Právě kombinace známé značky přepravce, běžné situace se zásilkou a časového nátlaku dělá z těchto podvodů účinnou past. Kalendářové pozvánky navíc mohou útočníkům poskytnout další cestu, jak se oběti připomínat i poté, co původní SMS smaže. Policie ČR dlouhodobě upozorňuje na smishing, tedy podvodné SMS, jejichž cílem je přimět příjemce k rychlé reakci bez ověření informací.

Jak podvodné SMS vypadají a proč se pořád mění

Kdo sleduje bezpečnostní stránku České pošty, najde průběžně obměňované varianty podvodných zpráv, nikoli jedinou neměnnou šablonu. V březnu se objevily SMS o neuhrazených poplatcích a neúspěšném doručení, později přibyly zprávy o zásilce v celním řízení s požadavkem na úhradu 216,99 Kč. V září útočníci pracovali s částkou 220,99 Kč a v říjnu se objevily i varianty požadující 220,99 EUR nebo potvrzení dalšího postupu kvůli chybějícímu podpisu.

DHL na své české stránce Informace o podvodech uvádí typické znaky podvodných SMS: zkrácené adresy URL, například přes bit.ly, obecné označení odesílatele typu „Doručení“, zahraniční předvolbu nebo odkaz mimo oficiální domény DHL. Konkrétní českou šablonu falešné zprávy DHL firma veřejně nezveřejnila, princip je ale podobný: malá požadovaná částka, naléhavost a odkaz na podvodný web.

Česká pošta k 12. říjnu 2026 uvedla, že podala trestní oznámení na neznámého pachatele a spolupracuje s Policií ČR. Že nejde o jednorázový výkyv, potvrzuje i monitorovací zpráva ČTÚ z prvního čtvrtletí 2026, podle které zůstává smishing v Česku aktuálním problémem.

Proč je kalendář nebezpečnější než samotná SMS

Běžný smishing obvykle končí u textové zprávy a podvrženého webu. Kalendářová varianta přidává další krok, který je pro útočníka výhodný a pro oběť hůře rozpoznatelný.

Na iPhonu může klepnutí na odkaz vedoucí k souboru ve formátu iCalendar (.ics) otevřít možnost přidat událost nebo se přihlásit k odběru kalendáře. Pokud uživatel odběr potvrdí, mohou mu následně chodit upozornění, dokud kalendář neodebere. Apple tento mechanismus popisuje ve své oficiální příručce.

U Google Kalendáře záleží na nastavení pozvánek. Pokud má uživatel povolené automatické přidávání událostí, může se podezřelá pozvánka objevit v kalendáři bez dalšího potvrzení. U účtů Google v Evropském hospodářském prostoru jsou však události z Gmailu ve výchozím nastavení vypnuté, takže se kalendář automaticky neplní každým doručeným e-mailem. Riziko přesto zůstává u pozvánek a odběrů externích kalendářů.

Bezpečnostní výzkumy firem Barracuda a Fortra z roku 2026 popisují, proč jsou kalendáře pro útočníky atraktivní. Podezřelá událost může v telefonu zůstat i po smazání původní zprávy a připomínat se prostřednictvím notifikací ještě několik dní po prvním kontaktu. Oběť tak může na škodlivý odkaz kliknout ve chvíli, kdy už na původní SMS dávno zapomněla.

Není to nový trik, ale teď má novou zbraň

Smishing s legendou o zásilce, poště nebo balíku se v Česku objevuje už řadu let. NÚKIB popsal dlouhodobou kampaň zneužívající mimo jiné jméno České pošty už v březnu 2023 a uvedl, že začala v srpnu 2022. O2 řadí Českou poštu, DPD, DHL i UPS mezi značky, které podvodníci často zneužívají. Americká FTC varuje před podobnými scénáři u společností DHL a FedEx.

Novějším prvkem je využívání kalendářů. Bezpečnostní firmy v roce 2026 upozorňovaly na zneužívání pozvánek a souborů .ics k šíření phishingových odkazů. NÚKIB ve svých osvětových materiálech navíc upozorňuje, že nástroje umělé inteligence mohou útočníkům usnadnit tvorbu personalizovaných zpráv a automatizaci komunikace ve velkém měřítku. Přímý důkaz, že právě tato česká kampaň využívá AI, ale k dispozici není. Jisté je, že kvalitně napsané podvodné zprávy už nemusí obsahovat gramatické chyby, které dříve mohly příjemce varovat.

Co dělat, když jste klikli, a jak se bránit dopředu

Pokud jste klepli na odkaz v SMS a v kalendáři se objevila podezřelá událost, neotevírejte odkazy, které obsahuje. Na iPhonu událost smažte nebo zrušte odběr podezřelého kalendáře. Na Androidu zkontrolujte přidané kalendáře, skryjte nebo odeberte ty neznámé a upravte nastavení pozvánek.

Klíčová preventivní nastavení:

• Google Kalendář: V nastavení pozvánek zvolte možnost, která omezuje automatické přidávání událostí od neznámých odesílatelů. Pokud je k dispozici, upřednostněte přidání až po odpovědi na pozvánku v e-mailu.
• iPhone: Neklikejte na odkazy k souborům .ics z neznámých zdrojů. V iOS 26 je ve výchozím nastavení zapnuté filtrování neznámých a nevyžádaných zpráv; dostupné možnosti se mohou lišit podle verze systému.
• Obecně: Stav zásilky ověřujte mimo SMS, například na webu e-shopu, prostřednictvím oficiálního sledování zásilky nebo přes zákaznickou linku přepravce.

Pokud jste na falešném webu zadali platební údaje, okamžitě kontaktujte banku a požádejte o zablokování karty, pokud hrozí její zneužití. Podezřelou SMS můžete přeposlat operátorovi na číslo 7726. DHL navíc přijímá snímky obrazovky s podezřelými zprávami na adrese phishing@dhl.com.

Proč je tento podvod účinnější než běžný spam

Síla triku nespočívá jen ve jménu na SMS. Česká pošta, DHL nebo DPD jsou pro útočníky zaměnitelné značky, které mohou podle potřeby střídat. Skutečnou výhodou je přesun nátlaku do aplikace, kterou lidé vnímají jako běžnou součást vlastního telefonu, nikoli jako další komunikační kanál zvenčí. Kalendářová notifikace totiž nemusí na první pohled vypadat jako spam. Může připomínat událost, kterou si uživatel sám nastavil.

Je proto důležité vědět, že samotné přijetí SMS kalendář nezmění. K přidání události nebo odběru je obvykle potřeba další krok, například kliknutí a potvrzení, případně nevhodné nastavení aplikace. Právě proto stojí za to věnovat půl minuty kontrole nastavení pozvánek a odběrů kalendáře.

Co přesně se změnilo pod kapotou

Dosavadní vyhledávání ve Windows 11 fungovalo v zásadě jako rozcestník. Našlo aplikaci, soubor nebo nastavení, zobrazilo výsledek a uživatel se musel prokliknout dál. Nová verze chce být víc než jen rozcestníkem. Microsoft ji označuje jako „modern foundation“ a staví na frameworku WinUI 3, tedy technologii, kterou postupně zavádí i do dalších částí systému.

Praktický rozdíl je patrný hned po otevření vyhledávání. Starý dvoupanelový layout mizí. Interní data Microsoftu podle Windows Insider Blogu ukázala, že téměř všechny kliky uživatelů směřovaly do levého seznamu výsledků, zatímco velký pravý náhled zůstával prakticky nevyužitý. Nový design proto soustřeďuje výsledky do jednoho přehledného sloupce, ve kterém se snáze hledá potřebná položka. Vylepšilo se také rozpoznávání překlepů a synonym, takže systém lépe rozumí i nepřesně formulovaným dotazům. Microsoft tvrdí, že první testy ukazují výrazné zlepšení výkonu a nižší spotřebu paměti, konkrétní benchmarky ale zatím nezveřejnil.

Akce místo odkazů: co všechno zvládne přímo z panelu

Největší posun nespočívá v tom, jak Search hledá, ale v tom, co dokáže s výsledkem udělat. Microsoft zavádí takzvané inline actions, tedy akce, které se provádějí přímo v rozbaleném vyhledávacím panelu na hlavním panelu. Už nemusíte procházet cestu „otevři Nastavení → najdi správnou sekci → přepni přepínač“. Stačí napsat, co chcete udělat, a systém příkaz provede.

Mezi oficiálně předvedené příklady patří:

• Přepnutí tmavého režimu – „switch to dark mode“
• Zapnutí nočního světla – „turn on night light“
• Bluetooth, režim Nerušit a režim Letadlo – zapnutí nebo vypnutí jediným příkazem
• Ztlumení displeje nebo zvuku – „dim my screen“, „mute“
• Správa oken – „minimize all my windows“, „arrange my windows“

Pavan Davuluri, výkonný viceprezident divize Windows + Devices, na doprovodném blogu mluví o „tisících nových akcí“, které mají být dostupné přímo z hlavního panelu. Kompletní seznam ale Microsoft nezveřejnil. Zatím známe jen uvedené příklady a obecný příslib, že nabídka akcí se bude postupně rozšiřovat.

SMS z hlavního panelu: funkce, která zatím čeká

Odesílání zpráv přímo z vyhledávání zní jako jedna z nejatraktivnějších novinek. Je ale důležité vysvětlit, jak má fungovat. Nejde o nativního SMS klienta zabudovaného do Windows. Zprávy se odesílají prostřednictvím aplikace Phone Link, která propojuje počítač s telefonem přes Bluetooth nebo Wi-Fi. S kompatibilním telefonem s Androidem umí Phone Link už dnes odesílat i přijímat textové zprávy. U iPhonu nabízí základní podporu zpráv s určitými omezeními: nepodporuje obrázky, GIFy ani skupinové konverzace. Podpora RCS je dostupná jen pro vybraná zařízení Samsung v podporovaných sítích.

Nové Search má tuto funkci zpřístupnit přímo z vyhledávacího pole. Zadáte například příkaz „Text Elisa I’ll be there soon“ a systém připraví odeslání zprávy. Jenže technický příspěvek na blogu Windows Insider tuto funkci výslovně označuje jako „coming soon“ a uvádí, že bude fungovat se zařízením propojeným přes Phone Link. Pro české uživatele to znamená, že dostupnost bude záviset především na kompatibilitě a správném spárování telefonu, nikoli pouze na mobilním operátorovi. Přesné datum spuštění Microsoft zatím neuvádí.

Kdy to dostanete a co přijde dál

Nové vyhledávání je zatím dostupné pouze v testovacích sestaveních programu Windows Insider. První vlna začala 7. října 2026 a podporuje pouze angličtinu. Pro běžné počítače s Windows 11 Microsoft slibuje nasazení „later this year“, tedy ještě v průběhu letošního roku. Zároveň ale upozorňuje, že dostupnost se může lišit podle zařízení, trhu a platformy. Pevné datum vydání pro český trh zatím neexistuje.

Časová osa ukazuje, že Microsoft vyhledávání upravoval postupně. Už v červenci 2026 odstranil část propagačního obsahu z webových výsledků a přidal možnost skrýt webové a Microsoft Store návrhy v nastavení soukromí. V září následovaly další dílčí změny v testovací aktualizaci 26H1. Říjnové přepracování je tak vyvrcholením delšího procesu, nikoli jednorázovou změnou vzhledu.

Microsoft plánuje pokračovat i dál. V příštím roce chce podobné vyhledávání přenést také do nabídky Start a přizpůsobit ho různým polohám hlavního panelu. Ještě v roce 2026 má do vyhledávání přibýt volitelné propojení s Copilotem přímo ve vyhledávacím poli, zpočátku na vybraných trzích. V plánu jsou také bohatší náhledy souborů a náhledy odpovědí z webu.

Jak si stojí vedle Spotlightu a PowerToys Run

Myšlenka „vyhledávání jako ovládací vrstva“ není ve světě operačních systémů nová. Apple ve Spotlightu na macOS už nabízí akce přímo z vyhledávacího pole, například odeslání zprávy či e-mailu nebo odstranění pozadí z obrázku. Na opačné straně stojí PowerToys Run, nástroj Microsoftu pro pokročilé uživatele, který nabízí pluginy, kalkulačku a příkazy shellu. Jde však o samostatnou utilitu, kterou je potřeba mít spuštěnou na pozadí a která není přímo integrovaná do hlavního panelu.

Nový Windows Search míří někam mezi tyto dva přístupy. Je nativní součástí systému, cílí na běžné uživatele a nevyžaduje instalaci dalšího nástroje. Zatím ale nenabízí otevřený ekosystém pluginů, jaký má PowerToys Run. Podle nás jde o jeden z nejambicióznějších pokusů Microsoftu proměnit vyhledávací pole z pasivního nástroje pro hledání na aktivní ovládací prvek celého systému. Pokud firma splní slib tisíců dostupných akcí, může jít o funkci, která uživatele naučí místo proklikávání nabídek jednoduše zadávat příkazy.

Co se děje s vaším krkem, když se díváte do telefonu

Představte si hlavu jako bowlingovou kouli na tyči. Dokud stojí rovně nahoře, tyč ji drží poměrně snadno. Nakloňte ji dopředu a síla potřebná k jejímu udržení roste. Přesně to popisuje Hansrajův model: při 15° předklonu vychází zatížení přibližně na 12 kg, při 45° pak na zhruba 22 kg. Problém není jednorázový pohled na notifikaci. Problémem může být hlavně dlouhé setrvávání v nepřirozené poloze a její opakování. Cleveland Clinic upozorňuje, že dlouhodobé používání telefonu v předklonu může přetěžovat svaly šíje, ramena a horní část zad. Krátkodobě se to může projevit ztuhlostí a bolestí krku nebo hlavy. Dlouhodobé přetěžování může přispívat k bolestem a dalším potížím pohybového aparátu, ale konkrétní degenerativní změny nelze automaticky připsat samotnému používání telefonu.

Český rozměr: nárůst pacientů od covidu

Neurolog Ondřej Pelíšek v rozhovoru pro iDNES popsal, že od roku 2021 zaznamenává zřetelný nárůst pacientů ve věku 20 až 40 let s bolestmi krční páteře spojenými s dlouhým sezením u obrazovek. Covidová léta přesunula část práce i zábavy na displeje a některé z těchto návyků zůstaly. Téma jako aktuální problém připomněla i CNN Prima NEWS, která v červenci 2026 odvysílala reportáž „Komu hrozí SMSková šíje?“.

Metaanalýza sedentárního chování publikovaná v roce 2025 přidává konkrétnější číslo: riziko bolesti krku podle ní souvisí s delší dobou strávenou u obrazovek a s rostoucím časem dále narůstá. Neznamená to ale, že by existovala přesná hranice čtyř hodin, po jejímž překročení se bolest automaticky objeví. Průměrný český uživatel smartphonu tráví na telefonu denně řádově hodiny a k tomu často přidává notebook nebo tablet.

Mobil versus počítač versus kniha

Ne každá obrazovka zatěžuje krk stejně. Srovnávací studie ukazují, že klasický stolní monitor nastavený do výšky očí vychází z hlediska polohy krku nejlépe, protože krk zůstává blízko neutrální polohy. Notebook a tablet vedou k výrazně větší flexi krku, protože displej leží níž. U mobilu bývá předklon ještě výraznější: srovnávací práce z roku 2025 uvádí u přenosných zařízení větší předklon hlavy i vyšší subjektivní bolest a únavu než u stolního monitoru.

Zajímavé je, že kniha položená naplocho na stole může krk zatěžovat podobně jako tablet. Jedna studie dokonce naměřila větší aktivitu horního trapézu při čtení tištěného textu na desce stolu než při práci s obrazovkou. Rozhoduje tedy především poloha materiálu, ne to, zda svítí.

Jak krk chránit a kdy jít k lékaři

Základní pravidla jsou jednoduchá:

• Zvedněte displej. Telefon držte co nejblíž úrovni očí, ne v klíně. Při delším sledování použijte stojánek.
• Měňte polohu. Cleveland Clinic doporučuje pravidelně měnit polohu a dělat přestávky. Dlouhé bloky s telefonem v ruce je vhodné rozdělit na kratší úseky.
• Protahujte a posilujte. Pomalé pohyby hlavou do stran a další cviky mohou pomoci udržet pohyblivost krční páteře. U posilovacích cviků je vhodné řídit se doporučením fyzioterapeuta, zejména pokud už krk bolí.
• Při akutní bolesti může pomoci teplo nebo chlad a jemný pohyb. Krční límec bez doporučení lékaře raději nenasazujte.

K lékaři patří bolest, která přetrvává nebo se zhoršuje, brnění či necitlivost v rukou, slabost končetin, výrazné závratě, dvojité vidění, poruchy chůze nebo problémy s kontrolou močového měchýře. Prvním kontaktem může být praktický lékař, který podle potíží doporučí další postup, například fyzioterapeuta, neurologa nebo ortopeda.

Dobrá zpráva na závěr: většina běžných bolestí krku se podle NHS postupně zlepší během několika týdnů. Pelíšek ale upozorňuje, že pokud se už vyvine výrazná posturální deformita, její úplné odstranění nemusí být možné. Pět kilogramů je přibližná hmotnost hlavy v neutrální poloze. Dvacet sedm kilogramů je pak hodnota odpovídající síle vypočtené v konkrétním biomechanickém modelu při výrazném předklonu, nikoli skutečná hmotnost, kterou byste měli na krku.

Jak přežije vlastní smazání

Celý trik stojí na zneužití vývojářských nástrojů Androidu. RatHat nejdřív prostřednictvím služby Accessibility (tu, kterou legitimně používají například čtečky obrazovky) sám otevře Developer options, zapne Wireless Debugging a přečte párovací kód. Bez kabelu a bez počítače. Spáruje se s lokálním ADB (Android Debug Bridge), což je standardní vývojářské rozhraní, které normálně slouží programátorům k testování aplikací. Jenže s přístupem k ADB získá oprávnění na úrovni shellu, tedy práva, jaká běžná aplikace nemá.

V tu chvíli nasadí dvě pomocné komponenty napsané v jazyce Go. První, pojmenovaná local-service, se usadí v adresáři /data/local/tmp, mimo běžný systém správy aplikací. Druhá je reverzní proxy tunel postavený na open-source nástroji frp, který vystaví telefon jako vzdáleně ovladatelný endpoint přes internet, i když je za NATem nebo firewallem.

Když se uživatel pokusí RatHat odinstalovat, malware to sleduje a podstrčí falešné chybové okno stylizované jako Google Play. Cíl je jediný: odinstalaci zmařit. Pokud se uživatel nenechá zmást a aplikaci přesto smaže, local-service zjistí, že hlavní balíček zmizel, a provede příkaz pm install -r -g, který ho znovu nainstaluje. Následně prostřednictvím systémového příkazu settings put secure znovu zapne Accessibility, bez další interakce uživatele. Malware je zpět.

Umělá inteligence jako navigátor

RatHat nepoužívá AI k psaní phishingových zpráv ani ke generování kódu. Používá ji k něčemu praktičtějšímu: k ovládání telefonu v reálném čase. Malware serializuje aktuální strom rozhraní, tedy XML popis toho, co je právě na obrazovce, a pošle ho jednomu z populárních generativních AI asistentů. Který konkrétně, Zimperium nezveřejnilo.

Od AI dostává tři typy instrukcí: souřadnice prvku, na který má kliknout, skutečný text prvku na obrazovce a navigační pokyny typu „SCROLL_DOWN“. Výhoda je zásadní. Starší bankovní trojany pracovaly s pevně naprogramovanými sekvencemi a rozbily se, jakmile výrobce telefonu změnil rozložení menu nebo banka aktualizovala aplikaci. RatHat se dokáže přizpůsobit. ESET už v únoru 2026 popsala u malwaru PromptSpy, že generativní AI zvyšuje kompatibilitu škodlivého kódu napříč zařízeními. RatHat tento princip posouvá dál: AI nepoužívá jednorázově, ale průběžně, jako živého navigátora.

Praktický dopad? Útočník může vzdáleně procházet bankovní aplikací oběti, potvrzovat převody, číst notifikace s jednorázovými kódy a extrahovat data z formulářů, a to na telefonu, který nikdy fyzicky nedržel v ruce.

Co všechno RatHat krade

Seznam je delší, než by člověk čekal od „dalšího Android trojanu“:

• Hesla a přihlašovací údaje z bankovních i jiných aplikací
• SMS zprávy včetně ověřovacích kódů
• OTP/2FA kódy z notifikací
• PINy a odemykací vzory – Go agent čte surové dotykové události přes getevent a z rozložení klávesnice nebo mřížky gest rekonstruuje zadaný PIN nebo nakreslený vzor
• Obsah formulářů a URL z adresních řádků prohlížečů
• Inventář nainstalovaných aplikací

Zvlášť znepokojivé je čtení hardwarových vstupů. Nejde o zachytávání textu na obrazovce, ale o přímý přístup k dotykovým souřadnicím, tedy k tomu, kam přesně uživatel prstem sáhl. To je úroveň přístupu, kterou běžná aplikace z Google Play nemá.

Jak se RatHat šíří a co to znamená pro Česko

Podle dostupné analýzy se RatHat šíří mimo Google Play. Primárním vektorem je cílený smishing, tedy podvodná SMS s odkazem na stažení APK souboru. Zimperium zmiňuje i malvertising a falešné download portály. Aplikace se může tvářit jako známá streamovací služba nebo se v launcheru přejmenovat na „Chrome“. Po instalaci je oběť dotlačena k povolení Accessibility, někdy pod záminkou „síťových omezení“ nebo finanční pobídky.

Google pro BleepingComputer uvedl, že u známých verzí RatHat neeviduje žádnou aplikaci na Google Play a že Play Protect tyto vzorky dokáže detekovat. Zároveň Android v roce 2026 přidává nové pojistky, například restricted settings pro citlivé funkce a 24hodinovou čekací dobu pro instalaci aplikací od neověřených vývojářů. RatHat ale útočí i proti těmto novějším ochranám a spoléhá na to, že oběť pod tlakem podvodné zprávy některé pojistky sama obejde.

Konkrétní česká kampaň RatHat zatím zdokumentovaná není a Zimperium nezveřejnila seznam zasažených zemí. Forma útoku ale odpovídá podvodným SMS scénářům, před kterými v roce 2026 varuje Policie ČR, od falešných zpráv imitujících banky přes fingované pokuty až po podvržené doručovací služby. Česká lokalizace je technicky realistická, byť dosud neprokázaná.

Jak se bránit a co dělat při nákaze

Rozpoznat RatHat není snadné, ale existuje řetězec příznaků, které by měly spustit alarm:

• Aplikace stažená z odkazu v SMS nebo reklamě, ne z Google Play
• Neočekávaná žádost o povolení Accessibility nebo restricted settings
• Zapnuté Developer options nebo Wireless Debugging, aniž byste je sami aktivovali
• Neznámé spárované zařízení v nastavení ADB
• Falešná chybová hláška při pokusu o odinstalaci
• Aplikace, která se po smazání vrátí

Pokud máte podezření na nákazu, běžná odinstalace nestačí. Malwarebytes výslovně doporučuje tovární reset. Před ním má smysl v Developer options vypnout Wireless Debugging a zrušit všechna ADB párování, čímž útočník přijde o aktivní vzdálený kanál. Definitivní vyčištění ale podle dostupných zdrojů zajistí až kompletní obnova zařízení do továrního nastavení.

RatHat není první Android malware, který zneužívá Accessibility nebo Wireless Debugging; podobný přístup ukázala už ToxicPanda 2.0 dříve v roce 2026. Unikátní je ale kombinace AI navigace, persistence mimo životní cyklus aplikace, hardwarového čtení dotyků a několika vrstev antianalytických technik v jednom balíčku. Nejlepší obrana zůstává ta nejstarší: nestahovat aplikace z odkazů v SMS, ať slibují cokoli.

Jak podvodná SMS vypadá a proč funguje

Zpráva je sestavená tak, aby vyvolala okamžitý stres. Podle varování Policie Karlovarského kraje z 16. června 2026 obsahuje typická podvodná SMS tyto prvky:

• Číslo spisu nebo jednací číslo, které dodává zdání úřednosti.
• Popis přestupku, nejčastěji překročení rychlosti nebo jiné porušení pravidel silničního provozu.
• Lhůtu k úhradě, zpravidla tři dny, s hrozbou dalšího vymáhání nebo poplatku za prodlení.
• Přímý odkaz na web, kde má platba proběhnout.

Odesílatel bývá zamaskovaný kombinací písmen, číslic a cizí domény. Celý trik stojí na třech pilířích: autoritě (policie), strachu (pokuta) a spěchu (třídenní lhůta). Řidič, který si není jistý, jestli někde nepřekročil rychlost, snadno klikne dřív, než začne přemýšlet.

Tři úrovně rizika, a ta poslední je nejhorší

Ne každé kliknutí znamená katastrofu. Riziko ale dramaticky roste s každým dalším krokem.

Samotné kliknutí na odkaz ještě nemusí způsobit škodu. Pokud člověk na podvodné stránce nic nevyplní a rovnou ji zavře, útočník zpravidla nezíská přihlašovací nebo platební údaje. Samotná návštěva podvodného webu ale není důvodem k tomu, aby člověk stránku dál používal nebo do ní cokoli zadával.

Zadání údajů z platební karty je už vážný problém. Podvodná platební brána může získat číslo karty, datum platnosti i bezpečnostní kód. Následně se útočníci mohou pokusit o zneužití karty nebo o další podvodné transakce.

Vyplnění přihlašovacích údajů do bankovnictví nebo bankovní identity je nejnebezpečnější varianta. Jak upozorňuje sekce Kyberkriminalita Policie ČR, červnová vlna cílí i na podvržený Portál občana. Útočník, který získá údaje umožňující přihlášení nebo potvrzení identity oběti, se může pokusit jejím jménem provést další úkony, například založit účet nebo sjednat finanční službu, pokud mu to daný systém umožní. Škody pak nemusí zůstat v řádu tisíců korun, ale mohou dosáhnout i výrazně vyšších částek a oběť se o nich může dozvědět až z výpisu nebo upomínky.

Že nejde o teoretické riziko, dokládá jihočeská policie na jiném případu z letošního léta: dva poškození po kliknutí na odkaz v SMS a vyplnění údajů přišli dohromady o více než 70 tisíc korun.

Nejde o jihočeský unikát, ale o celostátní kampaň

Časová osa ukazuje jasný vzorec. Už 30. dubna 2026 vydal CSIRT.CZ varování před podvodnými SMS s výzvou k úhradě pokuty a uvedl, že kvůli kampani ruší podvodné weby „na denní bázi“. O týden později, 7. května, zveřejnila první upozornění jihočeská policie. V polovině června pak přišla další vlna: 15. června Jihočeský kraj, o den později Karlovarský i Jihomoravský kraj. Obdobná varování se objevila i ve Středočeském kraji.

Jen během dopoledne 15. června přijala jihočeská policie bezmála deset telefonátů od lidí, kteří si chtěli ověřit, zda je SMS pravá. Konkrétní počet okradených u této vlny policie veřejně neuvedla, ale samotný počet dotazů ukazuje, že rozesílka zasáhla širší okruh příjemců.

Policie pokuty přes SMS neřeší. Nikdy

Zásadní informace, která si zaslouží vlastní odstavec: Policie České republiky neposílá SMS s odkazem na úhradu pokuty. Standardní postup při dopravním přestupku vypadá například takto:

• Příkaz na místě – policista uloží pokutu osobně, přestupce s ní souhlasí a zaplatí ji podle stanoveného postupu.
• Předvolání k podání vysvětlení – doručuje se zákonem stanoveným způsobem, například prostřednictvím datové schránky nebo doporučeného dopisu do vlastních rukou.
• Oznámení přestupku správnímu orgánu – věc řeší příslušný úřad, opět standardní úřední cestou.

Žádná z těchto cest nevede přes SMS s aktivním odkazem na zaplacení pokuty. Pokud vám taková zpráva přijde, je to důvod k maximální opatrnosti.

Co dělat, když SMS přišla, nebo když jste už klikli

Pokud jste zprávu jen dostali: neklikejte, nereagujte a číslo odesílatele můžete zablokovat. SMS si uložte jako důkaz a přepošlete ji na číslo 7726. Tuto cestu pro hlášení podvodných zpráv doporučuje policie, CSIRT.CZ i Český telekomunikační úřad.

Pokud jste už zadali jakékoli citlivé údaje, jednejte okamžitě:

• Volejte bance – informujte ji o situaci a řiďte se jejími pokyny. Podle toho, jaké údaje jste zadali, může být nutné zablokovat kartu, případně přijmout další opatření k ochraně účtu.
• Změňte hesla ke všem dotčeným službám, zkontrolujte aktivní přihlášení a zapněte dvoufaktorové ověření všude, kde to jde.
• Nemažte nic – SMS, snímky obrazovky podvodné stránky i potvrzení o případné platbě jsou důkazy.
• Oznamte věc policii – osobně na služebně nebo prostřednictvím linky 158.

Podvodníci sázejí na to, že strach z pokuty a třídenní lhůta vypnou kritické myšlení. Nejúčinnější obrana je jednoduchá: zastavit se, zkontrolovat a teprve potom jednat. Policie pokuty přes SMS s odkazem k úhradě neposílá. Pokud takovou zprávu dostanete, neklikejte na odkaz a ověřte si informace jinou cestou.

Jak podvodníci zfalšovali číslo policie

Nejde o to, že by se někdo naboural do policejní infrastruktury. Technika se jmenuje SMS spoofing. Útočník při ní pozmění identifikaci odesílatele tak, aby se na telefonu příjemce zobrazilo důvěryhodné číslo nebo jméno. Podle monitoringové zprávy ČTÚ SMS spoofing v Česku stále představuje problém, přestože operátoři blokují velké množství podvodných zpráv. Útočníci se zároveň přizpůsobují a využívají i jiné kanály, například anonymní předplacené SIM karty nebo WhatsApp.

Právě proto je tahle kampaň tak zákeřná. Číslo 158 je skutečná tísňová linka. Policie ČR přes ni od roku 2022 oficiálně přijímá i nouzové SMS. Když vám tedy přijde zpráva, která se tváří jako zpráva z tohoto čísla, mozek jí automaticky přiřadí důvěru. A slova „trestní oznámení“ mohou vyvolat paniku, která člověku ztíží kritické posouzení situace.

Řetězec, který stojí stovky tisíc

Síla podvodu spočívá v tom, že kombinuje tři prvky, které Češi znají z běžného styku se státem a bankami: číslo 158, Datové schránky a bankovní identitu. Každý z nich je legitimní. Dohromady ale vytvářejí iluzi standardního úředního úkonu.

Jak přesně řetězec funguje:

1. SMS z „158“ – tvrdí, že na vás bylo podáno trestní oznámení, a obsahuje odkaz.
2. Falešná Datovka – web vypadá jako portál Datových schránek, ale běží na podvodné doméně s koncovkou .top místo oficiální datovka.gov.cz.
3. „Ověření“ bankovní identity – stránka vás přesměruje na přihlášení přes bankovní identitu, což je u skutečných služeb možné. Právě proto oběť nemusí nic tušit.
4. Podvržené bankovnictví MONETA – zadáte přihlašovací údaje na falešné stránce, která napodobuje Internet Banku MONETA. Skutečná adresa je ib.moneta.cz, podvodná verze se od ní liší.
5. Ztráta peněz nebo identity – podvodník buď získané údaje zneužije k dalším operacím, nebo zavolá jako „bankéř“ a dotlačí oběť k převodu na „záchranný“ účet.

Doložené případy ukazují, že nejde o teorii. Na Kroměřížsku v únoru 2025 senior po SMS, která se vydávala za zprávu z policie, a navazujícím telefonátu přišel o téměř 230 tisíc korun. Na Rychnovsku policie v lednu 2026 popsala dva poškozené: jednomu pachatel na jeho jméno založil několik bankovních účtů a požádal o úvěry, druhému bylo sjednáno téměř deset úvěrů, z nichž jeden činil 200 tisíc korun. Nejde tedy jen o „vybílení účtu“. Podvodníci mohou získanou identitu zneužít také k zakládání účtů, vydávání platebních karet nebo sjednávání půjček na jméno oběti.

Proč lidé klikají

Odpověď je jednodušší, než se zdá. Strach z trestního řízení patří mezi silné emoční spouštěče. Česká národní banka ve svém materiálu k podvodům přímo popisuje, že útočníci cíleně pracují s emocemi a vydávají se za policii, banku nebo jinou autoritu, aby oběť jednala bez rozmyslu.

Když se k tomu přidá spoofované číslo policie a web, který vypadá jako státní portál, je podvod výrazně přesvědčivější. Útočníci navíc počítají s tím, že oběť nebude kontrolovat adresní řádek prohlížeče. Právě kontrola domény přitom může podvod odhalit dříve, než člověk zadá přihlašovací údaje.

Co dělat, když vám taková SMS přijde

Pokud jste na odkaz neklikli, zprávu jednoduše smažte. Podezřelou SMS můžete přeposlat na číslo 7726, které operátoři používají pro hlášení podvodných a nevyžádaných SMS.

Pokud jste klikli, ale nic nevyplnili, škoda pravděpodobně ještě nevznikla. Přerušte proces a nic nezadávejte.

Pokud jste zadali přihlašovací údaje nebo potvrdili jakoukoliv operaci:

• Okamžitě kontaktujte banku, u MONETA zákaznický servis 224 443 636, nonstop blokační linka 224 442 424.
• Nechte zablokovat internetové bankovnictví a platební karty, pokud to banka doporučí nebo pokud hrozí jejich zneužití.
• Pokuste se zastavit odcházející platby, čím dříve, tím větší šance.
• Změňte hesla ke všem službám, kde používáte stejné přihlašovací údaje.
• Uložte důkazy, screenshoty SMS, historii prohlížeče a potvrzení transakcí.
• Oznamte věc Policii ČR, osobně, přes tísňovou linku 158 v naléhavých případech nebo jiným oficiálním způsobem.

U neautorizovaných platebních transakcí stanovuje zákon o platebním styku lhůtu až 13 měsíců pro oznámení neautorizované transakce poskytovateli platebních služeb. To ale automaticky neznamená, že banka peníze vždy vrátí. Pokud totiž oběť sama zadala údaje nebo převod potvrdila v důsledku manipulace, může být posouzení odpovědnosti výrazně složitější.

Jak podvod bezpečně poznat

Varovné signály jsou jasné, pokud o nich víte předem. SMS o trestním oznámení s odkazem, to není standardní způsob, kterým by policie oznamovala takovou věc. Doména jiná než datovka.gov.cz, to není oficiální portál Datových schránek. Přihlášení do bankovnictví přes podezřelý odkaz v SMS, tomu se vyhněte. A telefonát od „policisty“ nebo „bankéře“, který žádá převod na bezpečný účet, je klasickým znakem sociálního inženýrství.

MONETA na svém blogu výslovně uvádí, že Policie ČR tento typ podvodu řeší. Podle okolností mohou pachatelům za takové jednání hrozit tresty za podvod, neoprávněný přístup k počítačovému systému nebo další trestné činy. Konkrétní právní kvalifikace závisí na okolnostech případu.

Nejlepší ochrana je vědět, že takový podvod existuje, ještě než vám podobná SMS přijde. Pokud se objeví, nenechte se vystrašit samotným číslem odesílatele a před kliknutím vždy zkontrolujte, kam odkaz skutečně vede.

Jak fungoval podvod krok za krokem

SMS byla jen spouštěčem, prvním háčkem v řetězci, který trval několik hodin. Klíčové je, že muž sám zavolal na číslo ze zprávy. Tím se dostal do soukolí, ve kterém se střídaly falešné autority a každá další posilovala důvěryhodnost té předchozí.

Mechanismus vypadal takto:

• SMS (smishing): Zpráva tvrdila, že neznámá osoba s plnou mocí poškozeného si na jeho jméno bere úvěr.
• Zpětný hovor (vishing): Muž zavolal na číslo ze SMS, kde mu informaci potvrdili a přepojili ho na „banku“ a „policii“.
• Falešné důkazy: Podvodníci poslali kopii údajné plné moci a fotografii domnělého pachatele.
• Instrukce k výběru: Muži tvrdili, že musí vybrat vlastní peníze a vzít si maximální úvěr. Tím měl údajně zabránit dalším půjčkám na své jméno, protože si sníží bonitu.
• Předání hotovosti kurýrům: Vybrané peníze muž postupně předal cizím lidem, kteří si pro ně přijeli.

Z pohledu banky přitom navenek šlo o standardní jednání klienta. Člověk přišel osobně, požádal o úvěr a vybral hotovost. Česká národní banka obecně upozorňuje, že k podvodům v platebním styku často dochází právě v důsledku nevědomé součinnosti podvedených osob.

Proč naletí i rozumný člověk

Síla tohoto typu podvodu nespočívá v žádném technickém hacku. Nespočívá ani v naivitě oběti. Stojí na psychologii, strachu, časovém tlaku a postupném vytváření důvěry.

Policie u vishingových útoků opakovaně popisuje podobný vzorec: útočníci mohou znát citlivé údaje oběti, umějí napodobit telefonní čísla institucí a vystupují velmi přesvědčivě. Komerční banka ve svém varování z letošního března doplňuje, že podvodníci pracují s psychologií a tlačí klienta k okamžitému rozhodnutí. Člověk pak nemá dostatek prostoru informace ověřit, protože mu opakovaně tvrdí, že každá minuta prodlení znamená další ztrátu.

V pražském případu z dubna letošního roku použili podvodníci velmi podobnou legendu: plná moc, cizí úvěr a nutnost okamžitého výběru. Žena přišla o bezmála 800 tisíc korun. Podobný scénář se v Česku opakuje.

Čísla, která varují

Případ z jižních Čech není ojedinělý. Je součástí trendu, který české statistiky zachycují stále výrazněji.

• Za rok 2025 policie evidovala 21 137 skutků trestné činnosti v kyberprostoru, což představuje meziroční nárůst o 14,3 %.
• Podvody na fyzických osobách vzrostly o 36,6 % na 18 722 případů.
• V prvním čtvrtletí 2026 kyberpodvody meziročně stouply o více než 37 %, jak uvádí policie v rámci preventivní kampaně Pravidlo 3Z.

Banky reagují. Česká spořitelna nasadila nový kyberbezpečnostní algoritmus v aplikaci George, který podle její tiskové zprávy snížil škody klientů o 40 %. V jiném jihočeském případu, zveřejněném jen den před touto kauzou, banka zastavila podezřelou transakci a policie při předávce hotovosti rovnou zadržela kurýra. V tomto případě ale pomohlo především to, že oběť včas pojala podezření.

Jak se bránit: tři písmena, která mohou zachránit účet

Policie doporučuje jednoduché pravidlo 3Z: zastav, zavěs, zkontroluj. Pokud vám přijde nevyžádaná SMS o úvěru, ohrožení účtu nebo plné moci, nevolejte zpět na číslo ze zprávy. Informaci si ověřte sami, například přes oficiální telefonní číslo banky uvedené na platební kartě nebo přes kontakt na webu instituce.

Varovné signály, které by měly spustit alarm:

• Obecné označení instituce místo konkrétního názvu firmy.
• Tvrzení o cizím úvěru, plné moci nebo ohrožení účtu.
• Požadavek vybrat hotovost a předat ji cizímu člověku.
• Výzva vzít si maximální úvěr.
• Tlak na okamžité jednání bez možnosti ověření.
• Instrukce komunikovat výhradně přes čísla a odkazy zaslané volajícím.

Pokud jste už údaje sdělili nebo peníze odeslali, okamžitě kontaktujte banku a poté Policii ČR. Podvodné SMS a hovory lze hlásit i operátorům na číslo 7726.

Muž z jižních Čech udělal všechno, co mu řekli, a právě v tom spočíval problém. Banka, úvěr, výběr, kurýr. Každý jednotlivý krok mohl působit legitimně. Dohromady ho ale stály více než milion korun a zůstal mu také úvěr, který teď musí splácet sám.

Jak celý podvod funguje krok za krokem

Schéma, které bezpečnostní analytici označují jako „task scam“, tedy podvod postavený na plnění drobných úkolů, má několik fází. Americká Federální obchodní komise (FTC) ho ve své analýze z roku 2024 popsala výstižně jako situaci, kdy lidé musí „platit za to, aby mohli být zaplaceni“.

V praxi to vypadá takto:

• SMS s nabídkou brigády. Přijde nevyžádaná zpráva od podvrženého odesílatele. V aktuální polské kampani se podvodníci vydávali například za Adecco, Indeed nebo Randstad, ale také za TikTok či WhatsApp. V textu se často objevovalo jméno „Jason“ a slib snadného výdělku.
• Přesun na Telegram. Odkaz v SMS vede na telegramový účet. Tam oběť přebírají další profily nebo bot, který zadává úkoly, například lajkování videí či hodnocení produktů a posílání screenshotů.
• První výplata. Po splnění úkolů podvodník požádá o údaje potřebné k zaslání peněz a pošle malou částku. Právě skutečná platba má oběť přesvědčit, že nejde o podvod. FTC popisuje případy, kdy oběti dostaly nejprve menší částky, aby získaly důvěru.
• Eskalace. Přicházejí „vyšší úrovně“ úkolů. K jejich dokončení nebo odemčení je potřeba vlastní vklad: převod na účet, platba nebo kryptoměna. Podvodníci mohou část peněz vrátit nebo poslat další odměnu, aby důvěra neklesla.
• Finální ztráta. Zůstatek na „pracovním účtu“ se náhle zmrazí. Odemčení prý vyžaduje další platbu. Ta už se nevrátí. Nikdy.

Nejde o sofistikovaný hack telefonu. Je to psychologicky řízený podvod, který oběť postupně vede od malé odměny k velké ztrátě.

Škody jdou do statisíců, i v Česku

Souhrnný počet obětí aktuální polské vlny veřejně znám není. Jednotlivé případy ale ukazují, kam až se škoda může vyšplhat. Podobný mechanismus popsal také CERT Orange ve starší analýze: oběť nejprve dostává menší platby a následně je přesvědčována k převodům vlastních peněz, přičemž podvodníci slibují jejich vrácení s další odměnou.

A Česko? Není to jen „polský problém“. Policie ČR už v srpnu 2025 popsala téměř identický scénář: reklama na práci, přesun na WhatsApp a Telegram, „dokončování objednávek“ a vlastní platby. Výsledek: 28 převodů a škoda přes půl milionu korun.

České úřady přitom dlouhodobě upozorňují na podvodné SMS a další formy smishingu. ČTÚ například doporučuje podezřelé SMS přeposílat na číslo 7726, kde je mohou mobilní operátoři prověřit a případně přijmout ochranná opatření.

FTC uvádí, že v první polovině roku 2024 bylo jen v USA nahlášeno přibližně 20 000 případů task scamu. Jde o globální fenomén a české telefonní číslo před ním nechrání.

Proč to funguje a proč právě Telegram

Klasický phishing se snaží rychle získat heslo nebo číslo karty. Task scam je jiný. Je pomalý, gamifikovaný a buduje vztah. Oběť první dny nevnímá, že je obětí, ale má pocit, že má skutečnou brigádu.

Podvodníci investují do prvních výplat jako do nákladu na získání důvěry. CERT Orange popisuje stejný princip: nejprve přicházejí menší částky, potom podvodníci požadují stále vyšší převody vlastních peněz. Peníze, které oběti na začátku přicházejí, navíc mohou pocházet z účtů jiných obětí. Člověk se tak za určitých okolností může nevědomky stát součástí řetězce, který souvisí s praním peněz.

Telegram není náhodná volba. SMS je jen náborový vstup, krátká zpráva, která má přimět ke kliknutí. Telegram pak slouží jako prostředí pro další komunikaci a organizaci úkolů. Podvodníci mohou rychle střídat účty, používat skupiny nebo boty a udržovat na oběť tlak. Podobný přesun komunikace na Telegram popisuje jak aktuální polská kampaň, tak dřívější případy.

Jak podvodnou SMS poznat a co dělat

Varovné znaky aktuální kampaně:

• Nevyžádaná nabídka práce bez konkrétního popisu pozice
• Slib rychlého a snadného výdělku
• Okamžitý přesun komunikace na Telegram nebo WhatsApp
• Podvržený odesílatel, například známá značka jako Adecco, Indeed nebo Randstad
• Žádost o osobní údaje, platbu, kód nebo kryptoměnu
• Chyby v textu, strojový jazyk nebo podezřelý odkaz

Samotné použití Telegramu nebo WhatsAppu samozřejmě ještě neznamená, že jde o podvod. Podezřelá je především kombinace nevyžádané nabídky práce, snadného výdělku, přesunu na komunikátor a požadavku na vlastní platbu. FTC jako zásadní varovný signál uvádí právě situaci, kdy po vás někdo chce peníze, abyste mohli získat údajně vydělané peníze.

Pokud vám taková SMS přijde: neklikejte na odkaz a zprávu přepošlete na číslo 7726, které čeští mobilní operátoři používají k prověřování podezřelých SMS a případnému přijetí ochranných opatření. O2 uvádí i vlastní linku 720 002 002.

Pokud jste už klikli, zadali údaje nebo poslali peníze: okamžitě kontaktujte svou banku. Čím dříve problém nahlásíte, tím větší je šance, že bude možné platbu ještě zastavit nebo řešit její další osud. Zajistěte důkazy: screenshoty SMS, chatů a potvrzení plateb. Podejte oznámení na Policii ČR (linka 158 nebo nejbližší služebna). A hlavně: nereagujte na žádnou další nabídku, že vám za poplatek peníze „získají zpět“. Takzvaný recovery scam je jen druhé kolo téhož podvodu.

Nejnebezpečnější moment celého schématu není první SMS. Je to první platba, která vám skutečně přijde na účet, protože právě ta může proměnit podezření v důvěru. A jakmile podvodník získá vaši důvěru, začne vás přesvědčovat, že další krok už přinese mnohem větší odměnu.

Jak operátoři čísla recyklují

Recyklace telefonních čísel není chyba ani výjimka. Je to běžná správa omezeného číselného prostoru, se kterou veřejně počítají všichni tři velcí čeští operátoři. Mechanismus je přímočarý: když přestanete službu používat nebo necháte předplacenou kartu bez dobití, operátor po stanovené lhůtě smlouvu ukončí a číslo uvolní pro dalšího zákazníka.

Konkrétní lhůty se liší:

• O2 – platnost předplacené karty GO je 12 měsíců od posledního dobití; poté může být číslo znovu použito.
• T-Mobile – u Twist po 12 měsících bez dobití blokuje odchozí služby, po dalším měsíci i příchozí a bez dobití smlouva zaniká.
• Vodafone – předplacená smlouva končí uplynutím 13 měsíců od posledního dobití nebo aktivace SIM.

U paušálních smluv je situace méně průhledná. Operátoři řeší ukončení smlouvy a přenos čísla, ale konkrétní veřejnou „karanténní“ lhůtu před novým přidělením v otevřených dokumentech neuvádějí. Jednotná zákonná minimální karanténa čísla v Česku přitom ve veřejně dohledatelných předpisech zřejmá není.

Cizí kódy jsou víc než otravná kuriozita

Zprávy, které vám přicházejí, nejsou spam. Jsou to jednorázové kódy pro obnovu hesla, dvoufázové ověření, přihlášení do e-shopu nebo autorizaci platby. Přicházejí proto, že předchozí majitel číslo od těchto služeb nikdy neodpojil.

Rozsah problému ilustruje studie Princeton University: výzkumníci analyzovali 259 telefonních čísel dostupných novým zákazníkům u dvou amerických operátorů. U 171 z nich, tedy u 66 %, našli stále aktivní vazbu na existující účet alespoň na jednom z šesti testovaných webů. Celkem 215 čísel z 259 bylo zranitelných minimálně vůči jednomu typu útoku. A u 100 čísel se navíc podařilo dohledat spojení s dříve uniklými přihlašovacími údaji.

Česká data stejného rozsahu chybí, ale princip je identický. Číslo slouží jako klíč k bankovnímu účtu, e-mailu, sociálním sítím i platebním službám. Stačí, aby nový držitel zadal „zapomenuté heslo“ a potvrdil kód, který mu přijde na recyklované číslo, a má přístup k cizímu účtu. Totéž může udělat kdokoli, kdo po vás dostane vaše staré číslo.

Co dělat, když vám chodí cizí zprávy

Zacházejte s nimi jako s cizí poštou v digitální podobě. Neklikejte na odkazy, nepoužívejte kódy, nesnažte se přes ně přihlásit do cizích účtů a neodpovídejte osobními údaji. Pokud jde o běžnou lidskou zprávu, stačí jednorázově informovat odesílatele o omylu.

Při systematických kódech a prémiových zprávách postupujte takto:

• Evidujte zprávy – screenshoty s časem a odesílatelem se hodí pro komunikaci s operátorem.
• Kontaktujte operátora – popište, že jde zřejmě o recyklované číslo, a požádejte o blokaci prémiových služeb.
• Zkontrolujte výchozí nastavení – Vodafone například u nových SIM automaticky aktivuje Premium SMS, m-platbu i audiotex. Vypněte, co nepotřebujete.
• Zvažte změnu čísla – pokud problém přetrvává. Počítejte ale s poplatkem: O2 si účtuje 599 Kč, T-Mobile u tarifních zákazníků 1 210 Kč. Vodafone změnu čísla umí vyřešit bez rušení služby, aktuální cenu se nám ale nepodařilo veřejně ověřit.

Důležitý detail: běžné příchozí SMS blokovat nelze, O2 to uvádí výslovně. Zablokovat jdou jen prémiové a platební kanály, což je podstatný rozdíl.

Co udělat, než staré číslo opustíte

Druhá strana mince je stejně důležitá. Pokud měníte číslo nebo necháváte předplacenou kartu „umřít“, odpojte ho od všeho, kde slouží jako identifikátor. Bankovní aplikace, e-mail, sociální sítě, messengery, e-shopy, věrnostní programy, předplatná; všude, kde číslo funguje jako login, obnova hesla nebo druhý faktor ověření.

Zvláštní pozornost si zaslouží Platba na kontakt. Jde o službu, při které je telefonní číslo spárované s bankovním účtem v registru ČNB. Limit jedné platby je 5 000 Kč. Raiffeisenbank výslovně uvádí, že při změně kontaktního telefonu původní registrace automaticky zaniká a nové číslo je třeba zaregistrovat znovu. Pokud to neuděláte včas, vzniká prostor pro zmatek a případně i pro to, že platba dorazí na účet někoho, kdo vaše číslo dostal po vás.

Když selže všechno ostatní

Pokud operátor nereaguje nebo řešení trvá příliš dlouho, máte právo podat reklamaci služby elektronických komunikací. Lhůty a postup popisuje ČTÚ. Další možností je přenos čísla k jinému operátorovi, zákon o elektronických komunikacích vám to garantuje a celý proces běží přes nového poskytovatele.

Problém recyklovaných čísel nevyřeší žádný jednotlivý krok. Operátor spravuje číslo v síti, ale nemá vliv na to, ke kolika službám ho předchozí majitel připojil. Skutečná obrana začíná u vědomí, že telefonní číslo dávno přerostlo svou původní funkci a že ho při odchodu nestačí jen přestat dobíjet.

Deset korun vás v závěru stojí tisíce

Mechanika je prostá a brutálně účinná. Nízká částka má jediný smysl: přimět vás zadat kompletní údaje k platební kartě. Číslo karty, datum platnosti, bezpečnostní kód CVV nebo CVC – to je vše, co útočník může potřebovat k pokusům o internetové nákupy na váš účet. Česká spořitelna na svém bezpečnostním webu upozorňuje, že podvodníci se často snaží získat i jednorázový ověřovací kód pro 3D Secure, tedy kód, který vám banka pošle při potvrzení platby. Pokud ho zadáte do falešného formuláře, můžete útočníkovi umožnit dokončit podvodnou platbu.

Desetikoruna sama o sobě nikoho nezruinuje. Funguje jako návnada, která má zvýšit důvěryhodnost podvodu a přimět vás zadat citlivé údaje. Jakmile útočník údaje získá, mohou následovat další pokusy o transakce, a ty už mohou mít úplně jiné částky.

Proč podvod funguje tak dobře

Nejzákeřnější na celé kampani je kontext. Česká pošta totiž SMS zprávy skutečně posílá. Avizuje příchod balíkových zásilek, rozesílá kódy pro vyzvednutí na pobočce i odkazy na celní formuláře při zásilkách ze zahraničí. Lidé jsou na tyto zprávy zvyklí a reagují na ně reflexivně, kliknou, aniž by kontrolovali adresu odkazu nebo se zamysleli, jestli vůbec nějaký balík čekají.

Útočníci navíc mohou podvrhnout identitu odesílatele. Podle kyberbezpečnostních expertů se podvodná SMS může zobrazit přímo ve stejném vlákně jako starší legitimní zprávy od pošty. Telefon ji jednoduše zařadí ke „známému“ odesílateli. V tu chvíli zmizí další důležitý varovný signál.

Operátoři podle monitorovací zprávy ČTÚ blokují jednotky milionů podvodných SMS měsíčně. T-Mobile jen v dubnu 2026 zachytil přes 492 tisíc hrozeb, mezi nimiž výslovně jmenuje i falešné zásilky od „České pošty“. Přesto úplné vymýcení nelze čekat, útočníci střídají kanály a přecházejí také na WhatsApp nebo předplacené SIM karty.

Jak podvod poznat dřív, než kliknete

Česká pošta na svém bezpečnostním rozcestníku shrnuje varovné znaky:

• SMS tlačí na okamžitou reakci: „doručení bude zrušeno“, „máte 24 hodin“.
• Požaduje platbu nebo osobní údaje přes odkaz v SMS.
• Obsahuje neočekávaný odkaz či QR kód.
• Žádnou zásilku nečekáte.

Základní pravidlo pošty je jednoznačné: nikdy nezadávejte platební, přihlašovací ani osobní údaje přes odkazy v SMS nebo e-mailu. Pokud si nejste jistí, otevřete si web České pošty přímo v prohlížeči nebo kontaktujte zákaznickou linku. NÚKIB doporučuje odkaz vůbec neotvírat a na službu chodit výhradně přes oficiální web nebo aplikaci.

Co dělat, když už jste údaje zadali

Každá minuta se počítá. Postup je jasný:

• Zablokujte kartu v mobilním bankovnictví nebo na lince banky. Okamžitě.
• Zavolejte bance, nahlaste podvod, zkontrolujte čekající transakce a podle doporučení banky případně snižte limity na kartách.
• Změňte hesla ke všem službám, kde používáte stejné nebo podobné přihlašovací údaje.
• Kontaktujte Policii ČR, podejte oznámení, ideálně i se snímkem obrazovky SMS.
• Informujte Českou poštu na adrese info@cpost.cz, aby mohla kampaň evidovat.

Pokud už z účtu zmizely peníze, řešte s bankou reklamaci sporné karetní transakce. MONETA uvádí, že zákonná lhůta pro reklamaci může být až 13 měsíců, ale rozhodující je rychlost nahlášení. Čím dříve banka o podvodu ví, tím dříve může přijmout opatření a tím větší je šance, že se podaří situaci vyřešit.

Podvodná SMS vypadá nevinně právě proto, že kopíruje něco, co důvěrně známe. Deset korun je částka, nad kterou většina lidí příliš nepřemýšlí. A přesně na to útočníci sázejí.