Co se stihne za 13 minut hovoru

V případu, který Group-IB detailně analyzovala, se celý podvod odehrál během jediného telefonátu. Volající se představil jako pracovník banky a oznámil problém s kartou. Vytvořil pocit akutního ohrožení, typicky legendou o podezřelé transakci nebo nutnosti provést bezpečnostní kontrolu.

Pak přišel první klíčový krok: odkaz na „bezpečnostní“ aplikaci ke stažení. Ne z Google Play, ale z externího zdroje. Oběť ji nainstalovala ručně. Jenže tato první aplikace nebyla samotný malware WindRelay. Šlo o SpyNote, nástroj pro vzdálené ovládání telefonu. Přes něj útočník následně do telefonu nainstaloval druhou aplikaci, samotný WindRelay, aniž oběť musela provést další instalaci.

Během téhož hovoru pachatel přes vzdálený přístup sjednal na jméno oběti půjčku v její mobilní bankovní aplikaci. A pak přišel finální úder: pokyn přiložit platební kartu k telefonu a zadat PIN „kvůli ověření“. V tu chvíli se telefon stal falešnou NFC čtečkou. Karta odpovídala na příkazy, WindRelay je v reálném čase odesílal útočníkovi a ten následně použil relayed komunikaci k platbě na skutečném terminálu. Třináct minut. Půjčka, karetní transakce, hotovo.

Jak relay funguje a proč terminál nic nepozná

Na technické úrovni jde o přeposílání takzvané APDU komunikace, tedy standardizovaných příkazů a odpovědí, kterými si čtečka a čip karty vyměňují data. Na straně oběti telefon s WindRelay funguje jako falešná čtečka: komunikuje s kartou a získaná data v reálném čase přeposílá přes internet útočníkovi. Na jeho straně druhý Android využívá technologii Host Card Emulation a vůči skutečnému terminálu se prezentuje jako karta.

Terminál posílá příkazy, ty putují přes internet ke kartě oběti, karta odpovídá a odpovědi se vracejí zpět. Terminál tedy nedostává statickou kopii karty, ale pokračující komunikaci s reálným čipem. Díky tomu může transakce proběhnout, přestože je mezi kartou a terminálem vložený vzdálený prostředník. Neznamená to však, že by byl takový útok z principu nedetekovatelný; relay komunikace může mít například specifické časové charakteristiky. V popsaném případě ale tento mechanismus útočníkům fungoval.

A vzdálenost? Group-IB u příbuzného ekosystému Ghost Tap dokumentuje scénář, kdy byla karta oběti v Thajsku a použita v Německu. U jednoho POS prodejce výzkumníci za období od listopadu 2024 do srpna 2025 identifikovali nejméně 355 tisíc dolarů v potvrzených podvodných transakcích.

České banky varují, i když WindRelay nejmenují

WindRelay není laboratorní kuriozita z bezpečnostní konference. CSIRT.CZ uvádí, že mezi listopadem 2025 a červencem 2026 bylo zaznamenáno 23 vzorků WindRelay vydávajících se za finanční instituce mimo jiné v Česku a na Slovensku. Group-IB zároveň uvádí, že tyto vzorky cílily také na oběti v Česku, na Slovensku a ve Slovinsku.

České banky přitom před podobným scénářem varují, byť často bez použití názvu WindRelay:

• Česká spořitelna popsala podvod s falešnou aplikací, přiložením karty a zadáním PINu.
• Komerční banka varuje před „falešnou bankovní aplikací“ a tlakem po telefonu.
• MONETA popisuje podobný NFC mechanismus v kampani, kterou označuje jako „červí díru“.

Nejde přitom o první vlnu. Už v roce 2024 ESET veřejně popsal malware NGate, Android malware využívaný v praxi k relay útokům na NFC data, tehdy mimo jiné při útocích na klienty českých bank. NGate využíval open-source nástroj NFCGate. Po zadržení podezřelého v Praze v březnu 2024 tehdejší vlna útoků podle zveřejněných informací utichla.

WindRelay jde dál v kombinaci jednotlivých technik: vlastní NFC relay doplňuje plnohodnotným vzdáleným ovládáním telefonu přes SpyNote RAT. Útočník tak může současně ovládat bankovní aplikaci a instalovat další malware, zatímco NFC část útoku zajišťuje přeposílání komunikace s kartou.

Jak podvod rozpoznat a co dělat, když už se stal

Rozpoznatelné signály existují a jsou poměrně konkrétní. Varovné příznaky, které by měly zastavit každý hovor:

• Volající se představuje jako banka, policie nebo ČNB a vytváří časový tlak.
• Posílá odkaz na aplikaci ke stažení mimo Google Play.
• Žádá přiložení platební karty k telefonu.
• Požaduje zadání PINu „kvůli ověření“ nebo „změně“.

Banka ani jiná legitimní instituce po telefonu nebude požadovat instalaci neznámé aplikace z odkazu ani zadání PINu k platební kartě. Pokud vám někdo takový postup nařizuje, hovor ukončete a banku kontaktujte sami prostřednictvím oficiálního čísla.

Pokud jste aplikaci nainstalovali nebo kartu k telefonu přiložili, prioritou číslo jedna je okamžitě zablokovat kartu a volat bance. Pak zablokovat přístup do mobilního bankovnictví a zkontrolovat účty. Podezřelé aplikace odinstalovat, zapnout Google Play Protect a provést kontrolu. Pokud přetrvávají známky kompromitace, může být nutný tovární reset telefonu. Hesla měňte z jiného, čistého zařízení.

Vrátí banka peníze?

Tohle je otázka, na kterou neexistuje jednoznačná odpověď. Zákon o platebním styku počítá s nápravou neautorizovaných platebních transakcí, zároveň ale upravuje situace, kdy klient může nést ztrátu v důsledku podvodu nebo úmyslného či hrubě nedbalého porušení svých povinností. Právě tady může vzniknout spor: banka bude posuzovat okolnosti konkrétního případu, včetně toho, jak klient s údaji a zabezpečovacími prvky nakládal a zda jeho jednání dosáhlo intenzity hrubé nedbalosti.

Praktický postup je jasný: okamžitá reklamace u banky s detailním popisem časové osy hovoru. Při zamítnutí reklamace lze postup dále řešit, mimo jiné prostřednictvím finančního arbitra, pokud případ spadá do jeho působnosti. ČNB doporučuje nejprve vyřídit stížnost přímo s finanční institucí.

Fyzická přítomnost karty v peněžence už sama o sobě neznamená, že je před podobným útokem zcela chráněná. Základní obranou zůstává jednoduché pravidlo: během telefonátu neinstalovat aplikaci z odkazu a nikdy nepřikládat kartu k telefonu na pokyn cizí osoby. Ani kdyby se představila jako vaše banka.

Co přesně se změnilo a kde

Nový platební panel v iOS 27 funguje jinak než jeho předchůdce. Karty jsou zobrazené tak, že mezi nimi můžete přejíždět prstem, podobně jako při procházení fotek. Apple k tomu přidal takzvaný „card hub“, tedy přehled dostupných platebních možností na jednom místě. U jednotlivých karet se mohou zobrazit i doplňkové údaje:

• aktuální zůstatek (u debetních karet s podporovaným připojeným účtem),
• dostupné odměny a bonusy,
• možnosti odložené platby nebo splátek.

Důležité upřesnění: tento redesign se týká především plateb na webu a v aplikacích. Kdo platí telefonem u terminálu v kamenném obchodě, s novým swipovacím panelem se při samotné platbě nesetká. Apple tam i v iOS 27 dokumentuje jiný postup přepínání karty, který probíhá přes Peněženku před přiložením telefonu k terminálu.

Proč to trvalo tak dlouho

Přímé vysvětlení od Applu neexistuje. Firma změnu neprezentovala jako opravu konkrétního problému, ale jako součást širší modernizace platebního rozhraní. A tento kontext dává smysl: nový platební panel není jen o přepínání karet. Apple zároveň rozšiřuje podporu splátek, odměnových programů a dalších platebních funkcí. Přepracovat jedno tlačítko izolovaně by nemuselo dávat smysl, pokud se současně mění celý platební systém.

Zároveň platí, že starý systém nebyl nefunkční. Platby procházely, autorizace fungovala a karty se daly přepnout, jen to nebylo vždy intuitivní. Rozdíl mezi „nefunguje“ a „funguje, ale zbytečně složitě“ je přesně ten typ problému, který se může vyřešit až při větší změně rozhraní.

Co z toho mají čeští uživatelé

Česko patří mezi podporované země Apple Pay, takže základní podoba nového platebního panelu je dostupná i tady. Přepínání mezi kartami přejetím prstem a přehlednější výběr tak mohou využít i uživatelé v Česku. Rozdíly ale nastanou v detailech. Zobrazení zůstatku závisí na tom, zda vydavatel karty tuto funkci podporuje a zda jsou pro ni dostupná potřebná data. Odměny se zobrazí jen u podporovaných karet a programů. A splátky nebo odložené platby jsou vázané na konkrétní trh, službu a vydavatele.

Pro české e-shopy a vývojáře aplikací platí, že samotné rozhraní platebního panelu nemohou libovolně měnit, protože jde o systémovou komponentu Applu. Mohou ale ovlivnit například to, jaké údaje jsou při platbě potřeba, například fakturační nebo doručovací adresu, případně zda jde o jednorázovou, nebo opakovanou platbu.

Jak si stojí Apple vedle konkurence

Google Wallet u bezkontaktních plateb v obchodě umožňuje procházet karty přejetím prstem už delší dobu. Na webu pak Google Pay API pracuje s platebním panelem, kde uživatel vybírá uloženou platební metodu ze seznamu. Apple se novým řešením v iOS 27 tomuto principu přibližuje především v online a in-app části. U terminálu v obchodě ale Apple dál používá vlastní způsob výběru karty.

Nový platební panel Apple Pay je jednou z těch změn, které na první pohled vypadají nenápadně, ale mohou zpříjemnit každodenní používání. Přepnutí na jinou kartu je nyní přímočařejší a není nutné hledat méně nápadný ovládací prvek. Samotná změna je malá, ale právě podobné detaily často rozhodují o tom, jak přirozeně platební systém působí.

Bankomat, který bral papírové vouchery

Dne 27. června 1967 otevřela pobočka Barclays v Enfieldu v severním Londýně první veřejný bankomat. Dnešní plastovou kartu s čipem byste tam hledali marně. Zákazník vkládal do stroje speciální papírový voucher, zadal čtyřmístný PIN a automat mu vyplatil maximálně 10 liber. Budova je dnes památkově chráněná, organizace Historic England ji v roce 2023 zapsala na seznam právě kvůli této technologické premiéře.

Shepherd-Barronův tým tehdy řešil problém, který zní banálně: jak dát lidem přístup k hotovosti mimo otevírací hodiny banky. Bezpečnostní kryptografie byla v plenkách, a tak hlavní kritérium znělo jednoduše: kód si musí zapamatovat běžný člověk, ne agent tajné služby. Čtyři číslice tenhle test splnily.

Nikdo to za 58 let nezměnil

Odpověď není lenost, ale systémová setrvačnost podložená racionálním kalkulem. Norma ISO 9564-1 sice dovoluje až 12 číslic, ale Visa ve svém technickém průvodci pro terminály vyžaduje podporu 4, 5 a 6 číslic. Delší PINy jsou možné, nejsou však univerzálně garantované. Kdyby vám banka přidělila desetimístný kód, na řadě bankomatů v zahraničí byste ho jednoduše nezadali.

Navíc samotná délka PINu není jediná obranná linie:

• Omezené pokusy: po třech chybných zadáních bývá karta nebo PIN zablokován. Česká spořitelna i zahraniční banky jako HSBC tuto praxi veřejně popisují.
• Šifrování: PIN se šifruje okamžitě po zadání do klávesnice terminálu, ještě než opustí zařízení.
• Fyzická karta: útočník potřebuje nejen PIN, ale i samotnou kartu nebo její přesnou kopii.
• Monitoring: banky sledují podezřelé transakce a bankomaty kontrolují proti skimmingovým zařízením.

Náš výpočet ukazuje rozdíl v číslech: čtyřmístný PIN nabízí 10 000 kombinací, šestimístný milion. Při třech pokusech je šance náhodného uhodnutí 0,03 % u čtyřmístného a 0,0003 % u šestimístného kódu. Stokrát větší prostor pro kombinace zní lákavě, jenže v praxi tři pokusy a následná blokace dělají z obou variant dostatečně tvrdý oříšek pro náhodného zloděje.

Česko zůstává u čtyř číslic

Ve veřejně dostupných materiálech českých bank jsme nenašli oficiální nabídku šestimístného PINu k běžné platební kartě. MONETA Money Bank mluví o čtyřmístném PINu, Banka CREDITAS popisuje změnu jako volbu nového čtyřmístného kódu a Česká spořitelna uvádí, že PIN ke kartě je „nejčastěji čtyřmístný“. Pokud si PIN zapomenete, nemusíte panikařit, řada bank dnes umožňuje jeho zobrazení přímo v mobilní aplikaci nebo internetovém bankovnictví.

Jiná situace panuje v některých zemích. Švýcarská Viseca například standardně pracuje se šestimístným PINem. Její podpora řeší i to, co dělat, když zahraniční bankomat delší kód nepřijme: doporučuje zadat první čtyři číslice, a pokud to nefunguje, zkusit jiný automat nebo přepážku. Britská NatWest zase své klienty upozorňuje, že některé zahraniční bankomaty mohou vyžadovat šestimístný PIN, ale mají jednoduše zadat svůj běžný čtyřmístný.

Co vás ochrání víc než délka PINu

Policie ČR i Česká spořitelna se shodují na praktických zásadách, které mají větší dopad než přidání dvou číslic:

• Při zadávání PINu vždy zakrývejte klávesnici druhou rukou.
• Nepoužívejte bankomat, který vypadá poškozeně, má na sobě zvláštní nástavce nebo polepky.
• Vybírejte hotovost na frekventovaných a osvětlených místech.
• PIN nikdy nezaznamenávejte na kartu, do mobilu ani mezi doklady.
• Při podezření okamžitě kontaktujte banku nebo policii.

Jednorázové rozhodnutí z roku 1967, učiněné u kuchyňského stolu v britské domácnosti, přežilo téměř šest desetiletí ne proto, že by bylo dokonalé, ale proto, že se ukázalo jako dostatečné. Infrastruktura, normy i lidská paměť ho postupně zabetonovaly do podoby, kterou dnes považujeme za samozřejmost. Caroline Shepherd-Barronová si nemohla zapamatovat víc než čtyři číslice a svět se s tím naučil žít.

Jak podvod funguje krok za krokem

Celý útok stojí na dvou fázích a jedné emoci: panice z nechtěné platby.

Fáze 1: E-mail. Zpráva přijde z adresy „noreply@besseling.com“, tedy z domény, která s Amazonem nemá nic společného. Předmět ale nevypadá alarmisticky, ve zveřejněném vzorku zní neutrálně „Informacje ogólne #60516151“ (Obecné informace), takže snadno zapadne mezi běžnou poštu. Teprve v těle e-mailu čtenář narazí na tvrzení o aktivaci Prime a na tlačítko „Zrušit předplatné“.

Fáze 2: Falešný web. Po kliknutí se otevře stránka na doméně „amazon.ns-prime.com“, která vizuálně kopíruje logo a rozvržení Amazonu, ale URL prozrazuje podvrh. Nejprve žádá přihlašovací údaje. Pak zobrazí formulář maskovaný jako „vrácení platby za objednávku“ a požaduje číslo karty, expiraci a CVV. Tyto údaje mohou útočníkům stačit k pokusům o zneužití karty.

Zajímavý detail: upozornění CERT Polska vyšlo 18. srpna 2026, ale falešné shrnutí objednávky uvádí datum 17. září 2026, tedy budoucí datum. I takové nesrovnalosti jsou typickým varovným signálem podvodných zpráv.

Kampaň se vrací opakovaně

Nejde o jednorázový pokus. CERT Polska vydal první varování k phishingu zneužívajícímu Amazon Prime už 23. února 2026. V březnu přibyla širší vlna zahrnující i Disney+ a další streamovací služby, tentokrát se dvěma scénáři: falešná aktivace předplatného a údajný problém s platbou. Aktuální upozornění z 18. srpna 2026 se vrací úzce k Amazonu a přidává propracovanější dvoukrokový tok: přihlášení, pak karta.

Schéma se tedy zdokonaluje a opakuje. Podle nás právě proto, že funguje: známá značka, strach z automatické měsíční platby a nabídka okamžitého řešení vytvářejí impuls kliknout dřív, než člověk zapne kritické myšlení.

Český kontext: přímé varování chybí, riziko ne

Dosud zveřejněné vzorky pocházejí z Polska a jsou v polštině. Český NÚKIB ani Policie ČR k této konkrétní vlně samostatné varování nevydaly. To ale neznamená, že se kampaň českých uživatelů netýká: NÚKIB už v říjnu 2024 upozorňoval na phishing zneužívající identitu Amazonu s potvrzenými případy v Česku a Policie ČR v červenci 2026 publikovala obecný materiál k phishingovým e-mailům, ve kterém varuje i před navazujícími falešnými telefonáty „z banky“.

Technika je snadno přenositelná. Stačí přeložit text e-mailu, změnit měnu a nasadit jinou doménu.

Co dělat, když jste klikli nebo zadali údaje

Pokud jste e-mail jen otevřeli a nic nevyplnili, přímé riziko je výrazně nižší. Zprávu smažte. Horší je situace po vyplnění formuláře, v tom případě jednejte okamžitě:

• Zavolejte bance nebo vydavateli karty. Požádejte o blokaci karty a kontrolu posledních transakcí.
• Změňte heslo k účtu na Amazonu. Pokud jste na falešném webu zadali přihlašovací údaje, útočníci je mohou mít.
• Odstraňte kompromitovanou kartu z účtu na Amazonu.
• Podezřelý e-mail přepošlete Amazonu na adresu stop-spoofing@amazon.com.
• Počítejte s navazujícím podvodem. Policie ČR upozorňuje, že po úniku dat může následovat falešný telefonát od někoho, kdo se vydává za banku.

Jediný bezpečný reflex

Amazon po vás nebude požadovat číslo karty, datum expirace ani CVV prostřednictvím nečekaného e-mailu s odkazem na zrušení předplatného. Stav předplatného Prime si ověříte tak, že do prohlížeče ručně zadáte adresu Amazonu a v účtu přejdete do sekce správy předplatného. Žádný odkaz z e-mailu, žádné tlačítko „Zrušit“. Panika je přesně to, s čím útočníci počítají, a jediná účinná obrana je nepodlehnout jí.

Jak přesně podvod funguje krok za krokem

Celý útok stojí na kombinaci psychické manipulace a jednoduché technologie. Policie ČR popsala mechanismus na případech z Děčínska, kde evidovala nejméně devět obětí a škodu přes 2,3 milionu korun. Průběh je téměř vždy stejný:

1. Telefonát od „bankéře“ nebo „policisty“. Volající vyvolá strach: účet je prý napaden, peníze musíte okamžitě zabezpečit. Tlačí na rychlost a zakazuje volat komukoliv jinému.
2. Odkaz na falešnou aplikaci. Oběť dostane SMS nebo zprávu s odkazem na stažení „ochranné“ aplikace. Nejde o nic z oficiálního Google Play; podle analýzy bezpečnostní firmy ESET se malware NGate šířil přes podvodné domény napodobující stránky bank.
3. Přiložení karty k telefonu. Aplikace využije NFC a načte data z čipu platební karty. Často oběť zároveň zadá PIN nebo potvrdí operaci ve svém bankovnictví.
4. Okamžitý výběr. Načtená data putují v reálném čase na druhé zařízení. Policie mluví o „telemostu“: pachatel u bankomatu provede bezkontaktní výběr, jako by měl originální kartu fyzicky v ruce.

Celý proces od prvního zazvonění telefonu po vyprázdnění účtu trvá minuty, maximálně hodiny. Air Bank na svých stránkách popisuje, že útočník vyžaduje hotovost „mezitím“, tedy ještě během hovoru s obětí. MONETA mluví o výběrech provedených „obratem“.

Milionové škody a vlna, která nekončí

Veřejně dostupná čísla ukazují jen špičku ledovce. MONETA v tiskové zprávě z listopadu 2025 uvedla 44 poškozených klientů a souhrnnou škodu 7,5 milionu korun, tedy průměrně asi 170 tisíc korun na oběť. Na Děčínsku policie v lednu 2026 evidovala devět případů s celkovou škodou přes 2,3 milionu korun. A v březnu 2026 jihočeská policie oznámila jediný případ, kdy oběť přišla o 2 690 821 korun.

Celostátní součet výhradně pro tento typ podvodu nikdo veřejně nezveřejnil. Kontext je ale výmluvný: Policie ČR v červnu 2026 oznámila, že počet kyberpodvodů v prvním čtvrtletí roku vzrostl o více než 37 %. Průměrná škoda u falešných policistů a bankéřů dosahuje stovek tisíc korun. Osmdesát procent obětí tvoří ženy, průměrný věk je 45 let, nejde tedy výhradně o seniory, jak by se mohlo zdát.

Proč i rozumný člověk naletí

Nejnebezpečnější na celém podvodu je, že oběť má po celou dobu pocit, že účet zachraňuje. Česká národní banka ve svém průvodci online podvody popisuje, jak pachatelé pracují se strachem, autoritou a časovým tlakem. Věty jako „musíte jednat hned“ nebo „nikomu nevolejte, jinak přijdete o peníze“ vyřadí kritické myšlení i u lidí, kteří by za normálních okolností žádnou neznámou aplikaci neinstalovali.

Oběť sama přikládá kartu, sama zadává PIN, sama potvrzuje operaci v bankovnictví. A právě to má zásadní právní důsledky. Zákon o platebním styku sice říká, že u neautorizovaných transakcí musí banka účet obnovit nejpozději do konce následujícího pracovního dne. Zároveň ale obsahuje výjimku: pokud klient jednal z hrubé nedbalosti nebo porušil povinnosti při zacházení s platební metodou, může nést ztrátu v plném rozsahu. ČNB na toto riziko upozorňuje. Vrácení peněz tedy není automatické a banky se o to s klienty v praxi často přou.

Běžného bezkontaktního placení se nemusíte bát

Důležité je oddělit dvě věci. Samotné bezkontaktní placení kartou v obchodě nebo přes mobilní peněženku není to, co tento podvod umožňuje. Policie zdůrazňuje, že nechce naznačovat, že bezkontaktní platby jsou samy o sobě nebezpečné. Riziko vzniká teprve kombinací podvodného hovoru, instalace škodlivé aplikace mimo oficiální obchod, přiložení karty k této aplikaci a často i vyzrazení PINu.

Tokenizované peněženky jako Apple Pay nebo Google Pay jsou pro tento konkrétní scénář bezpečnější než fyzická karta. Apple Pay používá takzvaný Device Account Number uložený v zabezpečeném čipu telefonu a dynamické bezpečnostní kódy; skutečné číslo karty se nikam nepřenáší. Google Pay funguje na podobném principu. Podvodník by tedy přiložením telefonu s Apple Pay nebo Google Pay k falešné aplikaci nezískal data, pomocí kterých by mohl vybírat z bankomatu.

Co dělat, když máte podezření, a jak se bránit preventivně

Pokud jste kartu k telefonu na cizí pokyn přiložili nebo máte sebemenší podezření, že jste s podvodníkem mluvili, jednejte okamžitě:

• Zablokujte kartu v mobilním bankovnictví, zvládnete to během několika sekund.
• Zavolejte bance na oficiální číslo z webu nebo z karty, ne na číslo, které vám nadiktoval volající.
• Zkontrolujte pohyby na účtu včetně čekajících transakcí. Komerční banka upozorňuje, že podvodné transakce se mohou zobrazit jako „čekající“.
• Podejte oznámení na policii.

Preventivně platí pravidlo, které zásady shrnuje do tří písmen: 3Z, tedy zastav, zavěs, zkontroluj. Žádná banka ani policie po vás nikdy nebude chtít, abyste instalovali aplikaci z odkazu, přikládali kartu k telefonu nebo sdělovali PIN. Pokud to volající žádá, je to podvodník. Vždy.

Vypnutí NFC na telefonu může být doplňkové opatření pro ty, kdo ho běžně nepoužívají. Samo o sobě ale problém neřeší, protože hlavním rizikem není technologie, nýbrž člověk na druhém konci linky, který vás přesvědčí, že děláte správnou věc.

Drobné částky se snáz ve výpisu ztratí

Podvodníci nechtějí vyčerpat účet naráz. Malá testovací platba v řádu jednotek až desítek korun plní dvojí účel. Zaprvé potvrdí, že zkopírovaná data jsou funkční. Zadruhé méně často spouští antifraudové systémy bank. Mastercard upozorňuje, že právě takové mikrotransakce lidé na výpisu často přehlížejí a bezpečnostní systémy je mohou vyhodnotit jako méně rizikové.

Teprve když testovací platba projde, přichází druhá fáze. Buď se z odcizených údajů vytvoří klon karty pro výběry z bankomatů, což je typičtější mimo Evropu, kde se stále používá magnetický proužek, nebo jsou údaje zneužity k online nákupům. Policie ČR historicky popisuje neoprávněné výběry především v zemích, kde není čipová autorizace povinná. Čas na odhalení přitom může být dlouhý: bez zapnutých notifikací si někteří lidé drobných transakcí všimnou až při kontrole měsíčního výpisu.

Tři situace, tři úrovně rizika

Ne každá platba kartou představuje stejné riziko. Rozdíly jsou zásadní.

• Karta mimo dohled (restaurace, bar). Nejvyšší riziko. Obsluha má fyzický přístup ke kartě i dostatek času na její přejetí skimmerem. Policie doporučuje trvat na tom, aby platba proběhla před vašima očima.
• Bankomat s nasazeným skimmerem. Jiný typ útoku: pachatel potřebuje kromě údajů z karty získat i PIN, který zachytí miniaturní kamera nebo falešná klávesnice. Neoprávněné výběry pak mohou následovat během několika minut. V Česku ale tento typ útoků výrazně ustoupil: výroční zpráva NCOZ za rok 2022 eviduje jediný případ bankomatového skimmingu.
• Bezkontaktní platba telefonem. Nejbezpečnější z běžně používaných variant. Apple Pay i Google Pay používají pro každou transakci jednorázový bezpečnostní token a obchodník nikdy nevidí skutečné číslo platební karty. Podle společnosti Apple se terminálu odesílá pouze číslo účtu specifické pro dané zařízení. Kopírovat tak prakticky není co.

Podle nás je právě tohle nejdůležitější praktické ponaučení: největší slabinou dnes není samotná platba kartou, ale okamžik, kdy plastovou kartu pustíte z ruky. Telefon z ruky dávat nemusíte.

Co dělat, když na výpisu najdete podezřelou transakci

Rychlost rozhoduje. Zákon o platebním styku (č. 370/2017 Sb.) říká, že banka musí neautorizovanou transakci napravit nejpozději do konce následujícího pracovního dne poté, co se o ní dozví. Vy ale musíte jednat bez zbytečného odkladu. Krajní lhůta pro oznámení je 13 měsíců od odepsání částky, čím dříve ale banku kontaktujete, tím menší škoda může vzniknout.

Praktický postup:

• Okamžitě kontaktujte banku a nahlaste neautorizovanou transakci.
• Nechte kartu zablokovat.
• Podejte oznámení na Policii ČR.
• Zkontrolujte, zda máte zapnuté notifikace o každé transakci. Pokud ne, nastavte si je co nejdříve.

U České spořitelny to lze nastavit v aplikaci George v sekci Profil → Informační zprávy → Karty. Komerční banka nabízí nastavení v internetovém i mobilním bankovnictví s možností push notifikací, e-mailu nebo SMS. Podobnou funkci dnes nabízí prakticky každá česká banka.

Nejlepší obrana je nenechat kartu zmizet z očí

Žádný speciální gadget nepotřebujete. Když v restauraci platíte, trvejte na tom, aby vám obsluha přinesla terminál ke stolu. Pokud to není možné, jděte s kartou k pokladně sami. A pokud máte v telefonu nastavenou mobilní peněženku, použijte ji: obchodník nedostane žádné číslo karty, které by mohl zneužít, a vy fyzickou kartu vůbec nemusíte vytahovat z peněženky.

Dvacet korun na výpisu vypadá jako zanedbatelná částka. Jenže pro podvodníka je to potvrzení, že vaše karta je stále aktivní a může ji zkusit zneužít ve větším rozsahu.

Kompletní žebříček deseti nejčastějších PINů

Tady je seznam, který by měl každého přimět podívat se na vlastní kartu a telefon:

Samotná jednička 1234 pokrývá devět procent. To je téměř každý jedenáctý kód v celém datasetu. Sečtením prvních tří (1234, 1111, 0000) dostaneme 11,7 %. Prvních pět PINů dohromady znamená 12,7 %. Jinými slovy: útočník, který zkusí pět nejběžnějších kombinací, má zhruba šanci jedna ku osmi, že trefí správný kód. A to z teoretických deseti tisíc možností.

Důležitá poznámka k původu dat: nejde o uniklé PINy přímo od bank. ABC News čerpala přes API služby Have I Been Pwned, která eviduje hesla a kódy z nejrůznějších úniků. Sama ABC upozorňuje, že dataset pravděpodobně obsahuje duplicity. Lidské návyky při volbě čtyřciferného kódu jsou ale univerzální – ať už jde o zámek telefonu, PIN k aplikaci nebo kód ke kartě. Vzorce se opakují.

Proč právě tyto kombinace a co je na nich tak předvídatelného

V první desítce se prolínají čtyři základní vzorce, které lidský mozek považuje za „snadno zapamatovatelné“:

• Jednoduché řady: 1234 je učebnicový příklad, ale v širším top 50 najdete i 4321 nebo 2468.
• Opakování a dvojice: 1111, 0000, 2222, 4444, ale i 1212 nebo 1122. Mozek si je pamatuje snadno, útočník je tipuje ještě snáze.
• Roky a data: 1986 na devátém místě není náhoda. V top 50 se opakují letopočty 1973 až 2005. Kdo použije svůj rok narození, dává útočníkovi vodítko, které si často lze ověřit na sociálních sítích.
• Pseudochytré variace: 1342 na čtvrtém místě překvapí. ABC to vysvětluje jednoduše: lidé se snaží být “chytří” a čísla z 1234 jen lehce promíchají. Výsledek je ale natolik častý, že tím bezpečnost nezlepšují.

Zvláštní kategorii tvoří obrazce na numerické klávesnici. Kombinace 2580, tedy svislý středový sloupec, se v širším žebříčku drží vysoko. Vypadá náhodně, ale při pohledu na klávesnici bankomatu je vzorec zřejmý.

Problém tedy není čtyřmístný formát sám o sobě. Deset tisíc kombinací by při náhodném výběru útočníkovi dávalo mizivou šanci: tři pokusy z deseti tisíc znamenají 0,03 %. Jenže lidé nevolí náhodně. A právě tato předvídatelnost mění čtyřmístný PIN z rozumného zabezpečení v otevřené dveře.

Český kontext: slabý PIN není jen teorie

Kdo si říká, že jde o abstraktní statistiku z druhého konce světa, měl by vědět, co se dělo v Česku. V srpnu 2024 popsal ESET malware NGate, který cílil na klienty tří českých bank. Útočníci přes podvodné stránky a sociální inženýrství získali od obětí bankovní přihlašovací údaje, datum narození i PIN ke kartě. Následně přes NFC relé na infikovaném telefonu prováděli neoprávněné výběry z bankomatů. Znalost PINu byla klíčovým článkem celého řetězce.

Podobně NÚKIB opakovaně varuje před vishingem, kdy se volající vydává za bankéře a požaduje číslo karty, PIN i přihlašovací údaje. Pravidlo je jednoduché: banka po telefonu nikdy nechce PIN ani CVV/CVC kód. Kdo ho prozradí, dává útočníkovi přesně to, co potřebuje – a slabý, snadno uhodnutelný PIN celou situaci ještě zhoršuje.

České banky přitom reagují na opakované chybné pokusy různě. Air Bank po pěti špatných zadáních zablokuje použití karty s PINem do konce týdne, bezkontaktní platby do 500 Kč ale zůstávají aktivní. Komerční banka kartu po sérii chybných pokusů zablokuje automaticky. Pět pokusů zní jako málo, jenže jak ukazují data ABC, právě pět nejčastějších PINů dává útočníkovi šanci jedna ku osmi.

Jak si zvolit co nejlepší PIN

Normální PIN se nejlépe definuje tím, čím není. Není v žebříčku nejčastějších. Není to rok narození, výročí ani žádné datum ve formátu DDMM nebo MMDD. Není to opakování jedné číslice. Není to řada typu 1234 nebo 4321. Není to obrazec na klávesnici. A není to ani „chytrá“ obměna některého z těchto vzorců, například 1342.

Praktická pravidla pro volbu:

• Vyberte čtyři číslice, které spolu nemají zjevný vztah a nejsou spojitelné s vaším datem narození, adresou ani telefonním číslem.
• Nepoužívejte stejný PIN pro kartu, telefon a bankovní aplikaci. Pokud útočník získá jeden, nesmí mu otevřít přístup ke všemu.
• Změna PINu ke kartě je záležitost minut. U Air Bank nebo MONETA stačí zajít k libovolnému bankomatu. V aplikaci MONETA Smart Banka si PIN zobrazíte přímo; při zapomenutí stačí zařízení odregistrovat a znovu aktivovat.
• Pokud máte podezření na zneužití, kartu zablokujte okamžitě v mobilní aplikaci nebo internetovém bankovnictví. Všechny velké české banky to umožňují.

Jak se změnila lidská předvídatelnost za 13 let

Zajímavé je srovnání s analýzou Nicka Berryho z roku 2012, která pracovala s 3,4 milionu PINů. Tehdy 1234 tvořil 10,7 %, dnes je to 9 %. Kód 1111 klesl z 6 % na 1,6 %. Zdánlivě pokrok.

Jenže koncentrace se spíše rozptýlila do širšího spektra slabých PINů: v Berryho datech pokrývalo top 20 kódů 26,8 % všech záznamů, v aktuální analýze ABC je to přibližně 16,5 %. Lidé se tedy částečně odklonili od nejzjevnějších voleb, ale přesunuli se k letopočtům, dvojicím a pseudochytrým variacím, které jsou pro útočníka stále snadno čitelné.

Čtyřciferný PIN zůstává rozumným zabezpečením. Ale jen tehdy, když ho zvolíte tak, aby nebyl v hlavě nikoho dalšího.

Jak „neviditelný virus“ vlastně funguje

Označení virus je trochu zavádějící. Digitální skimming neznamená, že se vám do notebooku nebo mobilu dostal malware. Škodlivý JavaScript je vložený přímo do zdrojového kódu platebních stránek e-shopu nebo do některé z externích komponent, které obchod používá: chatbotu, analytického skriptu či pluginu nákupního košíku. Když zákazník vyplní platební formulář, hodnoty z polí se zkopírují a odešlou na server útočníka. Objednávka přitom projde, zboží dorazí a nic nenasvědčuje tomu, že se cokoli stalo.

Mastercard popisuje mechanismus přímočaře: útočníci „vkládají své instrukce do zdrojového kódu stránek“ a data odcházejí při dokončování nákupu. Zákazník nemá šanci něco poznat. E-shop? Ten často také ne, škodlivý kód bývá obfuskovaný, maskovaný za legitimní analytický objekt nebo schovaný v knihovně třetí strany. Podle analýzy RiskRecon instalují provozovatelé webů bezpečnostní záplaty v průměru až po devíti měsících. Některé obchody si infekce nevšimly celé roky.

Nejde o okrajový problém

Čísla mluví jasně. Mastercard ve své analýze za rok 2022 uvádí, že 72 % veřejně oznámených úniků platebních dat souviselo právě s digitálním skimmingem. Počet nových infekcí tehdy vyskočil o 12 %. A trend neklesá; zpráva Recorded Future za rok 2025 dokumentuje přes 10 500 aktivních infekcí, a to i přesto, že v březnu 2025 vstoupily v platnost nové požadavky bezpečnostního standardu PCI DSS 4.0.1, cílené právě na ochranu platebních stránek. Samo odvětví tím přiznalo závažnost problému. Jenže efekt zatím vidět není.

Kdo si myslí, že se to týká jen malých neznámých obchůdků, mýlí se. Mezi veřejně známé oběti patří Ticketmaster UK, kde kompromitovaný chatbot na platební stránce zasáhl 9,4 milionu zákazníků, i British Airways s desítkami tisíc postižených. Útok přes jednu třetí stranu může roznést škodlivý kód na několik webů najednou. Pověst obchodu přestala být zárukou.

Kdy se dozvíte, že vám ukradli údaje z karty

Tady je možná nejnepříjemnější zjištění: mezi krádeží dat a prvním podvodným stržením z účtu uplyne podle Mastercardu v průměru pět měsíců. Ukradené údaje totiž projdou vlastním „životním cyklem“: útočník nejprve ověří, jestli karta funguje, pak ji nabídne na nelegálním tržišti, někdo jiný ji koupí a teprve potom začne utrácet. Karty použité u infikovaného obchodníka jsou o 31 % náchylnější k následnému zneužití.

První varovné signály na výpisu bývají nenápadné. Drobná testovací platba, třeba 20 korun u neznámého obchodníka. Transakce v zemi, kde jste nikdy nenakupovali. Teprve pak přijdou větší částky. Kdo nekontroluje výpisy pravidelně, může přijít o peníze, aniž by si měsíce čehokoli všiml.

Co dělat, když k tomu dojde, a jak se chránit předem

Pokud na výpisu najdete podezřelou transakci, postup je jednoznačný:

• Okamžitě kartu zablokujte – v mobilní aplikaci banky to zvládnete za vteřiny.
• Zavolejte bance a nahlaste neautorizovanou transakci.
• Podejte reklamaci – Česká spořitelna ji přijímá přes George, telefonicky i na pobočce; Komerční banka nabízí obdobný postup včetně chargebacku.

Český zákon o platebním styku stanoví, že banka musí napravit stav nejpozději do konce následujícího pracovního dne po oznámení. Spoluúčast klienta je omezena na ekvivalent 50 eur; pozor ale na to, že pokud zákazník sám potvrdí podvodně vyvolanou transakci prostřednictvím silného ověření, může nést ztrátu v plném rozsahu, jak upozorňuje ČNB. Kdo neuspěje u banky, může se obrátit na finančního arbitra.

Prevence? Žádný stoprocentní štít neexistuje, ale pár kroků riziko výrazně snižuje:

• Zapněte si oznámení o každé transakci, uvidíte i testovací platbu za 20 korun.
• Pro online nákupy používejte vyhrazenou kartu s nižším limitem.
• Mezi nákupy kartu v aplikaci zamykejte.
• Pravidelně kontrolujte výpisy, i ty starší.

Proč je digitální skimming zákeřnější než phishing

Phishing potřebuje vaši spolupráci – musíte kliknout na odkaz, vyplnit formulář, uvěřit falešné zprávě. Digitální skimming nic takového nepotřebuje. Stačí zaplatit kartou na napadeném e-shopu. Nemusíte udělat jedinou chybu ani být neopatrní. Útok běží na straně obchodu, v prohlížeči, v kódu, který nemáte šanci vidět.

Právě proto je podle nás digitální skimming v tuto chvíli nejpodceňovanější hrozbou online nakupování. Ne proto, že by způsobil největší škody – phishing zůstává širší kategorií. Ale proto, že boří jednu základní iluzi: že když nakoupíte u známého a ověřeného obchodu, jste v bezpečí. Nejste. Bezpečnost online platby dnes nestojí jen na důvěře v obchod, ale na celém neviditelném řetězci jeho skriptů, pluginů a dodavatelů. Ten řetězec kontroluje málokdo.

Jak se k vašim údajům dostanou

Fyzická ztráta karty je dnes paradoxně ten nejmenší problém. Hlavní kanály jsou čistě digitální: phishingové e-maily napodobující banku, malware kradoucí přihlašovací údaje v počítači nebo mobilu, databázové úniky e-shopů a digitální skimming, tedy škodlivý kód přímo v platebních formulářích obchodu. Kaspersky v dubnu 2026 zveřejnil, že 74 % karet kompromitovaných tímto malwarem a identifikovaných v roce 2025 bylo ještě v březnu 2026 stále platné. Data tedy neztrácejí hodnotu rychle.

Jakmile útočník získá data, nekupuje hned televizi. Nejprve kartu „otestuje“, pošle drobnou platbu přes jednoho z takzvaných testovacích obchodníků. Recorded Future za rok 2025 napočítal přes 1 350 takových testovacích účtů a nejméně 27 milionů karet, které jimi prošly. Teprve ověřená karta jde do oběhu: nákupy, nahrání do digitálních peněženek, přeprodej na dark webu. Cena jedné evropské karty se podle výzkumu NordStellar pohybuje kolem 200 korun za kus.

Čísla, která mluví jasně

Evropská centrální banka a Evropský orgán pro bankovnictví v prosinci 2025 společně oznámily, že celková hodnota platebních podvodů v Evropském hospodářském prostoru vzrostla z 3,5 miliardy eur v roce 2023 na 4,2 miliardy eur v roce 2024. Nárůst o přibližně pětinu za jediný rok.

Česká data kopírují trend. ČNB za celý rok 2024 eviduje 232 tisíc podvodných karetních plateb, za první pololetí 2025 už 106 tisíc; objem dosáhl 196,9 milionu korun. V kontextu všech karetních transakcí (928,9 miliardy korun za totéž období) jde o podíl kolem 0,02 %. Zní to nepatrně, jenže pro každého z těch 106 tisíc případů je to zcela konkrétní problém. ČNB na své infolince eviduje 5 až 10 stížností na podvody v platebním styku denně a počet podání setrvale roste.

Důležitý detail: 95 % všech karetních transakcí v Česku se provádí debetními kartami. Česká debetka je tedy hlavní plocha zásahu.

Proč bankám nestačí současné ochrany

Silné ověření zákazníka, takzvaná SCA (Strong Customer Authentication), tedy potvrzení platby přes SMS kód nebo push notifikaci v aplikaci, prokazatelně funguje. ECB to potvrzuje. Jenže funguje jen tam, kde ho obchodník vyžaduje. A právě tady je mezera.

Podvodníci se přesunuli ke třem modelům, na které SCA nestačí:

• Obchodníci bez 3D Secure – pokud e-shop ověření nepodporuje, transakce projde bez dalšího kroku klienta. Air Bank to na svém webu vysvětluje zcela otevřeně: zda banka vyžádá potvrzení, závisí na obchodníkovi.
• Přeshraniční platby mimo EHP – ECB uvádí, že míra podvodů u karetních plateb směřujících mimo Evropský hospodářský prostor je 17× vyšší než u domácích transakcí. Pravidla SCA tam jednoduše neplatí.
• Manipulace klienta – kdy oběť sama v rámci sociálního inženýrství potvrdí platbu pod psychologickým tlakem nebo na základě podvržené instrukce. Technicky jde o „autorizovanou“ transakci, což bankám dramaticky komplikuje detekci.

K tomu přibývá zachycení jednorázového kódu a podvody s digitálními peněženkami, když útočník nahraje ukradenou kartu do peněženky v telefonu a platí jako legitimní uživatel. Banka v tu chvíli vidí standardní mobilní platbu. Nic podezřelého.

Jak se bránit a co dělat, když už se to stane

Nejúčinnější obrana je vrstvená a nevyžaduje zvláštní technické znalosti:

• Vypněte internetové platby, když je nepotřebujete – v mobilním bankovnictví většiny českých bank je to otázka jednoho přepínače v detailu karty.
• Držte nízký online limit – i kdyby data unikla, útočník narazí na strop.
• Nakupujte u obchodníků s 3D Secure – poznáte podle loga Visa Secure nebo Mastercard Identity Check.
• Neukládejte si kartu v prohlížeči ani v účtech e-shopů, kde nenakupujete pravidelně.
• Sledujte notifikace v reálném čase – malá neznámá transakce je často první signál testování.

Pokud na výpisu najdete platbu, kterou jste neprovedli, jednejte okamžitě: zavolejte bance, zablokujte kartu, nahlaste případ policii. Český zákon o platebním styku stojí na straně klienta; banka musí prokázat, že transakce byla řádně ověřena a zaznamenána, jinak se považuje za neautorizovanou a banka má povinnost uvést účet do původního stavu nejpozději do konce následujícího pracovního dne. Klient nese případnou ztrátu maximálně do výše 50 eur, a to jen pokud šlo o zneužití ztraceného či odcizeného prostředku. Oznámit transakci je třeba bez zbytečného odkladu, nejpozději do 13 měsíců.

Průmysl, ne epizoda

Carding dnes není dílo osamělých hackerů. Europol ho řadí mezi aktivity stálých kriminálních sítí fungujících na principu „zločin jako služba“. Na dark webu a v kanálech na Telegramu se prodávají hotové skimmerové sady, testovací služby i balíčky ukradených karet; Recorded Future za rok 2025 napočítal přes 142 milionů nabízených karetních záznamů, z nichž 82 % obsahovalo i kontaktní údaje obětí. Vstupní bariéra klesá. Škálovatelnost roste.

Skutečný problém tedy není jedna díra v systému jedné banky. Je to rychlost, s jakou útočníci obcházejí nejsilnější ochranu všude tam, kde obchodník, uživatel nebo přeshraniční pravidla nechávají otevřené slabé místo. Karta v peněžence vám dnes nestačí, musíte chránit i její data.

Dvě miliardy ročně, ale ne tak, jak si myslíte

Čísla České bankovní asociace za rok 2025 vypadají dramaticky: přibližně 91 tisíc útoků na klienty bank, reálná škoda 2,13 miliardy Kč. V prvním čtvrtletí 2026 už to bylo dalších téměř 24 tisíc útoků a škoda přes 798 milionů Kč. Jenže pozor, tyhle agregáty zahrnují podvodné hovory, falešné investiční platformy, phishingové e-maily i zmanipulované aplikace. Samostatnou kategorii „někdo mi v davu pípnul kartou“ veřejná data vůbec nevedou.

To neznamená, že riziko ztraceného plastu neexistuje. ČBA ho popisuje jako „podvod ztracenou nebo odcizenou kartou“ a řadí mezi reálné typy zneužití. Přesné české číslo ale nikdo nezveřejňuje. Co víme jistě: bezpečnostní model telefonu je kvalitativně silnější. Kolik přesně procent podvodů by odpadlo, kdyby všichni přešli na mobilní peněženku, poctivě říct nelze.

Proč je telefon tvrdší oříšek

Rozdíl stojí na třech pilířích:

• Tokenizace. Když přidáte kartu do Apple Pay nebo Google Wallet, skutečné číslo karty se do telefonu nikdy neuloží. Místo něj vznikne token, náhradní číslo svázané výhradně s vaším zařízením. Obchodník ho nemůže zneužít jinde, protože mimo vaše zařízení je bezcenné. Technický standard spravuje EMVCo a používají ho obě velké peněženky stejně.
• Ověření na zařízení. Apple Pay vyžaduje autorizaci otiskem, obličejem nebo kódem u každé platby, i pod 500 Kč. Google Wallet funguje podobně, i když FAQ České spořitelny připouští, že po odemčení telefonu mohou projít až tři malé transakce, než systém vyžádá nové ověření. Pořád je to nesrovnatelně víc než u samotné plastové karty, kde stačí přiložit.
• Vzdálené vypnutí. Ztratíte telefon? Digitální kartu můžete deaktivovat na dálku, aniž byste rušili fyzickou kartu a čekali na novou. U plastu taková možnost neexistuje, buď ho zablokujete celý, nebo nic.

Drobná výhrada: chytré hodinky nejsou úplně totéž. Garmin Pay třeba vyžaduje PIN jen jednou po nasazení nebo po 24 hodinách. Telefon s biometrií je proto bezpečnější volba než hodinky na zápěstí.

Co udělat ještě dnes

Nejde o to kartu vystřihnout nůžkami. Plast má smysl jako záloha, když telefonu dojde baterie nebo když potřebujete výběr z bankomatu v zahraničí. Klíčová změna je v návyku: denní placení přesunout do telefonu a na plastové kartě stáhnout limity na minimum.

Prakticky to zvládnete za pět minut:

• Snižte limity na plastu. V aplikaci Komerční banky i v Georgi České spořitelny se změna projeví okamžitě. Internetový limit nastavte na nulu, když zrovna nenakupujete online. Limit pro platby u obchodníků držte na realistickém jednodenním provozu – tisícovka, dvě, ne „pro jistotu“ dvacet tisíc.
• Přidejte kartu do Apple Pay nebo Google Wallet. Proces trvá minutu, banka ověří kartu SMS kódem nebo v aplikaci.
• Pro e-shopy zvažte virtuální kartu. Air Bank ji nabízí přímo jako nástroj pro nákupy v méně známých obchodech, oddělíte internetové riziko od hlavního účtu.

Když se přesto něco stane

Zákon o platebním styku je na straně klienta. U neautorizované transakce musí banka provést nápravu nejpozději do konce následujícího pracovního dne po oznámení, ledaže má důvodné podezření na podvod ze strany držitele. Klient může nést spoluúčast do 50 eur (zhruba 1 250 Kč), při hrubé nedbalosti i víc.

Pořadí kroků je jednoduché: okamžitě kartu zamknout v aplikaci, zavolat na nonstop linku banky, podat reklamaci sporné transakce. Pokud šlo o krádež, doplňte oznámení na policii. Většinu reklamací banky řeší obratem, ale když je v případu zapojená karetní asociace nebo zahraniční banka, může vyřízení přesáhnout 30 dní.

Plastová karta v zadní kapse je relikt z doby, kdy jiná možnost nebyla. Dnes je. Stačí ji přesunout do šuplíku a nechat telefon, ať hlídá každou platbu za vás.