Vaše telefonní číslo o vás prozradí více, než tušíte. Stačí jeden únik a nabourají se do bankovnictví, e-mailů i „socek“

Telefonní číslo dnes funguje jako univerzální klíč k desítkám online účtů, od Googlu přes Seznam až po internetové bankovnictví.

Zdroj fotografie: Lukáš Altman (Mobify.cz)

Většina z nás někdy zadala své telefonní číslo do přihlašovacích nebo registračních formulářů Googlu, Facebooku, České spořitelny či Seznamu, aniž by tomu věnovala větší pozornost. Telefonní číslo přitom může být propojené s e-mailem, sociálními sítěmi i bankovním účtem. Pokud ho útočník získá a dokáže ho spojit s dalšími údaji, může se pokusit proniknout do několika vašich účtů.

Google umožňuje přihlášení telefonním číslem a může ho využívat také při obnově účtu nebo zasílání bezpečnostních upozornění. Facebook nabízí při přihlášení možnost zadat e-mail nebo telefonní číslo. Česká spořitelna používá bezpečnostní telefonní číslo v rámci některých bezpečnostních postupů spojených s Georgem. Seznam zase může vyžadovat ověřené telefonní číslo pro vybrané bezpečnostní funkce a obnovu přístupu.

Samotná znalost telefonního čísla ale obvykle k převzetí účtu nestačí. Riziko vzniká zejména tehdy, když útočník získá také heslo, vyláká z vás ověřovací kód nebo převezme kontrolu nad vaším telefonním číslem. Právě kombinace několika metod může vést k tomu, že se dostane k e-mailu, sociálním sítím nebo se pokusí zneužít vaše bankovní služby.

Jak vypadá útok krok za krokem

Představte si následující situaci: na internetu unikne databáze obsahující vaše jméno, e-mailovou adresu a telefonní číslo. Portál Have I Been Pwned eviduje řadu podobných incidentů. Například při úniku dat služby Figure byly zveřejněny osobní údaje, mezi nimi jména, e-mailové adresy, telefonní čísla, adresy a data narození.

Útočník pak může tyto informace využít k cílenému podvodu. Zavolá vám například z čísla, které se tváří jako číslo vaší banky, a pokusí se vás přesvědčit, že je váš účet v ohrožení.

NÚKIB označuje podvodné telefonáty, při nichž se útočník vydává za důvěryhodnou osobu nebo instituci, jako vishing. Typickým znakem je vytváření časového tlaku: podvodník tvrdí, že někdo právě napadá váš účet a je nutné okamžitě jednat. Následně se snaží získat vaše přihlašovací údaje, platební informace nebo jednorázový ověřovací kód.

Další možností je takzvaný SIM swap. Útočník se pokusí přesvědčit mobilního operátora, aby vaše telefonní číslo převedl na jinou SIM kartu nebo eSIM, kterou ovládá. Pokud se mu to podaří, může začít přijímat vaše hovory a SMS, včetně některých ověřovacích kódů. Americká Federální obchodní komise (FTC) tento typ podvodu podrobně popisuje. Jedním z možných varovných signálů je náhlá ztráta mobilního signálu, kterou nelze vysvětlit běžným výpadkem sítě.

Pokud útočník získá přístup k vašemu e-mailu, může se pokusit obnovit hesla k dalším službám, které jsou s ním propojené. Jestliže navíc získá přihlašovací údaje k bankovnictví nebo vás přiměje potvrdit podvodnou transakci, může dojít i k finanční škodě. Neznamená to, že pouhá znalost telefonního čísla automaticky otevře cestu ke všem vašim účtům. Riziko ale roste, pokud používáte stejné heslo na více místech nebo spoléháte výhradně na SMS jako způsob ověření.

Jeden únik neznamená jen hack, stačí vyplněný formulář

Slovo „únik“ si většina lidí spojuje s rozsáhlým hackerským útokem na velkou společnost. Telefonní číslo se ale může dostat k podvodníkům i jinými cestami.

NÚKIB dlouhodobě upozorňuje na phishing, při kterém se útočníci snaží získat citlivé údaje prostřednictvím falešných webových stránek, e-mailů nebo zpráv na sociálních sítích a v chatovacích aplikacích. Smishing je konkrétní forma phishingu, při níž podvodníci využívají SMS zprávy s nebezpečným odkazem. Pokud na něj kliknete a vyplníte údaje do falešného formuláře, můžete jim nevědomky předat informace, které následně zneužijí.

Dalším problémem je veřejné sdílení osobních údajů. Telefonní číslo můžete mít uvedené na webových stránkách, v e-mailovém podpisu nebo na sociálních sítích. Samotné zveřejnění čísla automaticky neznamená, že se někdo dostane k vašim účtům, ale v kombinaci s dalšími údaji může útočníkovi usnadnit přípravu přesvědčivého podvodu.

Pozornost si zaslouží také přenos telefonního čísla k jinému operátorovi. V Česku se při přenosu používá OKU, tedy ověřovací kód účastníka. Jde o citlivý údaj, který byste neměli bez důvodu sdělovat cizím lidem. Pokud ho podvodník získá a dokáže splnit i další požadavky operátora, může se pokusit přenos čísla zneužít. Samotná znalost OKU však nemusí k úspěšnému převodu stačit, protože operátor může vyžadovat další ověření.

SMS kódy jsou slabší, než si myslíte

Google ve své dokumentaci upozorňuje, že ověřovací kódy doručované prostřednictvím SMS nebo telefonního hovoru mohou být zranitelné vůči některým typům útoků. Pokud například útočník převezme vaše telefonní číslo, může získat i zprávy s ověřovacími kódy. K jejich zneužití ale obvykle potřebuje také další informace nebo přístup k účtu, který se snaží ovládnout.

SMS ověřování je stále lepší než nepoužívat žádné dodatečné zabezpečení, ale existují i odolnější možnosti. Patří mezi ně autentizační aplikace, bezpečnostní klíče a přístupové klíče (passkeys), které mohou být v závislosti na konkrétní službě bezpečnější než ověřování prostřednictvím SMS.

České banky proto nabízejí také potvrzování operací přímo v bankovních aplikacích. Česká spořitelna využívá George, ČSOB zase Smart klíč. Tyto nástroje umožňují ověřovat vybrané operace bez nutnosti opisovat kód z SMS. Konkrétní postup se liší podle banky a typu operace.

Ani bankovní aplikace však není automatickou zárukou bezpečnosti. Podvodníci se mohou snažit přimět uživatele, aby sami potvrdili operaci, kterou ve skutečnosti nechtějí provést. Proto nikdy nepotvrzujte požadavek, kterému nerozumíte, a nereagujte na telefonáty, při nichž vás někdo tlačí k rychlému převodu peněz nebo sdělení bezpečnostních údajů.

Pokud ztratíte telefon nebo přijdete o přístup k bankovní aplikaci, postup obnovy závisí na konkrétní bance a vašem způsobu ověřování. Předem si proto zjistěte, jak lze aplikaci znovu aktivovat a jak změnit bezpečnostní telefonní číslo. Některé změny lze provést vzdáleně, jiné mohou vyžadovat další ověření totožnosti nebo návštěvu pobočky.

Jak se chránit: konkrétní kroky pro konkrétní služby

Nejspolehlivější obrana nestojí na jediném opatření. Vyplatí se kombinovat silná a jedinečná hesla, vícefázové ověřování a obezřetnost při komunikaci s lidmi, kteří po vás chtějí citlivé údaje.

Google: Přidejte záložní e-mail, ke kterému máte přístup a který je dostatečně zabezpečený. Zapněte dvoufázové ověření a pokud možno využívejte přístupový klíč (passkey), bezpečnostní klíč nebo potvrzování přihlášení na důvěryhodném zařízení místo SMS. Vygenerujte si také záložní kódy a uložte je na bezpečné místo oddělené od telefonu. Mohou vám pomoci při ztrátě přístupu k běžnému způsobu ověřování.

Seznam: V nastavení zabezpečení zkontrolujte možnosti dvoufázového ověření. Pokud je váš účet podporuje, zvažte autentizační aplikaci nebo bezpečnostní klíč. Ověřte také, zda máte aktuální záchranné telefonní číslo a správnou záložní e-mailovou adresu. Dostupné metody se mohou lišit podle typu účtu a aktuální nabídky Seznamu.

Bankovnictví: Pokud vaše banka podporuje potvrzování operací v mobilní aplikaci, využívejte ho místo SMS, kdykoli je to možné. Zkontrolujte, že máte správné kontaktní údaje, a zjistěte si postup pro obnovu přístupu při ztrátě telefonu. Pokud vám někdo zavolá a vydává se za pracovníka banky, nikdy mu nesdělujte hesla ani ověřovací kódy. Hovor ukončete a banku kontaktujte prostřednictvím oficiálního čísla nebo aplikace.

Napříč službami: Nepoužívejte stejné heslo na více účtech. Pokud unikne heslo z jedné služby, útočníci ho mohou zkoušet také jinde. Pomoci vám může správce hesel, který umožňuje vytvářet a bezpečně ukládat dlouhá, jedinečná hesla pro jednotlivé účty.

Důležité je také chránit samotné telefonní číslo. Nesdělujte cizím lidem ověřovací kódy, nezveřejňujte zbytečně citlivé osobní údaje a u mobilního operátora si zjistěte, jaké možnosti ochrany před neoprávněným přenosem čísla nabízí.

Jak zjistit, jestli vaše data už unikla

U e-mailových adres existuje užitečný nástroj Have I Been Pwned. Po zadání adresy zjistíte, zda se objevila v některém z evidovaných úniků dat. Pokud ano, prohlédněte si informace o konkrétním incidentu a zjistěte, jaké údaje mohly být odcizeny.

U samotných telefonních čísel je situace složitější. Neexistuje stejně univerzální veřejný nástroj, který by spolehlivě odhalil všechny úniky obsahující konkrétní číslo. Google Dark Web Report, který se v minulosti používal ke kontrole některých osobních údajů, byl ukončen 16. února 2026, takže už není vhodné spoléhat na něj jako na dostupnou možnost kontroly.

Co tedy můžete udělat?

• Zkontrolujte svou e-mailovou adresu na Have I Been Pwned.
• Pokud se objeví v úniku, zjistěte, jaké typy údajů byly zveřejněny. Jestli mezi nimi bylo i telefonní číslo, počítejte s možností, že ho někdo může zneužít k cíleným podvodům.
• Změňte všechna hesla, která se mohla úniku týkat, zejména pokud jste stejné heslo používali i jinde.
• Zapněte dvoufázové ověření a pokud možno přejděte na odolnější metodu, než jsou SMS kódy.
• U svého operátora si ověřte možnosti ochrany telefonního čísla před neoprávněným přenosem.

Pokud vám telefon náhle ztratí signál a současně přestanou fungovat hovory nebo SMS, které běžně přijímáte, kontaktujte operátora z jiného zařízení. Může jít o běžnou technickou závadu, ale také o varovný signál, že se někdo pokouší převzít vaše číslo.

Telefonní číslo dnes neslouží jen k telefonování. Často je propojené s přihlašováním, obnovou účtů a bezpečnostními upozorněními. Samo o sobě není univerzálním klíčem k vaší digitální identitě, v kombinaci s dalšími údaji ale může útočníkům výrazně usnadnit práci. Proto se vyplatí chránit ho stejně obezřetně jako ostatní osobní údaje.