uvádí, že podezřelou SMS lze přeposlat operátorovi na jednotnou linku 7726. Pokud došlo ke škodě, zprávu si ponechte jako důkaz a věc oznamte policii. Přehled institucí, kterým se podvod hlásí, najdete v textu kam nahlásit podvod. Pokud jste vyzradili heslo, změňte ho také u dalších služeb, kde ho používáte, odhlaste neznámá zařízení a zapněte vícefaktorové ověření.

Preventivně pomáhá používat aplikace přímo od firem, stahovat je jen z oficiálních obchodů, mít aktualizovaný telefon a zapnout upozornění na platby. Na čem stojí i jiné druhy podvodů, ukazuje souhrnný průvodce, jak poznat finanční podvody. Kdyby se vaše údaje objevily u podvodníků jinde, pomůže text o úniku osobních údajů.

Zdroje

• Policie ČR: Podvodné SMS zprávy
• Policie ČR: Phishing prostřednictvím e-mailové komunikace
• Finanční správa: Další intenzivní vlna podvodných e-mailů a SMS