Už nikdy na sociální sítě nedávejte fotky z dovolené. Podvodníci vám pošlou SMS „z banky“ a vy jim snadno uvěříte

Umělá inteligence dokáže z jediné dovolené fotky bez geotagu a bez příslušných metadat odhadnout, ve které zemi a městě jste.

Zdroj fotografie: Unsplash

Funguje to tak: sdílíte na Instagramu, Facebooku nebo X fotku z dovolené. Žádný popisek s lokací, žádný check-in, žádný hashtag s názvem hotelu. Jenže volně dostupný model AI se podívá na architekturu, pouliční značení, typ vegetace, stánky s jídlem nebo třeba barvu taxíků a řekne, že jste v Barceloně. Nebo v Dubrovníku. Nebo na Krétě. Podvodník tuto informaci využije a pošle SMS, která vypadá jako zpráva od vaší banky: „Zaznamenali jsme neobvyklou aktivitu na vašem účtu během pobytu v Barceloně. Ověřte prosím svou identitu.“ Přijde vám ve chvíli, kdy v Barceloně skutečně jste. Sedí místo, sedí načasování. A vy kliknete.

Co přesně McAfee zjistil

Bezpečnostní firma McAfee zveřejnila v červenci 2026 výzkum, ve kterém testovala, jak přesně dokážou volně dostupné AI modely určit lokality z běžných cestovatelských fotografií. Pracovala s datasetem 21 236 veřejně dostupných snímků a navíc se 102 neveřejnými kontrolními fotografiemi od interních dobrovolníků. Výsledky:

• Qwen3 VL 30B – správná lokace v 91 % případů
• Gemma3 27B – správná lokace v 87 % případů

Fotky neměly EXIF data, geotag ani lokační popisky. AI analyzovala čistě vizuální obsah: architekturu, světelné podmínky, krajinu, dopravní prostředky, výlohy, uliční prvky a kulturní kontext. U generičtějších scén (hotelový pokoj, pláž bez rozpoznatelných prvků, venkovská silnice) přesnost na úrovni města klesala. Identifikace země ale zůstávala vysoká. A právě to podvodníkovi stačí.

McAfee navíc nechal zaměstnance nahrát vlastní, nikdy nezveřejněné fotky do komerčních chatbotů jako ChatGPT, Claude a Copilot. Přesnost mimo laboratorní podmínky klesla, ale odhad na úrovni země zůstal pro podvodné účely použitelný.

Od fotek k podvodné SMS za pět kroků

Nejsilnější část výzkumu popisuje celý řetězec útoku, a hlavně to, že ho lze z velké části automatizovat. McAfee rozložil postup do pěti kroků: najít veřejně dostupné fotky na profilech sociálních sítí, prohnat je AI modelem, odhadnout destinaci a načasování cesty, vygenerovat personalizovanou zprávu a rozeslat ji.

Modelové texty, které McAfee uvádí, vypadají třeba takto:

• „Zaznamenali jsme neobvyklou aktivitu na účtu během vaší cesty v Dubrovníku.“
• „Vaše karta byla označena kvůli transakci v Řecku, prosím ihned.“
• „Zaznamenali jsme přihlášení z vaší lokace v Barceloně, ověřte prosím svou identitu.“

Nejde o jeden pevný vzor. Podvod funguje právě tím, že přizpůsobuje místo a čas. Podle McAfee „důvěryhodnost informace snižuje ostražitost“; když zpráva obsahuje detail, který odpovídá vaší realitě, mozek ji může snadněji vyhodnotit jako legitimní. Přidejte k tomu naléhavost (jako slova ihned, blokace účtu, podezřelá transakce) a máte recept na úspěšný phishing.

Širší data to potvrzují: podle cestovního průzkumu McAfee sdílí 22 % cestujících své plány nebo lokace v reálném čase, 20 % klikne na cestovní odkaz bez ověření zdroje a 41 % věří zprávám, které se tváří jako komunikace od aerolinek nebo hotelů.

V Česku zatím bez doloženého případu, ale půda je připravena

Pro přesně tento scénář, kdy AI určí lokaci z dovolenkových fotek a podvodník na ni naváže bankovní SMS, se nám nepodařilo zjistit veřejně popsaný český případ. Jenže půda pro něj je připravená.

NÚKIB upozorňuje na podvodné telefonáty a SMS, v nichž se útočníci vydávají za bankéře a nutí oběti převést peníze na „bezpečný účet“. Policie ČR v září 2025 varovala před výrazným šířením smishingu a vishingu. ČNB dlouhodobě upozorňuje na bankovní podvody využívající falešnou identitu, tedy spoofing telefonních čísel, falešné banky a hrozby blokace účtu.

Všechny tyto kampaně fungují na stejném mechanismu: naléhavost, důvěryhodná legenda a tlak na okamžitou akci. Personalizace pomocí AI a geolokace by jim dodala poslední chybějící dílek, konkrétní detail, který oběť přesvědčí, že zpráva je skutečně od její banky.

Podle ČSÚ používalo v roce 2025 sociální sítě 63,2 % Čechů starších 16 let. I mezi lidmi ve věku 55–64 let to bylo přes 50 %. Zároveň internetové bankovnictví využívalo 40,6 % starobních důchodců. Překryv mezi sdílením na sítích a online financemi existuje napříč generacemi, a s ním i útočná plocha.

Co dělat, abyste neklikli

Praktická obrana stojí na dvou pilířích: omezit to, co o sobě prozrazujete, a vědět, jak reagovat, když zpráva přijde.

Sdílení fotek:

• Nezveřejňujte fotky z cesty v reálném čase. McAfee doporučuje sdílet až po návratu nebo s několikadenním zpožděním, čímž snížíte možnost, že útočník využije aktuální informace o vaší poloze.
• Omezte viditelnost příspěvků na skutečné přátele. Veřejný profil je nejsnazší cíl pro automatizované stahování.
• I fotka bez popisu a lokace prozradí dost. Stačí nápis na obchodě, typ architektury nebo místní dopravní prostředek.

Když přijde podezřelá SMS:

• Neklikejte na žádný odkaz ve zprávě.
• Nevolejte na číslo uvedené ve zprávě.
• Otevřete aplikaci banky přímo nebo zavolejte na číslo uvedené na zadní straně své karty.
• Pokud jste už údaje sdělili nebo peníze odeslali, okamžitě kontaktujte banku přes oficiální kanál.
• Podezřelou SMS můžete přeposlat na číslo 7726, které provozuje Policie ČR.

NÚKIB i Komerční banka shodně uvádějí jedno základní pravidlo: banka po vás nikdy nebude požadovat údaje, PIN, CVV ani převod na jiný účet prostřednictvím SMS nebo telefonátu. Nikdy. Pokud to zpráva vyžaduje, je podvodná, bez ohledu na to, jak přesně ví, kde jste byli na dovolené.

Profil zamčený, fotografie až se zpožděním

McAfee ve svém širším reportu Scamiverse uvádí, že tradiční varovné znaky podvodů přestávají fungovat. Špatná čeština, podezřelý odkaz, generické oslovení, to všechno AI dokáže odstranit. Personalizovaný phishing zasahuje i digitálně zdatné uživatele, protože pracuje s informacemi, které si oběť sama zveřejnila.

Nejde o to přestat fotit na dovolené. Jde o to neposkytovat podvodníkům materiál v reálném čase na veřejně dostupném profilu. Každá fotka sdílená během cesty je potenciální vstupní bod, ne proto, že by AI trefila vaši hotelovou adresu na metr přesně, ale proto, že i přibližně správná země dává podvodníkovi dost informací na to, aby jeho SMS zněla jako zpráva od vaší banky.