3 chyby v internetovém bankovnictví, které dělá skoro každý. Podvodníci na ně čekají a banka vám peníze nevrátí

Jen za první čtvrtletí letošního útoku zaznamenala Česká bankovní asociace téměř 23 tisíc na klienty bank. Škody přesáhly 364 milionů korun.

Zdroj fotografie: iStock

Tři konkrétní chyby se v těchto případech opakují tak často, že je bezpečnostní experti i banky samy označují za nejběžnější vstupní bránu pro podvodníky: slabá nebo opakovaně používaná hesla a ledabylá práce s přihlašovacími údaji, přihlašování do bankovnictví přes veřejnou Wi-Fi a klikání na podvodné odkazy v SMS či e-mailech s následným zadáním údajů. Jde o chyby natolik rozšířené, že podle průzkumu Google a Morning Consult stále velká část uživatelů spoléhá na starší metody založené na heslech, a NÚKIB ještě 20. května 2026 vydal varování před aktuální smishingovou kampaní cílenou na české uživatele. Klíčové přitom je, že zákon o platebním styku přenáší ztrátu na klienta, pokud ji způsobil úmyslně nebo z hrubé nedbalosti. Banka peníze nevrátí ne proto, že nechce, ale proto, že jí to zákon v takové situaci neukládá.

Heslo jako otevřené dveře

První chyba je paradoxně ta nejbanálnější. Stejné heslo do e-mailu, e-shopu i internetového bankovnictví. Stačí, aby unikla databáze jednoho obchodu, a útočník má klíč k účtu. Zákon o platebním styku v § 165 ukládá klientům chránit osobní bezpečnostní prvky, tedy hesla, PINy a přístupové kódy, a bez odkladu hlásit jejich ztrátu nebo zneužití.

Policie ČR v únoru 2026 popsala případ, kdy žena po falešné SMS vyplnila údaje k internetovému bankovnictví na podvržené stránce. Pachatel je zneužil k založení bankovního účtu na její jméno a čerpání úvěru. Stačilo jedno heslo zadané na špatném místě.

Česká národní banka navíc upozorňuje, že i potvrzení silného ověření, například odsouhlasení operace v mobilní aplikaci, může být posouzeno jako hrubá nedbalost, pokud klient schvaloval něco, co sám nevyvolal. V tu chvíli banka podle § 182 za ztrátu neodpovídá.

Veřejná Wi-Fi: pohodlí, které stojí za to přehodnotit

Kavárna, letiště, hotel. Připojit se k Wi-Fi a zkontrolovat zůstatek na účtu je lákavé. Jenže riziko nespočívá jen v odposlechu dat; CERT Polska upozorňuje především na falešné hotspoty, které mohou uživatele přesměrovat na phishingové přihlašovací stránky. Člověk si myslí, že se přihlašuje do banky, a přitom zadává údaje útočníkovi.

NÚKIB ve svých doporučeních říká jasně: přes veřejnou Wi-Fi se do internetového bankovnictví raději nepřihlašujte. Pokud musíte použít VPN, vytvoříte si šifrovaný tunel mezi vaším zařízením a serverem a ztížíte tak odposlech. Ale pozor: VPN neochrání před phishingem. I přes VPN můžete kliknout na falešný odkaz a zadat údaje na podvrženou stránku.

Podvodný odkaz: jeden klik, prázdný účet

Třetí chyba je nejnebezpečnější, protože kombinuje techniku s psychologickým tlakem. Přijde SMS: „Vaše zásilka čeká na zaplacení cla.“ Nebo: „Policie ČR, ověřte svou totožnost.“ Odkaz vede na stránku, která vypadá jako web banky nebo státní instituce. Oběť zadá údaje, potvrdí operaci v aplikaci a peníze jsou pryč.

CERT Polska ve své analýze kampaně NGate popsal ještě sofistikovanější variantu: po phishingu oběť nainstalovala falešnou aplikaci, přiložila platební kartu k telefonu, zadala PIN a útočník na druhém konci vybral hotovost z bankomatu, aniž kartu fyzicky držel. Celý řetězec od SMS po výběr trval několik minut.

Policie ČR to shrnuje jednoduše: „Stačí jediný telefonát.“ A připomíná pravidlo 3Z: zastavit se, zamyslet se, zavolat zpět na oficiální číslo banky.

Co říká zákon a proč je to důležité pro podnikatele

Právní rámec je pro všechny české banky stejný. Zákon o platebním styku v § 181 ukládá bance napravit neautorizovanou transakci nejpozději do konce následujícího pracovního dne. Ale § 182 říká, že klient nese ztrátu v plném rozsahu, pokud ji způsobil podvodně, úmyslně nebo z hrubé nedbalosti. A § 188 stanoví lhůtu: oznámení musí přijít bez zbytečného odkladu, nejpozději do 13 měsíců.

Česká spořitelna to má ve svých všeobecných obchodních podmínkách napsané natvrdo: porušení bezpečnostních pravidel může být posouzeno jako hrubá nedbalost a banka pak za škodu neodpovídá. Raiffeisenbank staví ochranu na denních online limitech a notifikacích. Fio nabízí hlásiče s push upozorněními zdarma.

Pro OSVČ a drobného podnikatele je tohle téma ještě palčivější. Vyšší částky na účtu, častější platby, práce z mobilu na cestách. Stejná chyba, která běžného klienta připraví o pár tisíc, může podnikateli zastavit provoz firmy. Podle nás má smysl držet denní limit co nejníž a zvyšovat ho jen na dobu konkrétní platby; třeba Raiffeisenbank to umožňuje přímo v aplikaci.

Jak se bránit: pět kroků, které zaberou pět minut

• Přihlašujte se jen přes oficiální aplikaci nebo ručně zadanou adresu banky. Nikdy přes odkaz v SMS nebo e-mailu.
• Čtěte, co v aplikaci potvrzujete. Pokud vidíte operaci, kterou jste sami nezadali, nepotvrzujte ji.
• Zapněte si push notifikace. U Fio přes hlásiče, u Raiffeisenbank v nastavení notifikací, u České spořitelny v aplikaci George. Konkrétní postup se liší podle banky.
• Snižte denní limity. Zvyšujte je jen tehdy, když víte, že budete platit vyšší částku.
• Na veřejné Wi-Fi bankovnictví neřešte. Pokud musíte, použijte VPN, ale ani ta nenahradí zdravý rozum.

Pokud potřebujete nahlásit podezřelou transakci, jednejte okamžitě: kontaktujte banku, zablokujte kartu i přístup, zastavte další pohyby na účtu a podejte oznámení na policii.

Tři chyby, které vypadají nevinně. Zákon, který v takové chvíli může stát na straně banky. A podvodníci, kteří přesně vědí, že většina lidí si přečte varování, a stejně klikne.