Čísla, která nedávají spát

IBM uvádí, že přes COBOL prochází 80 % fyzických karetních transakcí a 95 % operací na bankomatech po celém světě. Agentura Reuters v roce 2017 spočítala, že COBOLové systémy denně zpracovávají obchody v hodnotě zhruba 3 bilionů dolarů, jen v bankovnictví. Nejde přitom o nějakou okrajovou vrstvu. COBOL sedí v jádrech systémů, která obsluhují běžné účty, clearing šeků, karetní sítě, hypoteční servis i úvěrové knihy.

Jak je to možné? Banky a státní instituce na COBOLu stavěly od šedesátých let. V sedmdesátých a osmdesátých letech vznikla jádra systémů, která fungují dodnes. Nové kanály (internetové bankovnictví, mobilní aplikace, API pro fintechy) se později jen připojovaly navrch. Staré jádro nikdo zásadně neměnil, protože fungovalo. A protože každý pokus o výměnu znamenal riziko, které často převyšovalo náklady na údržbu.

Proč ho nelze „prostě přepsat“

IBM odhaduje, že ve světě běží zhruba 250 miliard řádků COBOLového kódu v produkčním nasazení. To není jen syntaxe, kterou by šlo mechanicky přeložit do Javy nebo Pythonu. V těchto řádcích jsou zakódovaná pravidla fungování institucí: výjimky z výjimek, regulační požadavky z různých dekád, integrační vazby na databáze, transakční monitory a další systémy.

Reuters popisuje tyto vrstvy jako „nesmírně složité“; po dekádách fúzí, akvizic a legislativních změn se jednotlivé moduly proplétají způsobem, který často nikdo plně nedokumentoval. Odejde-li programátor do důchodu, odejde s ním i znalost, proč konkrétní podmínka v kódu existuje. A právě tady je jádro problému:

• Objem: 250 miliard řádků nelze přepsat za rok ani za pět let.
• Byznysová logika: Překlad jazyka neřeší přenos pravidel, výjimek a regulačních požadavků.
• Platforma: COBOL neběží ve vzduchoprázdnu, je svázán s mainframovou architekturou, datovými formáty a transakčním zpracováním.
• Lidé: Průměrný věk COBOLových specialistů roste, univerzity tento jazyk téměř přestaly učit. Reuters popisuje návrat důchodců jako kontraktorů se sazbami přes 2 500 Kč za hodinu.

Co se stane, když to někdo zkusí

Největší hrozba paradoxně není starý COBOL v běžném provozu. Je to chvíle, kdy se ho někdo pokusí rychle nahradit bez plného pochopení systému.

Britská TSB to zjistila v dubnu 2018. Banka migrovala na novou IT platformu. Výsledek: měsíce výpadků, klienti bez přístupu k účtům a únik dat. Britský regulátor FCA ve svém závěrečném rozhodnutí zdokumentoval 225 492 stížností zákazníků a odškodnění ve výši přes 900 milionů korun. Nezávislá revize odhalila slabiny v testování, dohledu nad dodavateli i řízení rizik. Návrat do normálního provozu trval až do prosince 2018. Náklady TSB na přípravu migrace dosáhly v přepočtu přes 12 miliard korun.

Na opačném konci spektra stojí Commonwealth Bank of Australia, která výměnu jádrového bankovního systému dokončila v roce 2012. Trvalo to pět let a stálo přes 18 miliard korun. A to šlo o jednu banku v jedné zemi.

Když v dubnu 2020 zasáhla pandemie americký stát New Jersey, guvernér musel veřejně vyzvat dobrovolníky se znalostmi COBOLu. Systém pro zpracování žádostí o podporu v nezaměstnanosti byl přes čtyřicet let starý. Pozdější dokumentace státu odhalila, že problém nebyl „jen COBOL“; veřejný web běžel na Javě a Oracle databázi, ale veškerá byznysová logika a data seděly na mainframu s COBOLem, IMS a DB2. Přepsat jeden jazyk by nic nevyřešilo.

Český azbest: důchody na COBOLu

Česko není výjimkou. Nejvyšší kontrolní úřad ve své souhrnné zprávě o digitalizaci veřejné správy uvádí, že důchodové agendy České správy sociálního zabezpečení běží na zastaralé technologii využívající právě COBOL. Část klíčových procedur je dokonce ve strojovém kódu. V letech 2018 až 2023 šlo na provoz a podporu těchto systémů přes 3,4 miliardy korun.

Které české banky konkrétně provozují COBOLová jádra, veřejně dohledatelné zdroje nepotvrzují; finanční instituce tyto informace běžně nezveřejňují. Globální závislost bankovního sektoru na legacy transakčních systémech je ale doložená natolik průkazně, že by bylo naivní předpokládat, že se českému trhu zcela vyhýbá. Mezibankovní korunový clearing přitom centralizuje ČNB v systému CERTIS, u kterého potvrzuje průběžný dohled a plnění mezinárodních standardů provozní spolehlivosti.

Zachrání nás umělá inteligence?

IBM v srpnu 2023 představila watsonx Code Assistant for Z, nástroj využívající generativní AI k převodu COBOLu do Javy a k refaktoringu starého kódu do modulárních služeb. Výsledky jsou podle IBM Research lepší než u obecných modelů typu ChatGPT. Jenže novější akademický výzkum ukazuje druhou stranu mince: obecné velké jazykové modely na COBOLových úlohách často selhávají a jednopromptové převody mohou ztratit byznysová pravidla. Bez specializace, validační smyčky a důkladného testování je riziko vysoké.

AI je pomocník, ne spasitel. Dokáže zrychlit pochopení starého kódu, navrhnout překlad a identifikovat vzory. Ale rozhodnutí, zda konkrétní podmínka v třicet let starém modulu stále platí, musí udělat člověk, který rozumí nejen programování, ale i regulaci, účetnictví a historii institucí.

COBOL nikam nezmizí. Není to proto, že by byl nejlepší, ale proto, že v něm zůstala zakonzervovaná pravidla fungování institucí. Jeho selhání by bylo nesrovnatelně dražší než další roky opatrné a postupné modernizace. Azbest IT světa drží stropy nad hlavou. A než ho začnete trhat, raději si dvakrát ověřte, co všechno nese.

Skimmer neodhalíte pouhým okem

Moderní skimmovací zařízení jsou navržena tak, aby splynula s tělem bankomatu. Vnější čtečka bývá vyrobena z plastu stejné barvy, někdy i pomocí 3D tisku, a přesně pasuje na originální slot. Ještě zákeřnější variantou jsou vnitřní čtečky zasunuté hluboko do zadní části originální čtečky karet; ty bez servisního zásahu technika neodhalí prakticky nikdo. Popisuje je přímo NCOZ.

Druhá součást, zařízení pro odpozorování PINu, bývá buď miniaturní kamera ukrytá nad klávesnicí, nad obrazovkou nebo dokonce v místě výdeje hotovosti, anebo falešná překryvná klávesnice, která zaznamenává stisky. Obojí je navrženo tak, abyste si ničeho nevšimli. Některé skimmery navíc umějí odesílat data bezdrátově, takže pachatelé je ani nemusí fyzicky vyzvedávat a reakční okno pro oběť se tím dramaticky zkracuje.

Česko není výjimkou

V České republice na konci roku 2025 fungovalo podle ČNB zhruba 4 900 bankomatů. Nejde o okrajový kanál, ale o masově používanou infrastrukturu, a tedy i lákavý cíl. Poslední veřejně dostupná specializovaná statistika NCOZ uvádí za rok 2019 celkem 72 skimmingových útoků, přičemž převažovala Praha, následovaly Brno, Středočeský a Karlovarský kraj. Novější podrobná čísla policie na otevřené stránce nezveřejnila, což ale neznamená, že problém zmizel.

Ke kopírování karty navíc nemusí dojít jen u bankomatu. NCOZ upozorňuje, že data z magnetického proužku lze získat i u obchodníka, kdykoli karta opustí dohled držitele.

Čip pomáhá, ale není neprůstřelný

Rozšíření EMV čipů výrazně omezilo prostor pro padělání karet; čip při každé transakci generuje jednorázový bezpečnostní kód a ověřuje pravost karty, jak popisuje standard EMVCo. Evropská centrální banka ve své zprávě z roku 2023 potvrdila pokles podvodů s padělky právě díky čipové infrastruktuře. Jenže na většině karet stále existuje magnetický proužek. A existuje i novější technika zvaná shimming, při které extrémně tenké zařízení vložené do čtečky zachytává data z čipu. Absolutní imunita tedy neexistuje.

Bezkontaktní výběr z bankomatu riziko snižuje zásadně; karta vůbec nevstupuje do slotu, takže klasický skimmer nemá co číst.

Pět kroků, které vám reálně pomohou

• Zakrývejte klávesnici. Vždy, při každém zadávání PINu. Druhou rukou, peněženkou, čímkoli. Bez PINu jsou data z magnetického proužku pro pachatele mnohem méně použitelná.
• Preferujte bezkontaktní výběr. Karta nezajede do slotu, skimmer nemá šanci.
• Držte nízký hotovostní limit. Nastavte denní limit na úroveň běžné potřeby. Když výjimečně potřebujete víc, dočasně ho navyšte v mobilní aplikaci a hned poté snižte zpět.
• Zapněte okamžité notifikace. Push zprávy, SMS nebo e-mail o každém pohybu na kartě vás upozorní na neoprávněný výběr v řádu sekund.
• Vybírejte vnitřní, frekventované a dobře osvětlené bankomaty. Venkovní stroje v turistických zónách nebo na odlehlých místech jsou podle policejních i bankovních doporučení rizikovější.

Pokud u bankomatu zaregistrujete cokoli podezřelého (uvolněný díl, neobvyklou lištu, zvláštní výstupek), transakci nedokončujte, se zařízením nemanipulujte a volejte 158. Když už z účtu zmizely peníze, okamžitě zablokujte kartu, podejte reklamaci neautorizovaných transakcí u banky a současně oznámení na policii.

Skimming není sci-fi a není to problém „někde jinde“. Je to technika, proti které se ale dá bránit, ne tím, že budete luštit každý milimetr bankomatu, ale tím, že změníte pár návyků. Nízký limit, zakrytá klávesnice a zapnuté notifikace udělají víc než sebeostřejší zrak.

Jak past funguje krok za krokem

Přesně na tomhle scénáři stojí podvod, kterému se říká cash trapping, doslova „past na hotovost“. Nejde o žádný hackerský útok ani o kopírování karet. Pachatel nepotřebuje PIN, nepotřebuje data z magnetického proužku. Potřebuje jen kus plastu nebo kovu, oboustrannou pásku a oběť, která uvěří, že bankomat se prostě porouchal.

Mechanismus je brutálně jednoduchý. Pachatel před příchodem oběti nasadí na výdejní štěrbinu bankomatu falešnou lištu, vizuálně podobnou originálu, přilepenou páskou nebo zasunutou do drážky. Když bankomat uvolní bankovky, ty narazí na překážku a zůstanou uvězněné uvnitř otvoru. Klient vidí na displeji potvrzení výběru, ale peníze v ruce nemá.

Slovinská policie, která za poslední tři měsíce evidovala přes deset takových případů, popisuje klíčový detail: výdejní štěrbina při manipulaci zůstává nehybná, zatímco u normálního výběru se otevírá. Většina lidí si toho ale nevšimne, protože celý výběr až do posledního kroku probíhá naprosto standardně. Oběť vyhodnotí situaci jako technickou závadu a odejde. A přesně na to pachatel čeká, typicky poblíž, aby mohl po jejím odchodu okamžitě zasáhnout.

Není to skimming, je to zákeřnější

Odchyt hotovosti se od skimmingu liší zásadně. Při skimmingu pachatel kopíruje data z magnetického proužku karty a zachycuje PIN kamerou nebo falešnou klávesnicí; škoda se pak projeví až zpětně, často na jiném bankomatu nebo v jiné zemi. Podle Policie ČR jde o sofistikovanější metodu s potenciálem opakovaného zneužití.

Cash trapping je primitivnější, ale pro oběť paradoxně hůře rozpoznatelný přímo na místě. Člověk totiž nemá důvod podezírat podvod, bankomat se prostě „zasekl“. Žádná podezřelá čtečka, žádná miniaturní kamera. Jen chybějící bankovky a pocit, že technika selhala.

Co dělat, když bankomat peníze nevydá

Nejdůležitější pravidlo zní: neodcházejte. MONETA Money Bank to formuluje jednoznačně: pokud bankomat nevydal hotovost, zůstaňte na místě a volejte linku uvedenou přímo na bankomatu. Česká spořitelna i Komerční banka radí totéž.

Konkrétní kroky v prvních minutách:

• Prohlédněte si výdejní otvor. Pokud vidíte cokoli neobvyklého (lištu, překrytí, nehybnou štěrbinu), nedotýkejte se toho a pořiďte fotografii.
• Zkontrolujte zůstatek na účtu přes mobilní bankovnictví. Když se částka strhla a peníze nemáte, jde o problém, který vyžaduje okamžitou reakci.
• Nepřijímejte pomoc cizích osob. Pachatelé někdy vystupují jako „ochotní kolemjdoucí“, kteří vám poradí znovu zadat PIN.
• Volejte banku: Česká spořitelna 277 207 207, MONETA 224 443 636, nebo číslo na zadní straně karty.
• Při podezření na trestný čin volejte 158.

Jak získat peníze zpět

Pokud jste od bankomatu už odešli a částka byla stržena, podejte reklamaci. Česká spořitelna uvádí, že většinu reklamací nevydané hotovosti řeší obratem; složitější případy mohou trvat déle než 30 dní. Komerční banka doporučuje přiložit fotografii displeje nebo bankomatu jako důkaz.

K reklamaci budete potřebovat:

• datum a přesný čas výběru
• částku
• umístění bankomatu
• doklad o transakci (výpis, snímek obrazovky z aplikace)

Důležitá poznámka: u bankomatů České spořitelny čeká nevyzvednutá hotovost na odebrání 90 sekund a pak se automaticky vrací zpět do bankomatu. V takovém případě se částka na účet vrátí sama a nejde o podvod. Cash trapping je jiný případ: peníze zůstávají zachycené v pasti a bankomat je „nezatáhne“ zpět.

Pokud banka reklamaci neuzná, můžete se po písemné výzvě obrátit na finančního arbitra, který řeší spory z platebních služeb.

Aktivní metoda, i když o ní neslyšíte

V Česku se samostatná statistika cash trappingu veřejně nepublikuje. Policie ČR ale i v roce 2026 řeší bankomatové podvody: v lednu hledala muže zachyceného kamerou u bankomatu v Českých Budějovicích, historicky varovala před manipulacemi s bankomaty v centru Prahy. V květnu 2026 odsoudil britský soud dvojici mužů, kteří osazovali bankomaty zařízeními pro cash trapping; oběti bez výjimky považovaly situaci za běžnou poruchu.

Nejdražší chyba u tohoto podvodu není ztráta jednoho výběru. Je to ten okamžik, kdy se otočíte a odejdete, protože přesně na něj někdo čeká.

Mladá Boleslav: dvacet obětí, škoda přes sto tisíc

Že nejde o cizokrajnou kuriozitu, dokládá případ z Mladé Boleslavi. Tamní kriminalisté odhalili sérii zhruba dvaceti krádeží provedených právě touto metodou, celková škoda přesáhla 100 000 Kč. Pachatel pokaždé postupoval stejně: upravil výdejní slot, počkal poblíž a po odchodu oběti si hotovost vyzvedl. Policie ČR případ zveřejnila jako varování pro veřejnost.

V policejních materiálech se pro blízkou variantu vžil i termín „hradecká lišta“, pojmenování podle Hradce Králové, kde se podobná manipulace objevila dříve. Veřejně dohledatelné zdroje ukazují spíš jednotlivé odhalené série než celostátní vlnu, ale právě to je na cash trappingu závažné: řada obětí si vůbec neuvědomuje, že nešlo o technickou závadu, a incident nikam nenahlásí.

Past na lidskou netrpělivost

Celá metoda nestojí na sofistikované elektronice. Bankomat se chová standardně, transakci zpracuje a peníze uvolní. Selhání nastává až kvůli cizí překážce těsně před slotem, kterou systém nedetekuje. Jak popsal Daniel Šíma z České spořitelny, z pohledu bankovního systému výdej proběhl. Problém je čistě fyzický.

Největší zbraní podvodníka proto není technologie, ale vaše reakce. Kdo od bankomatu odejde s myšlenkou „asi se to zaseklo, zavolám zítra“, dává zloději volné ruce. Někdy pachatel situaci ještě urychlí: přistoupí jako „ochotný kolemjdoucí“ a nabídne pomoc, čímž oběť odvede od stroje rychleji.

Od skimmingu se cash trapping liší zásadně. Skimming cílí na data karty a PIN; pachatel kopíruje magnetický proužek nebo získává údaje a zneužívá je později, třeba i v zahraničí. Policie letos popsala i novou variantu s falešným prvkem NFC a miniaturní kamerou, při níž škoda za tři měsíce přesáhla 3 miliony Kč. Cash trapping je primitivnější: žádná data nekrade, jde mu rovnou o vaše bankovky.

Jak manipulaci rozpoznat a co dělat na místě

Než kartu vůbec zasunete, věnujte bankomatu pár sekund pozornosti:

• Výdejní otvor – ověřte, zda na něm není přilepený kryt, lišta nebo cokoli, co nelícuje s povrchem stroje.
• Klávesnice a čtečka – uvolněné díly, zvláštní výstupky nebo polepení signalizují manipulaci.
• Okolí – pokud se někdo nápadně zdržuje poblíž a sleduje vaši transakci, raději zvolte jiný bankomat.

Pokud bankomat peníze nevydá, ale transakce proběhla:

• Neodcházejte. To je nejdůležitější krok.
• Prohlédněte výdejní slot a hledejte cizí předmět.
• Nepřijímejte pomoc od cizích lidí.
• Zavolejte číslo provozovatele uvedené na bankomatu nebo své bance. Česká spořitelna má nonstop linku 277 207 207.
• Při známkách manipulace volejte policii.

Užitečný detail: Česká spořitelna uvádí, že vydané bankovky čekají ve slotu 90 sekund, pak je stroj vtáhne zpět a odešle informační SMS. Pokud peníze vtáhne zpět bankomat sám, nejde o cash trapping, ale o standardní bezpečnostní mechanismus a částka se vrátí na účet. U cash trappingu bankovky zůstávají zachycené na falešné liště, takže je stroj vtáhnout nemůže.

Reklamace: peníze nemusí být ztracené

I když vás zadržení hotovosti postihne, neznamená to automaticky definitivní ztrátu. Situaci lze reklamovat. Banka bude potřebovat doklady, účtenku z bankomatu, případně fotografii displeje, popis místa a času. Komerční banka na reklamaci platebních služeb odpovídá do 15 pracovních dnů, konečná refundace se ale může lišit podle pravidel karetních asociací i konkrétní banky.

Pokud banka reklamaci zamítne nebo ji protahuje, existuje další instance: Kancelář finančního arbitra řeší i spory o nevydání hotovosti bankomatem. Řízení je bezplatné.

Kdo chce riziko minimalizovat do budoucna, může při výběru preferovat bezkontaktní NFC režim: telefon nebo hodinky přiložíte k bankomatu, aniž byste vkládali kartu. Samotný cash trap tím sice nezmizí, ale sníží se alespoň související riziko skimmingu.

Celý trik stojí na jednom předpokladu: že odejdete. Dokud stojíte u bankomatu, zloděj si pro vaše peníze přijít nemůže.

Za měsíc 51 výběrů a škoda téměř půl druhého milionu

Mezi 30. červencem a 28. srpnem 2025 stihl dvacetiletý muž provést jednapadesát výběrů z bankomatů. Poškozených je nejméně osm lidí, celková škoda se vyšplhala k téměř 1,5 milionu korun. A to policie v době zveřejnění tiskové zprávy stále prověřovala další možné oběti.

Případ přitom nezačínal u bankomatu, ale u telefonu. Typický scénář vypadal takto: oběti zavolal někdo, kdo se představil jako pracovník banky. Varoval před údajným napadením účtu, naléhal na okamžité jednání a zakazoval kontaktovat kohokoli dalšího. Poté se do hovoru zapojila další osoba, která oběť navedla ke stažení aplikace a požádala ji, aby k telefonu přiložila platební kartu a zadala PIN. V tu chvíli se údaje karty přenesly přes internet do mobilu výběrčího a oběť neměla tušení, že z jejího účtu právě mizí desítky tisíc korun.

Jak klon karty funguje bez reálného kusu plastu

Klasický skimming, před kterým varovaly banky i policie v minulých letech, vyžadoval fyzické zařízení nasazené na bankomatu, které kopírovalo údaje z karty. Nová metoda je sofistikovanější. Policie ji popisuje jako princip „Wormhole“: jeden telefon načítá NFC komunikaci z karty oběti, druhý ji v reálném čase emuluje u bankomatu. Mezi oběma zařízeními funguje server, který data přenáší.

Technicky jde o takzvaný NFC relay útok. Bezpečnostní analytici z CERT Polska popsali analogický malware NGate, který fungoval na podobném principu: oběť si stáhla aplikaci mimo oficiální obchod, aplikace aktivovala NFC čtečku telefonu a zachycená data odeslala útočníkovi. Firma ThreatFabric zase zdokumentovala kampaň RatOn, která cílila přímo na česko-slovenské uživatele a šířila se přes podvodné instalační balíčky.

Podstatné je, že bezkontaktní bankomaty v Česku nejsou žádná novinka. Mastercard v září 2025 výslovně zařadil Českou republiku mezi evropské trhy s nasazenou bezkontaktní bankomatovou infrastrukturou. Technologie, která má usnadnit život legitimním uživatelům, tak zároveň otevírá prostor podvodníkům, pokud se jim podaří získat údaje karty a PIN.

Nejde o ojedinělý případ, trend stále roste

Středočeský případ není izolovaný. Královéhradečtí policisté popsali 28. srpna 2025 obdobný útok, při němž senior přišel o 150 tisíc korun třemi výběry po padesáti tisících, opět přes virtuální klon karty. Středočeská policie v říjnu 2025 otevřeně hovořila o tom, že podvodníci „v poslední době“ zneužívají platební karty novým, sofistikovanějším způsobem.

Širší čísla od České národní banky potvrzují trend: v roce 2025 evidovala 195 tisíc podvodných karetních transakcí a necelé dva tisíce podvodných výběrů hotovosti. Počet stížností na podvody v platebním styku dlouhodobě roste. Právě kombinace vishingu, tedy podvodného telefonátu, s NFC relay technologií dělá tuto vlnu nebezpečnější než předchozí typy útoků. Oběť totiž sama, vlastníma rukama, umožní vytvoření klonu své karty.

Co dělat, když vám zavolá údajný bankéř

Policie razí jednoduché pravidlo tří Z: Zastav. Zavěs. Zkontroluj. Žádná banka ani policie po vás nikdy nebude chtít:

• převést peníze na „bezpečný účet“
• instalovat aplikaci přes zaslaný odkaz
• sdělit PIN, heslo do internetového bankovnictví nebo ověřovací SMS kód
• přiložit platební kartu k telefonu na pokyn volajícího

Pokud jste podobnou aplikaci už nainstalovali, okamžitě kontaktujte svou banku a zablokujte kartu i přístup k internetovému a mobilnímu bankovnictví. Poté volejte linku 158. Každá minuta se počítá, výběry mohou probíhat v reálném čase.

A co vrácení peněz? Zákon o platebním styku říká, že při neautorizované transakci má banka uvést účet do původního stavu nejpozději do konce následujícího pracovního dne. Klient ale nese ztrátu v plném rozsahu, pokud jednal z hrubé nedbalosti, a instalace podvodné aplikace společně se sdělením PINu do této kategorie může spadat. Pokud banka reklamaci zamítne, zbývá ještě možnost obrátit se na finančního arbitra, který bezplatně řeší spory mezi spotřebiteli a finančními institucemi.

Dvacetiletý muž sedí ve vazbě. Navolávači, kteří oběti přesvědčovali po telefonu, zatím identifikováni nebyli. Schéma ale funguje dál – stačí jeden zvednutý hovor a pár minut důvěry.

Euronet takto na turistech vydělává záměrně

Není to náhoda, že je Euronet rozmístěný po hotelových lobby, letištních halách a turisticky vytížených zónách. Firma to sama otevřeně prezentuje jako svůj byznys model. Na svých stránkách pro hotelový segment mluví o zahraničních cestovatelích, partnerstvích s hotely, restauracemi a provozovateli dopravních uzlů. Nabízí víceměnový výdej hotovosti a DCC jako službu, která generuje provizi i pro provozovatele místa, kde bankomat stojí.

Výsledek? Turista v centru Bratislavy, Prahy nebo Krakova narazí na Euronet dřív než na cokoli jiného. Je to nejbližší, nejviditelnější, často jediný bankomat v dohledu. Člověk znalý místa ví, že o dvě ulice dál stojí bankomat Tatra banky nebo Slovenské spořitelny bez surcharge fee. Turista to neví, a právě na tom celý model stojí. Není to podvod. Je to daň za pohodlí a neznalost.

Kolik to stojí a jak se poplatek liší

Částka 5,95 € (tedy cca 145 Kč) není univerzální sazba platná všude. Euronet ve svém FAQ uvádí, že případný poplatek se zobrazí na obrazovce před potvrzením transakce a může se lišit podle země i konkrétního bankomatu. Podle přehledu Wise se surcharge fee napříč Evropou často pohybuje kolem ekvivalentu 4 € (cca 100 Kč), ale v turisticky exponovaných lokalitách bývá vyšší.

Pro srovnání: v dubnovém testu serveru Měšec.cz v Praze vyšel surcharge fee Euronetu pro zahraniční kartu na 125 Kč. Vedle něj testovali i další provozovatele:

• Fio banka, Komerční banka – 0 Kč surcharge
• Planet Cash – 98 Kč
• Raiffeisenbank – 100 Kč
• Euronet – 125 Kč
• MONETA Money Bank – 195 Kč

Euronet tedy není vždy numericky nejdražší. Kombinace surcharge fee, agresivního umístění v turistických zónách a potenciální pasti v podobě DCC z něj ale dělá jednu z nejrizikovějších voleb pro nepřipraveného cestovatele.

Euronet není jen zahraniční problém

Kdo si myslí, že se ho Euronet týká jen na dovolené v Řecku nebo na Slovensku, mýlí se. Firma podle vlastních údajů provozuje v Česku zhruba 10 % všech bankomatů, v Praze jich má kolem 300. Od podzimu 2025 navíc zavedla v Česku takzvaný DAF (Direct Access Fee), tedy přímý poplatek za výběr hotovosti, i pro domácí české karty. To znamená, že surcharge fee už není výsadou zahraničních turistů. Čech vybírající koruny českou kartou z bankomatu Euronet v Praze může zaplatit poplatek, který by u bankomatu své banky vůbec neřešil.

Kritika přitom není nová. V roce 2024 upozornil youtuber Janek Rubeš z kanálu Kluci z Prahy na zavádějící obrazovky bankomatů Euronet, kde klienti nevědomky platili i za dotaz na zůstatek účtu a zabýval se tím i nedávno. Reportáže vyvolaly reakce českých bank i médií.

Jak se bránit: konkrétní kroky u bankomatu i před cestou

Nejlepší obrana je jednoduchá: k Euronetu vůbec nechodit. Pokud je poblíž bankomat místní banky, použijte ten. Před cestou si ověřte partnerské sítě své banky i limity karty pro výběry v zahraničí.

Když už u Euronetu stojíte a na obrazovce se objeví informace o poplatku:

• Stiskněte fyzické tlačítko Cancel na klávesnici. Euronet sám uvádí, že tím lze transakci ukončit bez účtování poplatku.
• Pokud se zobrazí nabídka konverze do vaší domácí měny, odmítněte ji. Vždy volte výběr v místní měně bankomatu. Přepočet nechte na své bance nebo kartové asociaci, jejich kurz bývá zpravidla výrazně výhodnější.
• Zpětně si ověřte, kolik jste skutečně zaplatili. V aplikaci Revolutu uvidíte, zda poplatek účtoval Revolut, nebo provozovatel bankomatu. Pro kontrolu kurzu nabízí Mastercard veřejný konvertor, kde lze porovnat zaúčtovanou částku s referenčním kurzem karetní asociace.

Pravidla kartových asociací jsou přitom jasná. Visa doporučuje odmítnout DCC, pokud jsou informace na obrazovce nejasné. Mastercard ve svém DCC Performance Guide výslovně zakazuje takzvaný steering, tedy zvýhodňování jedné volby barvou, velikostí tlačítka nebo formulacemi typu „přijmout“ a „odmítnout“.

Proč to není podvod, ale pořád to bolí

Žádný regulátor dosud nerozhodl, že Euronet porušuje zákon. Nařízení EU 2019/518 požaduje jasné zobrazení kurzové přirážky jako procenta nad referenčním kurzem ECB a informaci o možnosti pokračovat bez konverze provozovatele. Pokud Euronet tyto údaje zobrazuje (byť třeba malým písmem a v nepřehledném rozhraní), formálně pravidla plní. Hranice mezi „technicky v souladu“ a „záměrně matoucím“ rozhraním je ale tenká a závisí na konkrétní obrazovce konkrétního bankomatu.

Co je jisté: zaplatit 146 korun za jediný výběr hotovosti, kterou navíc není potřeba nijak přepočítávat, je náklad, kterému se informovaný člověk může snadno vyhnout. Často stačí ujít jen pár desítek metrů k bankomatu jiné banky.

Jak celý podvod funguje krok za krokem

Řetězec začíná nenápadně. Pachatel získá přístup k cizímu facebookovému profilu, nejčastěji přes vyklánění ověřovacího kódu, slabé heslo nebo phishingový odkaz maskovaný jako „hlasování v soutěži“. Policie v lednu 2026 popsala variantu, kdy oběť klikla na odkaz v chatě, zadala telefonní číslo a nevědomky propojila svá zařízení s útočníkem. Ten pak tiše převzal účet.

Jakmile má pachatel profil pod kontrolou, přijde seznam přátel a začne psát. Legenda se mění, někdy jde o naléhavou žádost o půjčku, jindy o žádost o přeposlání kódu „ze soutěže“. Společný jmenovatel je tlak na rychlost. Žádná chvilka na rozmyšlenou, žádný prostor pro pochybnosti.

V polském prostředí, odkud se aktuální vlna šíří, pachatel typický vyláká šestimístný kód systému BLIK:

• Oběť vygeneruje jednorázový kód v bankovní aplikaci.
• Pachatel ho zadá do bankomatu.
• Systém pošle žádost o potvrzení zpět do aplikace oběti.
• Oběť potvrdím PINem, bankomat vydá hotovost.

Celý proces? Kód platí dvě minuty. Od potvrzení v aplikaci k výběru hotovosti uplyne pár vteřin. Banka transakce vidí správně autorizovanou uživatelem, nemá důvod ji zastavit.

V Česku BLIK nemáme. Riziko ale ano

BLIK je polský platební systém, v Česku se běžně nepoužívá. Funguje v Polsku a na Slovensku, vstup do Rumunska má schválený. Jenže to neznamená, že se problém českých uživatelů netýká.

Podle České národní banky má přístup k okamžitému platbám v systému CERTIS už 99 % klientů bank na českém trhu . Taková platba proběhne, sedm dní v týdnu a běžně je hotová zhruba tři sekundy. Technický strop pro rozhodnutí systému je šest sekund. To je vše, co dělí potvrzení od nevratného odeslání peněz.

Air Bank na svých stránkách uvádí přímo: většinu plateb odesílá okamžitě a po odeslání nelze vrátit, vrátit je může jen příjemce. Když je příjemcem podvodník, šance na dobrovolné vrácení je prakticky nulová.

Psychologický mechanismus je tedy v Česku plně přenositelný. Nepotřebujete BLIK kód. Stačí, aby vás zpráva od „kamarády“ přesvědčila poslat okamžitou platbu na neznámý účet. Tři sekundy, a hotovo.

Proč je telefonát poslední lidská pojistka

Zpráva z Messengeru vypadá jako důkaz identity. Jenže po převzetí účtu už důkazem není. Jediný, co útočník snadnom. zfalšovat reálné v čase, je hlas skutečného člověka na konci druhého linky

Policie ČR opakovaně doporučuje ověřit každou žádost o peníze jiným komunikačním kanálem, ideálně telefonátem. Stejnou radu dávám i samotný BLIK ve svých bezpečnostních doporučeních: kód nikdy neposílejte, dokud si jen neověříte, s kým komunikujete.

A tady je klíčový varovný signál: pokud druhá strana odmítá hovor, tvrdí, že má „rozbitý mikrofon“, nebo vás tlačí do okamžité reakce a zakazuje ověřit, je to samo o sobě důvod nic neposílat. Legitimní přítel, který skutečně potřebuje pomoc, nemá důvod bránit vám v tom, abyste mu zavolali.

Telefonát samozřejmě není všelék. Politika popisuje i propracovanější varianty, kdy pachatel komunikuje z nového čísla nebo kombinuje více triků. Proto je telefonát nejúčinnější v kombinaci s dalšími opatřeními: dvoufázovým ověřením, unikátním heslem a kontrolou souhrnu každé transakce před potvrzením.

Co dělat, když už je pozdě

Zjistili jste, že jste peníze poslali podvodníkovi? Počítá se každá minuta. Pořadí kroky:

• Okamžitě volejte banku, žádejte blokaci účtu, karty a další autorizační prostředky.
• Změňte heslo k napadenému účtu na sociální síti a odhlaste všechna cizí zařízení.
• Varujte své kontakty, že váš profil mohl být zneužit, ať nereaguje na žádné zprávy.
• Shromážděte důkazy, screenshoty chatu, potvrzení transakce, čísla účtů, časové údaje.
• Podejte oznámení na Policii ČR, v naléhavém případě přes linku 158.

Šance na vrácení peněz u okamžitých plateb je nízká. Banka může příjemce vyzvat k vrácení, ale donutit ho nemůže. Policie za rok 2025 evidovala přes 21 tisíc skutků v kyberprostoru s objasněností 15,1 %. Pachatelé jsou dopadáni, v Praze policie po dvouletém vyšetřování zadržela devítičlennou skupinu se stovkou poškozených a škodou téměř tři miliony korun, ale jde o běh na dlouhou trať.

Jak si účet zabezpečit, než se něco stane

Prevence je nesrovnatelně účinnější než řešení. Meta od roku 2025 zavádí na Facebooku přihlašování přes passkeys, tedy biometriku nebo PIN zařízení místo hesla. Autor doporučuje Security Checkup a dvoufázové ověření pro Facebook a Instagram.

Minimum, které by měl mít nastavit každý:

• Silné a unikátní heslo, žádné recyklování napříč službami.
• Dvoufázové ověření (2FA), nejlépe přes autentizační aplikaci, není jen SMS.
• Pravidelná kontrola přihlášených zařízení, neznámé přístupy okamžitě odhlásit.
• Neklikat na „hlasovací“ a jiné podezřelé odkazy v chatě, i když je posílá kamarád.
• Nikdy nesdělovat SMS kódy ani autorizační kódy, žádná banka ani služba je po vás přes chat nechce.

Nejde o problém jedné platformy. Zásady stejný postup popisuje na Facebooku, WhatsApp a dalších komunikátorech. Společným jmenovatelem není konkrétní aplikace, ale převzatá identita a rychlost, s jakou se dá autorizovat nevratná platba.

Než pošlete komukoli peníze na základě chatových zpráv, vyčtete jeho číslo. Deset sekund hovoru vás může ušetřit deset tisíc korun.

Jak funguje podvod, při kterém vybíráte vy i zloděj najednou

Policie v tiskové zprávě z 26. 8. 2025 rozlišuje dvě varianty útoku.

NFC skimming nové generace. Na místo pro bezkontaktní přiložení karty u bankomatu pachatel nainstaluje snímací zařízení, které policie označuje za „těžko odhalitelné“. Zařízení nečte magnetický proužek, zachycuje komunikaci čipu přes NFC a data odesílá on-line druhému člověku. PIN získá skrytá kamera namířená na klávesnici. Výběrčí pak u jiného bankomatu provede transakci, která se z pohledu banky jeví jako standardní operace CHIP+PIN originální kartou.

Relay útok přes falešného bankéře. Oběť zavolá podvodník vydávající se za pracovníka banky nebo policie. Přesvědčí ji, aby si stáhla aplikaci nebo otevřela odkaz, a následně ji instruuje, aby přiložila platební kartu k telefonu. Tím se vytvoří relay spojení mezi čipem karty a zařízením pachatele, který stojí u bankomatu připravený vybírat. Oběť přitom často vůbec netuší, že právě autorizuje výběr hotovosti na druhém konci města.

Společný jmenovatel obou variant: pachatel nepotřebuje padělek karty, nepotřebuje čekat dny ani týdny. Proměňuje kartu oběti v okamžitě použitelný nástroj.

Zadržený „výběrčí“ a stopa k širší síti

Mluvčí pražské policie Jan Rybanský sdělil, že zadržený muž byl obviněn a vazebně stíhán. Policie prokázala škodu přesahující tři miliony korun za období od května do července 2025. Jméno, věk ani státní příslušnost zadrženého zveřejněny nebyly, stejně jako přesný počet poškozených.

Klíčový detail: policie muže označuje jako „výběrčího“. Samo to slovo prozrazuje víc, než se na první pohled zdá. Výběrčí je koncový článek, někdo musí instalovat zařízení nebo provozovat sociální inženýrství, někdo musí zajistit technický přenos dat. Ve středočeské kauze z téhož léta policie výslovně rozlišuje role „navolávače“ a „výběrčího“ a popisuje 51 výběrů za období od konce července do konce srpna 2025. Na Děčínsku se na přelomu let 2025 a 2026 objevilo nejméně devět případů se škodou přes 2,3 milionu korun. Pražský případ tedy není ojedinělý exces. Je součástí vlny.

Policie u zadržení zmínila úzkou spolupráci s bankovním sektorem a zahraničními kolegy. Detaily zásahu nezveřejnila.

Starý skimming versus nová éra

Rozdíl mezi tím, co Češi znají z minulých let, a tím, co policie popsala letos, je zásadní.

Klasický skimming kopíroval data z magnetického proužku. Z nich se vyrobil padělek karty a neoprávněné výběry probíhaly typicky mimo Evropu, v zemích, kde bankomaty nevyžadovaly čipovou autorizaci podle standardu EMV. Mezi zachycením dat a zneužitím uplynuly dny, někdy týdny. Oběť měla šanci si všimnout podezřelé transakce a kartu zablokovat.

Nový model tuto časovou rezervu likviduje. Data z čipu putují on-line, PIN je zachycen kamerou nebo ho oběť sama „předá“ přiložením karty k telefonu. Výběr probíhá okamžitě. A protože transakce vypadá jako legitimní operace CHIP+PIN, standardní bezpečnostní filtry ji nemusí zachytit.

Posunula se i varianta falešného bankéře. Starší verze, kterou česká policie dokumentovala už v roce 2022, vedla oběť k převodu peněz na „bezpečný účet“, vložení hotovosti do bitcoinmatu nebo předání kurýrovi. Nová verze kurýra nepotřebuje. Stačí, aby oběť přiložila kartu k telefonu, a výběrčí si dojde k bankomatu sám.

Jak se bránit: konkrétní kroky, ne obecné fráze

Policejní prevence i preventivní materiály Policie ČR nabízejí sadu doporučení. Ta nejdůležitější:

• PIN zakrývejte celou dlaní, ne jen prsty. Kamera může být ukrytá v liště nad klávesnicí, v držáku letáků i v samotném rámu bankomatu.
• Stůjte těsně u bankomatu a dodržujte diskrétní zónu kolem 1,5 metru. Nenechte se nikým vyrušit ani „pomáhat“.
• Nikdy nepřikládejte platební kartu k telefonu na pokyn volajícího, který se představí jako bankéř nebo policista. Banka ani policie to po vás nikdy nechtějí.
• Neinstalujte aplikace z odkazů zaslaných v SMS, e-mailu nebo během hovoru.
• Zapněte si push notifikace o transakcích v bankovní aplikaci. U relay útoku je okamžitá notifikace často jediná šance, jak si včas všimnout neoprávněného výběru.
• Při jakémkoli podezření na bankomatu, uvolněná lišta, neobvyklý prvek u čtečky, cizí zařízení, transakci zrušte a volejte 158.

Banky přitom nejsou pasivní. Policie a Česká bankovní asociace mají od roku 2021 memorandum o spolupráci zaměřené na výměnu informací a společnou prevenci. Bankomaty jsou vybaveny antiskimmingovou technologií a monitoring transakcí běží nepřetržitě. Jenže nejslabším článkem zůstává chování klienta, a právě na něj nové metody cílí.

Čísla, která chybí

Poslední veřejně dostupná celostátní statistika skimmingu pochází od NCOZ a pokrývá rok 2019: 72 útoků, převážně v Praze, dále v Brně, Středočeském a Karlovarském kraji. Pro rok 2025 policie aktuální souhrnná čísla nezveřejnila. Tvrdit, že jde o epidemii, z dostupných dat nelze. Tvrdit, že jde o okrajový problém, ale také ne, tři miliony korun za tři měsíce v jedné pražské kauze, desítky výběrů ve středních Čechách a milionové škody na Děčínsku ukazují, že nový modus operandi funguje a šíří se.

Největší posun není v technologii samotné. Je v tom, že pachatel už nepotřebuje vaši kartu. Stačí mu její data, a vaše důvěra.

Jak celý podvod fungoval krok za krokem

Schéma mělo přesně rozdělené role. Na začátku stál „navolávač“, člověk, který zavolal oběti a představil se jako pracovník banky nebo policista. Vytvořil legendu o podezřelém úvěru na jméno oběti, o napadeném účtu nebo o fotografii „zachránit“ peníze. Číslo na displeji přitom mohlo vypadat jako skutečná linka banky, jak zajistit NÚKIB , podvržení volajícího čísla je technicky triviální.

Pak přišel klíčový moment. Oběť dostala odkaz na aplikaci, kterou měla nainstalovat. Aplikace nebyla z oficiálního obchodu, přišla přes SMS nebo chat. Po instalaci volajícího nástroje oběť, aby zapnula NFC a přiložila platební kartu k telefonu. Tím se načetl data z čipu karty a vytvořil se takzvaný „telemost“, reléové spojení mezi kartou oběti a mobilním pachatelem.

Poslední článek řetězce tvořil „výběrčí“. Fyzická osoba, která přiložila svůj telefon k bezkontaktnímu bankomatu a zadala PIN, který oběť předtím prozradila po telefonu nebo potvrdila v aplikaci. Z pohledu bankovního systému šlo o standardní bezkontaktní výběr originální kartou. Žádný alarm se nespustil.

Proč oběti nic nepoznaly

Tady je jádro celého problému. Při klasickém skimmingu pachatel nasadí na bankomat fyzické zařízení, které kopíruje magnetický proužek karty. Oběť si můžete všimnout zvláštní paměti, uvolněné klávesnice nebo kamery. U červí díry útoku nic takového neexistuje. Bankomat je čistý, nemanipulovaný. Pachatel k němu jen přiloží telefon.

Karta zůstala celou dobu u svého držitele. Žádná notifikace o výběru nemusela přijít, záleží na nastavení konkrétní banky a klienta. Transakce se pro bankovní systém tvářila jako použití originálu, protože technicky šlo o komunikaci s autentickým čipem karty, jen přenesenou na dálku. Akademická literatura tento typ útoku, relay attack přes NFC , popisuje už od roku 2011. Teprve teď se ale masově prosadil v praxi.

Přesný okamžik, kdy jednotlivé oběti zjistily ztrátu, policie nezveřejnila. Mohlo to být při kontrole zůstatku v aplikaci, při vlastním pokusu o výběr nebo až po oznámení banky. Jisté je jedno: během samotných podvodných výběrů o nich neměli žádné povědomí.

Jeden dopadený, zbytek gangu ve stínu

Kriminalisté zadrželi 20letého cizince přímo při výběru z bankomatu. Při prohlídce u něj našli velké množství stvrzenek z výběru a hotovost. Soud ho poslal do vazby. Jenže to je jen „výběrčí“, poslední články řetězce a zároveň ten nejzranitelnější. Navolávači, kteří celou operaci řídí po telefonu, zůstávají podle tiskové zprávy středočeské policie dosud neztotožnění. Policie zároveň uvedla, že prověřuje další možné poškozené.

Právě fyzicky výběrčí bývá slabým místem celého schématu. V obdobném pražském případu z března 2024 vedlo k dopadení pachatele oznámení o podezřelém chování u bankomatu a práce s kamerovým systémem. Na Děčínsku pak policie v lednu 2026 popsala nejméně devět obětí stejné metody se škodou přes 2,3 milionu korun. Nejde tedy o izolovaný exces jednoho okresu, jde o trend, který se šíří napříč krajem.

Co dělat, aby se vám to nestalo

Celé schéma stojí a padá s jedinou věcí: ochotou oběti spolupracovat. Bez instalace a přiložení karet k telefonu pachatele nic nezmůžou. Proto je prevence jednoduchá:

• Nikdy neinstalujte aplikaci z odkazu , který vám přišel přes SMS, e-mail nebo chat. Banka legitimní aplikace distribuuje výhradně přes oficiální obchody.
• Nepřikládejte platební kartu k telefonu na pokyn volajícího. Žádná banka ani politika to po vás nikdy nebude chtít.
• Nesdělujte PIN, hesla ani kódy z SMS. Bankéř je nepotřebuje, policista také ne.
• Při podezřelém hovoru zavěste a zavolejte zpět na číslo, které máte na kartě nebo na webu banky. Ne na číslo, které vám volající nadiktuje.
• Pokud nemůžete oprávněný výběr , okamžitě kartu zablokujte v mobilní aplikaci nebo na nonstop lince banky a podejte oznámení na policii.

Sofistikovaná technologie, primitivní vstupní brána

Wormhole útok je technicky elegantní, přenáší autentickou komunikaci mezi kartou a bankomatem přes stovky kilometrů, aniž by kterákoli strana poznala prostředníka. Jenže celá ta sofistikovanost je k ničemu bez jediného telefonátu, ve kterém někdo uvěří, že mu volá banku. Nejslabším článkem není bankomat, není to šifrování ani čip na kartu. Je to moment, kdy člověk pod tlakem a ve stresu udělá přesně to, co ho neznámý hlas.

Útočníci napadnout automat manuálně a upraví ho

Jackpotování využívá slabin a chyb v softwaru bankomatu, konkrétně v rámci rozhraní eXtensions for Financial Services (XFS), uvedl TechRadar. XFS je otevřené API, které bankomaty a terminály používají k autorizaci transakcí. Virus typu Ploutus umožňuje útočníkům zasílat vlastní pokyny XFS, čímž obejdou bankovní autorizaci a donutí bankomat vydat hotovost bez karty, PINu či účtu zákazníka.

Postup je v praxi jednoduchý. Útočníci otevřou bankomat pomocí tzv. generických klíčů, které jsou bohužel běžně dostupné, vyndají jeho pevný disk a nahrají na něj malware. Poté mohou provádět „transakce“ a vybírat hotovost dle libosti. Od roku 2020 bylo hlášeno cca 1 900 případů, z toho jen v roce 2025 přibližně 700 útoků, tedy zhruba 37 % všech hlášených incidentů.

Dopady jsou obrovské, naštěstí jen u finančních institucí

Lze mluvit alespoň o štěstí, že tyto útoky přímo neohrožují běžné klienty bank, protože útočníci nemají přístup k jejich kartám, PINům ani bankovním účtům. Cílem jsou samotné finanční instituce, jejich hotovost a infrastruktura. Přesto škody dosahují milionů dolarů. FBI odhaduje, že jen ve Spojených státech odcizili útočníci pomocí jackpotování více než 20 milionů USD (cca 500 milionů korun).

Kombinace manuálního napadení a softwarové chyby tak může snadno umožnit překonání moderního bezpečnostního opatření, která banky často staví na digitálních ochranách a monitoringu. Bankomaty jsou tak paradoxně slabším článkem, mluvíme-li o komplexním systému zabezpečení. Odborníci na kyberbezpečnost doporučují bankám zejména:

• Zabezpečit fyzický přístup k bankomatům a omezit dostupnost generických klíčů
• Pravidelně aktualizovat firmware a systém XFS, aby malware neměl šanci fungovat
• Monitorovat divné chování bankomatů a včas zasahovat, pokud dojde k pokusům o neautorizovaný výběr hotovosti

Z našeho pohledu doporučujeme věnovat pozornost hlavně bankomatům na méně frekventovaných místech, vyhýbat se samostatně stojícím strojům bez zabezpečení a při podezření na manipulaci hlásit incident bance. Protože co je v Americe, bývá zanedlouho i u nás. A nemusíme mluvit jen o tomto podvodu, samozřejmě je jich spousty, které i přímo ohrožují uživatele.