Ruce držící telefon s příchozí zprávou u kuchyňského stolu

Jak poznat podvodnou zprávu o platbě nebo zásilce

02/09/2026 Libor Výborný

Podvodné zprávy o platbě, doplatku za zásilku nebo o blokaci účtu už dávno nejsou plné pravopisných chyb. Přicházejí v češtině, používají loga i formátování skutečných firem a míří na chvíli, kdy člověk něco skutečně čeká. Rozpoznat je proto nejde podle vzhledu. Jde to podle několika znaků, které se opakují bez ohledu na to, za koho se odesílatel vydává.

Aktualizováno 3. září 2026: doplněny zákonné lhůty a limity, tabulky a rozšířené odpovědi v sekci častých otázek.

Údaje v článku jsou platné k 3. září 2026.

Proč podvodné zprávy fungují

Útok nemíří na technickou slabinu, ale na běžný lidský postup. Zpráva navazuje na něco pravděpodobného: objednávku, převod, upomínku, vrácení peněz. Čím víc zásilek nebo plateb člověk čeká, tím snadněji zapadne i ta smyšlená. Rozhodující proto není, jestli zpráva vypadá důvěryhodně, ale jestli jste ji čekali právě od tohoto odesílatele a právě v tomto znění.

Druhým důvodem je čas. Zpráva se snaží vyvolat pocit, že rozhodnutí nesnese odklad. Kdo se rozhoduje ve spěchu, přeskočí ověření, které by jinak udělal automaticky. Zpomalení je proto účinnější obrana než jakýkoli seznam podezřelých slov.

Znaky, které se opakují

Napříč kampaněmi se vrací čtyři vzorce. Zpráva slibuje nebo hrozí něčím, co se má stát velmi brzy. Vede k odkazu místo k tomu, abyste použili vlastní aplikaci. Žádá údaje, které protistrana buď zná, nebo je nikdy nepotřebuje. A odchylka od běžného postupu se vysvětluje mimořádnou situací.

Samostatným znakem je nesoulad mezi kanálem a obsahem. Banka řeší podezřelou transakci ve své aplikaci, ne odkazem v SMS. Dopravce řeší doplatek v objednávce u obchodníka, ne přes formulář s údaji o kartě. Pokud kanál neodpovídá věci, kterou má řešit, je to samo o sobě dost silný důvod nepokračovat.

Odesílatel a adresa odkazu

Zobrazované jméno odesílatele je jen popisek a lze do něj napsat cokoli. U e-mailu je proto potřeba rozkliknout skutečnou adresu, u SMS nelze spoléhat vůbec, protože zpráva se často zařadí do stávajícího vlákna od skutečné firmy.

U odkazu rozhoduje doména, tedy poslední dvě části názvu těsně před prvním lomítkem. Vše ostatní, včetně názvu banky nebo dopravce na začátku adresy, si může útočník zvolit libovolně. Odkaz je proto vhodné si nejdřív zobrazit podržením prstu nebo najetím myší a teprve pak se rozhodnout, jestli má smysl ho vůbec otevírat.

Zásilky a doplatek za doručení

Nejrozšířenější podoba slibuje doručení po zaplacení drobné částky. Účelem není tato platba, ale získání údajů o kartě, případně potvrzení, které útočníkovi umožní nastavit opakovanou platbu. Proto částka bývá nízká: má působit bezvýznamně a nevyvolat pochybnost.

Bezpečný postup je nezávislý na zprávě. Stav zásilky se ověřuje v objednávce u obchodníka, u kterého jste nakoupili, nebo v aplikaci dopravce, kterou jste si sami nainstalovali. Pokud objednávka žádnou takovou zásilku neobsahuje, není co řešit.

Zprávy, které se tváří jako banka

Zde platí několik pravidel bez výjimky. Banka nepotřebuje celý PIN, celé heslo ani kód z aplikace, protože je buď zná, nebo je nikdy nevyžaduje. Nikdy také nežádá o instalaci programu pro vzdálený přístup k počítači ani o přesun peněz na takzvaný bezpečný nebo technický účet. Takový účet neexistuje.

Pokud zpráva mluví o neoprávněné transakci, správnou reakcí je otevřít vlastní bankovní aplikaci a podívat se na pohyby. Když je něco v nepořádku, uvidíte to tam. Když ne, byla zpráva podvodná bez ohledu na to, jak přesvědčivě vypadala. Souvislosti mezi jednotlivými bankovními službami shrnuje rozcestník Bankovní produkty a poplatky.

Znaky podle typu zprávy

Typ zprávy	Co po vás chce	Znak, který ji prozradí
Zásilka a doplatek	zaplatit malou částku za doručení	doplatek se u českých dopravců neplatí přes odkaz v SMS
Banka a blokace účtu	přihlásit se přes odkaz	banka odkaz na přihlášení neposílá
Doručovatel a změna adresy	zadat kartu kvůli ověření	za změnu adresy se neplatí kartou
Úřad a nedoplatek	rychle zaplatit pokutu	úřady vymáhají písemně, ne odkazem
Investiční příležitost	zavolat zpět nebo zadat údaje	tlak na rychlost a slib jistého výnosu
Rodinný příslušník v nouzi	poslat peníze na nové číslo	změna kontaktu a odmítnutí telefonátu

Napříč typy se opakují tři prvky: časový tlak, malá částka, která uspí ostražitost, a odkaz, po jehož otevření se má něco zadat. Když se sejdou všechny tři, jde o podvod bez ohledu na to, jak dobře je zpráva napsaná.

Jak ověřit kontakt nezávisle

Zásada zní neověřovat protistranu údaji z podezřelé zprávy. Telefonní číslo, odkaz ani adresa uvedené ve zprávě nejsou důkazem, protože je zvolil odesílatel. Ověření má vždy začít u zdroje, který jste měli k dispozici předtím: karta s číslem na rubu, oficiální stránka, dříve uložený kontakt, vlastní aplikace.

Totéž platí pro telefonát. Zobrazené číslo lze podvrhnout, takže i hovor, který se tváří jako z čísla banky, může přicházet odjinud. Bezpečné je hovor ukončit a zavolat zpět na číslo, které jste si našli sami.

Co dělat, když už jste zareagovali

Rozhodující je pořadí kroků a rychlost. Nejdřív zamezte dalším platbám, tedy zablokujte kartu nebo přístup v aplikaci a spojte se s bankou přes ověřený kontakt. Teprve potom měňte hesla, a to na jiném zařízení, pokud máte podezření, že do toho původního někdo získal přístup.

Neautorizovanou transakci je nutné bance oznámit bez zbytečného odkladu. Zákon o platebním styku stanoví nejzazší lhůtu třinácti měsíců ode dne odepsání částky z účtu, ale čekání na její konec pozici poškozeného zhoršuje. Zákon také rozlišuje, kdy ztrátu nese poskytovatel a kdy plátce; podstatné je, zda plátce jednal podvodně nebo porušil své povinnosti hrubě nedbale. Průběžně si ukládejte snímky obrazovky, čísla hovorů i časy, obdobně jako při hlášení pojistné události.

Co dělat v prvních minutách po kliknutí

Nic nezadávejte a stránku zavřete; samotné otevření odkazu obvykle škodu nezpůsobí.
Pokud jste už zadali údaje ke kartě, kartu okamžitě zablokujte v aplikaci.
Pokud jste zadali přihlašovací údaje, změňte heslo z jiného zařízení a odhlaste aktivní relace.
Zkontrolujte, zda se nezměnily kontaktní údaje, limity a příjemci v bankovnictví.
Neinstalujte nic, k čemu vás vyzve stránka nebo následný telefonát, zvlášť ne vzdálený přístup.
Zprávu si uschovejte i s adresou odesílatele a odkazem, poslouží jako podklad.

Kdo jen klikl a nic nevyplnil, je zpravidla v pořádku. Rozhodující je okamžik zadání údajů nebo potvrzení platby, protože právě tím se z pokusu stává škoda. Postup při skutečném odčerpání peněz popisuje text o tom, jak řešit neoprávněnou platbu z účtu.

Kam podvod nahlásit

Trestní oznámení podává poškozený u Policie České republiky, a to na kterémkoli oddělení bez ohledu na místo činu. Doklady shromážděné hned na začátku podstatně zvyšují použitelnost oznámení. Bezpečnostní incidenty v síti přijímá také národní tým CSIRT.CZ, který provozuje sdružení CZ.NIC.

Pokud se zpráva vydávala za finanční instituci, stojí za to ověřit si, jestli daná firma vůbec smí v Česku působit. Česká národní banka vede veřejné seznamy regulovaných subjektů a zveřejňuje upozornění pro veřejnost k subjektům, které oprávnění nemají. Stejná opatrnost patří k nabídkám zhodnocení peněz; pořadí kroků před prvním nákupem popisuje rozcestník Investování pro začátečníky.

Co podvodná zpráva nikdy neobejde

Dvě věci zůstávají v rukou příjemce. První je nezávislé ověření: dokud protistranu neověříte kanálem, který jste si zvolili sami, nemá smysl posuzovat obsah zprávy. Druhou je odmítnutí spěchu. Legitimní instituce nikdy nepotřebuje, abyste rozhodli během několika minut, a nikdy netrestá to, že si věc chcete ověřit.

Užitečné je také oddělit peníze podle účelu, aby případná ztráta nezasáhla vše najednou. Rozdíl mezi provozními a odloženými penězi i rozsah ochrany uložených prostředků popisuje článek o pojištění vkladů.

Časté otázky

Podle čeho poznám podvodnou zprávu?

Podle kombinace tří prvků: časového tlaku, malé částky, která uspí ostražitost, a odkazu, po jehož otevření máte něco zadat. Dále podle nesouladu mezi zobrazeným jménem odesílatele a skutečnou adresou, podle obecného oslovení a podle domény odkazu, která se jen podobá té pravé. Jazyková chyba dnes není spolehlivý znak, podvodné zprávy bývají napsané správně.

Stane se něco, když jen kliknu na odkaz?

Zpravidla ne. Samotné otevření stránky obvykle škodu nezpůsobí, protože podvod potřebuje, abyste něco zadali nebo potvrdili. Rozhodující okamžik je vyplnění údajů, přihlášení nebo schválení platby v aplikaci. Pokud jste jen klikli a stránku zavřeli, stačí zkontrolovat účet a nic dalšího neinstalovat. Jistotu zvýší kontrola, zda se v bankovnictví nezměnily kontakty a limity.

Jak si ověřím, jestli zpráva opravdu je od banky?

Nezávisle, tedy nikdy přes údaje uvedené ve zprávě. Přihlaste se do aplikace, kterou už máte, nebo zavolejte na číslo z rubu platební karty či z oficiálního webu, který si najdete sami. Banka po vás nikdy nebude chtít heslo, PIN ani potvrzovací kód a nikdy neposílá odkaz na přihlášení. Když si nejste jistí, nechte zprávu být a ověřte si stav účtu přímo.

Jsou podvodné zásilkové zprávy nebezpečné, když jde o pár korun?

Právě nízká částka je nástroj. Cílem není doplatek, ale získání údajů z platební karty, které pak slouží k mnohem větším transakcím. Čeští dopravci navíc doplatek za doručení přes odkaz v SMS nevybírají. Pokud zásilku skutečně čekáte, ověřte si její stav v aplikaci dopravce nebo přes číslo zásilky zadané ručně na jeho webu.

Co když jsem zadal údaje z karty?

Kartu okamžitě zablokujte v aplikaci, což bývá rychlejší než telefonní linka, a poté informujte banku. Zkontrolujte poslední transakce a nastavené limity. Pokud už peníze odešly, oznamte to bance bez zbytečného odkladu a nechte si potvrdit datum a hodinu oznámení. Uschovejte si podvodnou zprávu, snímky obrazovky i komunikaci, poslouží jako podklad reklamace.

Co když jsem zadal přihlašovací údaje do bankovnictví?

Změňte heslo z jiného, důvěryhodného zařízení a odhlaste všechny aktivní relace. Zavolejte bance a požádejte o zablokování přístupu. Zkontrolujte, zda se nezměnilo telefonní číslo, e-mail, limity nebo uložení příjemci, protože právě tyto změny útočníci provádějí jako první. Nic neinstalujte na pokyn volajícího, ani když se představí jako pracovník banky.

Můžou podvodníci zneužít i moje telefonní číslo?

Ano, a je to podceňované riziko. Číslo slouží k obnovení hesel a k potvrzování, takže jeho převzetí umožní obejít druhý faktor. U operátora si proto nastavte ochranu proti neoprávněné výměně SIM a heslo pro jednání na pobočce. Pokud vám náhle přestane fungovat signál bez zjevné příčiny, ověřte to u operátora hned, může jít o převzetí čísla.

Kam podvod nahlásit?

Podezřelou zprávu předejte bance, u které máte účet, a nahlaste ji Národnímu bezpečnostnímu týmu pro reakci na počítačové incidenty. Při vzniklé škodě podejte trestní oznámení, jehož číslo jednací poslouží jako podklad při reklamaci. Nahlásit lze i phishing zneužívající značku konkrétní firmy přímo této firmě, obvykle mívá k tomu určenou adresu.

Pomůže antivirus nebo blokování zpráv?

Pomůže, ale nestačí. Filtry zachytí část zpráv a bezpečnostní software varuje před známými podvodnými stránkami, útočníci ale mění domény každý den. Zásadní ochranou zůstává pravidlo neověřovat kontakt podle údajů ze zprávy a nikdy nepotvrzovat platbu, kterou jste sami nezadali. Technika snižuje počet pokusů, rozhoduje ale reakce v konkrétní chvíli.

Co podvodná zpráva nikdy neobejde?

Vaše rozhodnutí něco zadat nebo potvrdit. Bez toho se útočník k penězům nedostane, protože platba potvrzená silným ověřením vyžaduje váš aktivní krok. Proto platí jediné pravidlo, které funguje na všechny varianty: nikdy nepotvrzujte platbu ani přihlášení, které jste sami nevyvolali, bez ohledu na to, jak naléhavě to zpráva nebo volající podává.

Zdroje

Obecný vzdělávací text pro dospělé čtenáře, nikoli individuální právní ani finanční poradenství. U konkrétního případu rozhodují smluvní podmínky a platné právní předpisy.