Přijde vám e-mail od vaší banky. Logo je správné, text vypadá profesionálně, tlačítko říká „Ověřte svůj účet". Odkaz vede na stránku, která vypadá přesně jako internetové bankovnictví.
Zadáte přihlašovací údaje. A právě jste je předali podvodníkovi.
Mně nedávno přišla SMS od „PPL" s tím, že zásilka čeká na celnici a mám zaplatit 49 Kč za proclení. Odkaz vedl na stránku, která vypadala k nerozeznání od reálného webu PPL. Kdybych se nepodívala na doménu, možná bych se nechala nachytat. Tenhle scénář dostávám průměrně dvakrát týdně, vždy od jiného dopravce nebo instituce.
A v práci navíc dostávám phishingové e-maily jako součást bezpečnostního testování firmy. Phishing je nejrozšířenější forma kybernetického útoku a naučit se ho poznat je jedna z nejcennějších věcí, které pro svou digitální bezpečnost můžete udělat.
Co je phishing a proč funguje
Phishing je technika sociálního inženýrství, při které útočník předstírá, že je někým jiným: bankou, poštou, Googlem, šéfem nebo přítelem. Cílem je získat vaše přihlašovací údaje, platební informace nebo vás přimět ke stažení škodlivého souboru.
Funguje proto, že útočí na emoce, ne na technické znalosti. Nejčastější spouštěče jsou:
Urgence
„Váš účet bude zablokován do 24 hodin."
Strach
„Zaznamenali jsme podezřelou aktivitu."
Lákadlo
„Byli jste vybráni k získání odměny."
Autorita
„Zpráva od Finanční správy ČR."
Mozek v emočním stavu hůře hodnotí důvěryhodnost zprávy. Přesně s tím phishing počítá.
Proč je phishing v roce 2026 nebezpečnější
Dřív šlo phishingové zprávy poznat podle gramatických chyb a podivné češtiny. Dnes to tak jednoduché není. Útočníci využívají umělou inteligenci k generování zpráv v bezchybné češtině, s přesnou imitací vizuálního stylu bank, pojišťoven nebo zásilkových společností. Jak to funguje na straně útočníků, popisuji v článku WormGPT a phishing psaný umělou inteligencí.
Podle Zprávy o stavu kybernetické bezpečnosti ČR za rok 2025 se s phishingovými útoky setkalo devět z deseti respondentů dotazníkového šetření NÚKIB. Podle dat Policie ČR, která zveřejnil server Novinky.cz, evidovala policie od začátku roku 2026 do března přes 340 případů vishingu, tedy podvodů s falešnými bankéři a policisty, se škodou přes 150 milionů korun.
Jako IT analytička to vidím i z druhé strany. Ve firmě nás pravidelně testují simulovanými phishingovými e-maily. Pokud klikneme na odkaz, jde zpráva nadřízenému a musíme absolvovat bezpečnostní školení. Je to nepříjemné, ale funguje to. Dobře navržený phishingový e-mail může nachytat i zkušeného IT pracovníka, pokud přijde ve správný moment.
Pět varovných signálů v e-mailu
1. Podezřelá nebo nepřesná adresa odesílatele
Zobrazené jméno může být cokoliv. Co nelze snadno změnit, je skutečná e-mailová adresa. Klikněte na jméno odesílatele a zkontrolujte skutečnou adresu.
Příklady podvodných adres:
info@ceska-sporitelna-online.cz místo info@csas.cz, nebo security@google-account-alert.com místo no-reply@accounts.google.com.
2. Obecné oslovení
Legitimní organizace, u které máte účet, zná vaše jméno. „Vážený zákazníku" nebo „Dobrý den, uživateli" je signál, že odesílatel vaše jméno nezná.
3. Odkaz, který nevede, kam říká
Před kliknutím najeďte myší na odkaz. Zobrazí se skutečná URL adresa. Pokud tlačítko říká „Přihlaste se", ale odkaz vede na login-bank-secure.ru nebo jinou podivnou adresu, neklikejte.
4. Žádost o citlivé informace
Žádná legitimní banka, úřad ani technologická firma vás nikdy nepožádá o heslo, PIN nebo číslo platební karty přes e-mail. Nikdy.
5. Přílohy, které nečekáte
Neočekávaný soubor od neznámého nebo podezřelého odesílatele je klasická cesta k instalaci malwaru. Pokud přílohu nečekáte, neotevírejte ji bez ověření.
Typy podvodů, které v ČR právě kolují
SMS phishing (smishing) od dopravců
Nejčastější scénář, který dostávám, napodobuje Českou poštu, DHL nebo PPL. Zpráva oznamuje, že zásilka čeká na vyzvednutí nebo že je potřeba zaplatit drobný poplatek. Odkaz vede na falešnou stránku, která sbírá platební údaje. Lidé jsou zvyklí SMS věřit víc než e-mailům, proto má smishing vysokou úspěšnost. Kombinaci SMS a falešných hlasů rozebírám v článku deepfake a podvodné SMS.
Jak to poznat: zkontrolujte doménu v odkazu. Oficiální stránky dopravců mají přesné adresy (ppl.cz, dhl.com), ne podezřelé varianty jako ppl-delivery.eu nebo dhl-platba.cz. Pokud zásilku čekáte, ověřte stav přímo na webu dopravce ručním zadáním sledovacího čísla.
Vishing a deepfake hlasy
Při deepfake vishingu útočníci naklonují hlas příbuzného nebo bankéře z nahrávky dostupné online. Ke klonování stačí pár sekund záznamu z YouTube nebo Facebooku. Pokud vás kdokoli žádá o okamžitou akci přes telefon, zavěste a zavolejte zpět na číslo z oficiálního webu instituce. Jak falešný hlas nebo video poznat, popisuji v průvodci jak poznat deepfake.
Rodinné bezpečnostní slovo: domluvte se s blízkými na tajném slově, které AI nezná. Když vám „dcera" nebo „vnuk" volá, že je v nouzi a potřebuje peníze, zeptejte se na něj. Pokud ho volající nezná, zavěste.
Quishing: podvody přes QR kódy
Quishing se šíří přes parkovací automaty s nalepenými falešnými QR kódy nebo přes dopisy vydávající se za korespondenci od finančního úřadu. Po naskenování vás kód přesměruje na falešnou platební stránku nebo formulář pro zadání přihlašovacích údajů.
Moje pravidlo: QR kód z fyzického dopisu nebo automatu na ulici nikdy neskenuju. Vždy raději zadám adresu webu ručně.
E-mailový phishing od bank a pojišťoven
Po registraci u jakékoli finanční instituce se e-mailová adresa dostane do oběhu. Dostávám phishingové e-maily napodobující banky, které používám, pojišťovny i finanční úřad. Ty nejpropracovanější mají identický vizuál i styl komunikace jako originál.
Nedávno mi přišel e-mail, který na první pohled vypadal legitimně: banka prý potřebuje potvrdit osobní údaje kvůli nesouladu s registrem obyvatel. Zavolala jsem přímo na infolinku banky. Tentokrát to bylo legitimní, ale bez ověřovacího telefonátu bych to od phishingu nerozlišila. Přesně tohle je podstata problému, a proto doporučuji ověřovat vždy jinou cestou, než kterou zpráva přišla.
Jak rychle může únik dat přerůst v cílený phishing, ukazuje aktuální únik dat z Rohlíku.
Investiční podvody po registraci u brokera
Tenhle typ je méně diskutovaný, ale čím dál rozšířenější. Po registraci u brokerské platformy začínají chodit nabídky na exkluzivní IPO, garantované výnosy z kryptoměn nebo investice s tvářemi známých osobností v reklamách. Zprávy přicházejí e-mailem i přes WhatsApp a LinkedIn.
Princip je vždy stejný: naléhavá příležitost, exkluzivní přístup, časový tlak. Žádná legitimní investiční příležitost takto nefunguje.
Falešné weby: jak poznat podvodnou stránku
URL adresa
Podívejte se do adresního řádku prohlížeče. Falešné stránky používají domény jako csas-online.cz nebo google-security-check.com. Legitimní weby mají jednoduchou přesnou doménu: csas.cz, google.com, paypal.com.
HTTPS neznamená bezpečnost
Zámek v prohlížeči říká, že připojení je šifrované. Neznamená, že stránka je legitimní. Podvodné weby dnes HTTPS mají standardně.
Kvalita obsahu
Překlepy, gramatické chyby nebo texty, které nepůsobí přirozeně česky, jsou stále varováním. Jejich absence ale dnes nic nezaručuje, protože texty často píše AI.
Jak poznám, že to je podvod: můj postup
Po letech každodenního setkávání s phishingem mi funguje tenhle přístup.
Všimnu si emocí. Naléhavost, strach ze sankce, radost z výhry nebo strach o příbuzného jsou klasické spouštěče. Pokud zpráva vyžaduje okamžitou akci bez prostoru na rozmyšlení, je to první varování.
Zkontroluji doménu nebo číslo odesílatele. U e-mailů koukám na skutečnou adresu, ne jen na zobrazené jméno. U SMS si všímám, jestli číslo odpovídá běžné komunikaci dané instituce.
Nikdy neklikám na odkaz v e-mailu ani SMS. Adresu webu zadám ručně do prohlížeče, nebo zavolám přímo na číslo z oficiálního webu instituce.
V práci reportuji podezřelé e-maily. Nikdy je nepřeposílám ani neotevírám přílohy, i kdyby zpráva vypadala jako interní komunikace.
Co dělat, když phishing dostanete
Neklikli jste
Označte e-mail jako spam a smažte ho. Nahlaste ho na phishing@cert.cz.
Klikli jste, ale nic nezadali
Prohledejte zařízení antivirem a preventivně změňte hesla.
Zadali jste přihlašovací údaje
Okamžitě změňte heslo k danému účtu, zapněte dvoufaktorové ověřování a informujte poskytovatele služby.
Zadali jste platební údaje
Zavolejte bance na číslo ze zadní strany karty a kartu nechte zablokovat. Nečekejte, každá minuta se počítá.
Podrobný postup krok za krokem najdete v článku co dělat, když otevřu podvodný e-mail.
Nástroje, které pomáhají
Technické nástroje nejsou náhrada za obezřetnost, ale snižují riziko chyby ve chvíli nepozornosti. Správce hesel jako NordPass nebo Proton Pass vyplňuje hesla automaticky pouze na skutečné doméně. Na falešné kopii webu heslo nevyplní, a to je pro mě spolehlivý varovný signál. Jak vybrat ten správný, porovnávám v článku výběr správce hesel.
Dvoufaktorové ověřování znamená, že i kdyby útočník vaše heslo získal, bez druhého faktoru se do účtu nedostane. Jak ho zapnout, vysvětluji v článku co je dvoufaktorové ověřování.
NordPass: správce hesel, který pozná falešný web za vás
NordPass vyplňuje hesla pouze na skutečné doméně. Na podvodné kopii webu heslo nevyplní. Používám ho s rodinným plánem, který chrání celou domácnost.
Vyzkoušet NordPassAffiliate odkaz: podpoříte tím provoz webu bez navýšení ceny.
Časté otázky
Co dělat, když kliknu na phishingový odkaz?
Pokud jste na falešné stránce nezadali žádné údaje, pravděpodobně se nic nestalo, preventivně prohledejte zařízení antivirem. Pokud jste zadali přihlašovací jméno a heslo, okamžitě ho změňte všude, kde ho používáte, a zapněte dvoufaktorové ověřování. Pokud jste zadali platební údaje, zavolejte bance na číslo ze zadní strany karty a požádejte o zablokování karty.
Jak funguje deepfake vishing a jak ho poznat?
Útočník nahraje hlas příbuzného nebo bankéře z veřejně dostupné nahrávky a pomocí AI ho naklonuje. Výsledkem je telefonát, který zní jako skutečná osoba. Nejspolehlivější obranou je domluvené bezpečnostní slovo v rodině. Pokud ho volající nezná, zavěste a zavolejte zpět na známé číslo.
Je každá SMS od DHL nebo PPL podvod?
Ne, dopravci SMS legitimně posílají. Podvodná zpráva vyžaduje platbu nebo přihlášení přes odkaz s podezřelou doménou. Zásilku vždy ověřte ručním zadáním sledovacího čísla na webu dopravce.
Jak ověřím, jestli je e-mail od banky pravý?
Neklikejte na odkaz v e-mailu. Otevřete web nebo aplikaci banky přímým zadáním adresy a zkontrolujte, jestli tam na vás nějaká výzva čeká. V případě pochybností zavolejte na infolinku banky. Banky nikdy nežádají heslo, PIN ani sken dokladu přes e-mail.
Závěr: phishing spoléhá na spěch
Tři vteřiny pozornosti, tedy adresa odesílatele, URL odkazu a podstata žádosti, stačí na to, aby vás ochránily v drtivé většině případů. Pokud pomáháte s bezpečností rodičům nebo prarodičům, projděte si digitální bezpečnost pro seniory.
Pokud jste dostali podezřelou zprávu a nevíte, jestli jde o podvod, napište mi na vladka@digitalnibezpeci.cz.
Přečtěte si také
Chcete se chránit před digitálními hrozbami?
Projděte si náš průvodce ochranou soukromí a zjistěte, jak se efektivně bránit.