Rubrika: Technologie & AI Autor: V Délka čtení: ~27 min Prameny a další četba: 22 položek Témata: kyberbezpečnost, bankovní podvody, phishing, smishing, vishing, MFA SEO / pracovní titulek: Jak poznat podvodný e-mail, SMS nebo telefonát?
Otázka zní: jak poznat podvodný e-mail, SMS nebo telefonát? Zní jednoduše jen do chvíle, než si všimneme, že neporovnáváme jednu věc. Číslo na displeji není identita. Phishing není vishing a vishing není smishing. MFA není zámek proti nátlaku. Autorizovaná platba, kterou jste sami potvrdili, už není neautorizovaná. Teprve když se tyto čtyři věci oddělí, jde číst, co Policie ČR, NÚKIB, ČNB a ČBA k rokům 2024 a 2025 skutečně měří — a co z toho plyne dřív, než odejdou peníze.
1. Banka, policie a úřad vidí stejný hovor ve třech statistikách
Představme si odpoledne v domácnosti. Na displeji se objeví známý název banky. Hlas tvrdí, že na účtu běží podezřelá operace. Zpráva v telefonu žádá potvrzení. V e-mailu leží odkaz na „bezpečné ověření“. Člověk se neptá na definici kyberprostoru. Chce vědět, zda právě mluví s bankou, nebo s někým, kdo banku napodobuje.
Jenže instituce, které problém popisují, nevidí stejnou jednotku. Policie ČR a Ministerstvo vnitra sledují registrované skutky v kyberprostoru. V roce 2024 jich bylo 18 495, tedy 10,67 % z 173 322 skutků celkové kriminality, meziročně o 5,5 % méně; objasněnost byla 15,4 % [1][2]. V roce 2025 jich bylo 21 137, tedy 12,4 % z 170 051 skutků, meziročně o 2 642 více, tedy o 14,3 %; objasněnost byla 15,1 % [3][4]. To je široká policejní kategorie. Není to počet podvodných hovorů.
ČSÚ a trestní statistika u úzké kvalifikované kyberkriminality podle § 230 až 232 trestního zákoníku ukazují jiný součet: 1 224 skutků v roce 2025, o 93 méně než předchozí rok, tedy o 7,1 % [5]. NÚKIB zase eviduje kybernetické incidenty podle svého zákonného a pracovního rámce. V roce 2024 jich bylo 268, z toho 1 velmi významný a 18 významných [6]. V roce 2025 uvádí Ministerstvo vnitra ve zprávě 203 incidentů citovaných z NÚKIB [4]. Česká bankovní asociace mluví o klientech členských bank, jejich škodách a útocích [12][13].
Na první pohled je to jedna hrozba. Ve skutečnosti každý sčítá jiný objekt. Policie vidí skutky. ČSÚ úzkou právní kategorii. NÚKIB incidenty u regulovaných a oslovených organizací. ČBA klienty bank. ČNB právní režim a stížnosti. Proto mohou být všichni částečně správně a společné číslo „kolik bylo podvodných hovorů“ přesto nejde poctivě sestavit.
Známé číslo na displeji není totožnost.
— Jiný Kontext
2. Jedna žádost o akci má nejméně pět vrstev
Podvod nezačíná škodou. Začíná kanálem. E-mail má hlavičku, odkaz a přílohu. SMS nebo RCS má krátkou zprávu, název odesílatele a často tlak na rychlost. Hovor má hlas, intonaci a možnost vyvolat okamžitý strach. Messenger přidává zdání osobního vztahu. Každý kanál nese jiné stopy a jiný rytmus rozhodování.
Druhá vrstva je maska odesílatele. Může jít o název banky v SMS, podobnou doménu v e-mailu nebo podvržené volající číslo. Maska snižuje odpor. Neprokazuje totožnost. To je první praktické pravidlo: identita nezačíná tím, co ukazuje displej. Začíná tím, zda ověření proběhne kanálem, který jste si vybrali vy a který znáte předem.
Třetí vrstva je scénář. Některé legendy staví na strachu: účet je napaden, policie vyšetřuje, někdo zneužil občanku. Jiné staví na chamtivosti: investice, rychlý výnos, zmeškaná příležitost. Další staví na důvěře: kolega, rodina, známý hlas. Časový tlak není důkaz pravosti. Je to součást scénáře.
Čtvrtá vrstva je požadovaná akce. Vyplnit údaj. Nadiktovat kód. Potvrdit MFA. Poslat peníze. Instalovat vzdálený přístup. Právě tady se mění podezřelá zpráva ve škodu. Pátá vrstva je náprava: banka, Policie ČR, finanční arbitr nebo soud, podle toho, co se stalo a jaký právní režim platí. Žádná z těchto vrstev není instantní vratka.
Tato stavba je důležitá, protože obrana nemá hádat, jak přesvědčivá je maska. Má zastavit akci. Pokud hovor žádá kód, problém není jen hlas. Pokud SMS žádá kliknutí, problém není jen text. Pokud e-mail žádá přihlášení přes odkaz, problém není jen logo. Vždy se ptáme, jakou akci po nás kanál chce a zda ji ověřujeme jinde.
3. Číslo na displeji není identita
Člověk má sklon věřit tomu, co vypadá známě. Název banky ve zprávě, číslo infolinky na displeji, jméno úřadu v e-mailu. Jenže ČNB i NÚKIB upozorňují na podvodné telefonáty a spoofing, tedy situace, kdy se podvodník snaží vypadat jako známá instituce [7][9][11]. Z toho neplyne, že každé známé číslo je podvržené. Plyne z toho, že známé číslo samo neověřuje totožnost.
Technické systémy pro ověřování volajícího čísla řeší jen část problému. Americký rámec STIR/SHAKEN, o němž píše FCC, pracuje s autentizací telefonního čísla v síti a se vztahem operátorů k číslu [18]. To je užitečná vrstva. Není to důkaz, kdo přesně mluví, proč volá a zda má právo žádat vaši akci. Úspěšnost obdobného ověřování v českých sítích není v dosie veřejně vykázána jako mapa, podle níž by se dal hodnotit každý hovor.
Vyhledat číslo na internetu nestačí. Pokud maska ukazuje číslo banky, internet jen potvrdí, že číslo skutečně patří bance. Neprokáže, že z něj právě volá banka. Správný krok je jiný: zavěsit, nevolat zpět na číslo z displeje a použít oficiální kontakt z webu instituce, z platební karty nebo z aplikace. Kde banka nabízí ověření hovoru v aplikaci, je to lepší kontrola než hlas v telefonu.
Identita tedy není to, co přijde k vám. Identita je to, co ověříte vy. To je malý posun, ale mění celé rozhodování.
4. Phishing není vishing. Vishing není smishing
Slovo phishing se často používá pro všechno. Pro e-mail, SMS i telefonát. Prakticky to pomáhá v nadpisu, ale škodí při obraně. E-mailový phishing zanechává jiné stopy než smishing v SMS a vishing v hlasovém hovoru. ČNB ve svém přehledu kanály rozlišuje [9][10]. Smysl je jednoduchý: stejný cíl, jiný kanál, jiný test.
U e-mailu lze řešit adresu, doménu, hlavičku, přílohu a odkaz. U SMS je prostoru málo a větší roli hraje název odesílatele, naléhavost a odkaz. U hovoru působí tlak v reálném čase. Člověk nemá čas v klidu číst. Proto je u hovoru tak důležité zavěsit. Ne proto, že hovor je vždy podvod. Protože stejný kanál, který vyvolal tlak, nemá být kanálem ověření.
ENISA ve zprávě Threat Landscape 2025 pracuje s evropským datasetem 4 875 incidentů za období od 1. července 2024 do 30. června 2025. Uvádí, že 77 % incidentů bylo typu DDoS a že phishing se objevuje přibližně u 60 % jako vektor průniku [17]. Tato čísla nelze převést na větu, že 60 % české trestné statistiky tvoří phishing. Měří jinou populaci a jinou jednotku. Přesto připomínají, že sociální vstup do systému zůstává důležitý i tam, kde se pak incident popíše technickým jazykem.
Z praktického hlediska je lepší zapomenout na nálepku a podívat se na požadavek. Chce kanál údaj? Chce kód? Chce potvrzení? Chce převod? Chce vzdálený přístup? Pokud ano, obranou není určit správné latinské slovo. Obrana je druhý kanál.
5. Široký kyberprostor není úzká kyberkriminalita
Rok 2025 přinesl podle Policie ČR a Ministerstva vnitra 21 137 registrovaných skutků v kyberprostoru [3][4]. Stejný rok ale ČSÚ v úzké kvalifikované kyberkriminalitě podle § 230 až 232 trestního zákoníku uvádí 1 224 skutků [5]. Obě čísla mohou být správná. Neměří totéž.
Široký kyberprostor zahrnuje skutky, u nichž digitální prostředí hraje podstatnou roli. Může jít o inzertní podvody, investiční legendy, phishing a další formy sociálního inženýrství. Úzká kvalifikovaná kyberkriminalita míří na trestné činy kolem neoprávněného přístupu k systému, hesel a podobných jednání. Pokud někdo po telefonu přesvědčí člověka k převodu, může to ve statistikách vypadat jinak než útok na systém.
Objasněnost 15,1 % v roce 2025 u skutků v kyberprostoru není podíl vrácených peněz [3][4]. Je to policejní ukazatel objasnění skutku. Může existovat případ, který je objasněn, ale peníze nejsou zpět. A může existovat platba, kterou banka pomůže zastavit, aniž by z toho plynulo rychlé objasnění celé sítě pachatelů.
Tady se znovu ukazuje, proč nestačí jedno velké číslo. Čtenář nepotřebuje vědět jen to, jak velký je problém v součtu. Potřebuje vědět, kdy přestat jednat v kanálu, který po něm žádá akci. Statistiky ukazují rozsah. Nerozhodují za něj v minutě hovoru.
6. Incident NÚKIB není trestný čin PČR
NÚKIB je důležitá instituce, ale jeho statistika není totéž co policejní statistika trestných činů. V roce 2024 evidoval 268 kybernetických incidentů, což dosie popisuje jako rekord řady; z nich byl 1 velmi významný a 18 významných [6]. V dotazníkovém šetření 415 respondentů, z toho 324 regulovaných a 91 neregulovaných, se s phishingem setkalo více než 90 % respondentů a s podvodnými e-maily více než 80 % [6]. NÚKIB uvádí, že tato dotazníková data neověřoval. „Setkalo se“ není totéž co „utrpělo škodu“.
V roce 2025 uvádí Ministerstvo vnitra 203 incidentů citovaných z NÚKIB; pokles proti roku 2024 souvisel hlavně s DDoS [4]. Přímé stažení PDF zprávy NÚKIB za rok 2025 se podle dosie k 1. září 2026 nenačetlo. Proto je přesné držet se toho, co uvádí MV, a nepřidávat vlastní jistotu.
NÚKIB také u podvodných telefonátů občanům vymezuje hranici své agendy [7]. To neznamená, že hovor není nebezpečný. Znamená to, že jiná instituce sleduje jiný díl problému. Kampaň Velké odhalení může být užitečný zdroj varování a vzdělávání [21]. Není to policejní řada skutků.
Rozlišit tyto věci je praktické. Když firma řeší incident, ptá se na systémy, povinnosti a hlášení. Když domácnost řeší hovor od údajné banky, ptá se na ověření identity a zastavení akce. Obojí patří do kyberbezpečnosti. Nejsou to stejné dveře.
7. MFA není zámek proti nátlaku
Silné ověření chrání proti mnoha útokům. Zákon o platebním styku s ním pracuje jako s povinností poskytovatele v určených situacích [14]. Jenže MFA není kouzelný zámek proti sociálnímu inženýrství. Pokud útočník přiměje člověka, aby ověření sám potvrdil, technologie splnila část své úlohy a člověk zároveň udělal akci, kterou neměl dělat.
ČNB 27. září 2024 varovala před podvody s multifaktorovou autentizací. Popisuje situaci, kdy oběť sama potvrdí ověření, a upozorňuje, že po takovém potvrzení může spotřebitel nést ztrátu [8]. To je nepříjemné, ale pro obranu zásadní. MFA má zastavit neoprávněné použití bez součinnosti. Hůře zastaví stav, kdy člověk pod tlakem součinnost poskytne.
Z toho neplyne, že oběť si za podvod „může sama“ v morálním smyslu. Plyne z toho, že právní a provozní režim se po potvrzení mění. Banka, policie, ČNB, finanční arbitr a soud nebudou řešit jen to, že hovor zněl přesvědčivě. Budou řešit, co bylo potvrzeno, jaké informace člověk viděl a zda šlo o hrubou nedbalost.
Praktická věta je krátká: nepotvrzujte MFA, které jste sami nespustili. Pokud vám někdo v hovoru říká, že máte potvrdit ověření, aby vás ochránil, ověřte situaci jiným kanálem. Ne v tomtéž hovoru.
8. Autorizovaná platba už není neautorizovaná
Slovo „neautorizovaná“ zní v bankovním podvodu přirozeně. Někdo vás okradl, tedy platba přece nebyla vaše. Jenže zákon o platebním styku rozlišuje situace, kdy platební transakci neautorizujete, a situace, kdy ji potvrdíte, byť podvodně vylákaným scénářem [14]. ČNB ve svých vysvětleních upozorňuje, že spotřebitel, který sám potvrdí částku a příjemce nebo jinou akci, může nést ztrátu jako hrubou nedbalost [8][9].
To není totéž jako odcizená karta bez součinnosti klienta. U vzdáleného podvodu je klíčové, zda člověk sdělil údaje, potvrdil MFA, schválil převod nebo jinak pomohl transakci projít. Právě proto je tolik doporučení zaměřeno na akci, ne na vzhled zprávy.
Z toho neplyne, že každý případ je předem prohraný. ČNB sama zdůrazňuje okolnosti a zároveň říká, že spory o vrácení peněz nerozhoduje; k tomu slouží finanční arbitr nebo soud podle povahy věci [9]. Plyne z toho něco praktičtějšího: obrana musí přijít před potvrzením, ne až po něm.
Když je platba pryč, zbývá rychlá reakce: kontaktovat banku, zablokovat další možnost zneužití a podat oznámení Policii ČR. Banka může zkusit odchozí platbu zastavit. To však není totéž jako nárok na automatické vrácení.
9. Škoda ČBA není škoda PČR
Česká bankovní asociace u roku 2025 uvádí podle tiskové konference a citací průměrnou škodu 23 462 Kč na klienta členských bank, který škodu utrpěl. Dále se mluví o necelých 91 tisících útoků, 12,2 miliardy Kč zachráněných bankami a pokusu přes 14 miliard Kč [12][13]. Tato čísla jsou důležitá, ale mají přesné hranice.
Nejde o medián. Nejde o celou populaci České republiky. Nejde jen o vishing. Definice jednotky „útok“ je interní a oficiální PDF asociace s úplnou metodikou podle dosie k datu rešerše chybí. Nelze proto vypočítat jednoduchý podíl obětí, které dostaly peníze zpět po odeslání. Ani nelze tato čísla sečíst s policejními skutky a vytvořit z nich jedno univerzální měřítko.
To neoslabuje praktickou zprávu. Banky zachytí velký objem pokusů a škoda u těch, kteří ji utrpí, není drobná. Jenže pro čtenáře je klíčový mechanismus: zachráněná částka obvykle znamená zásah před dokončením škody nebo v jejím bezprostředním okolí. Pokud člověk sám potvrdí převod a čas běží, prostor pro nápravu se zužuje.
Proto je přesnější říct: čísla ČBA ukazují bankovní část problému. Policejní čísla ukazují trestní část problému. ČNB ukazuje právní režim. Obrana uživatele leží mezi nimi, v rozhodnutí neudělat požadovanou akci v kanálu, který vyvolal tlak.
10. SIM farma vysvětluje masku. Nevysvětluje váš převod
Europol ve zprávě IOCTA 2026 popisuje operaci z roku 2025 proti infrastruktuře, která podle něj zahrnovala 40 000 SIM karet, síť 7 lotyšských státních příslušníků, nejméně 1 200 SIM-boxů a čísla z více než 80 zemí. Na základě služby mělo být vytvořeno více než 49 milionů online účtů [16]. To je příklad industrializace. Ne EU součet všech podvodů a ne počet českých obětí.
Taková čísla pomáhají pochopit, proč podvod nemusí vypadat amatérsky. Infrastruktura, pronajaté služby, automatizace a AI-asistovaná impersonace snižují cenu masky. Podvodník nemusí být sám technicky zdatný ve všem. Může využívat služby, které zjednodušují rozesílání, správu účtů nebo napodobení instituce. Tady je ale nutná hranice: popis infrastruktury není návod k jejímu použití.
Pro obranu čtenáře není nejdůležitější, jak přesně se maska skládá. Důležité je, že maska sama nic neprokazuje. Pokud útočník umí lépe vypadat jako banka, tím spíše nemá rozhodovat vzhled. Má rozhodovat akce a druhý kanál.
SIM farma tedy vysvětluje, proč může přijít hodně přesvědčivých kontaktů z různých čísel. Nevysvětluje, proč by člověk měl potvrdit převod. Mezi maskou a škodou je ještě krok. Ten krok je třeba zdržet, přerušit a ověřit.
11. Deepfake hlas není podmínkou legendy
Deepfake hlas mění hranici důvěry. Pokud lze napodobit něčí hlas, sluch přestává být dostatečný test identity. Jiný Kontext se tomu věnuje v samostatném textu o deepfake známém hlasu [22]. Tento článek nechce stejný argument opakovat. U e-mailu, SMS a běžného hovoru stačí říci méně: většina obran nestojí na rozpoznání hlasu. Stojí na druhém kanálu.
Mnoho doložených legend nepotřebuje syntetický hlas. Stačí známé číslo na displeji, naléhavý scénář a výzva k akci. Člověk pod tlakem neověřuje proto, že by věřil umělé inteligenci. Ověřuje proto, že chce rychle zastavit škodu, kterou mu volající právě popsal.
To je důvod, proč není dobré učit lidi poslouchat „divnosti“ v hlase jako hlavní obranu. Hlas může být pravý a žádost falešná. Hlas může být neznámý a hovor pravý. Hlas může být syntetický a technicky přesvědčivý. Testem není sluch. Testem je návrat k předem známému kanálu.
Deepfake tedy patří do obrazu. Ale jen jako další vrstva masky. Ne jako nutná podmínka podvodu a ne jako důvod měnit základní pravidlo: akci nepotvrzovat v kanálu, který ji vyžádal.
12. Objasněnost není vrácená částka
Policejní objasněnost skutků v kyberprostoru byla 15,4 % v roce 2024 a 15,1 % v roce 2025 [2][3]. Tato čísla měří práci s trestním skutkem v policejní statistice. Neříkají, kolik obětí dostalo peníze zpět. Neříkají ani, že u zbylých případů se nic nestalo. Říkají, jaký podíl skutků byl objasněn podle pravidel dané statistiky.
Bankovní záchyt je jiná věc. ČBA uvádí 12,2 miliardy Kč zachráněných v roce 2025 [12][13]. To je bankovní ochrana a reakce na pokusy. Není to policejní objasněnost. ČNB je další vrstva: dohlíží, vysvětluje režim, přijímá podněty, ale nerozhoduje spor klienta s bankou o vrácení peněz [9].
Tyto tři úspěchy se nesmějí sečíst. Zastavená platba, objasněný skutek a vyhraný spor o náhradu jsou různé výsledky. Každý může nastat bez druhého. Pro čtenáře z toho plyne praktická naléhavost, nikoli panika: rychlost po podezření je důležitá, ale ještě důležitější je nedostat se do fáze, kdy už se jen čeká na nápravu.
Věta „policie to vyšetří“ nemá být poslední obrana před potvrzením. Policie přichází po události. Druhý kanál přichází před ní.
13. Nejlepší obrana je ta, jejíž omyl stihnete vrátit
Obrana proti podvodnému e-mailu, SMS nebo hovoru nesmí být test geniality. Člověk nemá poznat každou masku. Má mít postup, který zastaví akci i tehdy, když masku nepozná. Následující schéma proto neukazuje, jak podvod sestavit. Ukazuje, kde se má přerušit.
| Druh selhání | Jak vypadá | Jak testovat | Co omezí škodu |
|---|---|---|---|
| Číslo jako identita | Displej ukazuje banku nebo policii | Zavěsit a použít kontakt z webu, karty nebo aplikace | Brát spoofing jako možnou masku [7][9] |
| MFA jako zámek | Člověk potvrdí ověření, protože „banka žádá“ | Nepotvrdit MFA, které sám nespustil | ČNB: po potvrzení může nést ztrátu [8] |
| Sečtené statistiky | 21 137 = phishing = škoda ČBA = incident NÚKIB | Oddělit PČR, ČSÚ, NÚKIB, ČBA a ČNB | Jiné jednotky nenechat v jedné větě |
| Autorizace jako krádež karty | Člověk čeká automatickou vratku | Oddělit autorizaci a neautorizovanou transakci | Ihned banka a Policie ČR; spor patří arbitrovi nebo soudu [9][14] |
| Sluch jako důkaz | „Slyším ředitele, takže je to on“ | Druhý kanál | Hlas je jiná vrstva, ne ověření [22] |
Ilustrační schéma: V řádku stojí kanál: e-mail, SMS, hovor. Ve sloupci stojí akce: údaj, kód, MFA, převod, vzdálený přístup. Maska odesílatele je jen záhlaví. Kontrola sedí ve sloupci akce a vede druhým kanálem.
Nejlepší obrana není ta, která nikdy nepochybuje. Je to obrana, jejíž omyl lze stihnout vrátit. Když zavěsíte pravému bankéři a zavoláte zpět na oficiální linku, ztratíte čas. Když zůstanete v podvodném hovoru a potvrdíte převod, ztratíte víc.
14. Druhý kanál řekne víc než hlavička
Druhý kanál není volání zpět na číslo, které se právě objevilo na displeji. Není to odpověď na stejnou SMS. Není to kliknutí na odkaz v e-mailu a následné „ověření“. Druhý kanál je cesta, kterou znáte před incidentem: oficiální web instituce, číslo na kartě, bankovní aplikace, interní firemní kontakt, osobní ověření mimo původní zprávu.
Co je potřeba testovat, než potvrdíte MFA
První otázka zní: spustili jste ověření vy? Pokud ne, nepotvrzujte ho. ČNB výslovně varuje před podvody, v nichž je oběť navedena k potvrzení MFA [8]. Druhá otázka zní: vidíte částku a příjemce, které sami očekáváte? Třetí otázka zní: proč ověření přichází právě teď? Pokud odpověď dodává stejný hovor, který ověření vyvolal, není to ověření. Je to součást tlaku.
Jak testovat druhý kanál
Zavěste nebo přestaňte odpovídat v témže kanálu. Oficiální kontakt vezměte z webu instituce, z platební karty nebo z aplikace. U banky, která nabízí ověření hovoru v aplikaci, použijte právě tuto možnost. CISA doporučuje neklikat na odkazy v podezřelých zprávách a ověřovat přes důvěryhodné zdroje [19]. CSIRT.CZ přijímá hlášení incidentů včetně phishingu a pracuje s URL a hlavičkami e-mailu [20]. To je cesta pro hlášení, ne pro panické kliknutí.
Druhý kanál musí být předem známý i ve firmě. Nestačí napsat kolegovi do stejného vlákna, z něhož přišel požadavek. Nestačí odpovědět na e-mail s urgentní fakturou. Nestačí zavolat na číslo v podpisu zprávy, pokud právě tento podpis může být součástí problému. Firma potřebuje jednoduché pravidlo pro platby, změny účtu dodavatele a vzdálený přístup: ověřuje se přes kontakt uložený ve vlastním systému, ne přes kontakt dodaný v požadavku.
Tento postup není nedůvěra ke kolegům. Je to ochrana kolegů před tím, aby se jejich jméno stalo nástrojem tlaku. Účetní nemusí rozhodovat, zda styl e-mailu opravdu odpovídá řediteli. IT technik nemusí poznat, zda hovor zní jako dodavatel. Stačí, aby věděl, že změna platebního účtu, jednorázový kód a vzdálený přístup neprocházejí stejným kanálem, v němž se o ně žádá.
Domácnost potřebuje stejný princip v menším měřítku. Rodičům a prarodičům nepomůže dlouhý seznam typů útoků, pokud se v rozhodné chvíli bojí, že účet už někdo vykrádá. Pomůže věta, kterou lze použít bez přemýšlení: zavolám zpět na číslo z karty nebo z oficiální aplikace. Pokud volající tlačí, aby člověk nezavěšoval, je to samo o sobě důvod zavěsit. Pravá instituce unese, že klient ověří hovor vlastním kanálem.
Dobrý druhý kanál má ještě jednu vlastnost: nevyžaduje improvizaci. Číslo na banku, postup pro zablokování karty, kontakt na účetní a pravidlo pro změnu účtu dodavatele mají být uložené dřív, než přijde tlak. V klidu se dá vybrat správná cesta. V hovoru se často vybírá nejrychlejší. Podvod spoléhá právě na tuto výměnu. Proto není příprava seznamu kontaktů administrativní drobnost. Je to bezpečnostní nástroj.
Tři testy před převodem
První test: zavěsit a ověřit druhým kanálem. Druhý test: nepotvrdit MFA, které jste sami nespustili. Třetí test: po podezření ihned kontaktovat banku kvůli blokaci a Policii ČR kvůli oznámení. Deepfake hlas neřešte sluchem. Řešte kanálem.
Autorizace, kterou jste sami potvrdili, už není neautorizovaná platba.
— Jiný Kontext
15. Lhůta třinácti měsíců není vratka
Zákon o platebním styku obsahuje lhůtu pro oznámení neautorizované platební transakce. Podle § 175 musí plátce oznámit neautorizovanou transakci poskytovateli bez zbytečného odkladu, nejpozději do 13 měsíců od odepsání částky; pokud poskytovatel namítne opožděné oznámení, soud právo na nápravu nepřizná [14]. To je lhůta. Není to slib vrácení peněz.
Vedle toho stojí další ustanovení zákona o platebním styku, včetně pravidel silného ověření a nápravy [14]. A vedle nich trestní zákoník, například § 209 o podvodu [15]. Tato právní mapa je pro čtenáře důležitá hlavně tím, že nevede k jedné automatické vratce. Včasné oznámení je podmínka. Ne záruka.
Pokud člověk potvrdil transakci pod nátlakem nebo na základě klamu, spor se může točit kolem součinnosti a hrubé nedbalosti. ČNB opakuje, že sama spor o vrácení peněz nerozhoduje [9]. Praktický postup proto zůstává dvojí: ihned kontaktovat banku a podat oznámení policii. Současně uchovat komunikaci, čísla, zprávy a časové údaje pro další řešení.
Nejlepší právní lhůta je ta, kterou nepotřebujete použít. To není cynismus. Je to popis pořadí. Před potvrzením rozhoduje druhý kanál. Po potvrzení už rozhodují lhůty, bankovní procesy a spory.
16. Pět až deset hovorů denně na lince ČNB není roční mapa obětí
ČNB ve FAQ k podvodům v platebním styku uvádí, že na Zelené lince řeší 5 až 10 stížností denně na podvody. Stejný přehled říká, že v roce 2021 takové stížnosti neevidovala a v roce 2022 už šlo o stovky [9]. To je užitečný signál proměny. Není to roční úhrn obětí a není to statistika úspěšných podvodů.
Rozmezí 5 až 10 denně je číslo z komunikačního kanálu ČNB. Nezahrnuje ty, kdo volají bance, policii, finančnímu arbitrovi nebo nikomu. Neříká, kolik škody vzniklo, kolik peněz se vrátilo ani kolik případů se překrývá s policejní statistikou. Nesčítá se s 21 137 skutky v kyberprostoru ani s průměrnou škodou 23 462 Kč u poškozených klientů členských bank [3][12].
Přesto má toto číslo smysl. Ukazuje, že podvody v platebním styku nejsou okrajový dotaz. Lidé se ptají, protože hranice odpovědnosti není intuitivní. Člověk má pocit, že byl okraden, a zároveň slyší, že platbu sám potvrdil. To je přesně místo, kde je třeba mluvit o druhém kanálu dříve než o reklamaci.
Statistika linky tedy není mapa obětí. Je to varovná cedule u přepážky, na kterou lidé přicházejí pozdě.
17. Skrytým nákladem je akce v témže kanálu
Podvodná zpráva nebo hovor často nevítězí tím, že by byl dokonale pravý. Vítězí tím, že zkrátí cestu mezi strachem a akcí. Nedovolí člověku odejít z kanálu. Hovor pokračuje, SMS přidá odkaz, e-mail nabízí tlačítko, údajný bankéř diktuje další krok. Všechno se děje ve stejné trubce, v níž vznikl tlak.
Skrytým nákladem není jen peněžní škoda. Je jím i zmatek po události. Komu volat? Co je autorizované? Co je neautorizované? Co znamená MFA? Kdo rozhoduje spor? Proč policie mluví o objasněnosti a banka o záchytu? Proč NÚKIB počítá incidenty a ČBA klienty? Čím později tyto rozdíly řešíme, tím dražší jsou.
To neznamená, že člověk musí znát všechny statistiky. Znamená to, že má mít jedno pravidlo silnější než masku: akci neověřuji v kanálu, který ji žádá. Číslo, logo, hlas, naléhavost ani správné osobní údaje samy nestačí. Údaj, kód, MFA, převod a vzdálený přístup patří až za druhý kanál.
Toto pravidlo je nudné, a právě proto funguje i pod běžným tlakem.
Otázka tedy nezní, jak poznat podvodný e-mail, SMS nebo telefonát podle toho, zda vypadá jako banka. Zní: kterou akci jste ochotni potvrdit v témže kanálu bez druhého, předem známého ověření? Pokud odpověď zní „žádnou“, nejde o nedůvěru ke světu. Jde o přesné umístění kontroly.
Související texty této řady
- Jak zjistit, zda uniklo vaše heslo nebo e-mail? — únik v indexu není tentýž kanál jako tísňový hovor.
- Ve složce: Deepfake známého hlasu — hlas už není pečeť totožnosti; tento text bere e-mail, SMS a hovor jako tři kanály tlaku.