Naposledy aktualizováno: 14. října 2026
Článek obsahuje jeden partnerský odkaz. Pokud si produkt pořídíte přes něj, dostanu provizi bez navýšení ceny pro vás.
V neděli 11. října 2026 začal Rohlík rozesílat zákazníkům e-mail o bezpečnostním incidentu. Útočník se dostal do interního nástroje zákaznické podpory a stáhl z něj část uložené komunikace. Firma zároveň ujišťuje, že databáze s hesly a platebními údaji prolomeny nebyly.
Jednou z dotčených zákaznic je i moje mamka, důchodkyně. E-mail od Rohlíku mi hned přeposlala a byla vyděšená, co to pro ni znamená. Uklidňovala jsem ji, že teď hned jí nic nehrozí: heslo ani karta neunikly a účet funguje dál. Musela jsem jí ale vysvětlit i druhou stranu. Podvodníci teď vědí, co nakupuje a o čem s podporou mluvila, a mohou se jí ozvat zprávou nebo telefonátem, který bude znít úplně věrohodně.
Spousta lidí si z toho odnesla, že se vlastně nic vážného nestalo. Vidím to opačně. Právě tahle data jsou pro podvodníky cennější než číslo karty, protože jim dávají to nejdůležitější pro uvěřitelný podvod: kontext.
Co přesně z Rohlíku uniklo
Podle e-mailu, který Rohlík poslal dotčeným zákazníkům a ze kterého vycházejí Lupa.cz i Seznam Zprávy, obsahoval napadený nástroj komunikaci zákazníků s operátory i s virtuálním asistentem z těchto období:
| Typ dat | Období |
|---|---|
| Chaty s podporou a virtuálním asistentem | 1. 4. až 5. 10. 2026 |
| Přepisy telefonních hovorů | 28. 4. až 5. 10. 2026 |
| E-maily zaslané zákaznické podpoře | 28. 6. až 22. 9. 2026 |
K tomu jména a e-mailové adresy, u části zákazníků také telefonní čísla a soubory nahrané do chatu, jak potvrdil mluvčí Rohlíku pro ČTK. Nástroj podle Lupy ukládal i přehled změn v nákupním košíku a krátké poznámky, které si virtuální asistent dělal z rozhovorů. Pokud zákazník do chatu napsal doručovací adresu nebo číslo objednávky, mohou být v datech i ty.
Rohlík incident nahlásil Národnímu úřadu pro kybernetickou a informační bezpečnost a Úřadu pro ochranu osobních údajů a chybu podle svých slov opravil. Zákazníky, kteří v komunikaci s podporou sami napsali heslo nebo údaje o kartě, kontaktoval zvlášť. Kolika lidí se únik týká, firma zatím nezveřejnila. Otevřená zůstává i otázka zahraničí, protože Rohlík podniká také v Německu, Rakousku a Maďarsku (Seznam Zprávy).
Proč jsou tato data pro podvodníky tak cenná
Únik komunikace se zákaznickou podporou je nebezpečný proto, že útočníkovi dává kontext. Nezná jen vaše jméno a e-mail, ale i to, co jste reklamovali, kdy a jakými slovy, a co jste měli v košíku. Podvodná zpráva, která na tuto komunikaci navazuje, působí jako pokračování skutečného rozhovoru s firmou.
Běžný phishing funguje jako střelba naslepo: tisíce stejných zpráv, z nichž většina skončí ve spamu. Uniklá data z podpory umožňují takzvaný spear phishing, tedy zprávu šitou na míru jednomu konkrétnímu člověku. Jakub Souček ze společnosti ESET pro Seznam Zprávy varoval před velkou vlnou phishingu a vishingu. Útočník podle něj zná předmět řešení, čísla faktur, reklamací nebo data, takže podvodná komunikace může vypadat jako navázání na tu předchozí a zaskočit i jinak ostražité lidi.
Jako IT business analytička pracuji hlavně s HR daty. Jde o osobní údaje zaměstnanců, které podléhají přísnější kontrole, a když do takových systémů nasazujeme umělou inteligenci, musíme postupovat obezřetně a v souladu s evropským AI Actem, který řadí AI používanou v oblasti zaměstnání mezi vysoce rizikové. Proto si u úniku z Rohlíku všímám hlavně jedné věci: virtuální asistent si z rozhovorů ukládal vlastní poznámky o zákaznících. Každý záznam, který AI z rozhovoru uloží, je další osobní údaj, který může uniknout.
Jak může vypadat podvod navazující na únik z Rohlíku
Rohlík sám upozorňuje, že podvodníci mohou využít znalost konkrétního zboží, aby jejich žádost působila důvěryhodně (Seznam Zprávy). Na tyto scénáře bych se připravila:
„Platba za objednávku neproběhla“
SMS nebo e-mail s odkazem na doménu, která se Rohlíku jen podobá, třeba s pomlčkou nebo slovem „platby“ v názvu. Zpráva zmíní zboží, které jste opravdu objednali, takže ji na první pohled nepoznáte od pravé.
„Vracíme vám peníze za reklamaci“
Útočník ví, že jste reklamovali třeba rozbitá vajíčka, a nabídne vrácení peněz. Pošle vám „ověřovací kód“ a pak zavolá, ať mu ho přečtete. Ve skutečnosti jde o kód, kterým potvrzujete platbu nebo přihlášení k vašemu účtu.
„Kompenzace za únik dat“
Nabídka odškodnění za nepříjemnosti, například pár set korun. Odkaz vede na formulář, který chce číslo karty „pro připsání peněz“. Žádná firma vám kompenzaci neposílá přes zadání karty do formuláře z e-mailu.
Falešný telefonát z podpory
Volající zná obsah vašeho posledního hovoru s podporou, protože má k dispozici jeho přepis. Na tom postaví důvěru a pak chce heslo, kód z SMS nebo „ověřovací platbu“. Jak se podobné hovory zneužívají v kombinaci s umělou inteligencí, popisuji v článku deepfake a podvodné SMS.
Kurýr si přijede pro hotovost
Zpráva tvrdí, že platba neproběhla a kurýr se u vás zastaví pro hotovost. Podvodník přitom zná vaši doručovací adresu z chatu. Tady už nejde jen o peníze, ale i o fyzický kontakt s cizím člověkem u vašich dveří.
Jak poznat, že zpráva od „Rohlíku“ není pravá
Detaily o vašich nákupech už nic nedokazují. Sledujte proto jiné signály:
- Přichází nečekaně a tlačí na čas. Platba „vyprší“, kurýr „je na cestě“, kompenzace „platí jen dnes“.
- Chce kód, heslo, číslo karty nebo platbu přes odkaz. O nic z toho jste předem nežádali.
- Doména není přesně rohlik.cz. Zkontrolujte i drobnosti: adresa s háčkem (rohlík.cz) nebo s pomlčkou je úplně jiná doména.
- Volající nechce, abyste zavolali zpět. Pravá podpora s ověřením přes oficiální číslo problém nemá.
Nejspolehlivější je ověřovat jinou cestou, než kterou zpráva přišla: otevřete aplikaci Rohlíku nebo web napsaný ručně do prohlížeče, případně zavolejte na číslo z oficiálního webu. Všechny varovné signály phishingu včetně SMS, hovorů a QR kódů najdete v průvodci Jak poznat phishing.
Co udělat hned, pokud nakupujete na Rohlíku
Změňte heslo, pokud jste ho kdy napsali podpoře. Rohlík to doporučuje sám. Pokud stejné heslo používáte i jinde, změňte ho všude. Unikátní heslo pro každou službu vám pohlídá správce hesel, srovnání najdete v článku jak vybrat správce hesel.
Zapněte dvoufaktorové ověřování u e-mailu. E-mail je klíč k obnově hesel ke všem ostatním účtům. Postup popisuji v článku co je dvoufaktorové ověřování.
Pokud jste do chatu posílali číslo karty, zavolejte bance. Požádejte o blokaci a novou kartu. Pokud jste nahráli sken dokladu, buďte o to ostražitější vůči každému, kdo se na vaše osobní údaje odvolává.
Upozorněte rodiče a prarodiče. Moje mamka je přesně ta skupina, na kterou podvodníci po takovém úniku cílí nejvíc. Projděte s nimi tři jednoduchá pravidla: Rohlík po nich nikdy nebude chtít heslo ani údaje o kartě, na odkaz v SMS nebo e-mailu neklikají a když jim někdo zavolá jménem Rohlíku, zavěsí a zavolají zpět na oficiální linku podpory. Jak starším blízkým nastavit základní ochranu, popisuji v článku digitální bezpečnost pro seniory.
Pro e-shopy používejte e-mailové aliasy. Proton Pass nabízí i ve verzi zdarma 10 aliasů. Každý e-shop pak zná jinou adresu, a když z některého data uniknou, alias jednoduše vypnete. Víc o něm píšu v recenzi Proton Pass.
Pokud jste na podezřelou zprávu už klikli, postupujte podle návodu co dělat, když otevřu podvodný e-mail.
Časté dotazy
Týká se únik dat z Rohlíku i mě?
Rohlík uvádí, že dotčené zákazníky informuje e-mailem, rozesílat ho začal 11. října 2026. Zkontrolujte i složku se spamem. Pravé oznámení uvádí kontakt na zákaznickou podporu 800 730 740 a zakaznici@rohlik.cz a nežádá vás o platbu ani o zadání hesla přes odkaz. Pozor, i tento e-mail mohou podvodníci napodobit, proto při pochybnostech volejte číslo z oficiálního webu, ne z e-mailu.
Unikla moje platební karta?
Podle Rohlíku platební systémy prolomeny nebyly. Výjimkou jsou situace, kdy jste číslo karty sami napsali podpoře do chatu. Tyto zákazníky firma kontaktuje zvlášť a v takovém případě doporučuji kartu u banky zablokovat.
Musím změnit heslo k účtu na Rohlíku?
Databáze hesel podle firmy zasažena nebyla. Heslo změňte, pokud jste ho kdy napsali do komunikace s podporou, nebo pokud ho používáte i u jiných služeb.
Jak dlouho bude riziko trvat?
Uniklá data nezestárnou. Jméno, adresa a historie nákupů zůstanou pro podvodníky použitelné měsíce i roky, proto počítejte s cílenými zprávami i dlouho poté, co o úniku přestanou psát média.
Kam nahlásit podvodnou zprávu, která se vydává za Rohlík?
Podvodný e-mail přepošlete na phishing@cert.cz a dejte vědět i Rohlíku přes oficiální kontakt v aplikaci nebo na webu. Pokud už došlo k finanční škodě, volejte okamžitě svou banku a policii na lince 158.
Co si z toho odnést
Únik komunikace se zákaznickou podporou nevypadá dramaticky, protože v titulcích chybí slovo „karta“. Pro podvodníka je ale kontext cennější než číslo karty, protože mu umožní napsat zprávu, které uvěříte. Nejjednodušší ochrana platí pro jakoukoli firmu: na zprávu, která chce peníze, kód nebo heslo, nikdy nereagujte přes odkaz nebo číslo ze samotné zprávy.
Pokud jste dostali zprávu, která se za Rohlík vydává, a nejste si jistí, napište mi na vladka@digitalnibezpeci.cz. Podívám se na ni s vámi.