Jeden telefonát a z městského účtu zmizelo 46 milionů Kč. Český úředník si nedal pozor a zaplatí to občané

Hradecká městská organizace přišla po telefonickém podvodu o 46 milionů korun z veřejných peněz. Jde o rekordní škodu tohoto typu v historii Česka.

Zdroj fotografie: Lukáš Altman (Mobify.cz)

Všechno začalo telefonátem. Někdo zavolal pracovníkovi Správy nemovitostí Hradec Králové, městské příspěvkové organizace, která spravuje majetek města a provozuje mimo jiné městské lázně, plavecký bazén nebo areál Flošna. Volající se vydával za policistu nebo bankéře (přesný scénář policie kvůli probíhajícímu vyšetřování nezveřejnila) a pod psychickým nátlakem přiměl dlouholetého zaměstnance s oprávněním nakládat s financemi, aby začal převádět peníze z běžného provozního účtu organizace. Nešlo přitom o jednu platbu. Podle mluvčí hradeckého magistrátu Kateřiny Rohlíčkové peníze odcházely v několika transakcích během několika dnů na různé účty. Celková škoda dosáhla zhruba 46 milionů korun. Policie ČR případ prověřuje jako podezření z podvodu, za který pachatelům hrozí až deset let vězení. A bohužel to zaplatí občané, protože zmizely veřejné prostředky organizace, která slouží obyvatelům města. Pokud se částku nepodaří vymoci zpět a nepokryje ji pojištění, ztráta se promítne do hospodaření městské organizace, nebo v krajním případě do veřejných rozpočtů.

Téměř polovina peněz na účtu pryč

Abychom škodu zasadili do kontextu: podle výroční zprávy SNHK za rok 2025 měla organizace ke konci loňského roku na běžném účtu 99,7 milionu korun. Odčerpaných 46 milionů tedy odpovídá přibližně 46 procentům tehdejšího zůstatku. Skoro polovina provozních peněz zmizela, aniž by kdokoli prolomil jediný firewall nebo heslo.

Město zatím tvrdí, že provoz SNHK, výplaty zaměstnanců, závazky ani připravované investice nejsou bezprostředně ohroženy a že zatím nemusí organizaci posílat mimořádné prostředky. To zní uklidňujícím dojmem, ale klíčové slovo je „zatím“. Další postup závisí na výsledku policejního vyšetřování, uplatnění nároků na náhradu škody a na tom, zda část ztráty pokryje pojistka. Definitivní odpověď na otázku, jestli se peníze vrátí, dnes nemá nikdo.

Selhání člověka, ne systému

Nejnepříjemnější zjištění celého případu není výše škody. Je to způsob, jakým k ní došlo. Žádný hackerský průnik do bankovního systému, žádný malware, žádná zranitelnost v softwaru. Útočníci zasáhli člověka, konkrétního pracovníka s dispoziční pravomocí k účtu, který pod tlakem obešel kontrolní prvky a bezpečnostní postupy organizace.

Vedení města mluví o selhání jednotlivce a zároveň o sofistikovaném podvodu se silným psychickým nátlakem a prvky sociálního inženýrství. Obojí může být pravda současně. Systém předpokládal víceúrovňovou kontrolu, právě proto nyní běží interní audit, který má zjistit, jak bylo možné nastavené mechanismy obejít. Konkrétní procesní chyba ani schvalovací krok, který selhal, dosud zveřejněny nebyly.

Formálně přitom nejde o úředníka ve smyslu zákona o úřednících územních samosprávných celků, ale o zaměstnance městské příspěvkové organizace. Pro obyvatele Hradce Králové je to ovšem rozdíl čistě akademický – peníze, které zmizely, byly veřejné.

Rezignace a důsledky

Personální důsledky přišly rychle. Ředitelka SNHK Jaroslava Bernhardová 22. července 2026 rezignovala. Město její odchod označilo za převzetí manažerské odpovědnosti. Dočasně ji ve funkci nahradí ředitel Technických služeb Hradec Králové. Magistrát zároveň oznámil pracovněprávní důsledky vůči konkrétnímu pracovníkovi, jehož jméno zveřejněno nebylo.

Trestní odpovědnost zaměstnance k 24. červenci potvrzena nebyla, policie veřejně stíhá neznámé pachatele podvodu. Město navíc avizovalo revizi bezpečnostních a kontrolních mechanismů napříč všemi městskými organizacemi. To je krok správným směrem, ale přichází až poté, co z účtu zmizelo 46 milionů.

Rekordní škoda v zemi, kde podvodů přibývá

Průměrná škoda u podvodů typu „falešný policista“ nebo „falešný bankéř“ se v Česku pohybuje kolem 750 tisíc korun na jednu oběť. Hradeckých 46 milionů je zhruba šedesátkrát víc. Policie i média proto případ označují za největší škodu způsobenou tímto typem útoku v historii České republiky.

A nejde o izolovaný jev. Podle policejních statistik počet kyberpodvodů v prvním čtvrtletí 2026 meziročně vzrostl o více než 37 procent. Podle informací ministerstva vnitra, které cituje hradecký magistrát, se terčem podobných útoků nově stávají právě zaměstnanci veřejných institucí a samospráv. Logika útočníků je přímočará: na účtech veřejných organizací leží vyšší částky, zaměstnanci rutinně pracují s platbami a důvěřují autoritě policie či banky.

Za podobnými útoky přitom nestojí jednotlivci. Policie ČR už v minulosti rozkrývala organizované skupiny falešných bankéřů s vysokými škodami po celé zemi.

Jak se bránit: pravidlo 3Z

Policie v červnu 2026 vydala celostátní varování a doporučuje pravidlo 3Z:

• Zastav – nenechte se vystrašit, i když volající tvrdí, že jde o napadený účet nebo úvěr na vaše jméno.
• Zavěs – okamžitě ukončete hovor. Žádná banka ani policie po telefonu nežádá převod peněz na „bezpečný účet“.
• Zkontroluj – sami zavolejte bance nebo na linku 158. Nikdy nepoužívejte číslo, které vám nadiktoval volající.

Varovné znaky podvodu jsou vždy stejné: naléhavost, zákaz komukoli volat, požadavek sdělit autorizační SMS nebo nainstalovat aplikaci pro vzdálený přístup. Jakmile slyšíte cokoli z toho, zavěste. Bez výjimky.

Hradecký případ ukazuje, že oběť nemusí být senior ani naivní člověk. Stačí zkušený pracovník s přístupem k desítkám milionů, správná legenda a dostatečný tlak. Právě proto je pro veřejné instituce nepříjemnější než běžný kyberútok: proti softwaru existují záplaty, proti lidské reakci pod stresem zatím spolehlivá záplata není.