Jak přesně gang útočil krok za krokem

Pachatelé si vybírali oběti (interně je označovali ruskojazyčným slangem „mamut“) přímo na inzertních platformách typu Bazoš, Vinted, Sbazar nebo Facebook Marketplace. Kontaktovali prodejce, rychle ho stáhli mimo platformu do WhatsAppu nebo e-mailu a odeslali odkaz na phishingovou stránku, která napodobovala DPD, Zásilkovnu nebo Českou poštu.

Stránka vyžadovala údaje potřebné k „přijetí plateb“: číslo karty, CVV kód, přihlášení do internetového bankovnictví, někdy i autorizační SMS kód. Hned oběť údaje vyplnila, operátoři na druhé straně v reálném čase převzali kontrolu nad účtem. Peníze pak odtékaly přes služby Revolut, TransferGo a NovaPay na zahraniční účty, část byla konvertována do kryptoměn.

Nešlo o amatérský phishing. Bezpečnostní firma ESET, která na případu spolupracovala s Policií ČR, popsala celý telegramový ekosystém nástrojů budovaný nejméně od roku 2015, se šablonami, falešnými screenshoty plateb, QR kódy a znalostními manuály pro „operátory“, kteří oběti vedli konverzaci podle scénáře.

123 milionů korun ve dvou větvích

Celková škoda se skládá ze dvou samostatných, ale metodicky příbuzných operací. U větve RIP policie vyčíslila nejméně 100 milionů korun. U menší větve VICTORY šlo o téměř milion amerických dolarů, tedy zhruba 23 milionů korun. Dohromady přes 123 milionů.

Veřejně známý detailní rozpad podle států policie nezveřejnila. Tisková zpráva Policie ČR ze 6. prosince 2023 mluví o „velkém množství poškozených“ z Česka i dalších zemí EU. U větve VICTORY ukrajinské zdroje později doložily nejméně 19 českých obětí se škodou téměř 1,5 milionu hřiven. Skutečný počet zasažených lidí je podle všeho výrazně vyšší, řada obětí bazarových podvodů totiž vůbec nehlásí.

Podle šéfa Národního centra proti terorismu a kybernetické kriminalitě Břetislava Brejchy vedla jednu z větví skupiny žena z Česka. Ta se stala spolupracující obviněnou, uzavřela dohodu o vině a trestu v rámci přípravného řízení uhradila škodu poškozenému u skutků, pro kterou byla stíhána. Pro ostatní poškozené ale automatická náhrada neexistuje.

Zásahy na Ukrajině a cesta k obžalobě

Vyšetřování probíhalo v rámci společného vyšetřovacího týmu pod záštitou Eurojustu. Čeští kriminalisté byli přítomni při realizačních fázích přímo na Ukrajině, v březnu 2023 u větve RIP a v září 2023 u větve VICTORY, kdy proběhlo 29 domovních prohlídek a zadržení klíčových organizátorů.

Případ ale neskončil prosincovou tiskovou zprávou. V lednu 2024 ukrajinská policie provedla druhou vlnu zásahů, 12 dalších prohlídek v Kyjevě a Dněpropetrovské oblasti. A v červenci 2025 kyjevská policie oznámila, že obžaloba na 14 osob z větve VICTORY byla odeslána k soudu. Vyšetřování komplikovalo přeshraniční rozměr, obrovský objem elektronických důkazů i fakt, že spolupráce s ukrajinskými orgány probíhala v době ruské agrese.

Jak falešnou Zásilkovnu nebo DPD poznat

Síla tohoto podvodu spočívala v tom, že zneužíval důvěru v přepravce, kterou Češi používají denně. Obě firmy proto zveřejnily konkrétní rozlišovací znaky:

• DPD komunikuje výhradně z domén dpd.cz a dpd.com, e-maily končí na @dpd.cz nebo @dpd.com. Nikdy nezprostředkovává prodej zboží třetím stranám.
• Zásilkovna uvádí jako jedinou oficiální doménu www.zasilkovna.cz, maily končí na @zasilkovna.cz nebo @packeta.com. Výslovně říká, že „platba přes Zásilkovnu“ za prodej zboží na bazaru je podvod.
• Žádná přepravce po prodejci nechce číslo karty, CVV, zůstatek na účtu ani přihlášení do banky kvůli „přijetí plateb“.

Pokud jste podobný odkaz v minulosti použili a zadali bankovní údaje, ČNB i Policie ČR doporučují okamžitě kontaktovat banku, zablokovat internetové bankovnictví i platební kartu, uložit screenshoty komunikace a podat oznámení na policii. Rozhoduje rychlost, každá minuta mezi zadáním údajů a blokací účtu je minuta, kterou má útočník k dispozici.

Operace RIP a VICTORY ukázaly, že „podvod na bazaru“ dávno není práce osamělého podvodníka s gramatickými chybami. Je to průmysl s call centrem, kodéry, šablonami a mezinárodní logistikou peněz. Čtrnáct obviněných teď čeká soud na Ukrajině. Tisíce prodávajících na českých bazarech ale každý den dostávají zprávy, které vypadají úplně stejně.

V poslední době všemožných podvodů a útoků na internetu přibývá, přičemž v mnohých figurují i jména známých společností. Mně například někdo napsal jménem DPD s tím, že mi nemůže být doručena zásilka z důvodu nesprávné doručovací adresy. Zpráva byla česky víceméně v pořádku, ale samotný koncept je dle redakce Mobify v zásadě tak průhledný, že je těžké na něj skočit.

Zásilku si kontrolujte přes aplikaci DPD

Od počátku, co o těchto podvodech slýchám, všem radím, ať si vždy ověřují přímo v aplikaci dopravce, zda skutečně nějakou zásilku čekají. Jestli si totiž něco objednáte vy a uvádíte stejný e-mail a/nebo telefonní číslo, jaké máte v jeho „appce“, dopravce přes to zásilku automaticky napáruje (a nejspíše to dokáže i podle adresy, ale to nevím).

Když v ní ale zásilku nenajdete, nejspíše k vám žádná nejde. Samozřejmě se může stát i to, tehdy ale bývá v e-mailu i SMS od dopravce vždy uvedeno číslo balíku, které můžete zkopírovat a vyhledat přes oficiální stránky, kam ho vložíte. Podvodníci ale žádné takové číslo neposílají, neboť jednoduše neexistuje. Místo toho akorát navádí ke kliknutí na tlačítko.

Jestli budete pokyny následovat, dostanete se běžně na stránky, které vypadají graficky de facto k nerozeznání od těch pravých, jelikož je podvodníci kopírují. Jejich cílem je vylákat z vás jak osobní údaje, tedy jméno a doručovací adresu, tak často i číslo platební karty, protože žádají uhradit například doručovací poplatek – následně vám ale začnou strhávat peníze.

Napoví i podivná e-mailová adresa

V případě, že vás nezmate ani špatná čeština (zpráva mívá často chyby, ale ne vždy), měla by napovědět samotná e-mailová adresa, z níž vám informace dorazila. V mém případě má sice uvedené jméno „myDPD“, což má evidentně příjemce zmást, aby polevil v ostražitosti (navíc se ne vždy ukazuje samotná e-mailová adresa, třeba na menším displeji).

Za jménem je nicméně uvedeno „mail@lestravelsaboo.com“, a je na první pohled jasné, že nejde o oficiální adresu dopravce, uvádí DPD. Takové zprávy jednoduše ignorujte s mažte, nezkoušejte, že byste zrovna vy dostali něco zadarmo, pokud budete následovat pokyny.