Slova, která nikdy nesmíte psát podvodníkům: Stačí jeden kód a přijdete o bankovní účet, e-mail i identitu najednou

Jen v prvním čtvrtletí roku 2026 se podvodníci v Česku pokusili z bankovních účtů ukrást přes 4 miliardy korun. Stačilo, aby oběť sdělila jeden kód.

Zdroj fotografie: Lukáš Altman (Mobify.cz)

Ta „slova, která nesmíte psát“, nejsou žádná magická zaklínadla. Jde o údaje, které slouží k ověření vaší identity nebo k potvrzování operací: jednorázové kódy z SMS, autorizační kódy z bankovní aplikace, aktivační kódy, přihlašovací hesla, PIN, bezpečnostní kód CVV/CVC z platební karty, celé číslo karty nebo přístupové údaje k bankovní identitě.

Policie ČR, NÚKIB i české banky se shodují na základním pravidle: nikomu nesdělujte ověřovací kód, který vám přišel nečekaně, a nepotvrzujte operaci, kterou jste sami nezahájili. Pokud útočník získá některý z těchto údajů, může například autorizovat platbu, přidat do účtu vlastní ověřovací zařízení, aktivovat digitální platební kartu nebo se pokusit převzít kontrolu nad vaším e-mailem.

Právě e-mail přitom často představuje klíč k dalším účtům. Pokud ho útočník ovládne, může se pokusit obnovit hesla k sociálním sítím, e-shopům i dalším službám. Zneužití bankovní identity pak může vést také k pokusu o založení účtu nebo sjednání půjčky na vaše jméno. Tak vzniká řetězec navazujících útoků, jehož následkem může být ztráta peněz, přístupu k účtům i zneužití osobních údajů.

Jak jeden kód otevře dveře ke všemu

Komerční banka ve svých bezpečnostních materiálech upozorňuje na podvodné scénáře, při kterých útočník přesvědčuje klienta, že potvrzuje „příchozí transakci“ nebo bezpečnostní kontrolu. Ve skutečnosti může klient schvalovat odchozí platbu, aktivaci bankovnictví na jiném zařízení nebo přidání dalšího ověřovacího prostředku. Rozhodující přitom nemusí být samotný kód z SMS, ale také to, co přesně uživatel v bankovní aplikaci potvrdí.

Policie ČR výslovně upozorňuje, že převzetí e-mailové schránky je zvlášť nebezpečné. Prostřednictvím e-mailu totiž lze obnovovat přístup k řadě dalších služeb. Útočník tak nemusí prolomit každý účet zvlášť. Často se snaží získat přístup k jednomu důležitému účtu, přes který může ovládnout další.

V červnu 2026 Policie ČR varovala před vlnou podvodných SMS, které se vydávaly za upozornění na nezaplacenou pokutu. Cílem nebylo pouze vylákat menší částku za údajný nedoplatek. Podvodníci se snažili získat citlivé údaje a přístup k bankovní identitě obětí. Následně mohli jejich jménem zakládat účty nebo sjednávat půjčky, čímž vznikaly škody v řádech statisíců korun.

Proč to funguje i na opatrné lidi

Největším rizikem není jen nepozorné kliknutí na odkaz. Útočníci spoléhají především na stres, časový tlak a důvěru v autoritu, kterou předstírají. Dokážou podvrhnout telefonní číslo banky nebo policie, napodobit e-mailového odesílatele a během jednoho podvodu vystupovat v několika rolích. Nejprve zavolá údajný bankéř, poté policista a nakonec třeba technik, který má situaci „zabezpečit“.

NÚKIB upozorňuje, že samotné telefonní číslo ani vzhled zprávy nejsou spolehlivým důkazem, že komunikujete se skutečnou institucí.

Podvodníci často používají podobné záminky:

• „Někdo se vám pokouší vybrat peníze, musíme je převést na bezpečný účet.“
• „Na vaši občanku si někdo bere úvěr, potřebujeme ověřit vaši identitu.“
• „Máte nedoručenou zásilku, potvrďte platbu.“
• „Zaznamenali jsme podezřelou transakci, nadiktujte nám kód z SMS.“

Ve zprávě o stavu kybernetické bezpečnosti ČR za rok 2025 NÚKIB uvádí, že se s phishingem setkalo 90 % respondentů. Nejde tedy o okrajový problém, ale o rozšířenou hrozbu, se kterou se může setkat prakticky kdokoli.

Google u dvoufázového ověření důrazně doporučuje nesdílet ověřovací kódy s jinými lidmi. Zároveň upozorňuje, že SMS kódy jsou vůči phishingu méně odolné než některé novější metody ověřování. Silné heslo vás může chránit před jeho uhádnutím nebo zneužitím při úniku dat. Nepomůže vám ale ve chvíli, kdy útočníkovi sami předáte další ověřovací údaj nebo schválíte jeho požadavek.

Co dělat, když už jste kód poslali

V takové situaci rozhoduje rychlost. Útočník může získané údaje zneužít okamžitě a v některých případech se pokusí převést peníze ještě během telefonátu.

1. Nejdříve kontaktujte banku. Zavolejte na oficiální zákaznickou linku, kterou najdete na webu banky nebo na platební kartě. Nepoužívejte číslo z příchozího hovoru ani kontakt, který vám nadiktoval údajný bankéř. Požádejte banku o zabezpečení účtu, případné zablokování karty a ověření podezřelých transakcí.
2. Zabezpečte e-mail. Pokud mohl být ohrožen, změňte heslo, odhlaste aktivní relace a zkontrolujte obnovovací e-mailové adresy, telefonní čísla i připojené aplikace. E-mail totiž často slouží k obnově přístupu k dalším účtům.
3. Uchovejte důkazy a kontaktujte policii. Uložte si SMS, e-maily, snímky obrazovky, historii hovorů i další související komunikaci. Podejte oznámení na Policii ČR. Pokud potřebujete okamžitou pomoc nebo právě probíhá trestná činnost, volejte linku 158.

Jestliže mohly být současně ohroženy bankovní účet i e-mail, zabezpečujte je pokud možno souběžně. Nečekejte s řešením jednoho problému na dokončení druhého, protože útočník může mezitím pokračovat v dalších pokusech.

Jak se bránit ještě před útokem

Nejúčinnější obranou je jednoduché pravidlo: bezpečnost účtu nikdy neřešte pod tlakem člověka, který vás nečekaně kontaktoval. Pokud po vás někdo chce nadiktovat ověřovací kód, sdělit heslo nebo potvrdit operaci, kterou jste sami nezahájili, hovor ukončete a komunikaci přerušte. Situaci si následně ověřte sami prostřednictvím oficiálních kontaktů dané instituce.

Riziko můžete výrazně snížit několika jednoduchými kroky:

• Přejděte na passkeys nebo hardwarové bezpečnostní klíče, pokud je daná služba podporuje. Tyto metody jsou odolnější vůči běžnému phishingu než SMS kódy, protože ověření není založeno na údaji, který lze jednoduše opsat a předat útočníkovi.
• Pečlivě čtěte obsah každé notifikace, než něco potvrdíte v bankovní aplikaci. Vždy si ověřte, zda skutečně schvalujete operaci, kterou jste sami zahájili.
• Využívejte bezpečné ověření komunikace s bankou. Některé české banky nabízejí způsoby, jak ověřit totožnost volajícího nebo potvrdit komunikaci přímo v oficiální aplikaci. Možnosti se liší podle banky, proto si ověřte konkrétní postup u své instituce.
• Nikdy automaticky nevolejte zpět na číslo z příchozího hovoru nebo SMS. Kontaktní údaje si vyhledejte na oficiálním webu banky či jiné instituce.

Podle údajů České bankovní asociace se bankám v prvních devíti měsících roku 2026 podařilo zachránit 4,5 miliardy korun, přesto evidovaly více než 65 tisíc podvodů. Tato čísla ukazují, jak rozsáhlý problém podvodné útoky představují. Nejlepší obranou je proto nepředávat nikomu ověřovací údaje, které mají zůstat pouze ve vašich rukou, a nikdy nepotvrzovat operace, jejichž účel neznáte.