Byt jako továrna na podvodné hovory

Podle soudních dokumentů citovaných singapurskou stanicí CNA celá operace začala nenápadně. Chong, sedmadvacetiletý Malajsijec, byl naverbován přes Telegram uživatelem vystupujícím pod přezdívkou „NASA“. Dostal jasné zadání: pronajmout byt v Singapuru, zajistit internet o rychlosti minimálně 1 Gb/s, vyměnit zámky, nainstalovat kamery u vstupů a připravit racky pro VoIP GSM vstupní zařízení.

Plán počítal s dvaceti jednotkami. Chong stihl nainstalovat devět, než přišla razie 17. dubna 2025. I tak stačily k devastujícímu výkonu. Zařízení přijímala vzdáleně spouštěné automatické hlasové zprávy, takzvané robotické hovory vydávající se za singapurské úřady nebo finanční instituce, a přes místní SIM karty je pouštěla do singapurské mobilní sítě. Na displeji oběti se hovor jevil jako lokální, bez mezinárodního prefixu. Žádný klasický spoofing, žádné podvržené číslo. Skutečná singapurská SIM v skutečném singapurském zařízení.

Anatomie šestnácti hovorů za sekundu

Čísla ze soudního spisu umožňují dopočítat výkon infrastruktury. Padesát tisíc hovorových relací za padesát minut znamená tisíc relací za minutu. Při devíti zařízeních vychází přibližně 111 relací za minutu na jedno zařízení. Nešlo o padesát tisíc dlouhých lidských konverzací, šlo o automatizované vytáčení, kde většina pokusů skončila po několika sekundách. Ty, které prošly, předávaly oběť živému podvodníkovi v další vrstvě schématu, který ji zpracovával klasickým sociálně-inženýrským scénářem.

Architektura měla několik vrstev:

• Organizátoři – podle soudu pravděpodobně na Tchaj-wanu, vzdáleně řídili provoz.
• SIM pool – zřejmě v Malajsii, vybíral vhodné SIM karty podle sítě a ceny.
• Gateway v bytě – devět jednotek v Chai Chee předávalo hovory do singapurské sítě.
• Podvodníci v další vrstvě – zpracovávali oběti, které zvedly telefon.

Chong figuroval jako instalační článek. Přebíral singapurské registrované SIM karty a doručoval je neznámým lidem v Malajsii. Zálohu dostal ve výši 700 USDT. Skutečně děsivý není počet zařízení, ale poměr mezi levnou, dočasnou infrastrukturou a škodou, kterou dokáže během dnů způsobit.

Rozsudek a otevřené konce

Chong byl zadržen 28. června 2025 v malajsijském Johor Bahru a o dva dny později předán singapurské policii. Dne 2. dubna 2026 ho Státní soudy odsoudily k 5 letům a třem měsícům vězení a pokutě 895 singapurských dolarů. Podvodné hovory probíhaly mezi 4. a 16. dubnem 2025, tedy dvanáct dní, během nichž oběti přišly o více než 1,6 milionu SGD.

Organizátoři syndikátu veřejně identifikováni nebyli. Soudní dokumenty je označují jako pravděpodobně tchajwanské a operující mimo singapurskou jurisdikci. Starší vyšetřovací materiály CNA Insider popisují, že u podobných struktur se po zadržení nižších článků stopa často přeruší, vyšší vrstvy operují z jiných zemí a komunikují výhradně přes šifrované kanály.

Česko: stejná logika, menší měřítko

Podobná infrastruktura už byla fyzicky odhalena i na českém území. V listopadu 2025 Policie ČR popsala případ osmnáctiletého cizince, který nainstaloval dva SIM boxy v hotelovém pokoji v Ostravě. Zařízení umožňovala automatické přesměrování hovorů a zpráv a sloužila k bankovnímu podvodu. Ve druhém případě ze stejného měsíce policie zadržela muže, který v hotelech obsluhoval SIM box se stovkami SIM karet a střídal lokace, aby ztížil detekci.

Český telekomunikační úřad uvádí, že regulační opatření vedou k blokování jednotek milionů podvodných pokusů o volání měsíčně. V dubnu 2025 Vodafone, T-Mobile a O2 oznámily společné obousměrné ověřování hovorů mezi sítěmi. Zároveň ale ČTÚ výslovně upozorňuje, že poskytovatelé mají velmi omezené možnosti ověřit, zda číslo předávané mezi sítěmi není podvržené.

Co z toho plyne pro každého, kdo zvedne telefon

Singapurský případ ukazuje, že zobrazené číslo na displeji dnes není důkaz ničeho. Hovor z místní SIM v místním zařízení je technicky nerozlišitelný od legitimního hovoru, a přesně na tom syndikáty staví. Policie ČR i NÚKIB opakovaně zdůrazňují jednoduché pravidlo: žádná banka, policie ani úřad po telefonu nikdy nepožádá o převod peněz na „bezpečný účet“, o přihlašovací údaje, PINy nebo vzdálený přístup do zařízení. Při jakémkoli podezření hovor ukončete a volejte zpět na oficiální číslo z webu instituce.

Chong Wei Hao dostal pět let vězení. Devět zařízení v pronajatém bytě za dvanáct dní způsobilo škodu, na jejíž splacení by průměrný Singapurec pracoval desítky let. Organizátoři, kteří ho najali přes Telegram, zůstávají na svobodě.

Inscenovaná důvěra krok po kroku

Podle tiskové zprávy KŘP Moravskoslezského kraje z 31. října 2025 podvodníci nepoužili jednu lest, ale celý řetězec vzájemně se posilujících triků:

• Reálné jméno policisty, veřejně dohledatelné na internetu, takže googlení potvrdilo existenci konkrétního člověka.
• Fotografie služebního průkazu, vizuální „důkaz“, který zvyšuje věrohodnost hovoru.
• Přepojení na „bankéře“, druhého muže na lince, jehož jméno šlo najít na webu banky.
• Zákaz mlčenlivosti, oběti bylo řečeno, že o stávajícím „vyšetřování“ nikomu nesmí říkat, jinak hrozí trestní stíhání.
• Hodinové hovory, pachatelé ji drželi na lince tak dlouho, až neměla prostor přemýšlet mimo rámec, který jí nastavili.
• Pochvala za obezřetnost, falešný policista ji dokonce ocenil, že si věci ověřuje. Právě tenhle moment proměnil její opatrnost v součást manipulace.

Poškozená si hovory nahrávala. Policie uvádí, že z nahrávek bylo slyšet, jak profesionálně oba muži vyvolávali důvěru a jak přirozeně používali fráze běžné u skutečné policie. Nešlo o koktavý skript z call centra, ale o nacvičený výkon.

Ověřila existenci, ne identitu

Tady je jádro celého problému. Žena neudělala chybu v tom, že by byla lehkovážná. Udělala chybu v tom, co ověřovala. Vyhledat jméno na internetu potvrdí jedinou věc: že někdo s tímto jménem existuje. Nepotvrdí, že právě on drží telefon. Je to jako ověřit si, že Česká národní banka existuje, a z toho usoudit, že e-mail podepsaný „ČNB“ je pravý.

Podvodníci s tímhle počítají. Jak uvádí Česká národní banka, pachatelé dnes běžně zneužívají reálná jména úředníků, policistů i bankéřů a pomocí takzvaného spoofingu dokážou na displeji zobrazit skutečné telefonní číslo banky nebo policie. Oběť pak vidí správné číslo, slyší správné jméno a má v ruce fotku průkazu. Všechny kulisy sedí, a přesto je připravili pachatelé.

Jediné ověření, které funguje, je přerušení kontaktu. Zavěsit, sám vytočit oficiální číslo banky nebo tísňovou linku 158 a zeptat se, jestli o něčem takovém vědí.

Nejde o jediný případ ani o „hloupé oběti“

Policie ČR v květnu 2026 zveřejnila data, která boří představu, že na vishing naletí jen senioři. Průměrný věk oběti je 45 let, osm z deseti poškozených jsou ženy a průměrná škoda dosahuje zhruba tří čtvrtin milionu korun. Za první čtvrtletí 2026 kyberpodvody v Česku vzrostly o více než 37 procent.

Nejde ani o ostravskou raritu. Ve Středočeském kraji policie jen od začátku roku 2025 do srpna evidovala 150 případů téže legendy se škodou kolem 50 milionů korun. V Moravskoslezském kraji kyberkriminalita v roce 2025 vzrostla o 18,5 procenta a „falešný bankéř“ patřil mezi nejčastější scénáře. A ve velké celostátní kauze rozkryté na Vysočině policie odhalila skupinu zodpovědnou za 803 skutků po celé republice, s mezinárodní spoluprací a deseti zadrženými.

Co dělat, když podobný hovor přijde vám

Policie ČR propaguje pravidlo 3Z: zastav, zavěs, zkontroluj. V praxi to znamená:

• Nepřevádějte peníze na žádný „bezpečný účet“, žádná banka ani policie to po telefonu nikdy nežádá.
• Zavěste a sami zavolejte na oficiální číslo své banky nebo na linku 158.
• Zapojte dalšího člověka, partnera, rodiče, kolegu. Pachatelé cíleně izolují oběť zákazem komukoli cokoli říkat, protože vědí, že stačí jeden střízlivý pohled zvenčí.
• Nenechte se pochválit za obezřetnost, pokud vás volající chválí, že si věci ověřujete, je to varovný signál, ne uklidnění.

A pokud už k převodu došlo? Zákon o platebním styku říká, že u neautorizované transakce má banka uvést účet do původního stavu. Jenže u vishingu oběť převod často sama potvrzuje, a pak se situace komplikuje. Při sporu s bankou je možné podat reklamaci a následně se obrátit na finančního arbitra, jehož řízení je bezplatné. Návrat peněz ale není jistý.

Dvacetiletá žena z Poruby neudělala nic, co by většina z nás v tu chvíli neudělala taky. Googlila jméno, našla ho, uvěřila. Problém nebyla její důvěra, problém byl falešný pocit, že už udělala všechno správně.

Tři vrstvy ověření, které se vyplatí znát

Žádný jednotlivý nástroj nepokryje všechno. Proto má smysl pracovat se třemi vrstvami, z nichž každá prozradí něco jiného:

• Komunitní databáze (KdoMiVolal.eu) – zadáte číslo do vyhledávacího pole a uvidíte, co o něm napsali ostatní. Typicky se dozvíte, jestli jde o telemarketing, průzkum, pojišťovnu nebo podvod. Databáze se denně aktualizuje a mobilní aplikace umí číslo rovnou blokovat.
• Oficiální registr ČTÚ – databáze „Přidělená čísla a kódy“ neřekne, kdo konkrétně volal, ale ukáže se kterému operátorovi nebo firmě byl číselný rozsah přidělen. Když vám volá číslo z banky, ale rozsah patří VoIP operátorovi, je to varovný signál.
• Aplikace Caller-ID (Truecaller, Hiya) – fungují průběžně na pozadí, štítkují příchozí hovory jako spam a nabízí zpětně vyhledávaná. Obě jsou dostupné v českém Google Play i App Store, být plná česká lokalizace není u všech verzí zaručena a veřejně doložená úspěšnost pro česká čísla chybí.

Praktický postup vypadá takhle: zmeškaný hovor → vyhledání na KdoMiVolal → kontrola rozsahu v databázi ČTÚ → teprve pak rozhodnutí, jestli zavolat zpět, nebo číslo zablokovat. Celé to zabere minutu.

Proč číslo na displeji nic nedokazuje

Zobrazené číslo dnes nemusí patřit tomu, kdo skutečně volá. Říká se tomu spoofing, tedy podvržení identifikace volajícího. Podle tiskové zprávy ČTÚ z ledna 2025 se po zavedení regulačních podmínek v pevných sítích blokují miliony takových volání měsíčně. V mobilních sítích je situace složitější.

NÚKIB v únoru 2025 varoval před typickým scénářem: volající se představí jako pracovník banky, tvrdí, že váš účet je blokovaný, a tlačí na okamžitý převod na „bezpečný“ účet. Policie ČR popisuje útok i sofistikovanější varianty, takzvané wormhole, při nichž podvodníci oběť navedou k instalaci škodlivé aplikace a zneužijí NFC čip telefonu. V jednom případě na Děčínsku škoda přesáhla 2,3 milionu korun.

Vodafone proto doporučuje jednoduchý test: pokud máte podezření, zavěste a na stejné číslo zavolejte zpět sami. Dovoláte se skutečnému držiteli, ne podvodníkovi, který číslo jen podvrhl.

Jak spam zablokovat přímo v telefonu

Ověření je první krok. Druhý je prevence, tedy nastavit telefon tak, aby vás spam obtěžoval co nejméně.

Android (Google telefon):

• Otevřete aplikaci Telefon → Nastavení → Identifikace volajícího a ochrana před spamem (standardně zapnuto).
• Jednotlivé číslo blokujete přes Historii hovorů → klepnutí na hovor → Blokovat / Nahlásit spam.

iPhone:

• Nastavení → Aplikace → Telefon → Ztišení neznámých volajících přesměruje hovory od neznámých čísel rovnou do hlasové schránky.
• Konkrétní číslo zablokujete přes Historii → ikona „i“ u čísla → Zablokovat volajícího.
• V Telefon → Identifikace volání a blokování sekce lze aktivovat podporované aplikace třetích stran, včetně KdoMiVolal.

Truecaller u iOS verze uvádí, že nenahrává telefonní seznam, a nabízí možnost odlistování, tedy smazání čísel z databáze do 24 hodin. Ahoj deklaruje přístup „ochrana soukromí od návrhu“. Jde o tvrzení samotných firem, ale pro základní orientaci v tom, komu svěřujete přístup k hovorům, jsou podstatná.

Skrytí vlastního čísla a kam nahlásit podvod

Chcete-li sami volat bez zobrazení čísla, záleží to na operátorovi. O2 i T-Mobile podporují prefix #31# před volaným číslem pro jednorázové skrytí. T-Mobile navíc uvádí kód *31# pro dočasné povolení zobrazení, pokud máte číslo standardně skryté. Na iPhone najdete volbu v Nastavení → Aplikace → Telefon → Zobrazit mé číslo, ale dostupnost závisí na operátorovi.

Pokud už k podvodu došlo:

• Okamžitě přerušte komunikaci.
• Kontaktujte banku, čím dřív, tím vyšší šance na zastavení transakce.
• Podejte oznámení na Policii ČR.
• Podezřelý hovor nebo SMS nahlaste přeposláním na linku 7726 ve formátu: podvod, telefonní číslo volajícího, datum, čas .

Jedno číslo, jedna databáze, jedna aplikace; nic z toho samo o sobě nestačí. Síla je v kombinaci: prověřit, ověřit rozsah, zablokovat. Tři kroky, které zaberou méně času než jeden podvodný hovor, který jste nemuseli zvednout.

Odkud podvodníci vaše údaje mají

Představa, že útočník potřebuje hacknout banku, aby zjistil vaše jméno a číslo účtu, je mylná. Stačí mnohem méně. Policie ČR opakovaně popisuje tři nejčastější cesty, kterými se osobní údaje dostanou do nesprávných.

První je předchozí phishing nebo smishing, tedy podvodná SMS s odkazem na falešný web, kde oběť sama zadá údaje nebo číslo karty. Druhá cesta vede přes běžnou online interakci: bazarový prodej, inzerát, platba mezi lidmi. Prodávající pošle číslo účtu a telefon úplně cizímu člověku a ani ho nenapadne, že právě vytvořil vstupní bod pro budoucí útok. Třetí cestou je skládání střípků: jméno z jednoho úniku, telefon z druhého, informace o bance z kontextu předchozí komunikace.

Prakticky to znamená, že útočník nepotřebuje jeden velký zdroj. Stačí mu mozaika drobností, které dohromady vypadají jako důvěrná znalost vašeho účtu. A pak přijde na řadu spoofing.

Proč číslo na displeji nic neznamená

Český telekomunikační úřad vysvětluje, že podvržení telefonního čísla, takzvaný spoofing, spočívá v manipulaci s identifikátorem volajícího (CLI) v signalizaci hovoru. Útočník využije internet a do parametru hovoru zapíše libovolné číslo, třeba oficiální linku vaší banky. Operátor na přijímací straně nemá jak ověřit, zda číslo skutečně patří tomu, kdo volá, protože mezi sítěmi se tato informace předává bez plné autentizace.

ČTÚ od roku 2024 zpřísnil pravidla a podle jeho tiskových zpráv se blokují miliony podvodných pokusů měsíčně. Problém ale nezmizí úplně; legitimní výjimky, roaming a technické limity ověřování útočníkům stále nechávají prostor. Číslo na displeji proto není důkaz. Je to kulisa.

Dva systémy, jeden princip: ověřte si banku v aplikaci

Česká spořitelna i Komerční banka dospěly ke stejnému závěru: pokud chcete vědět, jestli vám skutečně volá bankéř, musíte se podívat do své mobilní aplikace. Konkrétní provedení se ale liší.

Česká spořitelna a George: Když vám volá skutečný bankéř spořitelny, George pošle push notifikaci s textem „Volá Vám Česká spořitelna“. Pokud notifikaci nevidíte nebo si nejste jisti, můžete požádat o zabezpečení: bankéř vygeneruje jednorázový čtyřmístný kód, který se zobrazí v George. Kód na telefonu se musí shodovat s kódem, který bankéř řekne do hovoru. Při opačném směru, kdy voláte vy bance, umí George zobrazit jméno, příjmení a telefonní číslo banky, kterým mluvíte.

Komerční banka a KB+ / KB Klíč: KB staví na vyžádaném ověření. Během hovoru jste volajícího, aby se identifikoval přes aplikaci. V KB+ nebo KB Klíči se zobrazí jméno banky a komunikační kód. Kód musí odpovídat tomu, co slyšíte v telefonu. Pokud po žádosti o potvrzení aplikace nic neobdrží, Komerční banka to sama označuje za jistý znak podvodu. KB Klíč je v aplikaci aktivní od prvního přihlášení, není třeba nic dalšího zapínat.

Podobné ověření v mobilní aplikaci nabízí i Raiffeisenbank, která při hovoru pošle notifikaci se jménem volajícího a informace, odkud volá. MONETA Money Bank zvolila jinou cestu: přímo ve Smart Bance má takzvaný kill button pro okamžitou blokaci všech přístupů a karet, pokud pojmete podezření. Jednotný seznam všech českých bank s ověřovacími funkcemi zatím neexistuje.

Čísla, která ukazují běžné riziko

Podle dat České bankovní asociace za rok 2025 bylo napadeno necelých 91 tisíc klientů bank, odcizená částka za první tři čtvrtletí dosáhla 1,49 miliardy korun a průměrná škoda na podvedeného klienta činila 23 462 Kč. Banky zároveň uvádějí rekordně zachráněných 12,2 miliardy korun, tedy peněz, které se podařilo zablokovat dřív, než zmizely. MONETA veřejně přiznala, že falešný bankéř stál v předchozím roce za třetinou všech klientských ztrát.

Nejde tedy o příběhy z internetu, které se dějí „někomu jinému“. Policie opakuje, že oběti se mohou stát prakticky kdokoli, bez ohledu na věk, vzdělání nebo technickou zdatnost.

Co udělat v prvních vteřinách hovoru

Klíčová změna v myšlení není „buďte méně důvěřiví“. To je rada, která selže ve chvíli, kdy hlas na lince zná vaše jméno a číslo účtu. Skutečná obrana je mít předem zafixovaný postup:

• Nic nesdělovat. Žádné heslo, PIN, kód z SMS, číslo karty. Skutečná banka tyto údaje po telefonu nikdy nežádá.
• Nic nepotvrzovat. Žádná autorizace transakcí, žádné „ano“ na otázku, zda vidíte notifikaci.
• Ověřit volajícího v aplikaci. U České spořitelny hledat push notifikaci nebo čtyřmístný kód v George. U KB požádat o ověření v KB+ / KB Klíči.
• Když máte pochybnost, zavěsit. Zavolat zpět na číslo z oficiálního webu banky, ne na číslo z displeje. Česká spořitelna: 277 207 207. Komerční banka: 955 551 505.
• Pokud jste už údaje sdělili: okamžitě blokovat přístupy a karty, volat banku přes oficiální kontakt, nahlásit policii.

Podvodník umí podvrhnout číslo, naučit se vaše jméno a zahrát naléhavost. Jediná, co neumí, je potvrdit svou identitu uvnitř vaší bankovní aplikace. A přesně tam se rozhoduje, kdo hovor vyhraje.

Jak vypadá jeden takový hovor

První žena zvedla telefon začátkem března. Muž na lince se představil jako policista a oznámil, že její osobní údaje byly zneužity k podvodnému úvěru. Než stihla zareagovat, byl na lince další hlas, tentokrát „pracovník ČNB“, který jí vysvětlil, že jedinou záchranou je vybrat peníze a předat je na bezpečné místo. Žena vyzvedla půl milionu v hotovosti a podle instrukcí je osobně předala neznámému muži v Brně.

Druhá oběť dopadla hůř. Pod stejným nátlakem si sjednala úvěr na 1,2 milionu korun a celou částku předala. Třetí žena přišla o dalších 500 tisíc. Všechny tři spojuje totéž: hovor trval desítky minut, podvodníci je drželi na lince nepřetržitě a nedali jim prostor zavěsit, ověřit si cokoli nebo zavolat skutečné bance. Policie Zlínského kraje případy zveřejnila 1. dubna 2026 s formulací „přes dva miliony korun“. Po sečtení tří konkrétních částek vychází přesně 2,2 milionu.

Nejde o lokální výjimku, volají po celé republice

Stejné schéma popsala policie v lednu na Děčínsku, v březnu na Hradecku i Jindřichohradecku, od února na Litoměřicku. Na jihu Čech stačil jediný dobře vedený podvod, aby oběť přišla o 2 690 821 korun, v jednom hovoru. Lounská policie 28. dubna 2026 výslovně uvedla, že podobné skutky mají „přesah do všech koutů republiky“ a pátrá po dvou mužích zachycených kamerovým systémem.

Česká národní banka ještě 5. května 2026 znovu varovala, že její jméno je aktivně zneužíváno. Klíčová věta z jejího prohlášení: „Zaměstnanci ČNB nikdy nevyzývají k výběru peněz, převodu na bezpečný účet ani k jiným finančním operacím.“

Proč to funguje, a proč to není o technologii

Vishing, tedy podvodný telefonát vydávající se za instituci, existuje v Česku nejméně od roku 2020. NÚKIB na něj upozorňoval už v dubnu 2021. Dnešní verze je ale sofistikovanější v několika bodech:

• Vrstvení rolí. Nejprve „policista“ vyvolá strach, pak „bankéř“ nebo „pracovník ČNB“ nabídne řešení. Oběť má pocit, že spolupracuje se dvěma nezávislými institucemi.
• Falešné dokumenty. Přes WhatsApp nebo e-mail přijdou listiny s logem Policie ČR nebo ČNB, někdy i fotografie služebního průkazu. Vypadají oficiálně a posilují už rozjetý tlak.
• Nucené úvěry. Pachatelé oběť instruují, co přesně říct na přepážce banky, aby úvěr prošel.
• Fyzické předání. Hotovost nekončí na účtu, ale v rukou kurýra na veřejném místě, což ztěžuje zpětné dohledání peněz.

Nejsilnější zbraní pachatelů přitom není žádná z těchto technik sama o sobě. Je to čas. Dokud oběť drží na lince, neověřuje. Dokud neověřuje, poslouchá. A dokud poslouchá, plní instrukce.

Co dělat, když vám někdo zavolá s „napadeným účtem“

Postup je jednoduchý a policie i ČNB ho opakují shodně:

1. Zavěsit. Okamžitě. Bez vysvětlování, bez omluvy.
2. Nevolat zpět na číslo z displeje. Podvodníci používají spoofing, na displeji se zobrazí skutečné číslo banky nebo policie, ale hovor směřuje jinam.
3. Zavolat sám. Vlastní bance přes číslo z karty nebo webu. Policii přes 158.
4. Pokud už jste něco sdělili nebo potvrdili, ihned zablokujte karty a internetové bankovnictví a pokuste se zastavit odchozí platby.
5. Vše nahlásit policii.

Klíčové rozpoznávací znamení: skutečný policista ani pracovník ČNB po vás nikdy nebude chtít výběr hotovosti, převod na „bezpečný účet“, sjednání úvěru ani zaslání průkazu přes chat. Nikdy. Pokud to slyšíte, je to podvod. Každý má právo si policistu ověřit, stačí zavěsit a vytočit 158.

Pachatelé stále na svobodě

K uherskohradišťským třem případům policie k dnešnímu dni nezveřejnila informaci o zadržení ani obvinění konkrétních osob. O zajištění vylákaných peněz rovněž veřejně neinformovala. U hotovosti předané osobně na ulici je šance na návrat peněz výrazně nižší než u bankovního převodu, který lze za určitých okolností stihnout zablokovat.

Jeden telefonát, dvě minuty stresu a rozhodnutí, které nejde vzít zpět. Jediná účinná obrana je ta nejjednodušší, zavěsit dřív, než začnete poslouchat.

Tři podvody, které se tváří jako jeden

Česká debata o podezřelých zahraničních číslech míchá dohromady tři různé věci. Stojí za to je oddělit.

• Ping call / wangiri – klasika: zmeškaný hovor z exotické předvolby, oběť zavolá zpět a platí drahá spojení. Monetizace běží přes telefonní tarif.
• Spoofing českých čísel – volající se tváří jako česká banka nebo úřad, ve skutečnosti volá ze zahraničí. Proti tomu ČTÚ od června 2024 zavedl opatření , která blokují miliony pokusů měsíčně.
• Job/task scam přes WhatsApp – a to je ta nová vrstva. Telefon není cílem, je návnadou. Peníze netečou přes operátora, ale přes dobrovolný převod oběti na účet podvodníka nebo do kryptoměnové peněženky.

Právě třetí varianta se od jara 2025 masivně šíří i na česká čísla. Desítky hlášení na fórech a sociálních sítí popisují totožný vzorec. Přesný počet zasažených českých čísel veřejně znám není, ČTÚ statistiku pro tuto konkrétní kampaň nezveřejnil, ale rozsah patří i fakt, že Meta jen v první polovině roku 2025 je zachycena přes 6,8 milionu WhatsApp účtů napojených na podvodná call centra.

Anatomie podvodu: od hovoru k „depozitu“

Elwira Charmuszko z polské organizace CyberRescue popsala pro server Android.com.pl přesný sled kroků, který se opakuje napříč zeměmi. Funguje jako, každá fáze od cíle opatrnější a posune dál ty důvěřivější.

Fáze 1: Hovor. Zahraniční číslo, krátká zpráva o „pracovní příležitosti“. Cíl není informovat, ale přimět oběť k dalšímu kroku.

Fáze 2: WhatsApp. Oběť napíše na uvedené číslo. Dostane „úkol“, olajkovat video, udělat screenshot stránky, přidat záložku. Práce na dvě minuty.

Fáze 3: Odměna. Na účet přijde reálná platba. Malá, stovky korun, ale skutečná. Tady se láme psychologie: oběť vidí, že „to funguje“. Podle všeho jde o akviziční náklad podvodu, investice do důvěry, která se má mnohonásobně vrátit.

Fáze 4: Registrace. Oběť je nasměrována na „pracovní platformu“, web, který vypadá profesionálně, ale existuje jen proto, aby sbíral údaje a peníze.

Fáze 5: Minulost. Přichází „VIP úkol“ s vyšší odměnou. Podmínka: složitý depozit, aktivační poplatek nebo „pojistku“. Kdo pošle, o peníze přijde. Kdo chce vybrat dosavadní výdělek, zjistí, že musí zaplatit „poplatek za výběr“. Polská policie v Cieszynie zdokumentovala případy, kdy oběti přišly o 25 000 a 24 000 zlotých, v přepočtu přes 140 000 korun za jediný případ.

Peníze mizí přes účty nastrčených osob nebo do kryptoměnových peněženek. Převod je fakticky nevratný v řádu hodin.

Proč to operátoři prostě nevypnou

Logická otázka. Odpověď je méně uspokojivá, než by člověk čekal. ČTÚ umí efektivně blokovat hovory ze zahraničí, které se falešně tváří jako česká čísla, to je ten spoofing. Jenže čísla s předvolbou +44 nebo +31 se za česká nevydávají. Jsou to reálné zahraniční mobilní nebo předplacené linky. Plošný zákaz příchozích hovorů z celé Británie nebo Nizozemska by odřízl i legitimní hovory, obchodní partnery, rodinu v zahraničí, hotely, ambasády.

Podvodníci navíc čísla rotují. Dnes volají z jednoho, zítra z jiného. ČTÚ sám konstatuje, že po zpřísnění anti-spoofingových pravidel se podvodníci přesunuli k anonymním SIM kartám a jiným cestám. Je to hra na kočku a myš, ve kterém regulátor vždy reaguje se zpožděním.

Co dělat, když jste hovor zvedli

Samotné zvednutí hovoru podle dostupných zdrojů nezpůsobí finanční škodu. prudce roste až ve chvíli, kdy pokračujete na WhatsAppu, posíláte údaje nebo peníze. Pokud jste ale už udělali víc než jen zvedli telefon, tady je postup vycházející z doporučení ČTÚ a bezpečnostních expertů:

• Okamžitě přerušte kontakt a zablokujte číslo.
• Změňte hesla k e-mailu, internetovému bankovnictví a sociálním sítím.
• Zapněte dvoufaktorové ověření všude, kde to jde.
• Zkontrolujte transakce bankovního účtu, pokud jste sdíleli platební údaje, volejte bance.
• Podejte oznámení Policii ČR.
• Podezřelé SMS přeposílejte na číslo 7726 , ČTÚ je vyhodnocuje.

Důležitý detail: i nevinně vypadající screenshot může přenést metadata a osobní údaje, které podvodníkům usnadní další profilování.

Jak podvod poznat dřív, než začne bolet

Žádný jednotlivý znak není stoprocentní důkaz. Rozhoduje souběh: nevyžádaný kontakt ze zahraničí, nereálně vysoký výdělek za minimum práce, tlak na rychlou reakci, přesun komunikace na WhatsApp nebo Telegram, požadavek na vlastní vklad před výplatou, neověřitelná firma, lámaná čeština a žádost o osobní nebo finanční údaje. Když se potkají tři a víc z těchto signálů, je téměř jisté, že nejde o práci. Jde o práci na vás.

Skutečná hrozba nezačíná účtem za hovor. Začíná ve chvíli, kdy oběť uvěří, že spolupracuje legitimním zaměstnavatelem, a dobrovolně pošle peníze, které už nikdy neuvidí.

Jak celý podvod fungoval krok za krokem

Příběh L. Pančuráka zní jako noční můra každého, kdo má mobilní bankovnictví. Přitom nejde o žádnou sofistikovanou hackerskou operaci ani o bezpečnostní díru v Apple Pay. Jde o sociální inženýrství, typ podvodu, při kterém útočník neprolamuje systém, ale manipuluje člověka. NÚKIB i Česká národní banka opakovaně varují, že právě tyto útoky se v Česku šíří vlnami a kvalitativně se zlepšují. Pančurákův případ ukazuje, jak snadno se z oběti stane nevědomý vykonavatel celého podvodu.

Vše začalo SMS zprávou o podezřelé platbě přes Apple Pay. Zpráva vypadala věrohodně, útočníci dnes umí napodobit odesílatele SMS i telefonní čísla technikou zvanou spoofing, jak popisuje Policie ČR. Na displeji se může zobrazit jméno banky nebo značky, přestože zprávu poslal podvodník.

Pančurák v obavách zavolal na číslo uvedené ve zprávě. Muž na lince se představil jako pracovník podpory a tvrdil, že na účtu probíhá podezřelá aktivita, kterou je nutné okamžitě zastavit. Vytvořil časový tlak a naléhavost, přesně podle scénáře, který NÚKIB označuje za typický pro vishingové kampaně.

Pak přišel klíčový moment. Podvodník navedl Pančuráka k potvrzení několika kroků v telefonu. Bankovní aplikace zobrazila autorizační výzvy, notifikace, které měl odsouhlasit. Pančurák je potvrdil v přesvědčení, že tím svůj účet zabezpečuje. Ve skutečnosti každým kliknutím schvaloval odchozí platbu. Systém banky transakce zaregistroval jako řádně autorizované silným ověřením. Peníze odešly.

Celé to trvalo minuty. Žádné prolomení hesla, žádný virus, žádná chyba technologie. Jen strach, důvěra a rychlost.

Apple Pay není viník, je to záminka

Důležité je oddělit dvě věci: Apple Pay jako platební technologii a značku Apple jako nástroj manipulace.

Apple Pay funguje na principu tokenizace, obchodník nikdy nedostane skutečné číslo karty, každá platba vyžaduje potvrzení přes Face ID, Touch ID nebo kód zařízení. Z popsaného scénáře neplyne žádná bezpečnostní chyba Apple Pay. Útočníci pouze zneužili důvěru ve známou značku, aby zpráva vypadala legitimně.

Apple výslovně varuje před hovory a zprávami, které se vydávají za Apple a tvrdí, že na účtu došlo k podezřelé aktivitě. Firma zdůrazňuje: nikdy nežádá o vypnutí bezpečnostních funkcí, nikdy nepožaduje heslo přes telefon a nikdy neposílá SMS s číslem, na které máte zavolat zpět.

Skutečné známky ohroženého účtu Apple vypadají jinak, nevyžádaný dvoufaktorový kód, neznámé přihlášení, změna hesla, kterou jste neiniciovali. Nic z toho se v Pančurákově případu podle dostupných informací nestalo. „Účet v ohrožení“ byla podvodná legenda, ne realita.

Proč banka platby nezastavila

Tady narážíme na paradox silného ověření. Multifaktorová autentizace (MFA) existuje proto, aby chránila klienta, nikdo jiný než vy nemůže platbu potvrdit. Jenže ve chvíli, kdy klient sám potvrdí autorizační výzvu, systém transakci vidí jako legitimní.

ČNB k tomu říká jasně: po potvrzení silného ověření může spotřebitel nést ztrátu. Banka nemá jak v reálném čase rozlišit, zda klient potvrzuje platbu dobrovolně, nebo pod manipulací. Antifraud systémy mohou transakci zpětně vyhodnotit jako podezřelou, ale v okamžiku potvrzení MFA je z pohledu systému vše v pořádku.

Proto je potvrzovací krok tím nejdražším momentem celého podvodu. Ne technika, ne prolomení, ale okamžik, kdy oběť pod tlakem uvěří, že potvrzením „záchrany účtu“ nepouští ven své peníze.

Jak podobný podvod rozpoznat a co dělat

Varovné signály se opakují napříč kampaněmi:

• Zpráva tvrdí, že na účtu probíhá podezřelá aktivita
• Obsahuje číslo nebo odkaz, kam máte zavolat nebo kliknout
• Volající vytváří časový tlak, „musíte jednat teď“
• Požaduje potvrzení kroků v bankovní aplikaci, sdělení kódu nebo instalaci aplikace
• Na displeji se zobrazuje „důvěryhodné“ číslo nebo jméno instituce

Co udělat:

• Nevolat zpět na číslo z SMS ani z příchozího hovoru, vždy ověřit situaci přes oficiální infolinku banky nebo přímo v aplikaci
• Nic nepotvrzovat pod časovým tlakem, žádná banka ani Apple po vás nechce okamžitou akci přes telefon
• Pokud už jste něco potvrdili, okamžitě kontaktovat banku a požádat o blokaci
• Uložit důkazy, SMS, telefonní čísla, screenshoty, časy
• Podat oznámení Policii ČR, ústně, písemně, elektronicky nebo přes linku 158
• Podvodnou SMS přeposlat na číslo 7726 pro hlášení podvodných zpráv

Pokud banka reklamaci zamítne, spotřebitel se může bezplatně obrátit na finančního arbitra.

V Česku nejde o ojedinělý případ

Policie ČR sama uvádí, že online podvody neeviduje po jednotlivých značkách ani typech útoku, Apple-specifickou statistiku tedy nikdo nemá. Co ale víme: NÚKIB v únoru 2025 varoval před pokračující vlnou podvodných telefonátů, CSIRT v dubnu 2026 upozornil na rozsáhlou SMS kampaň a stejný model útoku funguje i pod hlavičkou Microsoftu, bank, policie nebo samotné ČNB.

Princip je značkově přenositelný. Dnes Apple Pay, zítra Google Pay, pozítří „bezpečnostní oddělení vaší banky“. Mění se kulisa, mechanismus zůstává: strach, autorita, rychlost, potvrzení.

Pančurákových sto tisíc korun neukradl hacker ani virus. Ukradl je člověk s telefonem, který věděl, že nejslabším článkem každého zabezpečení je důvěra pod tlakem.

Cizí číslo znamenalo problém

Telefon zazvonil v běžný všední den. Muž na lince se představil jako pracovník České správy sociálního zabezpečení, mluvil klidně, znal Annino jméno. Sdělil jí, že v systému je chyba a důchod jí nebude vyplacen, dokud neověří svou totožnost. Anna, osmašedesátiletá důchodkyně, neměla důvod pochybovat, důchod je pro ni jediný pravidelný příjem. Během hovoru prozradila číslo účtu, údaje z karty i PIN. O několik dní později, když chtěla přes internet zaplatit dárek pro vnučku, zjistila, že z účtu zmizelo téměř 80 000 korun. Reklamace u banky ani trestní oznámení jí naspořené peníze nevrátily.

Proč tahle legenda funguje lépe než „falešný bankéř“

Podvodníci v Česku roky používají scénář falešného policisty nebo bankéře. Varianta s ČSSZ ale míří na mnohem citlivější nerv: existenční strach ze ztráty důchodu. Pro seniora, který nemá jiný příjem, je věta „nemůžeme vám vyplatit důchod“ okamžitým spouštěčem paniky.

ČSSZ přitom na svém webu výslovně uvádí, že po telefonu nikdy nežádá hesla, přihlašovací údaje, čísla karet ani PIN. O nároku na důchod rozhoduje písemně, výplata probíhá v pravidelných měsíčních termínech a případné problémy se řeší formálním rozhodnutím, ne telefonátem s požadavkem na okamžitou reakci.

Jenže to oběť v okamžiku hovoru neví. Podvodníci navíc často využívají spoofing, číslo na displeji vypadá jako oficiální linka. Podle policie mohou znát jméno, adresu i další údaje, které hovor činí věrohodným. ČSSZ v lednu 2024 uvedla, že tehdejší vlna telefonátů a SMS nebyla založena na úniku dat z jejích systémů a že podvodníci volali i lidem, kteří žádné dávky nepobírají.

Jak mohlo z účtu zmizet 80 000 korun

Samotné číslo účtu k odčerpání peněz nestačí. Kritické je vylákání bezpečnostních prvků, a právě to se podle Annina popisu stalo. Existuje několik scénářů, jak pachatelé s vylákanými údaji naloží:

• Zneužití karty a PINu: ČNB v říjnu 2025 popsala trik, při němž oběť na pokyn volajícího přiloží kartu k telefonu a zadá PIN. Tím se karta „naklonuje“ do podvodné aplikace a lze ji používat k platbám i výběrům.
• Potvrzení podvodného převodu: Pokud oběť na žádost volajícího potvrdí transakci přes silné ověření (SMS kód, biometrie), banka ji zaznamená jako autorizovanou klientem.
• Přístup do internetového bankovnictví: Vylákané přihlašovací údaje umožní přímý vstup do účtu a zadání příkazů.

V Annině případě přesný mechanismus neznáme. Podle dostupných scénářů ale stačí kombinace čísla karty, PINu a jednoho potvrzení, aby peníze odešly během minut.

Proč banka peníze nevrátila

Zákon o platebním styku ukládá bance napravit neautorizovanou transakci, tedy takovou, kterou klient neprovedl ani neschválil. Problém nastává ve chvíli, kdy klient transakci sám potvrdí, byť pod nátlakem podvodníka. Zákon v takovém případě říká jasně: pokud plátce způsobil ztrátu podvodným jednáním nebo hrubou nedbalostí při ochraně bezpečnostních prvků, nese ji v plném rozsahu.

Sdělení PINu třetí osobě po telefonu banka typicky vyhodnotí jako porušení povinnosti chránit bezpečnostní prvky. A právě tady se láme chleba. Anna podle svého popisu údaje sdělila dobrovolně, i když pod tlakem a v dobré víře. Pro banku to ale může znamenat, že transakce byla z jejího pohledu autorizovaná, nebo že klientka porušila podmínky.

Pro srovnání: ve Velké Británii od 7. 10. 2024 platí povinné refundace u vybraných podvodů typu APP do výše 85 000 liber, obvykle do pěti pracovních dnů. V Česku takový plošný režim neexistuje. Oběť, která neuspěje s reklamací u banky, může spor předložit finančnímu arbitrovi, ale výsledek závisí na posouzení konkrétních okolností.

Jak se bránit a co dělat, když se to stane

ČSSZ a Policie ČR shodně uvádějí varovné znaky podvodného hovoru:

• Tlak na okamžité rozhodnutí, žádný čas na rozmyšlenou
• Požadavek na hesla, PIN, údaje z karty nebo přihlašovací údaje
• Výzva k instalaci aplikace nebo vzdáleného přístupu
• Odkaz zaslaný SMS během hovoru
• Hrozba zastavením důchodu nebo jiné dávky

Pokud máte podezření, že vám volá podvodník: zavěste. Poté kontaktujte ČSSZ na oficiální bezplatné lince 800 050 248 nebo banku na čísle uvedeném na kartě, nikdy ne na čísle, které se zobrazilo při podezřelém hovoru.

Pokud už jste údaje sdělili:

• Okamžitě volejte banku a zablokujte kartu i přístup do bankovnictví.
• Podejte oznámení na Policii ČR (linka 158).
• Podvodné SMS nebo čísla nahlaste operátorovi.
• Sepište reklamaci u banky; při zamítnutí se obraťte na finančního arbitra.

Opakující se vlna, ne ojedinělý případ

ČSSZ vydala od ledna 2024 nejméně čtyři samostatná varování před zneužitím svého jména, v lednu 2024, prosinci 2024, lednu 2025 a listopadu 2025. Poslední varianta zahrnovala i podvodníky, kteří se vydávali za „firmy pověřené ČSSZ“ a odkazovali na ČNB. Policie v září 2025 označila vishing za jednu z nejčastějších forem kybernetických podvodů a seniory za jednu z nejohroženějších skupin.

Annin příběh se v otevřených zdrojích nepodařilo nezávisle doložit konkrétním policejním spisem ani rozhodnutím banky. Detaily proto uvádíme jako její tvrzení. Na mechanismu podvodu to ale nic nemění, je zdokumentovaný, opakuje se a funguje právě proto, že spojuje autoritu státní instituce s existenčním strachem.

Osmdesát tisíc korun naspořených z důchodu představuje pro člověka jako Anna měsíce odříkání. Podvodníkům stačil jeden telefonát a pár minut. Nejúčinnější obranou zůstává jediné: zavěsit a ověřit si sám.

Jak z omylu vznikne vztah, který nikdy nebyl

Celý podvod stojí na jednom psychologickém principu: kdo odpoví na zdánlivě nevinnou zprávu, otevírá dveře. Americká Federální obchodní komise (FTC) řadí zprávy typu „špatné číslo“ mezi nejčastější podvodné SMS roku 2024 a výslovně upozorňuje: i krátká odpověď potvrdí, že číslo je aktivní, a může spustit celý scénář.

Osoba vystupující jako Martin postupovala podle vzorce, který odborná literatura popisuje téměř učebnicově. Pravidelný kontakt. Zájem o detaily z Viktoriina života. Zrcadlení jejích hodnot a zájmů. Pocit výlučnosti: „s nikým si tak nerozumím.“ Pak příslib setkání, které se nikdy neuskuteční. A nakonec krize: pobyt v zahraničí, nedostupný účet, naléhavá prosba o pomoc. FBI definuje romance scam právě jako situaci, kdy pachatel použije falešnou identitu, získá náklonnost a důvěru a následně oběť zmanipuluje k odeslání peněz.

Důležité je, že klíčový moment nenastal ve chvíli, kdy Viktorie poslala peníze. Nastal mnohem dřív, v okamžiku, kdy cizímu člověku dovolila, aby z náhodného kontaktu udělal pravidelný intimní komunikační kanál.

Dvě tisícovky jako test poslušnosti

Částka 2 000 korun se může zdát zanedbatelná. Jenže právě v tom spočívá její funkce. Malá první platba je bezpečnější vstup než rovnou vysoký požadavek: ověří ochotu pomoci, aniž by vyvolala poplach. FTC u romance scamů eviduje medián nahlášené ztráty 4 400 dolarů (přes 100 000 Kč). Česká policie dokumentuje případy od necelých 30 000 Kč až po extrémní kauzu na Chomutovsku, kde oběť přišla o více než 1,55 milionu korun včetně bytu.

U Viktorie k eskalaci nedošlo. Po první platbě „Martin“ psal méně a méně, až číslo skončilo neaktivní. Podle policejních i zahraničních zdrojů je to jeden ze dvou typických scénářů: buď pachatel žádá víc, nebo po úspěšném testu zmizí a přesune se na další oběť.

Odkud pachatel operuje a jak získal číslo

Policie ČR opakovaně upozorňuje na profesionalizaci online podvodů. Pachatelé často operují z call center ve východní Evropě, jihovýchodní Asii nebo Africe. Číslo může působit lokálně díky spoofingu, přestože volající sedí tisíce kilometrů daleko. Telefonní čísla obětí bývají generována náhodně, získána z webů, kde lidé zadali kontakt, nebo nakoupena z databází obchodovaných na dark webu.

„Martin“ tedy s největší pravděpodobností nebyl ani Martin, ani Čech, ani jednotlivec. Mohl to být operátor v jednom z desítek podobných scénářů běžících paralelně.

Co dělat, když přijde zpráva „omylem“, a co po podvodu

Prevence je jednoduchá a nezdvořilá: neodpovídat. FTC doporučuje takové zprávy ignorovat, smazat a nahlásit jako spam. Pokud už komunikace běží, varovné signály vypadají takto:

• Neznámý kontakt chce rychle přejít na soukromý chat.
• Silné city bez jediného osobního setkání nebo videohovoru.
• Příběh o pobytu v zahraničí, vojenské misi, práci na plošině.
• Kamera „nefunguje“, setkání se neustále odkládá.
• Jakákoli žádost o peníze, údaje ke kartě nebo k účtu.

Pokud už k odeslání peněz došlo, Česká národní banka radí okamžitě kontaktovat svou banku a pokusit se platbu zastavit. Druhý krok je podání oznámení Policii ČR, s uloženými screenshoty konverzace, čísly a údaji o platbě. Reálná šance na vrácení peněz závisí na typu transakce: u karetní platby může banka zvážit chargeback, u běžného převodu z účtu na účet tato možnost neexistuje.

Čísla, která rostou, i když je nikdo přesně nepočítá

Policie ČR romance scamy jako samostatnou kategorii statisticky nevede. Přiznává ale, že oproti phishingu nebo bazarovým podvodům mají nižší zastoupení, a mnohonásobně vyšší průměrnou škodu na jednu oběť. Celková kyberkriminalita v Česku v roce 2025 dosáhla 21 137 registrovaných skutků, meziročně o 14,3 % více. Kolik z nich začalo nevinnou SMS „Ahoj, platí zítra ten sraz?“, nikdo neví. Odborná literatura navíc popisuje takzvané dvojí trauma: oběť ztrácí nejen peníze, ale i vztah, o kterém byla přesvědčena, že je skutečný. Stud pak brání nahlášení.

Viktorie o dvě tisícovky přišla. Získala ale něco, co má vyšší hodnotu než ta částka: zkušenost, kterou je ochotná sdílet. Příště, až jí přijde zpráva z neznámého čísla, neodpoví. A pokud právě v telefonu máte rozběhnutou konverzaci s někým, koho jste nikdy neviděli na vlastní oči, možná je čas ji ukončit dřív, než přijde ta prosba o pomoc.