Samotný slib by měl být varovným signálem

Běžná aplikace pro Android nemá legální ani technickou cestu k SMS zprávám, hovorům nebo historii WhatsAppu cizího člověka. Google přístup k záznamům hovorů a SMS na Androidu silně omezuje. Mohou s nimi pracovat především výchozí aplikace pro volání a zprávy, případně výjimečně schválené aplikace s odpovídajícím oprávněním. Aplikace z kampaně CallPhantom přitom žádná taková oprávnění ani nepotřebovaly, protože ve skutečnosti nic nečetly. Celý podvod stál na sociálním inženýrství: slíbit zakázanou „superschopnost“, zabalit ji do profesionálně vypadajícího listingu v Play Storu a inkasovat peníze dřív, než uživatel zjistí, že výsledky jsou smyšlené.

ESET zdůrazňuje, že právě absence invazivních oprávnění paradoxně pomohla aplikacím projít kontrolou. Nevypadaly jako spyware. Nevypadaly nebezpečně. Vypadaly jako nudné utility, a přesně to jim pomohlo projít prvním filtrem.

Tři cesty, jak z uživatelů tekly peníze

Monetizace aplikací CallPhantom nebyla jednotná, a právě to komplikuje případné vracení peněz.

• Předplatné přes Google Play – některé aplikace využívaly oficiální platební systém. Tady má uživatel relativně slušnou šanci na refundaci přímo přes Google, protože platba je evidovaná a dohledatelná.
• UPI platby mimo Google Play – jiné aplikace přesměrovávaly uživatele na platbu přes třetí aplikace podporující indický platební systém UPI. Tyto transakce Google neeviduje, takže refundace přes něj nepřipadá v úvahu.
• Přímé zadání karty v aplikaci – nejrizikovější varianta. Uživatel zadal číslo karty přímo do platebního formuláře uvnitř aplikace. Peníze šly mimo kontrolovaný platební kanál Google Play.

Rozdíl je zásadní. Pokud platba na výpisu z účtu začíná na „GOOGLE*…“, šla přes oficiální systém a Google umožňuje žádat o vrácení peněz. U plateb kartou a přes PayPal je lhůta 120 dní od transakce, u operátorského účtování 60 dní. Pokud ale platba přes Google nešla, zbývá kontaktovat banku, případně v českém prostředí Kancelář finančního arbitra.

Co dělat, pokud jste některou z aplikací měli v telefonu

ESET ve svém reportu zveřejnil kompletní seznam všech 28 názvů i technických identifikátorů (package names). Největší z nich měly přes 3 miliony, 1,5 milionu a další stovky tisíc stažení. Pokud máte Android, první krok není jen odinstalace, protože ta sama o sobě předplatné neruší. Google to výslovně uvádí ve své nápovědě.

Postup vypadá takto:

• Otevřete Google Play, přejděte do sekce Platby a předplatné a zkontrolujte aktivní předplatná. Pokud tam některá z aplikací CallPhantom figuruje, zrušte ji.
• Projděte historii objednávek v Google Play a výpis z platební karty. Hledejte transakce, které nepoznáváte.
• Pokud jste zadávali kartu přímo v aplikaci, kontaktujte banku a nahlaste podezřelou transakci.
• Spusťte ručně Play Protect. Umí aplikace zkontrolovat, varovat před nimi a případně je odstranit.

ESET kampaň nahlásil Googlu 16. prosince 2025. K datu publikace reportu v květnu 2026 byly všechny aplikace z obchodu odstraněny. Jenže „odstraněny“ neznamená nutně „navždy pryč“. Naše kontrola v srpnu 2026 ukázala, že nejméně jedna identifikace aplikace ze seznamu ESETu je v Google Play znovu dostupná, s upraveným popisem, který už tvrdí jen práci s vlastní nebo simulovanou historií hovorů. Zda současná verze obsahuje stejné podvodné chování, z veřejně dostupných dat nelze potvrdit. Vzorec, kdy se nahlášená aplikace vrátí s upraveným popisem, ale v historii Google Play není ničím novým.

Proč to funguje a jak se bránit

CallPhantom není klasický spyware. Nekrade kontakty, nefotí přes kameru ani neposílá SMS na prémiová čísla. Vydělává na zvědavosti. Na touze vědět, s kým volá partner, co píše kolega nebo komu telefonuje soused. A právě proto je tak účinný: slib je silnější než zdravý rozum.

Jak podvodnou aplikaci poznat ještě před stažením:

• Slibuje něco nelegálního nebo technicky nemožného, například „cizí SMS“ nebo „cizí WhatsApp hovory pro jakékoli číslo“.
• Ukazuje snímky obrazovky s citlivými daty bez vysvětlení, odkud je bere.
• Tlačí na platbu dřív, než ukáže reálně ověřitelnou funkci.
• Vede mimo oficiální platební systém Google Play nebo chce kartu přímo v aplikaci.
• Recenze zmiňují „scam“, „fake results“ nebo naopak vypadají podezřele pochvalně a šablonovitě.

ESET veřejně neuvádí geografický rozpad stažení podle států, takže kolik českých uživatelů mezi 7,3 milionu bylo, nevíme. Kampaň cílila primárně na Indii, čemuž nasvědčuje předvolená předvolba +91 i podpora UPI. To ale neznamená, že se aplikace nemohly dostat k uživatelům jinde. Byly v globálním obchodě, v angličtině a s univerzálním slibem.

Sedm milionů stažení ukazuje, kolik lidí kliklo na slib, který už sám o sobě měl být varováním. Žádná běžná aplikace v telefonu vám legálně nedá přístup k cizím zprávám, a pokud to tvrdí, jediné, co chce číst, je číslo vaší karty.

Jak se televize stane součástí botnetu

Cesta škodlivého kódu do domácího zařízení má dvě hlavní varianty. První je předinstalovaný malware: levné necertifikované TV boxy, často prodávané na tržištích jako „odemčené“ přehrávače se vším obsahem zdarma, mohou mít škodlivý software už z výroby. Druhá cesta vede přes aplikace stažené mimo oficiální obchod, pirátská streamovací APK, IPTV klienty nebo zdánlivě nevinné utility typu spořičů obrazovky a jednoduchých her.

Uvnitř takové aplikace se může skrývat SDK, které po instalaci automaticky kontaktuje řídicí infrastrukturu, zaregistruje zařízení a začne přes něj přeposílat cizí provoz. Švédská organizace Qurium analyzovala desítky streamovacích APK a u většiny nenašla žádný smysluplný dialog, který by uživateli vysvětlil, že jeho domácí připojení bude sloužit třetím stranám. Souhlas na dálkovém ovladači, pokud vůbec přijde, zapadne v proudu instalačních kroků. Podle výzkumu firmy Synthient běží tato infrastruktura nejméně od května 2020, tedy šest let, během nichž síť tiše rostla.

A televize je pro útočníky téměř ideální hostitel. Bývá zapnutá nebo připojená k internetu po většinu dne, nikdo na ní běžně nesleduje běžící procesy, často nemá klasický antivirus a uživatel ji jednoduše nevnímá jako počítač. Analytici ze Spur Intelligence Labs to potvrdili čísly: ze 6 038 aplikací pro chytré televize LG a Samsung jich 2 058, tedy více než třetina, obsahovalo proxy SDK prodávající domácí IP adresu. Problém tedy zdaleka nekončí u jednoho botnetu.

Časová osa zásahů: od varování po kolaps

Státní orgány postupně zasahují. Jde o vícestupňovou kampaň, která se táhne už přes rok:

5. června 2025 – FBI vydává veřejné varování k botnetu BADBOX 2.0, příbuznému ekosystému zneužívaných IoT zařízení. Upozorňuje na necertifikované TV boxy, neoficiální tržiště a riziko předinstalovaného malwaru.
6. ledna 2026 – Google zasahuje proti síti IPIDEA, další rezidenční proxy infrastruktuře. Vypíná účty a služby používané pro řízení botnetu.
7. července 2026 – Google publikuje informace o zásahu proti NetNut/Popa. Téhož dne firma Alarum Technologies, mateřská společnost NetNutu, v dokumentu pro americkou Komisi pro cenné papíry (SEC) potvrzuje, že FBI zabavila domény spojené s NetNutem.
8. července 2026 – Alarum přiznává další zabavené domény a dopad na služby.
9. července 2026 – Firma oznamuje dočasné pozastavení části síťových služeb.
10. července 2026 – Alarum stále nezná přesný rozsah škod, nasazuje externí forenzní tým a řeší hlubší dopady.

Sekundární zdroje, včetně serveru KrebsOnSecurity, mluví o stovkách zabavených domén, přesné číslo ale firma v primárních dokumentech neuvádí. Jisté je, že nejde o jednorázovou razii, ale o postupný rozpad infrastruktury, který NetNut dosud nedokázal zastavit.

Co to znamená pro české domácnosti

Přímý veřejný počet zasažených zařízení v Česku neexistuje. Samostatné stanovisko NÚKIB ani Policie ČR k síti Popa/NetNut jsme v otevřených zdrojích nenašli. Veřejně potvrzená akce je americká.

To ale neznamená, že se problém českých domácností netýká. GTIG popisuje zařízení „rozptýlená po celém světě“ a FBI varuje před globálně prodávanými IoT zařízeními. Mechanismus infekce je univerzální a na české e-shopy i tržiště se levné necertifikované Android boxy dostávají stejně snadno jako kamkoli jinam. Kdo si koupil „odemčený“ TV box za pár stovek, stahuje pirátské streamovací APK nebo instaluje aplikace mimo Google Play, vystavuje se reálnému riziku.

Důsledky přitom nejsou jen abstraktní. Pokud přes vaši IP adresu teče cizí provoz, může být vaše legitimní internetová aktivita označena jako podezřelá nebo rovnou blokována. A infikované zařízení na domácí Wi-Fi může v některých případech představovat riziko i pro další zařízení, například notebook, telefon nebo router.

Jak zkontrolovat a ochránit svou televizi

Stoprocentní jistotu bez síťové analýzy nezískáte, ale orientační kontrola zabere pár minut:

• Ověřte certifikaci: V Google Play Store přejděte do profilu → Nastavení → O zařízení a zkontrolujte, zda je zařízení označené jako „Play Protect certified“. Necertifikované zařízení je výrazně rizikovější.
• Ponechte zapnutý Play Protect: Na Android TV i na boxech s Google TV by měl být Play Protect trvale aktivní. Automaticky skenuje a varuje před známými škodlivými aplikacemi.
• Nestahujte aplikace mimo oficiální obchod: Pirátské streamovací APK, IPTV klienty z neznámých webů a „odemykací“ utility jsou častou vstupní branou.
• Preferujte ověřené výrobce: Při nákupu hledejte zařízení s certifikací Android a podporou Play Protect.
• Při podezření odpojte: FBI přímo doporučuje odpojit podezřelé zařízení od domácí sítě jako první krok. Pokud jde o levný box bez důvěryhodné podpory a aktualizací, zvažte jeho úplné vyřazení.

Pro srovnání rozměru hrozby: americké ministerstvo spravedlnosti u botnetu 911 S5 uvádělo přes 19 milionů IP adres, Google u BADBOX 2.0 mluvil o více než 10 milionech kompromitovaných necertifikovaných zařízení. Popa se svými zhruba dvěma miliony uzlů nemusí být největší, ale její síla spočívá jinde, v důvěryhodnosti domácích IP adres, za které se schovává.

Zásahy FBI a Googlu síť viditelně poškodily. Ale jak GTIG sám přiznává, ekosystém rezidenčních proxy je provázaný: když jedna síť padne, operátoři nakupují kapacitu u konkurence. Televize v obýváku tak může zůstat tichým spojencem toho, kdo ji ovládne, aniž by o tom její majitel věděl.

Jak přesně TELESHIM ovládá napadený počítač

Celý mechanismus stojí na tom, že Telegram oficiálně nabízí jednoduché HTTP rozhraní pro boty. Útočníci si vytvořili vlastního bota, jehož token a identifikátor chatu mají zašifrované přímo v těle malwaru. Po spuštění na napadeném počítači TELESHIM udělá následující:

Získá identifikátor oběti podle MAC adresy síťového adaptéru, každý napadený stroj tak dostane unikátní identifikátor.
Přes metodu getUpdates si pravidelně stahuje zprávy z Telegram chatu, ve kterém útočník zadává příkazy.
Ověří, že příkaz je adresovaný právě tomuto stroji (podle MAC adresy), a pokud ano, spustí ho přes cmd.exe /C, tedy přes standardní příkazový řádek Windows.
Výstup příkazu zašifruje a pošle zpět útočníkovi jako zprávu v témže chatu.
Pokud útočník potřebuje na stanici dostat další škodlivý soubor, využije metodu getFile a soubor stáhne jako běžný dokument přes Telegram.

Persistence je zajištěna dvěma naplánovanými úlohami ve Windows: jedna s názvem shimgens se spouští každých šest minut, druhá pojmenovaná Feedback každých deset minut. Útočník tak má prakticky nepřetržitý přístup, aniž by musel generovat nápadný síťový provoz.

Proč je tak těžké útok odhalit

Tradiční kyberšpionážní malware komunikuje s vlastním řídicím serverem útočníka, s doménou nebo IP adresou, kterou mohou bezpečnostní firmy zablokovat, přesměrovat nebo označit jako škodlivou. TELESHIM tuto logiku obrací. Veškerá komunikace jde na api.telegram.org, tedy na legitimní infrastrukturu provozovanou Telegramem. Spojení je šifrované standardním HTTPS a malware navíc používá hlavičku User-Agent napodobující běžný webový prohlížeč.

Databáze MITRE ATT&CK tento vzorec popisuje jako zneužití legitimních webových služeb pro řídicí komunikaci. Útočníkům dává krytí hned dvakrát: zaprvé doména v logách nevypadá podezřele, zadruhé TLS šifrování brání inspekci obsahu bez pokročilé analýzy. Pokud organizace nesleduje konkrétně požadavky na api.telegram.org/bot* z počítačů, kde Telegram nemá co dělat, nemá důvod zpozornět. Ázerbájdžánský CERT ve svém doporučení z 22. července 2026 doporučil ověřovat jakýkoli provoz Telegram Bot API z vládních stanic, kde pro něj neexistuje provozní důvod.

Nejde přitom o žádnou novinku v principu. Zscaler ve svém loveckém průvodci HuntPedia připomíná starší malwary TeleRAT a IRRAT, které Telegram API zneužívaly obdobně. A v českém prostředí NÚKIB už v roce 2023 popsal kampaň proti diplomatickým cílům v Česku a Evropě, kde útočníci plánovali využít službu Notion jako kulisu pro řídicí komunikaci. Vzorec “řídicí server schovaný v legitimní cloudové službě” tedy není nový, jen se opakuje v nových variacích.

Kdo za kampaní stojí a na koho mířila

Zscaler veřejně uvádí pouze “vládní subjekt na Blízkém východě”, konkrétní státy ani instituce nejmenuje. Indicie ale prozrazují hodně o záměru útočníků. Návnady, kterými oběti lákali k otevření škodlivých souborů, nesly názvy jako “Protokol o spolupráci při průzkumu ropy a zemního plynu” nebo “Dohoda o zřízení společných hraničních úřadů”. Šlo tedy o cílený spear-phishing zaměřený na geopoliticky citlivou agendu, ne o masový spam.

Útočníka Zscaler přiřazuje se “střední až vyšší jistotou” k regionu východní Asie, a to na základě veřejné IP adresy, systémového lokálu napadeného stroje a pracovních hodin odpovídajících tamnímu časovému pásmu. Ke konkrétní známé APT skupině ale kampaň zatím nepřiřadil, důkazy stačí na regionální odhad, ne na spolehlivou atribuci.

Za zmínku stojí i další fáze útoku. Po TELESHIMu útočníci nasazují nástroj MIXEDKEY, který šifruje finální implantát pomocí sériového čísla disku oběti. Dešifrování tak funguje jen na zamýšleném stroji, sandbox nebo analytický počítač s jiným sériovým číslem payload nerozbalí. Finální implantát BINDCLOAK Zscaler zatím podrobně nepopsal a avizuje jeho rozbor v druhém díle analýzy.

Co to znamená pro Česko a jak se bránit

Technicky nic nebrání tomu, aby stejný postup zasáhl i české vládní instituce. Kampaň stojí na obecných Windows technikách (DLL sideloading, naplánované úlohy, odchozí HTTPS) a na zneužití služby, kterou řada organizací v odchozím provozu neomezuje. NÚKIB ve své analýze komunikačních aplikací z roku 2026 navíc upozorňuje, že Telegram má v některých oblastech slabší bezpečnostní model než někteří konkurenti: skupinové chaty nejsou ve výchozím nastavení šifrované end-to-end a data se ukládají na serverech provozovatele.

Praktická obrana proti tomuto typu útoku existuje a není složitá:

Na kritických serverech a vládních stanicích blokovat odchozí komunikaci na api.telegram.org/bot*, pokud pro ni neexistuje provozní důvod.
Omezit odchozí HTTPS jen na schválené domény, tedy princip whitelistu, který NÚKIB dlouhodobě doporučuje ve svých veřejných materiálech pro administrátory.
Centrálně logovat síťové události a aktivně hledat naplánované úlohy s neobvyklými názvy, DLL sideloading a beaconing na známé indikátory kompromitace.
Prověřovat jakýkoli Telegram Bot API provoz z prostředí, kde nemá co dělat.

Veřejné zdroje nedávají podklad pro tvrzení, že tato konkrétní červencová kampaň zasáhla Česko. Vzorec je ale českému prostředí známý a technické předpoklady pro jeho úspěch, tedy nedostatečné řízení odchozí komunikace, jsou univerzální.

Celá kampaň ukazuje jednu věc: nejnebezpečnější není Telegram jako aplikace, ale princip, kdy útočník schová řídicí komunikaci do služby, kterou síťový automatický dohled považuje za neškodnou. Dokud organizace neřeší, proč její server komunikuje s Bot API chatovací služby, bude tenhle trik fungovat, ať už přes Telegram, Notion, nebo cokoli dalšího.

Znělo to jako nemožný scénář

Prohlížeče jsou navrženy tak, aby webové stránky nemohly volně sahat na lokální soubory. Slouží k tomu sandbox, izolované prostředí, které odděluje web od zbytku systému. Právě proto se ransomware spuštěný čistě z webové stránky, bez exploitu a bez instalace, léta považoval spíše za teoretický scénář než za reálnou hrozbu.

Teoretický ovšem neznamená neznámý. Samotná specifikace File System Access API obsahuje sekci věnovanou ransomwarovým útokům. Akademický tým z USENIX Security tento vektor popsal už v roce 2023 v práci RøB. A vývojáři WebKitu, jádra Safari, se proti zápisu webu do přímých složek postavili právě z bezpečnostních důvodů. Riziko tedy viselo ve vzduchu. Chyběl jen někdo, kdo z roztříštěných akademických poznatků složí funkční útok. Tím „někým“ se stal model AI.

Jak útok funguje: bez exploitu, bez instalace

Vzorek s názvem deepseek_python_20260125_da0631.py se na platformě VirusTotal objevil už 25. ledna 2026, jak uvádí The Hacker News. Původní kód byl nekompletní, ale Check Point z něj vytvořil plně funkční kontrolovanou ukázku a otestoval ji na Windows desktopu i na Androidu.

Scénář útoku vypadá takto:

• Uživatel narazí na web, který se tváří jako bezplatný nástroj AI, například „upscaler“ pro vylepšení fotek na Discord avatar.
• Web ho požádá o výběr složky s fotografiemi. Chrome zobrazí standardní systémový dialog pro výběr adresáře.
• Uživatel potvrdí přístup ke čtení a zápisu. Žádný exploit, žádné obcházení ochrany, stačí jediné kliknutí na „Povolit“.
• Stránka na pozadí projde celou složku, soubory přečte, odešle na vzdálený server a přepíše je zašifrovanými kopiemi. Na obrazovce se pak objeví výkupní zpráva pod hlavičkou InfernoGrabber v9.0.

Chromium sice blokuje přístup k řadě citlivých umístění (domovskému adresáři, ploše, složce Dokumenty, Downloads nebo systémovým cestám jako C:\Windows). Neblokuje ale kořenové složky Obrázky, Fotky ani DCIM na Androidu. Právě proto je převlek za editor fotografií tak účinný.

Android v ohrožení od Chrome 132

Na desktopech je File System Access API dostupné od Chrome 86. Na Androidu ale dlouho chybělo a dorazilo teprve s Chrome 132. Check Point ověřil funkčnost i na Chrome 148, včetně přístupu ke kořenové složce DCIM, kde telefony ukládají fotografie z fotoaparátu.

Na iOS a Safari stejný mechanismus nefunguje. WebKit podporuje pouze takzvaný origin private file system, izolovaný prostor, který webu neposkytuje přímý přístup k uživatelským složkám. Ohroženi jsou tedy především uživatelé Chrome a dalších prohlížečů postavených na Chromiu (Edge, Opera, Brave) na Windows a Androidu.

AI jako konstruktor útoku

Největší posun není v tom, že by někdo objevil novou chybu v Chrome. File System Access API funguje přesně tak, jak bylo navrženo. Průlom spočívá v roli umělé inteligence: útočník nemusel znát konkrétní API, nemusel studovat specifikaci ani akademické práce. Popsal jen výsledek („webová stránka, která krade a šifruje soubory“) a model DeepSeek sám dohledal ve svých tréninkových datech technicky schůdnou cestu.

Check Point přímo srovnával chování DeepSeeku s ChatGPT a Claude. Zatímco ty v testu spíše odmítaly nebo generovaly neškodné varianty, DeepSeek ze širokého zadání dokázal vytvořit použitelnou škodlivou webovou aplikaci. Podle výzkumníků jde o posun od pouhého přepisování známých technik k aktivnímu objevování nových kombinací.

Jak se chránit

Tradiční antivirová ochrana má v tomto případě slabší pozici: chybí tu spustitelný soubor, binárka i typické znaky klasického malwaru, které by ochrana koncových bodů zachytila. Aktualizovaný prohlížeč je nutnost, ale nestačí.

Check Point doporučuje:

• Nepovolovat přístup ke čtení a zápisu webům, kterým plně nedůvěřujete.
• Pokud přístup ke čtení a zápisu povolit musíte, použijte prázdnou nebo dočasnou složku, nikdy hlavní knihovnu dokumentů nebo pracovních dat.
• Udržovat offline nebo cloudové zálohy důležitých souborů.
• Být obezřetní vůči webům s AI tématikou, které žádají přístup k lokálním souborům.

V českém prostředí zatím konkrétní varování před InfernoGrabberem od NÚKIB ani CSIRT.CZ nezaznělo. Obě instituce ale již dříve řešily hrozby spojené s DeepSeekem: NÚKIB vydal varování pro veřejný sektor a CSIRT.CZ upozornil na desítky podvodných stránek napodobujících DeepSeek, které šířily jiný malware.

Příště, až vaše webová stránka požádá o přístup ke složkám, stojí za to si položit jednu otázku: opravdu potřebuje moje soubory, nebo jen potřebuje, abych klikl na „Povolit“?

Téměř polovina peněz na účtu pryč

Abychom škodu zasadili do kontextu: podle výroční zprávy SNHK za rok 2025 měla organizace ke konci loňského roku na běžném účtu 99,7 milionu korun. Odčerpaných 46 milionů tedy odpovídá přibližně 46 procentům tehdejšího zůstatku. Skoro polovina provozních peněz zmizela, aniž by kdokoli prolomil jediný firewall nebo heslo.

Město zatím tvrdí, že provoz SNHK, výplaty zaměstnanců, závazky ani připravované investice nejsou bezprostředně ohroženy a že zatím nemusí organizaci posílat mimořádné prostředky. To zní uklidňujícím dojmem, ale klíčové slovo je „zatím“. Další postup závisí na výsledku policejního vyšetřování, uplatnění nároků na náhradu škody a na tom, zda část ztráty pokryje pojistka. Definitivní odpověď na otázku, jestli se peníze vrátí, dnes nemá nikdo.

Selhání člověka, ne systému

Nejnepříjemnější zjištění celého případu není výše škody. Je to způsob, jakým k ní došlo. Žádný hackerský průnik do bankovního systému, žádný malware, žádná zranitelnost v softwaru. Útočníci zasáhli člověka, konkrétního pracovníka s dispoziční pravomocí k účtu, který pod tlakem obešel kontrolní prvky a bezpečnostní postupy organizace.

Vedení města mluví o selhání jednotlivce a zároveň o sofistikovaném podvodu se silným psychickým nátlakem a prvky sociálního inženýrství. Obojí může být pravda současně. Systém předpokládal víceúrovňovou kontrolu, právě proto nyní běží interní audit, který má zjistit, jak bylo možné nastavené mechanismy obejít. Konkrétní procesní chyba ani schvalovací krok, který selhal, dosud zveřejněny nebyly.

Formálně přitom nejde o úředníka ve smyslu zákona o úřednících územních samosprávných celků, ale o zaměstnance městské příspěvkové organizace. Pro obyvatele Hradce Králové je to ovšem rozdíl čistě akademický – peníze, které zmizely, byly veřejné.

Rezignace a důsledky

Personální důsledky přišly rychle. Ředitelka SNHK Jaroslava Bernhardová 22. července 2026 rezignovala. Město její odchod označilo za převzetí manažerské odpovědnosti. Dočasně ji ve funkci nahradí ředitel Technických služeb Hradec Králové. Magistrát zároveň oznámil pracovněprávní důsledky vůči konkrétnímu pracovníkovi, jehož jméno zveřejněno nebylo.

Trestní odpovědnost zaměstnance k 24. červenci potvrzena nebyla, policie veřejně stíhá neznámé pachatele podvodu. Město navíc avizovalo revizi bezpečnostních a kontrolních mechanismů napříč všemi městskými organizacemi. To je krok správným směrem, ale přichází až poté, co z účtu zmizelo 46 milionů.

Rekordní škoda v zemi, kde podvodů přibývá

Průměrná škoda u podvodů typu „falešný policista“ nebo „falešný bankéř“ se v Česku pohybuje kolem 750 tisíc korun na jednu oběť. Hradeckých 46 milionů je zhruba šedesátkrát víc. Policie i média proto případ označují za největší škodu způsobenou tímto typem útoku v historii České republiky.

A nejde o izolovaný jev. Podle policejních statistik počet kyberpodvodů v prvním čtvrtletí 2026 meziročně vzrostl o více než 37 procent. Podle informací ministerstva vnitra, které cituje hradecký magistrát, se terčem podobných útoků nově stávají právě zaměstnanci veřejných institucí a samospráv. Logika útočníků je přímočará: na účtech veřejných organizací leží vyšší částky, zaměstnanci rutinně pracují s platbami a důvěřují autoritě policie či banky.

Za podobnými útoky přitom nestojí jednotlivci. Policie ČR už v minulosti rozkrývala organizované skupiny falešných bankéřů s vysokými škodami po celé zemi.

Jak se bránit: pravidlo 3Z

Policie v červnu 2026 vydala celostátní varování a doporučuje pravidlo 3Z:

• Zastav – nenechte se vystrašit, i když volající tvrdí, že jde o napadený účet nebo úvěr na vaše jméno.
• Zavěs – okamžitě ukončete hovor. Žádná banka ani policie po telefonu nežádá převod peněz na „bezpečný účet“.
• Zkontroluj – sami zavolejte bance nebo na linku 158. Nikdy nepoužívejte číslo, které vám nadiktoval volající.

Varovné znaky podvodu jsou vždy stejné: naléhavost, zákaz komukoli volat, požadavek sdělit autorizační SMS nebo nainstalovat aplikaci pro vzdálený přístup. Jakmile slyšíte cokoli z toho, zavěste. Bez výjimky.

Hradecký případ ukazuje, že oběť nemusí být senior ani naivní člověk. Stačí zkušený pracovník s přístupem k desítkám milionů, správná legenda a dostatečný tlak. Právě proto je pro veřejné instituce nepříjemnější než běžný kyberútok: proti softwaru existují záplaty, proti lidské reakci pod stresem zatím spolehlivá záplata není.

Co přesně se stalo 14. dubna

Slavnostní spuštění pilotního provozu CZQCI připadlo na Mezinárodní den kvantové fyziky. Síť propojuje Prahu, Brno a Ostravu a mezi nimi leží takzvané důvěryhodné uzly, podle dostupných technických zdrojů mimo jiné v Čáslavi, Žďáru nad Sázavou, České Třebové a Olomouci. Koordinátorem projektu je CyberSecurityHub, optickou infrastrukturu poskytuje ČD – Telematika, která už před spuštěním pilotu testovala kvantovou distribuci klíčů na reálném železničním vlákně ve spolupráci s Toshibou.

Právě Toshiba Europe dodala klíčovou technologii: 14 párů QKD zařízení vysoutěžených v otevřeném řízení. Zadavatel požadoval tržně ověřené přístroje s doloženou instalací alespoň tří párů na optické síti. Přidal také tvrdou bezpečnostní podmínku: kritické komponenty nesměly pocházet z Číny, Ruska, Íránu ani KLDR, protože síť má v budoucnu sloužit i pro přenos materiálů klasifikovaných jako SECRET UE.

Proč nejde o klasické šifrování

Dnešní internetová bezpečnost stojí na dvou pilířích. Veřejnoklíčová kryptografie (RSA, ECC) zajišťuje výměnu klíčů a ověření identity. Symetrické šifry typu AES pak chrání samotná data. Kvantový počítač ohrožuje hlavně první pilíř: matematické problémy, na nichž RSA a ECC stojí, by dokázal vyřešit v čase, který je pro klasický počítač nedosažitelný. AES je vůči známým kvantovým útokům odolnější, ale bez bezpečné výměny klíčů je i silná symetrická šifra k ničemu.

QKD řeší právě toto úzké hrdlo. Klíč se neustavuje přes matematický problém, ale přes kvantové vlastnosti fotonů. Pokus o změnu přenosu změní kvantový stav částic a obě strany ho okamžitě detekují. Nejde o magickou nedobytnost veškerého provozu; jde o to, že útočník nezíská klíčový materiál, bez kterého mu archivovaný šifrovaný provoz zůstane nečitelný.

Koho síť chrání, a koho zatím ne

Běžný uživatel si kvantovou linku domů nepořídí. CZQCI je v první řadě infrastruktura pro stát, kritické systémy a vybrané partnery z veřejné správy a průmyslu. Provozovatel počítá s dočasnými větvemi, které mohou být připraveny na šest až osmnáct měsíců podle potřeby konkrétního partnera. Konkrétní seznam ministerstev, nemocnic ani firem ale zatím zveřejněn nebyl.

Pro běžné občany je realistická spíš nepřímá cesta:

• Banky, operátoři a cloudové služby postupně převezmou postkvantové prvky do vlastní infrastruktury.
• Úřady a zdravotnická zařízení, která pracují s dlouhodobě citlivými daty, budou mezi prvními uživateli.
• Po roce 2030 se počítá s rozšířením na vybrané soukromé subjekty.

Evropský rámec přitom tlačí na tempo. Všech 27 členských států EU buduje národní segmenty v rámci programu EuroQCI, Evropská komise už financuje 19 přeshraničních projektů a Česko plánuje propojení se sousedním Německem, Polskem, Rakouskem a Slovenskem.

Závod s časem, který nikdo neumí přesně změřit

Kdy přesně vznikne kvantový počítač schopný lámat RSA? NIST pracuje s rozmezím od „méně než deset let“ až po „roky či dekády“. Jisté je něco jiného: samotná migrace na odolnější kryptografii potrvá podle odhadů deset až dvacet let. Kdo začne pozdě, nestihne to.

A právě tady je háček scénáře „harvest now, decrypt later“. Data zachycená dnes nemusí být zajímavá zítra, ale zdravotní záznamy, diplomatická korespondence nebo průmyslová tajemství mohou být citlivá i za patnáct let. NIST proto označuje TLS provoz za jeden z hlavních cílů tohoto typu útoků, protože přenáší obrovské množství komunikace. Není třeba panikařit kvůli každému odeslanému e-mailu. Ale instituce, které pracují s daty s dlouhou dobou utajení, mají důvod jednat už teď.

Pilot, ne hotová síť

CZQCI je zatím pilotní provoz; ověřuje technologii, integraci do existujících telekomunikačních sítí i provozní spolehlivost na reálné české infrastruktuře. Do roku 2030 má vzniknout základ celostátní kvantové komunikační sítě, ale finální mapa pokrytí zatím neexistuje. Česko není v Evropě osamělý průkopník, patří ale do skupiny zemí, které už mají běžící národní páteř, a ne pouze studii na papíře.

Čtrnáct párů QKD zařízení na 622 kilometrech optického vlákna nezastaví dnešního hackera, který se dobývá do e-mailové schránky hrubou silou. Zastaví, nebo výrazně zkomplikuje práci těm, kteří dnes trpělivě sbírají šifrovaný provoz a sázejí na to, že ho za deset let přečtou. A právě v tom je hodnota sítě, která vypadá nenápadně, ale řeší problém, který by za dekádu mohl být pozdě.

Co přesně se stane, když telefon zapojíte do cizího USB portu

Klíčový problém je jednoduchý: USB kabel má vodiče pro napájení i přenos dat. Když telefon připojíte k veřejnému portu, neposílíte mu jen elektřinu. Kompromitovaný port se může chovat jako počítač nebo jiné USB zařízení a pokusit se navázat datové spojení. V tu chvíli se otevírá cesta k potenciálnímu přístupu k obsahu telefonu.

Útočník přitom necílí na to, aby vám „vysál účet přímo z kabelu“. Mechanismus je sofistikovanější: nejdříve kompromituje zařízení, podstrčí škodlivý kód, získá údaje nebo se pokusí převzít přístup k aplikacím. Teprve následně může dojít ke zneužití bankovních přístupů, exportu fotek, videí, dokumentů nebo kontaktů. Podle americké Federální obchodní komise malware typicky cílí na uživatelská jména, hesla a bankovní údaje. Oficiální varování státu New York zmiňuje také možnost úplného zablokování zařízení.

Ani iPhone, ani Android nejsou imunní

Apple i Google do svých systémů zabudovali ochranné mechanismy. iPhone vyžaduje odemčení a potvrzení dialogu „Trust This Computer“, než povolí přístup k datům. Android dokáže při zamčené obrazovce blokovat USB datovou komunikaci. Tyto bariéry ale nejsou absolutní.

Studie ChoiceJacking, publikovaná na konferenci USENIX Security 2025, ukázala, že škodlivá nabíječka dokáže obejít některé existující ochrany na zařízeních osmi výrobců včetně Apple, Google, Samsungu a Xiaomi. Útočník kombinuje roli USB hostitele a příslušenství tak, aby současně vyvolal bezpečnostní výzvu a pokusil se ji automatizovaně potvrdit podvrženým vstupem. Celý proces trvá stovky milisekund. Výzkumníci získali přístup k fotkám, dokumentům i datům aplikací. Kritický je přitom samotný okamžik připojení, nikoli délka nabíjení.

Největší hrozbou je pohodlí

Představte si situaci: sedíte na nádraží, telefon ukazuje pět procent baterie a za chvíli potřebujete naskenovat jízdenku. USB port je přímo v sedačce. Kdo v tu chvíli přemýšlí o datových vodičích? Právě v momentu, kdy je baterie kriticky nízká, uživatel nejspíš odsouhlasí jakýkoli dialog na obrazovce, aniž by ho pečlivě četl. A přesně s tím juice jacking počítá.

Důležité je dodat, že veřejně zdokumentovaný potvrzený případ juice jackingu v Česku jsme v dostupných materiálech nenašli. Ani široce citované varování FBI z dubna 2023 nereagovalo na konkrétní nový incident, ale šlo o preventivní upozornění pobočky FBI Denver, jak uvedl server Axios. To ale neznamená, že je hrozba pouze teoretická. NÚKIB před ní varuje preventivně a akademický výzkum z roku 2025 potvrzuje, že technicky je útok prokazatelně možný i na moderních zařízeních.

Jak se chránit a co dělat, když už jste veřejný port použili

Nejúčinnější ochrana je prostá: vyhněte se cizím USB portům úplně. Konkrétní alternativy:

• Vlastní síťová nabíječka do elektrické zásuvky – žádná data, jen proud.
• Powerbanka – důvěryhodná „hloupá“ powerbanka je doporučovaná obrana i podle amerických úřadů.
• Charge-only kabel – nemá datové vodiče, přenáší pouze elektřinu.
• USB data blocker – malý adaptér, který fyzicky odpojí datové piny.

Pokud přece jen veřejný port použijete, nikdy nepotvrzujte dialogy typu „Důvěřujte tomuto počítači“ nebo „Sdílejte data“. Vždy zvolte možnost „Pouze nabíjet“. Na iPhonu se ujistěte, že máte zapnutou ochranu USB příslušenství vyžadující odemčení zařízení. Na Androidu aktivujte blokaci USB dat při zamčené obrazovce, pokud ji váš výrobce nabízí.

A pokud jste veřejnou nabíječku v minulosti použili a máte pochybnosti? Nepropadejte panice, ale proveďte základní bezpečnostní hygienu: aktualizujte systém, spusťte bezpečnostní kontrolu, z jiného čistého zařízení změňte hesla k důležitým účtům a zapněte dvoufaktorové ověření. Na iPhonu má smysl resetovat důvěryhodná připojení v nastavení.

Powerbanku za pár stovek korun si můžete koupit jednou. Přístup k bankovnímu účtu, fotkám a celé digitální identitě získáte zpět mnohem hůře.

Z routeru se stane odposlechové zařízení

APT28 využívala veřejně známou zranitelnost CVE-2023-50224 v routerech TP-Link. Po průniku do zařízení útočníci změnili nastavení DHCP a DNS, tedy služeb, které rozhodují o tom, kam směřuje internetový provoz všech připojených zařízení. Notebooky, telefony a tablety v domácnosti pak místo legitimních DNS serverů používaly servery pod kontrolou GRU.

Výsledek? Klasický útok typu „člověk uprostřed“. Když se uživatel přihlašoval k e-mailu nebo firemnímu systému, podvržený DNS server ho mohl přesměrovat na falešnou stránku. Útočníci tak mohli získávat hesla, autentizační tokeny, obsah e-mailové komunikace i další webový provoz, který měl zůstat chráněný. Podle FBI šlo o globální kampaň, jejíž oběti se nacházely v USA, Evropě i dalších částech světa.

A nebyl to první případ. Už v únoru 2024 americké a spojenecké agentury varovaly před toutéž skupinou, která kompromitovala routery Ubiquiti EdgeRouter. Tehdy šlo o trojanizovaný OpenSSH, reverzní proxy a SSH tunely. Vzorec je stejný: starý, neudržovaný router na okraji sítě se stane vstupní branou.

Česko bohužel není mimo hru

Kdo by si myslel, že jde o čistě americký problém, mýlí se. NÚKIB potvrdil, že kompromitovaná zařízení zasáhla i Českou republiku. Ještě důrazněji vystoupilo Vojenské zpravodajství, které oznámilo aktivní zásah v kybernetickém prostoru v rámci operace Masquerade a potvrdilo, že napadené routery byly zneužívány proti českým vojenským a vládním cílům.

Důležitý detail: běžný domácí uživatel nemusí být hlavním terčem špionáže. Jeho nezabezpečený router se ale může stát článkem řetězce útoku proti kritické infrastruktuře, energetice nebo státní správě. GRU nejprve kompromituje širokou základnu zařízení a teprve z ní vybírá cíle zpravodajského zájmu. Váš router může sloužit jako prostředník pro útok na někoho úplně jiného a vy se o tom nemusíte dozvědět.

Restart je jen začátek, není to 100% řešení

NSA ve svém průvodci z února 2023 vysvětluje logiku pravidelného restartu: část škodlivého kódu není perzistentní a existuje pouze v operační paměti routeru. Restart ji smaže. Proto doporučuje minimálně jednou týdně vypnout a znovu zapnout router, ale také další zařízení, jako jsou telefony a počítače.

Jenže pokud útočník změnil konfiguraci DNS nebo pokud router stále obsahuje neopravenou zranitelnost, restart problém dlouhodobě neřeší. Po novém spuštění se zařízení znovu připojí ke kompromitovanému nastavení, případně se útočník vrátí přes stejnou bezpečnostní chybu.

Co skutečně pomáhá:

• Aktualizovat firmware – zkontrolovat na webu výrobce, zda pro váš přesný model a hardwarovou revizi existuje záplata.
• Změnit výchozí heslo – administrátorské údaje typu admin/admin jsou první věc, kterou útočník zkouší.
• Vypnout vzdálenou správu – pokud nepotřebujete přistupovat k routeru z internetu, tuto funkci deaktivujte.
• Ověřit DNS nastavení – pokud v konfiguraci routeru vidíte DNS servery, které jste nenastavili, je to varovný signál.
• Zvážit výměnu – pokud je router na konci životnosti (EOL) a výrobce pro něj již nevydává aktualizace, žádná opatření ho dlouhodobě neochrání.

Jak poznat, že je váš router ohrožený

TP-Link zveřejnil seznam dotčených modelů s rozlišením, které už mají záplatu a které ne. Část zasažených zařízení jsou starší modely s ukončenou podporou, aktualizace pro ně neexistuje a nikdy nepřijde. U těchto routerů navíc nefungují automatické aktualizace přes cloud; případnou záplatu je nutné stáhnout a nahrát ručně.

Praktický postup pro každého:

• Otočte router a opište přesný model a hardwarovou revizi ze štítku.
• Najděte stránku podpory výrobce pro tuto konkrétní revizi.
• Ověřte, zda model není na seznamu EOL (konec životnosti / konec podpory).
• Zkontrolujte, zda existuje aktuální firmware, a pokud ano, nainstalujte ho.
• Zpozorněte při zvláštním chování: výpadky připojení, přehřívání, varování prohlížeče o neplatném certifikátu nebo změny v nastavení, které jste neprovedli.

Nejde o jednu značku, jde o vzorec

Bylo by snadné ukázat prstem na TP-Link a říct: „Kupte si jinou značku.“ Jenže APT28 v minulosti kompromitovala i routery Ubiquiti a Cisco. Společný jmenovatel nejsou konkrétní loga na krabici, ale starý firmware, výchozí hesla a zapomenutá zařízení, která roky tiše běží ve skříni na chodbě. Každý takový router je pro státního protivníka potenciálně otevřená cesta.

Jednou týdně restartovat router je rozumné, zabere to přibližně třicet sekund a může odstranit neperzistentní škodlivý kód. Ale bez aktualizovaného firmwaru, silného hesla a vypnuté vzdálené správy je to jen zámek na dveřích, které nemají zárubeň. A pokud váš router už dávno nedostává aktualizace, nejlepší investice do bezpečnosti je nový kus za pár stovek.

Proč zrovna 429 a proč je to rekord

Číslo působí alarmujícím dojmem, ale má logické vysvětlení. Chrome prochází čtyřmi vývojovými kanály: Canary, Dev, Beta a Stable. Bezpečnostní chyby, které odhalí interní testy, automatizované fuzzery nebo externí výzkumníci, se průběžně opravují v nižších kanálech. Jakmile přijde čas na nový stabilní milník, všechny dosud nevydané opravy se sloučí do jednoho vydání. U Chrome 149 jejich počet dosáhl rekordní hodnoty.

Podle serveru SecurityWeek jde o historicky největší jednorázový bezpečnostní balík pro Chrome. Důvodem je pravděpodobně kombinace dvou faktorů. Zaprvé, kódová základna Chrome je obrovská – zahrnuje grafiku, síťový stack, správce hesel, rozšíření i vývojářské nástroje. Zadruhé, Google stále intenzivněji využívá umělou inteligenci při hledání chyb. Už na podzim 2024 firma popsala, jak velké jazykové modely pomáhají generovat a vylepšovat fuzz targety, tedy testovací vstupy cílené na odhalování paměťových chyb. Více testů znamená více nalezených chyb. A více nalezených chyb znamená větší bezpečnostní balík, což je paradoxně dobrá zpráva.

Kritická chyba se týká hesel i grafiky

Chromium rozlišuje čtyři stupně závažnosti: nízkou, střední, vysokou a kritickou. Kritická chyba je taková, která může útočníkovi umožnit spustit na zařízení vlastní kód s právy uživatele, například po návštěvě speciálně upravené webové stránky. Mezi 22 kritickými CVE v Chrome 149 vyčnívají dvě skupiny:

• Komponenta Passwords – CVE-2026-10900 a CVE-2026-10901 jsou chyby typu use-after-free v části prohlížeče napojené na Google Password Manager. Neznamená to automaticky, že unikla uložená hesla, ale chyba v tak citlivé části může vést ke kompromitaci procesu prohlížeče.
• ANGLE (Almost Native Graphics Layer Engine) – překladová vrstva pro WebGL a OpenGL ES nad Vulkanem, Direct3D nebo desktopovým OpenGL. Leží blízko grafického subsystému a paměťové chyby v ní mohou mít závažné důsledky. Ve verzi 149 se mezi kritickými zranitelnostmi objevuje opakovaně.

SecurityWeek u jedné z chyb, CVE-2026-10881, popisuje možnost úniku ze sandboxu prostřednictvím upravené HTML stránky. Právě sandbox escape patří mezi nejzávažnější scénáře, protože útočník se může dostat z izolovaného prostředí prohlížeče do operačního systému.

Důležitý kontext: Google u žádné z 429 opravených chyb v době vydání neuvedl, že by byla aktivně zneužívána v praxi. To samozřejmě neznamená, že to není možné, ale v okamžiku vydání nebyl znám žádný veřejně zneužívaný exploit.

Skutečný problém: patch gap a restart, který lidé odkládají

Pro běžného uživatele není hlavním rizikem samotný počet CVE. Je jím prodleva mezi vydáním opravy a jejím skutečným nasazením. Chrome sice stahuje aktualizace na pozadí, ale změny se projeví až po restartu prohlížeče. A právě tady vzniká takzvaný patch gap – období mezi vydáním záplaty a okamžikem, kdy je uživatel skutečně chráněný.

Staged rollout navíc znamená, že aktualizace nedorazí všem najednou. Google u stabilních verzí uvádí dostupnost „v průběhu následujících dnů“ a podle dokumentace mohou být nové verze zpočátku zpřístupněny jen malému procentu uživatelů. Kdo nechce čekat, může aktualizaci zkontrolovat ručně:

• Klikněte na tři tečky v pravém horním rohu Chrome.
• Vyberte Nápověda → O aplikaci Google Chrome.
• Prohlížeč zkontroluje dostupnost aktualizace a případně ji stáhne.
• Klikněte na Znovu spustit.

Bez tohoto posledního kroku zůstává prohlížeč spuštěný ve starší, zranitelnější verzi. Na Linuxu se aktualizace zpravidla provádí prostřednictvím systémového správce balíčků.

Bezpečná základní verze při vydání byla 149.0.7827.53/54. Během června ale Google vydal další dílčí aktualizace: 149.0.7827.102/103 (8. června) a 149.0.7827.196/197 (23. června). Pokud tedy vidíte vyšší číslo buildu řady 149, používáte novější a bezpečnější verzi. Není potřeba hledat přesně verzi .53 nebo .54.

Android, iOS a co dělají ostatní prohlížeče

Desktopová verze nebyla jediná. Android dostal Chrome 149.0.7827.59 také 2. června prostřednictvím Google Play, zatímco iOS obdržel vlastní build 149.0.7827.137 o osm dní později, 10. června, přes App Store. Časová osa se liší, princip je ale stejný: aktualizovat a restartovat aplikaci.

A co konkurence? Mozilla ve stejný den, 2. června 2026, vydala Firefox 151.0.3 se dvěma závažnými CVE. Microsoft Edge 149, který je postavený na Chromiu a přebírá jeho bezpečnostní opravy, vyšel 4. června. Velké bezpečnostní aktualizace nejsou specialitou Chrome, ale běžnou součástí vývoje moderních prohlížečů. Z pouhého počtu opravených chyb nelze vyvozovat, který z nich je bezpečnější. O bezpečnosti rozhoduje především rychlost odhalení a opravy zranitelností, nikoli jejich absolutní počet.

Rekordních 429 oprav v jednom vydání může na první pohled působit děsivě. Ve skutečnosti ale ukazuje, jak intenzivně Google chyby vyhledává a jak rychle je opravuje. Jediné, co zbývá na straně uživatele, je kliknout na „Znovu spustit“. Zabere to jen několik sekund.

Tři masky, jeden scénář

Nová vlna se od starších phishingových kampaní liší tím, že útočníci kombinují více kanálů najednou a střídají role. KB uvádí tři hlavní scénáře:

• Falešný bankéř nebo policista. Volající má díky spoofingu na displeji číslo banky nebo policie. Tvrdí, že účet oběti je ohrožen, a žádá převod na „bezpečný účet“. Někdy přidá i údajného pracovníka ČNB, který převod „potvrdí“.
• Podvodné SMS a e-maily. Zprávy napodobují správu, Bank iD nebo samotnou banku. Obsahují odkaz na falešnou stránku, kde oběť zadá své údaje.
• Převzatý WhatsApp účet. Podvodník získá přístup k reálnému účtu známého a kontaktuje jeho příbuzné s prosbou o rychlou půjčku. Nebo začíná z neznámého čísla neurčitým „Ahoj mami“ a legendou o novém telefonu.

Společným jmenovatelem je psychologický nátlak. U „příbuzného“ nastupuje ochota pomoci bez odkladu, u „bankéře“ strach o úspory. MONETA ve své tiskové zprávě z jara 2026 uvádí, že mezi oběťmi bývají i velmi kompetentní lidé. Problém není hloupost, ale kombinace stresu a časového tlaku, které výrazně snižují schopnost racionálně uvažovat.

Nejde jen o Komerční banku

Varování KB není ojedinělé. Stejné schéma ve svých materiálech popisují Česká spořitelna, Air Bank, MONETA i Raiffeisenbank. Česká spořitelna ve stejný den, 26. března 2026, zveřejnila zprávu o falešných bankéřích, policistech i zprávách „od dítěte nebo vnoučete“. Air Bank na svém webu varuje před falešnou policií a „bezpečným účtem“ s komunikací přes WhatsApp. Jde o sektorový problém, nikoli o slabinu jedné instituce.

Tvrdá čísla dodala Policie ČR 3. července 2026 v souvislosti s operací Bridge. Od začátku roku 2026 eviduje u příbuzného typu call-centrového schématu nejméně 1 173 poškozených v Česku a škodu přesahující 553 milionů korun. Policie zároveň upozornila, že konečná škoda bude pravděpodobně vyšší. Při zásahu v Istanbulu zadržela 51 osob, zajistila přibližně 200 padělaných služebních průkazů a techniku pro deepfake videa v reálném čase. Tohle dávno není drobná lokální kulišárna, ale organizovaný mezinárodní byznys.

Proč jsou peníze prakticky nedobytné

Systém CERT České národní banky popisuje okamžité platby jako službu, při níž jsou prostředky po úspěšném zpracování transakce připsány příjemci během několika sekund. Žádná obecná ochranná čekací lhůta neexistuje. Jakmile oběť platbu autorizuje, pachatel peníze během krátké chvíle přesune na další účty, často v zahraničí.

Pokud platba ještě nebyla odeslána a má pozdější splatnost, lze ji zrušit. U již provedeného podvodu ale KB upozorňuje, že takové případy nelze řešit jako „vrácení chybné platby“ a klient má kontaktovat Policii ČR. ČNB u omylem převedených peněz popisuje především součinnost banky a žádost o vrácení prostředků od příjemce, nikoli jistotu jejich získání zpět. Reálná šance dostat peníze zpět je proto omezená.

Jak se bránit: ověření trvá minutu, ztráta je definitivní

Nejúčinnější obrana je přerušit řetězec nátlaku. Konkrétně:

• Při hovoru „z banky“ požádejte volajícího o ověření. V aplikaci KB+ nebo KB Klíči se zobrazí jméno banky a komunikační kód, který si můžete porovnat. Česká spořitelna nabízí obdobný princip se čtyřmístným kódem v aplikaci George. Pravý bankéř nikdy nechce PIN, heslo ani SMS kód a nikdy nežádá převod na „bezpečný účet“.
• Při zprávě „od příbuzného“ neodpovídejte ve stejné chatové konverzaci. Zavolejte na původní známé číslo nebo použijte jiný komunikační kanál. Položte kontrolní otázku, na kterou zná odpověď jen dotyčný. Obecné oslovení „Ahoj mami“ místo běžné rodinné přezdívky je varovný signál.
• Při podezřelém e-mailu nebo SMS neklikejte na odkaz. Přihlaste se do bankovnictví přímo přes oficiální aplikaci nebo web.
• Pokud jste peníze už odeslali, volejte okamžitě banku (KB uvádí linku +420 955 551 505, pro blokaci karet +420 955 512 230) a současně podejte oznámení na policii.

Celý mechanismus stojí na jediném předpokladu: že oběť zareaguje dříve, než začne přemýšlet. Ověření volajícího v aplikaci zabere desítky sekund. Zpětný telefonát příbuznému minutu. Ztráta půl milionu může být definitivní.