Podvodníci se vydávají za úřady a rozesílají falešné výzvy. Kdo odpoví, přijde o data i peníze a ani to nemusí poznat

Dvě kampaně v Polsku ukazují, jak snadno dnes podvodníci napodobí úřední komunikaci a proč oběti často vůbec netuší, že něco zadaly špatným lidem.

Zdroj fotografie: Pexels

V říjnu 2026 vydal polský Úřad pro ochranu osobních údajů (UODO) varování před falešnými e-maily, které se vydávají za oficiální výzvy k poskytnutí technických údajů o kamerových systémech. Ve stejný den zveřejnil polský Generální inspektorát silniční dopravy (GITD) upozornění na podvodné SMS zprávy. Ty příjemcům tvrdí, že byli zachyceni při překročení rychlosti, a snaží se je přimět k okamžité platbě prostřednictvím odkazu.

V obou případech jde o stejný princip: podvodníci zneužívají důvěru ve státní instituce, aby z lidí vylákali citlivé údaje nebo peníze. Nebezpečné je především to, jak věrně napodobují skutečné úřední postupy. Adresát pak může reagovat automaticky, vyplnit tabulku, kliknout na odkaz nebo zaplatit, aniž by pojal podezření. Když je navíc po zadání údajů přesměrován na skutečné stránky státní instituce, nemusí si vůbec uvědomit, že už své informace předal útočníkům.

Falešný e-mail „od úřadu“: inventura kamer, kterou nikdo nenařídil

První podvodná kampaň cílí na firmy, které instalují nebo spravují kamerové systémy. E-mail se tváří jako oficiální výzva od UODO, odkazuje na články evropského nařízení GDPR, obsahuje téměř správné kontaktní údaje úřadu a jeho přílohou je tabulka ve formátu XLSX.

Příjemce má do sedmi pracovních dnů dodat seznam všech instalovaných zařízení. Požadované údaje zahrnují kontakty na koncové zákazníky, přesné souřadnice kamer, IP adresy, sériová čísla, verze firmwaru i modely zařízení.

Samotný UODO přitom výslovně upozorňuje, že žádné takové výzvy ani ankety nerozesílá. O podvodné kampani se úřad dozvěděl od polského vládního týmu CSIRT 19. října 2026 a varování zveřejnil následující den.

Proč jsou tyto údaje tak cenné? Protože útočník může z jediné tabulky získat podrobný přehled o kamerových systémech a jejich možných slabinách. Zjistí například, která zařízení používají zastaralý firmware, kde mohou být stále nastavené výchozí přihlašovací údaje nebo na jakých IP adresách jsou kamery dostupné. Takové informace mu mohou usnadnit jejich napadení a neoprávněný přístup k obrazu. Důsledkem může být narušení soukromí i ohrožení bezpečnosti osob a majetku, před čímž varuje také samotný UODO.

SMS o pokutě, která se objeví ve správné konverzaci

Druhá kampaň cílí na širší okruh lidí. Příjemci přijde SMS s tvrzením, že byl zaznamenán jejich rychlostní přestupek, a s odkazem, přes který mají pokutu okamžitě zaplatit.

GITD však jasně uvádí, že SMS zprávy k tomuto účelu vůbec nepoužívá. Komunikuje výhradně prostřednictvím poštovních zásilek nebo portálu eBOK CANARD. Ani první úřední korespondence navíc nepřichází rovnou ve formě pokuty.

CERT Polska popsal také variantu podvodu, při níž útočníci podvrhnou jméno odesílatele. Díky tomu se falešná zpráva může zařadit do existující konverzace s oznámeními z aplikace mObywatel a působit jako legitimní komunikace se státem.

Kdo na odkaz klikne a vyplní platební údaje, riskuje ztrátu peněz. Podvodníci se navíc snaží celý proces zamaskovat tím, že oběť po zadání údajů přesměrují na stránku, která vypadá jako oficiální web.

Nejde přitom o ojedinělý problém. Podle měsíčního souhrnu zaznamenal polský tým CERT Polska od ledna do konce května 2026 více než 70 800 hlášení podezřelých SMS zpráv. Na seznam škodlivých domén přidal 107 500 názvů. Jen za květen evidoval 15 700 nahlášených zpráv.

V Česku běží totéž, jen pod jinými hlavičkami

Podobné podvodné kampaně se nevyhýbají ani Česku. V červnu 2026 vydala Policie ČR varování před falešnými SMS o dopravních pokutách, které odkazovaly na napodobeninu Portálu občana. Ministerstvo dopravy ve stejném období zaznamenalo výrazný nárůst dotazů od lidí, kteří takové zprávy obdrželi.

Finanční správa upozorňuje, že neposílá aktivní odkazy v SMS zprávách ani e-mailech a nikdy nepožaduje přístupové údaje k bankovnictví. Česká správa sociálního zabezpečení (ČSSZ) zase varovala před SMS zprávami, které příjemce informují o údajném nedoplatku na sociálním pojištění. Systém datových schránek připomíná jednoduché pravidlo: notifikační SMS zprávy z datových schránek nikdy neobsahují odkazy.

Obdobné podvody se dlouhodobě týkají také Celní správy. Ještě v říjnu 2025 varovala před útočníky, kteří jejím jménem požadovali zaplacení cla prostřednictvím kuponů PaysafeCard.

Jak falešnou výzvu poznat: praktický checklist

Rozpoznat podvodnou zprávu může být snazší, než se zdá. Pomůže vám těchto pět otázek:

• Obsahuje zpráva odkaz na platbu nebo přihlášení? České úřady neposílají aktivní odkazy v SMS zprávách. Odkazy neobsahují ani notifikační SMS z datových schránek.
• Tlačí na okamžité jednání? Krátká lhůta, hrozba sankcí a naléhavý tón jsou varovné signály. Podvodníci se snaží přimět příjemce k rychlé reakci, aby neměl čas si zprávu ověřit.
• Požaduje údaje, které úřad tímto způsobem běžně nezjišťuje? Číslo platební karty, přihlašovací údaje nebo kompletní technický přehled kamerových systémů v excelové tabulce by měly vzbudit podezření, zejména pokud je někdo požaduje prostřednictvím nevyžádaného e-mailu či SMS.
• Odpovídá použitý komunikační kanál běžným postupům instituce? GITD nekomunikuje o dopravních přestupcích prostřednictvím SMS. Finanční správa zase nevaruje před nedoplatky pomocí hlasových automatů, které po příjemcích požadují citlivé údaje.
• Lze zprávu ověřit na oficiálním portálu instituce? ČSSZ uvádí oficiální domény cssz.gov.cz a eportal.cssz.cz. Datové schránky jsou dostupné na datovka.gov.cz. Pokud odkaz ve zprávě vede na jinou doménu, buďte obezřetní. Nejbezpečnější je otevřít oficiální web ručně a ověřit si informace přímo tam.

Co dělat, když už jste odpověděli

V takové situaci rozhoduje rychlost reakce. Pokud jste zadali údaje platební karty nebo odeslali peníze, okamžitě kontaktujte banku. Požádejte ji o zablokování karty, případně o další kroky, které mohou zabránit zneužití účtu nebo omezit vzniklou škodu.

Podezření na podvod následně oznamte Policii ČR. Podezřelou SMS můžete přeposlat svému mobilnímu operátorovi na číslo 7726. V Polsku slouží k nahlašování podezřelých SMS číslo 8080 a k oznamování bezpečnostních incidentů také portál incydent.cert.pl.

Pokud jste vyplnili údaje o kamerových systémech, nemusí se následky projevit okamžitě. Útočníci mohou nejprve vytipovat zranitelná zařízení a pokusit se je napadnout až po několika týdnech nebo měsících. Proto má smysl jednat i tehdy, když zatím nepozorujete žádné známky zneužití. Informujte odpovědné osoby ve firmě, změňte případné kompromitované přístupové údaje a prověřte zabezpečení dotčených zařízení.

Nejlepší obranou proti podvodu, který se tváří jako běžná úřední rutina, je ověřovat si každou nečekanou výzvu nezávisle na jejím odesílateli. Na odkaz vedoucí k platbě nebo přihlášení v podezřelé SMS neklikejte. Místo toho otevřete oficiální web instituce ručně a ověřte si, zda je požadavek skutečný.