Jak podvodná zpráva vypadá a proč funguje

Mluvčí VZP Viktorie Plívová, citovaná serverem Podnikatel.cz, zveřejnila typický text zprávy: „Pro potvrzení platnosti vašich osobních dat a bezproblémové propojení s moderními digitálními platformami v lékařských institucích využijte určený šifrovaný odkaz k úpravě svých údajů.“ Naléhavost ještě zvyšuje věta, že „jen včasná revize přispěje k bezproblémovému poskytování zdravotní péče“.

Odkaz vede na web, který pro běžného uživatele vypadá téměř k nerozeznání od originálu. Logo, barvy i rozložení stránek napodobují vzp.cz. Rozhodující stopou bývá URL adresa, která se od oficiální domény liší. VZP už u dubnové kampaně v roce 2026 popsala, že podvodníci zneužívají vzhled autentických formulářů pojišťovny a výsledek je vizuálně povedený.

Síla podvodu spočívá v tom, že nestaví na absurdní legendě. VZP skutečně umožňuje v aplikaci Moje VZP zobrazit digitální EHIC, požádat o nový průkaz při ztrátě a spravovat osobní údaje online. Podvodníci tuto realitu pouze překroutili.

Co se stane po vyplnění údajů

Scénář je dvoustupňový. Nejprve falešný web požaduje osobní údaje včetně rodného čísla. Poté přijde požadavek na „poplatek“ formou online platby a s ním i žádost o číslo platební karty, datum její platnosti a bezpečnostní kód CVV.

Tím oběť předá podvodníkům vše, co potřebují k neoprávněným transakcím. Česká národní banka popisuje mechanismus jasně: podvodníci s vylákanými údaji sami realizují platby, případně se přihlásí do internetového bankovnictví a převedou peníze na takzvaný „bezpečný účet“. VZP u předchozích vln evidovala ztráty i ve statisících korun. A nejde o problém, který zabere nějakou chvíli – peníze mohou zmizet během několika minut.

Důležitý detail: vystavení nového průkazu pojištěnce je podle VZP zcela bezplatné. Žádný poplatek přes SMS ani odkaz v e-mailu neexistuje.

Nejde jen o klienty VZP

Podvodné zprávy necílí výhradně na pojištěnce VZP. Už v lednu 2026 pojišťovna upozornila, že příjemci nejsou pouze její klienti. Vojenská zdravotní pojišťovna ve stejném období varovala před e-maily, které se vydávaly za VoZP i VZP současně. Kdo má telefon a e-mail, může se stát cílem.

Rozsah kampaně je masivní. V květnu 2025 VZP zachytila rozeslání až 100 tisíc podvodných e-mailů během pouhých 48 hodin. V lednu 2026 šlo o stovky tisíc adres. Přesný počet zpráv v aktuální červencové vlně pojišťovna nezveřejnila, lze ale očekávat podobný rozsah.

Co dělat: krizový postup krok za krokem

• Odkaz jste otevřeli, ale nic nevyplnili: Zavřete stránku, nic nestahujte a nepotvrzujte žádnou platbu. Podle NÚKIB samotné otevření odkazu bez vyplnění údajů zpravidla škodu nezpůsobí.
• Vyplnili jste osobní nebo platební údaje: Okamžitě kontaktujte banku, zablokujte kartu i přístup do internetového a mobilního bankovnictví. Zjistěte, zda už neodešly nějaké platby, a pokuste se je zastavit.
• Nahlaste incident: Podvodnou SMS přepošlete na linku 7726 (funguje u všech operátorů). Podezřelý e-mail přepošlete na adresu info@vzp.cz. Pokud vám vznikla finanční škoda, kontaktujte Policii ČR.
• Ověřujte vždy ručně: Oficiální doména je výhradně vzp.cz. Adresu zadávejte ručně do prohlížeče nebo používejte přímo aplikaci Moje VZP. Nikdy neklikejte na odkazy v SMS nebo e-mailu.

VZP na infolince 952 222 222 ověří, zda zpráva, kterou jste obdrželi, skutečně pochází od pojišťovny. Ve většině případů nepůjde o legitimní komunikaci.

Podvodníci mění legendy (přeplatky, dluhy, aktualizace údajů nebo nově průkaz pojištěnce), ale mechanismus zůstává stejný. Kdo zadá údaje ke své platební kartě na podvrženém webu, riskuje, že mu z účtu zmizí peníze dříve, než stihne zavřít prohlížeč.