Rozdíl nespočívá v tom, že je telefon „chytřejší“. Důvod se skrývá hlouběji, v samotném způsobu, jakým mobilní a klasické platby fungují. Mobilní peněženka totiž obchodníkovi neposílá skutečné číslo vaší karty. Místo něj používá takzvaný token, tedy digitální náhradu čísla karty, a každou transakci zabezpečuje dynamickým bezpečnostním kódem. Platbu navíc chrání ověření uživatele. Fyzická karta má jiné bezpečnostní mechanismy a při bezkontaktní platbě nemusí vždy vyžadovat ověření PINem. Právě v tom spočívá její slabina.

Plast bez dozoru: co přesně hrozí

Podle příručky České spořitelny i dokumentace ČSOB je v Česku běžný limit pro bezkontaktní platbu bez zadání PINu 500 Kč. Terminál však může vyžádat PIN i při nižší částce, například kvůli bezpečnostním pravidlům nebo po dosažení určitého souhrnného limitu transakcí. V praxi to znamená, že člověk, který najde cizí kartu, může někdy uskutečnit několik nákupů za sebou, než bude nutné zadat PIN. Pět nákupů po 490 Kč? To je téměř 2 500 Kč pryč během několika minut, pokud platby projdou.

A to není jediné riziko. Na kartě bývá uvedeno její číslo a datum platnosti, na zadní straně pak bezpečnostní kód CVC/CVV. U některých internetových obchodníků a při takzvaných MO/TO transakcích, tedy platbách objednaných poštou nebo telefonicky, mohou tyto údaje k provedení platby stačit. Záleží ale na konkrétním obchodníkovi a na tom, jaké další ověření vyžaduje. MONETA na toto riziko upozorňuje i ve svých materiálech.

Proč je telefon tvrdší oříšek

Mobilní peněženka staví mezi nálezce telefonu a vaše peníze hned několik bezpečnostních bariér:

• Ověření uživatele – Apple Pay při placení obvykle vyžaduje Face ID, Touch ID nebo zadání kódu. Google Wallet zpravidla vyžaduje odemčené zařízení a ověření uživatele, přičemž přesné podmínky se mohou lišit podle částky a způsobu platby. Se zamčeným telefonem tak nálezce obvykle nezaplatí.
• Tokenizace – místo skutečného čísla karty používá Apple Pay takzvané Device Account Number. Google Wallet rovněž pracuje s digitálním platebním identifikátorem, který nahrazuje skutečné číslo karty. Obchodník při běžné platbě prostřednictvím mobilní peněženky nezíská její skutečné číslo.
• Dynamický kód – každou transakci zabezpečují údaje, které se mění a nelze je jednoduše použít znovu. I kdyby někdo zachytil data z jedné platby, neměl by je být schopen použít k opakování další transakce.
• Vzdálené zabezpečení – pokud iPhone označíte jako ztracený prostřednictvím služby Najít, můžete zařízení vzdáleně zamknout a zablokovat možnost používat na něm Apple Pay. U Androidu lze prostřednictvím služby Najdi moje zařízení telefon vzdáleně zabezpečit nebo vymazat; tím lze zamezit přístupu k uloženým platebním údajům.

S fyzickou kartou je situace jiná. Pokud ji ztratíte, musíte ji co nejrychleji zamknout nebo zablokovat prostřednictvím banky. Do té doby může být možné s ní provádět některé platby. Ani plastová karta však není bez ochrany: banka může podezřelé transakce vyhodnotit a některé platby mohou vyžadovat PIN nebo další ověření.

Kdy telefon nezachrání

Bylo by zavádějící tvrdit, že mobilní peněženka je neprůstřelná. Její ochrana závisí mimo jiné na tom, zda útočník zná váš odemykací kód. Komerční banka ve svých materiálech upozorňuje na rizika spojená se znalostí přístupových údajů k telefonu. Apple zároveň umožňuje v určitých situacích ověřit platbu pomocí kódu zařízení namísto biometrie.

Pokud tedy útočník váš kód zná, například proto, že vám při jeho zadávání koukal přes rameno v kavárně, jedna z hlavních bezpečnostních bariér padá. Tokenizace sice dál chrání skutečné číslo karty před obchodníkem, ale sama o sobě nezabrání člověku, který získal přístup k vašemu zařízení, aby se pokusil provádět platby.

Další slabinou jsou podvody, při kterých své údaje předáte sami. Phishing, podvodné telefonáty nebo prozrazení odemykacího kódu někomu, komu důvěřujete, jsou situace, v nichž samotná technologie nemusí stačit. Proto je důležité chránit nejen zařízení, ale také své přihlašovací údaje a osobní informace.

Co dělat, když přijdete o kartu

Rozhodující je rychlost reakce. České banky dnes většinou umožňují kartu zamknout nebo zablokovat přímo v mobilní aplikaci. Tuto možnost nabízejí například ČSOB Smart, George od České spořitelny, My Air, MONETA Smart Banka, KB+ a Fio Smartbanking. Některé aplikace rozlišují mezi dočasným zamknutím, které se hodí, když kartu možná jen nemůžete najít, a trvalou blokací, po níž už kartu nelze dál používat.

Pokud aplikaci nemáte k dispozici, zavolejte na nonstop linku své banky:

Univerzální telefonní číslo pro blokaci všech platebních karet v Česku neexistuje. Vždy záleží na konkrétní bance. Důležitý je ale také právní rámec. Podle informačního letáku ČNB může být spoluúčast klienta při neautorizovaných platbách v EU za určitých podmínek omezena na 50 eur, tedy přibližně 1 250 Kč. Toto omezení se však nemusí uplatnit například v případě, že klient jednal podvodně nebo nesplnil své povinnosti úmyslně či z hrubé nedbalosti. Po oznámení ztráty nebo zneužití karty bance klient zpravidla nenese odpovědnost za následné neautorizované platby, pokud nejednal podvodně.

Jak si nastavit bezpečnější rutinu

Nejde o to zahodit plastovou kartu a bezvýhradně důvěřovat telefonu. Důležité je pochopit, že mobilní peněženka přidává k platební kartě další bezpečnostní vrstvu. Z toho vyplývá několik praktických doporučení:

• Používejte mobilní peněženku jako hlavní platební prostředek při nákupech v obchodech, pokud vám to vyhovuje.
• Na fyzické kartě si nastavte přiměřené platební limity a vypněte internetové platby nebo MO/TO transakce, pokud je nepotřebujete a banka vám umožňuje je samostatně omezit.
• Zapněte si upozornění na každou transakci. Čím dříve se dozvíte o podezřelé platbě, tím rychleji můžete reagovat.
• Nikomu nesdělujte odemykací kód telefonu a dávejte pozor, aby ho nikdo neodpozoroval. Pokud to vaše zařízení umožňuje, používejte bezpečné biometrické ověřování.
• Aktivujte funkci Najít na iPhonu nebo Najdi moje zařízení na Androidu, abyste mohli telefon v případě ztráty vzdáleně zabezpečit.

Fyzická karta v peněžence je stále užitečnou zálohou pro situace, kdy telefon nefunguje, vybije se nebo ho nemůžete použít. Pokud ji ale používáte jako hlavní platební prostředek, počítejte s tím, že při ztrátě může být možné provést některé bezkontaktní platby i bez zadání PINu. Mobilní peněženka nabízí další vrstvu ochrany, která může v podobné situaci výrazně snížit riziko zneužití.

Mechanismus je přitom paradoxní: útočníci před svou phishingovou stránku nasazují komerční antibotovou službu, původně určenou k ochraně legitimních webů před scrapery a automatizovaným provozem. Když na takovou stránku dorazí bezpečnostní skener, sandbox nebo crawler antivirové firmy, antibotová vrstva ho rozpozná a zobrazí mu neškodný obsah – například prázdnou stránku, výzvu CAPTCHA nebo úplně jiný web. Skutečnému člověku se v prohlížeči až po určité interakci zobrazí phishingová stránka nebo škodlivý obsah.

Tím se komplikuje detekce založená na reputaci URL, sandboxech, e-mailových branách i automatickém skenování webu. Výraz „antivirus“ v tomto kontextu proto musíme chápat šířeji: jde o celou vrstvu automatizovaných bezpečnostních kontrol, které probíhají mimo aktivní relaci uživatele v prohlížeči. Na nové phishingové domény, které podle Push často existují méně než dva dny, navíc tyto kontroly nemusejí stihnout včas zareagovat.

Tři techniky, které obcházejí i dvoufaktorové ověření

Nejde o jediný typ útoku. V datech Push se opakují tři hlavní skupiny, z nichž každá obchází bezpečnostní opatření jiným způsobem:

• AiTM phishing – útočník vytvoří kopii přihlašovací stránky a v reálném čase přeposílá zadané údaje na skutečný server. Může tak získat nejen heslo, ale také relační cookie, která mu umožní převzít přihlášenou relaci a obejít běžné dvoufaktorové ověření.
• ClickFix – uživatel narazí na falešné chybové hlášení nebo výzvu CAPTCHA, která ho instruuje, aby zkopíroval text do schránky a vložil ho do příkazového řádku Windows. Tím sám spustí škodlivý příkaz. Podle Microsoftu může tato technika obejít běžné automatizované kontroly, protože škodlivou akci ve výsledku provede sám uživatel.
• Device code phishing – oběť zadá nebo vloží kód na legitimní přihlašovací stránce Microsoftu, a tím nevědomky autorizuje přístup útočníka. Ten může získat přístupový token, aniž by potřeboval znát heslo nebo přímo zachytit ověřovací kód MFA, protože útočí na proces autorizace.

Společným jmenovatelem je, že žádná z těchto technik nutně nevyžaduje stažení infikovaného souboru. Útok se odehrává v prohlížeči a spoléhá na to, že uživatel klikne na odkaz, vloží příkaz nebo potvrdí požadavek.

ClickFix dominuje, device code phishing exploduje

Push Security ve svém datovém přehledu za druhou polovinu roku 2026 uvádí, že ClickFix tvořil ve druhém čtvrtletí v průměru 52 % všech jejich detekcí a v srpnu dosáhl 67 %. Čtyři z pěti zachycených payloadů spojených s ClickFix přitom podle společnosti pocházely z vyhledávačů, a to prostřednictvím škodlivé reklamy, manipulace s výsledky vyhledávání nebo napadených webů. Nešlo tedy o útoky šířené e-mailem.

A právě to představuje druhou část problému: zhruba polovina všech škodlivých payloadů zachycených společností Push přicházela mimo e-mailové kanály. Šířily se přes vyhledávače, sociální sítě, komunikační aplikace nebo QR kódy. Ani sebelepší e-mailová brána tyto cesty sama o sobě nepokryje.

U device code phishingu je vývoj ještě výraznější. Na začátku roku 2026 existoval jeden nebo dva phishingové kity zaměřené na tuto techniku. V průběhu roku jich Push napočítala přes třicet. FBI v květnu 2026 vydala varování před platformou Kali365, která krade přístupové tokeny k Microsoft 365 právě prostřednictvím device code phishingu a využívá k tomu i návnady vytvořené pomocí umělé inteligence. Z techniky, kterou dříve ovládalo jen několik útočníků, se tak stal nástroj dostupný v rámci služeb typu phishing-as-a-service.

Umělá inteligence zlevňuje výrobu útoků

Push tvrdí, že 90 % phishingových kitů analyzovaných v roce 2026 neslo známky využití umělé inteligence. Šlo například o podrobné komentáře v kódu typické pro výstupy jazykových modelů, rychle vytvářené kopie legitimních stránek nebo automatizovanou infrastrukturu. Analýza konkrétního phishingového panelu skupin ShinyHunters a BlackFile navíc odhalila artefakty, které podle výzkumníků ukazovaly na použití velkých jazykových modelů při tvorbě kódu.

Umělá inteligence tedy nutně nepřináší „chytřejší virus“. Především zlevňuje a urychluje výrobu přesvědčivých phishingových stránek a kampaní. Ty lze připravit během několika hodin a opustit dříve, než je bezpečnostní systémy stihnou zařadit na seznam blokovaných adres.

Jak se bránit, když antivirus nestačí

Pro české uživatele i firmy platí stejná rizika, protože popsané distribuční kanály nejsou omezené na konkrétní zemi. NÚKIB v únoru 2026 výslovně varoval před phishingem, falešnými weby a QR kódy a doporučil aktualizace, vícefaktorové ověřování a obezřetnost při práci s nevyžádanými odkazy.

Praktické minimum pro běžného uživatele:

• Nikdy nespouštějte příkazy zkopírované z vyskakovacího okna, výzvy CAPTCHA nebo chybového hlášení na webu.
• Na přihlašovací stránky přecházejte ručně zadáním adresy, nikoli přes odkaz ve zprávě.
• Kontrolujte, jakou aplikaci nebo zařízení právě autorizujete, zejména když vás někdo vyzývá k zadání kódu.
• Udržujte prohlížeč i operační systém aktualizované.
• Berte vícefaktorové ověření jako důležitou, nikoli však neprůstřelnou ochranu. Device code phishing může zneužít proces autorizace i bez přímého prolomení MFA.

Pro firmy je klíčové rozšířit ochranu za hranice e-mailu a zaměřit se také na relace v prohlížeči a správu identit. To znamená monitorovat i kanály mimo e-mail, omezit používání device code flow tam, kde není nezbytné, a mít připravený postup pro rychlé odvolání přístupových tokenů v případě kompromitace.

Rok 2026 nepřinesl nutně sofistikovanější malware. Přinesl především útočníky, kteří pochopili, že jedním z nejspolehlivějších způsobů, jak obejít zabezpečení, je přimět člověka, aby sám něco v prohlížeči potvrdil.

Stovky děr a jedna, kterou už někdo využil

Říjnový Patch Tuesday patří podle bezpečnostních analytiků k mimořádně rozsáhlým aktualizačním vlnám, a to už druhý měsíc po sobě. Mezi opravovanými zranitelnostmi jsou chyby umožňující vzdálené spuštění kódu, zvýšení oprávnění, odepření služby, únik dat nebo obcházení bezpečnostních omezení.

Zvlášť naléhavá je chyba CVE-2026-96951 ve Windows Shell, kterou útočníci podle dostupných informací zneužívali ještě před vydáním záplaty. Odkládat instalaci proto není rozumné. Pokud aktualizaci ještě nemáte, vyhledejte ji přes Start → Nastavení → Windows Update → Vyhledat aktualizace. Po instalaci může být nutné počítač restartovat. Říjen 2026 je u novějších větví vedený jako takzvaný „Baseline (Restart)“ měsíc, tedy období, kdy aktualizace vyžadují restart systému.

Co přesně opravuje Průzkumník souborů

Oprava Průzkumníka souborů se týká větví 24H2, 25H2 a 26H2. V aktualizaci KB5127648 Microsoft řeší problém, při kterém se v prostředí s více uživatelskými účty mohl proces Explorer.exe po přihlášení nespustit správně nebo opakovaně padat. Výsledkem mohla být černá obrazovka místo běžného prostředí Windows.

Říjnová aktualizace zároveň zahrnuje změny ze zářijové preview aktualizace KB5124010:

• Nové chování náhledu souborů stažených z webu
• Zachování rozbalených a sbalených sekcí na domovské stránce Průzkumníka
• Spolehlivější náhledy cloudových souborů v panelu podrobností
• Oprava problému, při kterém se při úpravě adresy mazal obsah adresního řádku

Uživatelé starší větve 23H2 tyto novinky nedostanou. Aktualizace KB5126653 pro tuto verzi obsahuje bezpečnostní opravy a menší sadu dalších úprav, například pro File History, ReFS nebo Storage Spaces.

Emoji, touchpad a konec migrace mezi počítači

Novější větve Windows 11 dostávají také viditelné funkční novinky. Přibyla podpora standardu Emoji 17.0 a úpravy stávajících emoji. Microsoft vylepšil ovládání touchpadu, přidal nové gesto pro posouvání jedním prstem a automatické posouvání. Bluetooth se dočkal několika oprav stability a klávesu Copilot lze nově přemapovat.

Naopak jedna funkce končí: migrace z počítače na počítač (PC-to-PC Migration) už není dostupná. Microsoft místo ní doporučuje Windows Backup, který umožňuje zálohovat soubory, motivy, nastavení, část aplikací i údaje o Wi-Fi. Při nastavování nového počítače pak nabídne obnovu dat po přihlášení ke stejnému účtu Microsoft.

Důležité upozornění: Microsoft některé novinky nasazuje postupně. Jejich dostupnost se může lišit podle zařízení a trhu, takže se nemusí objevit všem uživatelům hned po instalaci aktualizace.

Známé problémy a konec podpory

Aktualizace KB5127648 má také několik známých problémů. Uživatelé bez administrátorských práv mohou narazit na potíže se Vzdálenou plochou, které se mohou projevit chybou 0xC000000D. Některá zařízení USB Audio Class 1.0 mohou nadále trpět výpadky zvuku nebo zobrazovat chybový kód 10. U aktualizace KB5126653 pro Windows 11 23H2 Microsoft v době zveřejnění seznamu žádné známé problémy neuvádí.

Důležitá je také informace o konci podpory. Pro Windows 11 verze 24H2 v edicích Home a Pro má být říjnová aktualizace poslední, protože podpora těchto edic končí. U verze 23H2 v edicích Enterprise a Education je konec podpory naplánován na 10. listopadu 2026. Organizace, které tyto verze stále používají, by proto měly naplánovat přechod na novější vydání systému.

Proč zrovna „odhlášení“ funguje jako návnada

Útočníci si tuto taktiku nevybrali náhodou. Zatímco výzva „Ověřte svůj účet“ nebo „Zaplaťte fakturu“ může v mnoha lidech vzbudit podezření, tlačítko „Odhlásit se“ vypadá jako obranný krok. Člověk nechce nic otevírat ani platit, chce jen přestat dostávat otravné zprávy. Právě proto může být v takové chvíli méně obezřetný.

Co se po kliknutí může stát:

• Potvrzení aktivní adresy – útočník zjistí, že schránku někdo používá, a adresu může zařadit na seznamy pro další vlny spamu nebo ji předat dalším podvodníkům.
• Přesměrování na phishingový web – stránka se může tvářit jako přihlašovací formulář e-mailové služby, banky nebo jiné známé společnosti a pokusit se získat hesla, údaje o platební kartě či jednorázové ověřovací kódy.
• Stažení malwaru – kliknutí může spustit řetězec dalších akcí, jehož výsledkem je stažení nebo spuštění škodlivého softwaru. Samotné otevření odkazu však automaticky neznamená, že se zařízení nakazí.

Nejde přitom o žádnou novinku. Zneužívání odhlašovacích odkazů je známou taktikou už řadu let, mění se ale kvalita jejího provedení. Podvodné e-maily dnes mohou graficky téměř dokonale napodobovat zprávy známých firem. CSIRT.CZ například v lednu popisoval kampaň zneužívající značku VZP, v níž falešný e-mail vedl na externí web a útočníci se prostřednictvím podvrženého rozhraní 3D Secure snažili získat údaje o platebních kartách i ověřovací kódy.

Kdy je odhlášení legitimní a kdy ne

Ne každé „Odhlásit se z odběru“ je past. Rozhodující je kontext, nikoli samotný text odkazu.

Legitimní odhlášení se používá u newsletterů a marketingových e-mailů od firem, u kterých jste se skutečně přihlásili k odběru. Poštovní služby, jako jsou Gmail nebo Outlook, pro tyto případy nabízejí vlastní nástroje. Gmail například může zobrazit možnost odhlášení přímo ve svém rozhraní. Na pozadí lze využít standardizovaný mechanismus označovaný jako List-Unsubscribe, který popisují internetové standardy RFC 2369 a RFC 8058. U podporovaných zpráv tak může poštovní klient odeslat požadavek na odhlášení, aniž by vás přesměroval na neznámou webovou stránku. Ani tento mechanismus ale není důvodem bezmyšlenkovitě důvěřovat každému nevyžádanému e-mailu.

Podezřelé odhlášení představuje odkaz v e-mailu od neznámého odesílatele, jehož odběr jste si nikdy neobjednali. Nemáte jistotu, že odkaz vede tam, kam slibuje. Právě před podobnými hrozbami varují Microsoft, ÚOOÚ i NÚKIB.

Praktické pravidlo je jednoduché: pokud si nevzpomínáte, že jste se k odběru přihlásili, na odkaz neklikejte.

Jak poznat podezřelý e-mail

Ještě než začnete řešit, zda kliknout na odhlášení, vyplatí se zkontrolovat varovné signály samotné zprávy:

• Obecné oslovení typu „Vážený zákazníku“ místo vašeho jména.
• Adresa odesílatele neodpovídá firmě, za kterou se vydává. Může jít například o doménu banka-overeni.xyz místo oficiální domény banky.
• Odkaz vede na jinou adresu, než jakou naznačuje text zprávy.
• Zpráva vás tlačí k rychlé akci, například tvrdí: „Váš účet bude zablokován do 24 hodin.“
• Obsahuje nečekanou přílohu nebo žádost o platební údaje.
• S odesílatelem nemáte žádný předchozí vztah a nevíte, proč vám píše.

Jeden z těchto znaků je důvodem ke zvýšené opatrnosti. Pokud se jich objeví několik najednou, neklikejte na odkazy ani neotvírejte přílohy.

Co dělat místo kliknutí a co po něm

Nejbezpečnější reakcí na podezřelý e-mail není „odhlásit se“, ale „nahlásit a smazat“. V Gmailu můžete použít možnost „Nahlásit phishing“, v Outlooku zase funkci pro nahlášení nevyžádané pošty. Podle možností své služby můžete také zablokovat odesílatele. Zpráva se tak dostane k poskytovateli e-mailu k vyhodnocení a podobné zprávy mohou být v budoucnu lépe filtrovány.

U skutečných newsletterů od známých firem je nejbezpečnější odhlásit se přímo v nastavení účtu na oficiálním webu služby, případně využít odhlašovací funkci svého poštovního klienta.

A pokud jste už klikli? Zavřete stránku a nic nevyplňujte. Samotné kliknutí ještě automaticky neznamená, že jste byli napadeni. Pokud jste ale zadali heslo, co nejdříve ho změňte, zejména pokud ho používáte i jinde. Jestli jste zadali údaje o platební kartě nebo potvrdili podezřelou transakci, okamžitě kontaktujte banku a postupujte podle jejích pokynů. Pokud máte podezření na stažení škodlivého softwaru, spusťte bezpečnostní kontrolu zařízení. Incident můžete nahlásit také poskytovateli e-mailu nebo příslušnému bezpečnostnímu týmu, například CSIRT.CZ.

Jedno pravidlo si zaslouží zopakovat: pokud jste o odběr nikdy nežádali, nemáte se z čeho odhlašovat. Kliknutí na podezřelý odkaz vám nemusí přinést klid, ale může útočníkům usnadnit další pokusy o podvod.

Podvod přitom nemusí zahrnovat prolomení šifrování ani napadení samotné SMS infrastruktury. Útočník se vás jednoduše pokusí přesvědčit, abyste mu během hovoru sami předali ověřovací kód, potvrdili požadavek v aplikaci nebo provedli jinou operaci. Získaný kód či potvrzení pak může v reálném čase zneužít k přihlášení do bankovnictví nebo k převzetí účtu.

Jak útok vypadá krok za krokem

Představte si úterní odpoledne. Na displeji se objeví číslo, které vypadá jako oficiální linka vaší banky. Hlas na druhé straně zní profesionálně, mluví česky a zná vaše jméno. Volající tvrdí, že banka zaznamenala na vašem účtu podezřelou aktivitu a potřebuje ověřit vaši totožnost.

Pak přijde klíčový moment. Volající vás buď navede na webovou stránku, která napodobuje přihlášení do internetového bankovnictví, ale ve skutečnosti běží na podvodné doméně, nebo vás rovnou požádá o SMS kód, který vám právě přišel. Vy ho zadáte na falešné stránce nebo nadiktujete do telefonu. Útočník ho mezitím použije k přihlášení do skutečného bankovnictví. Pokud se mu podaří získat dostatečný přístup, může změnit bezpečnostní nastavení nebo se pokusit přidat vlastní zařízení pro další ověřování.

U sofistikovanějších kampaní, jaké Google Cloud popsal v souvislosti se skupinou UNC6671, útočníci navíc cíleně odstraňují bezpečnostní upozornění týkající se změn hesel nebo vícefaktorového ověřování. Oběť tak může napadení odhalit až se zpožděním.

Celý proces od prvního zazvonění po pokus o převzetí účtu může trvat jen několik minut.

Proč to funguje i proti českým bankám

České banky používají vícefaktorové ověřování a postupně posilují jeho zabezpečení. ČSOB dlouhodobě podporuje ověřování prostřednictvím aplikace ČSOB Smart klíč, zatímco u některých operací ověřovaných pomocí SMS se používá také ePIN. Česká spořitelna preferuje potvrzování v aplikaci George pomocí biometrie nebo PINu; u vybraných operací mohou být při ověřování přes SMS vyžadovány další údaje. ČNB upozorňuje, že útočníci zneužívají také vícefaktorové ověřování: pokud se jim podaří získat potřebné potvrzení, mohou provést transakci nebo změnit nastavení účtu.

Problém tedy nespočívá v tom, že by české banky druhý faktor nepoužívaly. Jde o to, že ani další vrstva zabezpečení nemusí stačit, pokud klient podvodníkovi sám předá kód nebo potvrdí operaci, kterou ve skutečnosti nechtěl provést. Útočníci využívají internetová telefonní čísla a případně také podvržení identifikace volajícího, aby působili důvěryhodněji než běžný phishingový e-mail. Živý hlas vytváří časový tlak, vyvolává pocit autority a naléhavosti a může oběť přimět jednat dřív, než si situaci ověří.

Americký Národní institut pro standardy a technologie (NIST) řadí ověřování pomocí SMS a hlasových hovorů mezi metody s určitými bezpečnostními omezeními. Nejde o stejně odolnou variantu jako kryptografické ověřování navázané na konkrétní zařízení a službu. FBI i další bezpečnostní instituce proto upozorňují na rizika spojená s internetovou telefonií, podvrženými čísly a zneužíváním jednorázových kódů.

Český NÚKIB v únoru 2025 varoval před podvodnými telefonáty využívajícími spoofing. Ve zprávě za rok 2024 zároveň uvedl, že phishing zasáhl všechny dotazované instituce ve finančním sektoru a až třetina z nich zaznamenala přes sto pokusů ročně.

Co je na tom vlastně nového

Samotné podvrhování telefonních čísel ani VoIP podvody nejsou novinkou. FBI spojovala falešnou identifikaci volajícího s internetovými telefonními službami už před lety a Policie ČR i NÚKIB varují před vishingem dlouhodobě.

Nová je především míra profesionalizace a rozsah některých kampaní. Útočníci kombinují podvržená telefonní čísla s věrnými kopiemi přihlašovacích stránek, zaměřují se na osobní telefony zaměstnanců a využívají záminky, jako je údajná nutnost znovu nastavit přístupový klíč neboli passkey. Po získání přístupu se mohou pokusit změnit nastavení účtu nebo odstranit upozornění, která by oběť na útok upozornila.

Nejde tedy vždy jen o jednotlivce s předplacenou SIM kartou. Některé kampaně využívají propracovanou infrastrukturu a koordinované postupy, díky nimž mohou útočníci cílit na velké množství lidí.

Jak se bránit, a co dělat, když zavolají

Rozpoznávací znaky útoku se často opakují:

• Nevyžádaný hovor o „napadeném účtu“ nebo „nutné změně zabezpečení“.
• Tlak na okamžité jednání. Volající nechce, abyste zavěsili a zavolali zpět na oficiální linku.
• Požadavek na SMS kód, potvrzení v aplikaci nebo instalaci nástroje pro vzdálený přístup.
• Odkaz na neznámou doménu, i když vypadá podobně jako web vaší banky.
• Číslo na displeji vypadá oficiálně, ale samo o sobě nic nedokazuje. Identifikaci volajícího lze v některých případech podvrhnout.

Pokud máte podezření na podvod, okamžitě hovor ukončete. Nic nepotvrzujte a nikomu nesdělujte ověřovací kódy. Zavolejte na oficiální linku banky, jejíž číslo najdete na platební kartě nebo na jejím oficiálním webu. Nepoužívejte číslo, které vám nadiktoval volající. Pokud jste už předali přihlašovací údaje nebo potvrdili podezřelou operaci, kontaktujte banku bez odkladu, požádejte o zabezpečení účtu a postupujte podle jejích pokynů. Zkontrolujte také, zda nebyla přidána neznámá zařízení nebo změněny údaje pro ověřování. Podvod oznamte Policii ČR.

Pokud to vaše banka umožňuje, upřednostněte ověřování v bankovní aplikaci před SMS. Ani potvrzení v aplikaci však není neprůstřelné: útočník vás může pod nátlakem přimět potvrdit operaci, kterou jste sami nezahájili. Vždy si proto zkontrolujte, co přesně potvrzujete, zejména částku, příjemce a účel transakce.

Vyšší odolnost proti phishingu nabízejí kryptografické metody, jako jsou bezpečnostní klíče FIDO2 a passkeys. Ty jsou navázané na konkrétní službu a ověřují její identitu, takže je nelze jednoduše přeposlat podvodníkovi jako SMS kód. Ani ty však nechrání před všemi typy podvodů, například před manipulací, při které oběť sama schválí nevhodnou operaci.

Druhý faktor výrazně zvyšuje zabezpečení účtu, ale sám o sobě nevyřeší situaci, kdy vás útočník přesvědčí, abyste mu pomohli obejít vlastní ochranu. Nejúčinnější obranou je v takové chvíli hovor ukončit a vše si nezávisle ověřit.

Podvod, který začal investicí a skončil falešným bankéřem

Než telefon zazvonil, oběť už přišla o půl milionu korun. Vše začalo nabídkou výhodné investice: falešný poradce sliboval nadstandardní zhodnocení, klient se zaregistroval na podvodné platformě a postupně na ni posílal peníze. Pak přišel klíčový krok: pod záminkou správy investic si klient do počítače nainstaloval program pro vzdálený přístup.

Od té chvíle měli útočníci k počítači otevřené dveře. Mohli sledovat dění na obrazovce, získat přístup k citlivým údajům a připravovat další platby. Chybělo jim jediné: autorizace. Tu musí provést klient. A právě proto zazvonil telefon s číslem, které vypadalo jako oficiální linka České spořitelny.

Petr Zíma z České spořitelny popsal, že podobné podvody mohou trvat klidně dva až čtyři měsíce. Z pohledu útočníků se taková investice času vyplatí: průměrná škoda u podvodů s falešnými bankéři dosahovala ve druhém čtvrtletí 2024 zhruba 193 tisíc korun. U investičních podvodů bývá ještě vyšší.

Proč ten hovor zní tak přesvědčivě

Podvodník na nahrávce nezmatkuje, mluví plynně česky a nepoužívá podezřelé formulace. Vyjadřuje se jako pracovník banky, zná některé osobní údaje klienta a na displeji telefonu se zobrazuje číslo, které vypadá jako oficiální linka České spořitelny.

Tato technika se nazývá spoofing, tedy podvržení identifikace volajícího. Český telekomunikační úřad od roku 2024 tlačí na operátory, aby taková volání blokovali. Každý měsíc se jich podaří zachytit miliony. Problém ale zcela nezmizel. Pevná česká čísla, z nichž se volá ze zahraničí, lze blokovat snáz. U mobilních čísel je situace složitější, protože jejich legitimní používání v roamingu může taková opatření komplikovat.

Útočníci navíc často kombinují několik komunikačních kanálů. Nejprve přijde e-mail nebo reklama na sociální síti, poté se ozve „investiční poradce“ a nakonec zavolá někdo z údajného „bezpečnostního oddělení“. NÚKIB výslovně upozorňuje, že promyšlený podvod nemusí spočívat v jediném hovoru. Může jít o sérii kontaktů od různých „institucí“, které na sebe navazují a postupně budují důvěru oběti.

Může se to stát komukoli, a statistiky to potvrzují

Podle průzkumu České spořitelny ze srpna 2025 má každý druhý Čech osobní zkušenost s pokusem o internetový nebo telefonický podvod. Čtyřicet jedna procent lidí podvod rozpoznalo včas, zatímco devět procent o peníze skutečně přišlo.

Čísla za celý rok 2025 jsou ještě znepokojivější. Podle dat České bankovní asociace, která shrnula ČT24, vzrostl počet kybernetických útoků na klienty bank přibližně na 91 tisíc případů a odčerpaná částka přesáhla dvě miliardy korun. Bankám se přitom podařilo zachránit více než 12,2 miliardy korun. Jen klienti České spořitelny přišli v prvním pololetí roku 2025 o 238 milionů korun.

Nejde přitom o čistě český problém. Evropská platební rada popisuje vydávání se za zaměstnance banky jako rozšířený podvodný scénář v celé Evropské unii. Jednotná evropská databáze, která by tyto incidenty souhrnně evidovala, však chybí. Přímé srovnání zranitelnosti českých klientů se zbytkem Evropy proto není možné.

Jak podvod poznat a co udělat okamžitě

Skutečný bankéř po vás nebude chtít převést peníze na „bezpečný účet“. Neměl by vás nutit k okamžitému jednání ani po vás požadovat heslo, celé číslo platební karty nebo potvrzení transakce, kterou jste sami nezadali. Banky ani policie po lidech nepožadují záchranné převody peněz. Výslovně na to upozorňuje i NÚKIB.

Klienti České spořitelny mají navíc k dispozici konkrétní způsob ověření hovoru: při skutečném hovoru bankéře se v mobilní aplikaci George zobrazí notifikace „Volá Vám Česká spořitelna“ a totožnost volajícího lze ověřit čtyřmístným kódem. Pokud notifikace nepřijde, je namístě zbystřit a hovor ověřit nezávisle prostřednictvím oficiálních kanálů banky.

Pokud jste už někomu umožnili vzdálený přístup k počítači nebo potvrdili podezřelou transakci, postupujte takto:

• Okamžitě zavolejte na oficiální linku banky (u České spořitelny 277 207 207) nebo ji kontaktujte přímo prostřednictvím aplikace George.
• Zablokujte internetové bankovnictví a případně i platební kartu.
• S bankou řešte možnost zastavení nebo vrácení odchozích plateb.
• Podejte trestní oznámení.
• Nechte zařízení zkontrolovat odborníkem a odinstalujte program pro vzdálený přístup.
• Změňte přístupová hesla, zejména pokud jste je zadávali na napadeném počítači.

Poslední kliknutí je to nejdražší

Česká spořitelna nasadila specializovaný Kyberteam, který podle dostupných informací provádí zhruba dva tisíce hovorů a intervencí měsíčně, a systém umělé inteligence pro odhalování podezřelých plateb. Banky tak posilují technologickou ochranu. Ani ta však nedokáže vždy zabránit situaci, kdy člověk pod tlakem sám autorizuje platbu připravenou někým jiným.

Nahrávka z roku 2023 to ukazuje s mimořádnou přesností. Celý podvod – týdny budování důvěry, falešná investiční platforma, vzdálený přístup k počítači a podvržený telefonát – směřoval k jedinému okamžiku: k jednomu kliknutí na tlačítko „Potvrdit“. Když ho oběť neudělá, může tím útočníkům zhatit měsíce příprav.

Co přesně drony zničily

Interní dokument AWS, který získal Business Insider, odhaluje rozsah škod v konkrétních číslech. V dubajském zařízení označovaném interně jako DXB62 šlo o přímý zásah a „významné strukturální poškození“. Uvnitř budovy bylo mimo provoz 14 racků EC2, dalších pět produkčních racků bylo zasaženo. Voda po hašení zatekla do prostor a selhalo chlazení. Druhé dubajské zařízení DXB61 utrpělo nepřímý zásah a menší požár. Třetí lokalita, DXB60, měla lokální síťové potíže.

To není „restart serverů“. Je to kombinace stavební obnovy, výměny elektromechanických systémů, opravy chlazení, vysušení prostor a koordinace s místními úřady kvůli bezpečnému přístupu personálu. Každý z těchto kroků má vlastní časový plán a všechny musí proběhnout, než se první zákazníci mohou bezpečně vrátit.

Proč oprava stále není hotová

Klíčový problém spočívá v tom, že obnova neprobíhala v klidových podmínkách. Bahrajnský region byl 24. března znovu zasažen dronovou aktivitou a AWS opět doporučoval přesun workloadů. 1. dubna hlásil Data Center Dynamics další požár zařízení spojovaného s AWS v Bahrajnu, tentokrát na základě informací Financial Times od osoby obeznámené se situací.

Představte si, že opravujete dům po povodni a každých pár týdnů přijde další. Přesně tak vypadá situace AWS na Blízkém východě. Nejde o zpoždění jedné lineární opravy, ale o obnovu přerušovanou pokračujícím konfliktem.

K tomu se přidává logistická komplikace: Hormuzský průliv, kterým podle odhadů proudí zhruba 20 % světových toků ropy a plynu, zůstával podle Reuters na konci dubna uzavřený. Americká EIA ve svém výhledu popsala vyšší přepravní a pojistné náklady i dražší energii v regionu. Pro datová centra to znamená pomalejší a dražší přesun těžkých elektrických a chladicích komponent, horší dostupnost servisních kapacit a vyšší náklady na provozní zajištění oprav.

Proč nepomohla standardní ochrana cloudu

Laický předpoklad zní: cloud je přece redundantní, data jsou na více místech. A je to pravda, ale jen do určité míry. AWS region se skládá z několika takzvaných availability zones, tedy fyzicky oddělených datových center propojených vysokorychlostní sítí. Jenže tyto zóny leží v jednom geografickém prostoru, typicky v okruhu zhruba 100 kilometrů. Proti výpadku jednoho generátoru nebo lokálnímu požáru to funguje skvěle. Proti regionálnímu vojenskému útoku, který zasáhne více zón najednou, už nikoli.

Jak výstižně napsala agentura AP: zabezpečení datových center je stavěné proti narušitelům, ne proti raketám. AWS ve svých veřejných materiálech mluví o redundanci vody, energie a telekomunikací a o fyzické ochraně perimetru. O protiraketové obraně ne. Infrastruktura byla navržená pro běžná provozní a bezpečnostní rizika, a tohle běžné riziko nebylo.

Je to poprvé, co vojenský útok fyzicky narušil hyperscale cloudovou infrastrukturu v ostrém provozu. A právě proto je tento incident tak zásadní.

Kdo migroval, přežil. Kdo zůstal, čeká

Rozdíl mezi firmami, které reagovaly okamžitě, a těmi, které váhaly, je drastický. Blízkovýchodní platforma Careem provedla noční migraci mezi regiony a následující den oznámila plné obnovení služeb. Na druhé straně stojí zákazníci, kteří zůstali závislí na poškozené infrastruktuře. Ti čekají na nejistou a měsíce trvající obnovu.

AWS automaticky odpustil všechny poplatky za využití služeb v regionu ME-CENTRAL-1 za březen 2026. Ars Technica odhadla hodnotu tohoto kroku na zhruba 150 milionů dolarů (asi 3,4 miliardy korun). V dubnu Amazon pozastavil fakturaci během probíhající obnovy. Pro firmy, které zvažují úplný odchod z AWS, existuje od roku 2024 program odpuštění poplatků za přenos dat ven, schvalovaný prostřednictvím podpory.

Co se týče konkurence, AWS je jediný hyperscaler s potvrzeným těžkým zásahem. Oracle v Dubaji přiznal omezený dopad střepin na budovu, ale služby podle jeho stavové stránky běžely dál. U Microsoft Azure a Google Cloud nebyly v tomto období veřejně potvrzeny fyzické škody.

Cloud jako geopolitické rozhodnutí

Pro české firmy je přímý dopad podle všeho minimální. Oba zasažené regiony (ME-CENTRAL-1 a ME-SOUTH-1) jsou takzvané opt-in regiony, které si zákazník musí aktivně zvolit. Z hlediska latence, regulace i datové rezidence jsou pro české subjekty přirozenější evropské lokality, například Frankfurt. Veřejný seznam českých zákazníků, kteří běží právě v postižených regionech, se nám nepodařilo dohledat.

Nepřímý dopad ale vyloučit nelze. Dražší energie, vyšší pojistné a logistické náklady v celém regionu se mohou postupně promítnout do provozních nákladů cloudových poskytovatelů. A investiční nervozita je reálná, i když například Pure Data Centre Group po počátečních zprávách o pozastavení investic nakonec prohlásila, že na Blízkém východě zůstává optimistická.

Tohle je moment, kdy se volba cloudového regionu přestává jevit jako čistě technické rozhodnutí o latenci a ceně. Stává se rozhodnutím geopolitickým a březen 2026 je důvod, proč si to každý CTO zapamatuje.

Proč experti bijí na poplach

Ayten Öksüzová, referentka pro ochranu dat ve spotřebitelské organizaci Verbraucherzentrale NRW, v rozhovoru pro ZDF upozornila na dvě věci. Za prvé: volitelná jména otevírají „nové riziko klamání“, protože útočník se může vydávat za známou osobu, firmu nebo úřad. Za druhé: pokud uživatel použije stejné uživatelské jméno jako na Instagramu nebo Facebooku, dává WhatsAppu i potenciálním útočníkům snadno rozpoznatelný identifikátor napříč platformami.

Indie zareagovala ještě ostřeji. Indické ministerstvo elektroniky a informačních technologií 1. července 2026 podle serveru The Indian Express vyzvalo WhatsApp, aby zavádění funkce v zemi pozastavil do dokončení konzultací. Vládní oznámení varovalo před nárůstem phishingu, podvodů a vydávání se za někoho jiného. Ministerstvo chtělo vysvětlení do tří dnů.

Redakce TechCrunch zase při vlastním testování na začátku července zjistila, že řada uživatelských jmen připomínajících jména politiků a celebrit byla stále volná k rezervaci. WhatsApp sice tvrdí, že chrání jména nejexponovanějších veřejných osobností a ověřených účtů Meta, ale úplný seznam rezervací nezveřejnil. A právě ten „dlouhý ocas“ méně známých institucí a lokálních osobností zůstává nechráněný.

Jak podvod funguje v praxi

Mechanismus je překvapivě prostý. Útočník si zvolí uživatelské jméno blízké skutečnému názvu úřadu nebo jménu celebrity, třeba s jedním písmenem navíc, podtržítkem nebo číslem. Nastaví si odpovídající zobrazované jméno, nahraje profilovou fotku a pošle naléhavou zprávu. Oběť vidí „správně vypadající“ kontakt a nemá jak na první pohled ověřit, jestli je pravý.

WhatsApp sám s tímto scénářem počítá. V oficiálním FAQ k uživatelským jménům přiznává, že blokuje některá klíčová slova, konkrétně výrazy jako „bank“, „government“, „police“ nebo „verified“. To je důležitý detail: firma preventivně zakazuje slova, o kterých ví, že by je podvodníci mohli zneužít. Jenže anglická klíčová slova nepokryjí české varianty jako „policie“, „banka“ nebo „úřad“.

V Česku přitom WhatsApp už dávno slouží jako kanál pro podvody založené na vydávání se za někoho jiného. Policie ČR letos v únoru popsala případy, kdy se podvodníci vydávali za příbuzné v nouzi a přes WhatsApp žádali o peníze. V dubnu pak pražská policie řešila případ, kdy se oběť dostala do kontaktu s falešným policistou a falešným „pracovníkem ČNB“, přičemž komunikace se odehrávala právě na WhatsAppu. Nová funkce uživatelských jmen tento typ podvodu nevytváří. Dává mu ale nový, důvěryhodnější povrch.

Telegram, Signal a WhatsApp: tři přístupy k jednomu problému

Uživatelská jména na messengerech nejsou novinka. Srovnání s konkurencí ale ukazuje, jak odlišně lze stejný nástroj navrhnout.

• Telegram je nejotevřenější: uživatelské jméno je veřejné, objevuje se v globálním vyhledávání a kdokoli vám může napsat bez znalosti čísla. Pohodlné, ale rizikové.
• Signal je nejpřísnější: uživatelské jméno není veřejný identifikátor, neexistuje adresář, pro kontakt je potřeba přesné jméno a každé uživatelské jméno musí obsahovat alespoň dvě číslice na konci, což ztěžuje podvržení identity.
• WhatsApp se pohybuje mezi oběma: nemá veřejný adresář, vyžaduje přesnou znalost uživatelského jména a nabízí volitelný „username key“ jako další vrstvu ochrany. Zároveň ale uživatelské jméno má sloužit jako hlavní identifikátor při prvním kontaktu, a právě tam vzniká prostor pro zneužití.

Důležité je také to, co se nemění: telefonní číslo z účtu nezmizí. WhatsApp ho nadále vyžaduje pro vytvoření a ověření účtu. Uživatelské jméno skryje číslo před novým kontaktem, ale vůči infrastruktuře Meta zůstává číslo povinnou součástí.

Jak se chránit: šest kroků, které zabírají

Panika není na místě. Opatrnost ano. Riziko se týká hlavně prvního kontaktu od neznámého účtu, který chce peníze, osobní data, kliknutí na odkaz nebo instalaci aplikace.

1. Zvolte neuhádnutelné uživatelské jméno – nepoužívejte automaticky stejné jméno jako na veřejných sítích.
2. Zapněte username key – funguje jako další vrstva, kterou musí znát ten, kdo vás chce kontaktovat.
3. Zapněte dvoufázové ověření účtu – chrání před převzetím celého profilu.
4. Neznámé účty blokujte a nahlašujte – WhatsApp má proces pro nahlašování podezřelých uživatelských jmen.
5. Nikdy nereagujte na výzvy k poslání peněz, kódu nebo bankovních údajů – ať uživatelské jméno vypadá jakkoli důvěryhodně.
6. Ověřujte identitu mimo WhatsApp – zavolejte na známé číslo nebo zkontrolujte oficiální web. Samotné uživatelské jméno není důkaz pravosti.

WhatsApp ve své nápovědě k podvodům uvádí typické varovné signály: gramatické chyby, tlak na okamžitou akci, žádost o osobní nebo finanční údaje a prosbu o přeposlání zprávy dalším lidem.

Výhra pro soukromí telefonního čísla je reálná: sdílet uživatelské jméno místo čísla dává smysl u nových známých, ve skupinách nebo při online prodeji. Jenže výhra pro soukromí čísla ještě automaticky neznamená výhru pro důvěryhodnost identity. A na největším messengeru světa s více než dvěma miliardami uživatelů je to rozdíl, který stojí za to mít na paměti.

Jak podvodníci obešli filtr, který zachytí 99,9 % hrozeb

Google se oprávněně chlubí tím, že Gmail blokuje přes 99,9 % spamu, phishingu a malwaru. Jenže i zbývající zlomek může stačit, pokud útočník nepoužije klasický spoofing z podezřelé domény, ale zneužije přímo legitimní nástroje Googlu.

Konkrétně šlo o Google Cloud Application Integration a jeho funkci Send Email. Ta slouží k automatizovanému rozesílání notifikací a zprávy z ní mohou odcházet z legitimní Google adresy, v tomto případě noreply-application-integration@google.com. Pro spamový filtr, který hodnotí reputaci odesílatele a domény, taková zpráva může působit jako skutečná systémová notifikace. Není to chyba v zabezpečení Gmailu. Jde o zneužití legitimní funkce, které obchází část logiky, na níž běžné filtrování stojí.

Proč byli podvodníci rychlejší

Souběžně s touto kampaní Google postupně zaváděl možnost změnit si svou @gmail.com adresu, tedy funkci, na kterou uživatelé čekali roky. Komunikace kolem ní ale byla přinejmenším zvláštní. Server Bleeping Computer 25. prosince 2025 zachytil oficiální stránku podpory popisující tuto funkci, ovšem pouze v hindštině a bez doprovodného blogového příspěvku. Oficiální oznámení na blogu Googlu přišlo až 31. března 2026, přičemž zpětně uvádělo, že zavádění funkce začalo už „minulý rok“.

Vzniklo tak období, ve kterém uživatelé mohli dostat e-mail vyzývající ke změně adresy a neměli snadný způsob, jak si ověřit, zda je pravý. Přesně takové informační vakuum je pro phishing ideální živnou půdou. Přímý důkaz, že útočníci posílali e-maily s výzvou ke změně Gmail adresy, sice v reportu Check Pointu není – zdokumentované návnady měly podobu falešných hlasových zpráv a sdílených souborů –, ale princip zůstává stejný: zpráva z důvěryhodné Google domény v doručené poště bez varovného upozornění může vyvolat vysokou míru důvěry.

Co hrozí, když se necháte nachytat

Cílem útočníků nejsou jen přihlašovací údaje k Gmailu. Google účet je dnes centrální identita: slouží k přihlášení do Gmailu, Disku, YouTube, Google Pay, Map i do desítek aplikací třetích stran prostřednictvím funkce „Přihlásit se přes Google“. Po převzetí účtu může útočník:

• nastavit přeposílání pošty a číst veškerou korespondenci,
• resetovat hesla k dalším službám napojeným na daný e-mail,
• delegovat přístup k poště dalším adresám,
• zneužít Google Pay nebo uložené platební údaje,
• vytvořit filtry, které automaticky mažou bezpečnostní upozornění.

Oficiální nápověda Googlu k napadenému účtu výslovně zmiňuje tyto oblasti mezi prvními věcmi, které je po kompromitaci potřeba zkontrolovat.

Jak poznat podvod a jak se bránit

Klíčové pravidlo je prosté: změna Gmail adresy se neprovádí přes odkaz v e-mailu. Legitimní cesta vede přes nastavení účtu Google na adrese myaccount.google.com → Osobní údaje → E-mail → E-mail účtu Google → Změnit e-mail účtu Google. Pokud tuto volbu nevidíte, funkce pro váš účet nebo region zatím není dostupná. Google termín pro Česko dosud nezveřejnil.

Další praktické body:

• Google po e-mailu nikdy nechce zadat heslo. Jakákoli zpráva, která vás vybízí k zadání hesla po kliknutí na odkaz, je podezřelá.
• Ověřujte přímo v účtu. Místo klikání na odkaz v e-mailu otevřete myaccount.google.com/notifications a zkontrolujte, jestli tam odpovídající událost skutečně je.
• Znáte legitimní předměty. Po skutečné změně adresy Google posílá dva systémové e-maily: „Google Accounts: Email Change Verification“ na novou adresu a „Google Accounts: Email Change Notification“ na starou. Cokoli jiného je varovný signál.
• Naléhavost = červená vlajka. Zprávy vytvářející tlak („Váš účet bude zablokován do 24 hodin“) jsou klasickým phishingovým vzorcem.
• Podezřelou zprávu nahlaste. Přímo v Gmailu přes tři tečky u zprávy → Nahlásit phishing.

Inbox už není důkaz pravosti

Google v reakci na report Check Pointu uvedl, že několik kampaní zablokoval a nasadil ochrany proti tomuto konkrétnímu typu zneužití. Zároveň ale ve svém bezpečnostním doporučení z června 2026 upozorňuje, že phishing přes důvěryhodné cloudové služby zůstává aktivním trendem. České bezpečnostní instituce jako NÚKIB a CSIRT tento konkrétní případ samostatně veřejně nerozebíraly, ale phishingové kampaně na přelomu let 2025 a 2026 mapují průběžně. Například v lednu 2026 CSIRT varoval před podobně důvěryhodně vypadající kampaní zneužívající značku WordPress.

Poučení z celé kauzy je jednoduché: doba, kdy stačilo zkontrolovat, jestli e-mail přistál v doručené poště a přišel z Google domény, je pryč. Inbox dnes není důkaz pravosti. Je to jen první filtr, který útočníci umějí obejít.

Jak útok fungoval krok za krokem

Celá kampaň stála na technice zvané ClickFix, kterou bezpečnostní komunita sleduje už od roku 2024. Princip je prostý a účinný: oběť je přesvědčena, aby sama spustila škodlivý příkaz ve vlastním systému.

Po otevření falešného GPT „Plus 5.6“ se uživateli zobrazila zpráva o omezené dostupnosti služby a nabídka přejít na „záložní doménu“. Odkaz vedl na stránku hostovanou na Google Sites, další legitimní platformě, která sama o sobě nevzbuzuje podezření. Tam čekala falešná ověřovací kontrola Cloudflare. Vypadala jako běžný bezpečnostní widget, ale místo jednoduchého zaškrtnutí políčka po uživateli chtěla něco úplně jiného: otevřít dialog Spustit kombinací Win+R, vložit příkaz ze schránky klávesovou zkratkou Ctrl+V a potvrdit Enterem.

Tím se spustil příkaz v PowerShellu, který stáhl obfuskovaný skript. Ten nainstaloval MSI balíček, zneužil podepsanou aplikaci Canon k technice DLL sideloadingu a vytvořil si trvalé ukotvení v systému pomocí klíče v registru a naplánované úlohy. Na konci řetězce se rozběhl trojan s názvem @input.

Co trojan @input dokáže

Nejde o jednoduchý keylogger. @input je plnohodnotný nástroj pro vzdálený přístup, takzvaný RAT. Bezpečnostní firma Huntress, která kampaň analyzovala, popsala jeho schopnosti podrobně:

• Vzdálená plocha a živé vysílání obrazovky
• Přístup ke kameře, mikrofonu a systémovému zvuku
• Správce souborů s fulltextovým prohledáváním obsahu dokumentů
• Rozpoznání 17 prohlížečů včetně identifikace výchozího
• Stahování a spouštění dalších souborů (EXE, DLL, PowerShell, skripty, archivy)

Ještě předtím si trojan zmapoval antivirový software, stav Windows Defenderu, síťové adaptéry, otevřené porty, nainstalované programy i hardwarový otisk počítače. Útočník tak získal nejen přístup, ale také přehled o systému, do kterého se dostal.

Kolik lidí to zasáhlo a co udělal OpenAI

Huntress ve své analýze uvádí nejméně 40 incidentů navázaných na jednu škodlivou cílovou stránku v rámci celé kampaně. Přímo přes falešný Custom GPT „Plus 5.6“ ale firma potvrdila dva konkrétní případy. Oběti se k podvodu typicky dostaly přes sponzorovaný výsledek ve vyhledávači Google, kde hledaly „chatgpt“.

Po nahlášení OpenAI první škodlivý GPT odstranil, stalo se tak k 25. září 2026. O dva dny později ale výzkumníci našli druhý GPT se stejným názvem a napojením na tutéž kampaň. Útočníci změnili „fasádu“ a některé části doručovacího řetězce. Například první varianta skrývala loader v souboru s příponou .wav, zatímco druhá ho přesunula do souboru Build.dat uvnitř balíčku Microsoft NuGet, který vypadal jako legitimní. Finální trojan zůstal stejný. V době naší rešerše (5. října 2026) druhá známá URL škodlivého GPT už vracela chybu 404. To ale potvrzuje pouze odstranění konkrétní stránky, nikoli konec celé techniky.

OpenAI má veřejně popsané mechanismy pro hlášení škodlivých GPT z webu i aplikací. Samostatné veřejné stanovisko k tomuto incidentu ale firma nevydala.

Jak se bránit a jak poznat podvod

Klíčové poučení z celé kampaně: kontrola domény v adresním řádku už nestačí. I legitimní platforma může hostit škodlivý obsah, který zneužije důvěru uživatele. Microsoft výslovně uvádí, že ClickFix není klasický typ malwaru, ale technika sociálního inženýrství, při které oběť sama odstartuje infekci.

Varovné signály, které by měly zastavit každého:

• Stránka GPT nese popisek „by community builder“ místo oficiálního označení OpenAI
• Název kombinuje tarif a model do neobvyklého tvaru jako „Plus 5.6“
• Po prvním dotazu se objeví hláška o omezené dostupnosti a odkaz na „záložní doménu“
• Cokoli po vás chce otevřít dialog Spustit, PowerShell, terminál nebo vložit příkaz ze schránky

Legitimní Cloudflare Turnstile je widget vložený přímo do webové stránky. Může být zcela neinteraktivní, případně může vyžadovat jednoduchou interakci. Nikdy po vás ale nemá chtít opustit prohlížeč a zadávat systémové příkazy.

Pokud máte podezření na infekci, Huntress doporučuje nejdřív ukončit běžící podezřelý proces, teprve potom odstraňovat mechanismy perzistence v registru a naplánovaných úlohách, jinak se trojan může znovu spustit. Následně odpojte počítač od sítě a spusťte kompletní antivirovou kontrolu.

Česko techniku zná, ale útok potvrzený není

Veřejně dostupná analýza neuvádí geografický rozpad obětí a přímé potvrzení zásahu českých uživatelů není dohledatelné. Kampaň ale nepůsobí jako lokálně omezená. Stála na veřejném GPT, sponzorovaných výsledcích Google a univerzální technice sociálního inženýrství.

České instituce přitom ClickFix sledují. NÚKIB techniku popsal už ve čtvrtletním přehledu hrozeb za druhý kvartál 2025. Bezpečnostní tým Univerzity Karlovy zveřejnil praktické varování s přesným scénářem Win+R, Ctrl+V, Enter. Popsaný trik navíc cílí na Windows; na telefonu, Macu ani Linuxu se tento konkrétní infekční řetězec nespustí.

Největší síla tohoto útoku nebyla v žádném technickém průlomu. Byla v tom, že oběť celou dobu viděla známou značku, reálnou doménu a „bezpečně“ vypadající ověření. Přesto stačilo několik klávesových zkratek k tomu, aby útočník získal kontrolu nad počítačem.