Phishing 2026: Jak poznat podvod a co dělat, když naletíte

Minulý čtvrtek odpoledne mi zvonil telefon. Volala mi moje vlastní babička a už podle jejího třesoucího se hlasu jsem poznal, že je zle. Byla úplně bez sebe strachy, protože jí právě na mobil pípla zpráva z její banky. Text byl neúprosný a tvrdil, že její účet byl zablokován kvůli podezřelé aktivitě. Aby nepřišla o své celoživotní úspory, měla okamžitě kliknout na přiložený odkaz a potvrdit svou identitu. Naštěstí mi zavolala dřív, než to udělala. Kdyby v ten moment zpanikařila a na odkaz klikla, stala by se další obětí fenoménu, kterému říkáme phishing. A věřte mi, že by zdaleka nebyla sama.

Tento typ podvodu se vyvinul do takových rozměrů, že už dávno neplatí staré mýty o špatně přeložených e-mailech od neexistujících afrických princů. Dnešní útočníci jsou profesionálové. Mají dokonalou češtinu, perfektně zkopírované webové stránky a především hrají na naše nejzákladnější emoce – na strach a chamtivost. Ve své praxi finančního novináře se s příběhy podvedených lidí setkávám téměř denně. Nejsou to hloupí nebo naivní jedinci. Jsou to manažeři, učitelé, lékaři i studenti. Podvodníci totiž dokážou nachytat kohokoliv z nás, pokud nás zastihnou ve slabé chvilce, ve spěchu nebo ve stresu.

Když se řekne phishing, mnozí si představí jen ten klasický e-mail. Jenže v roce 2026 už čelíme mnohem sofistikovanějším hrozbám. Útoky se přesunuly do našich kapes, přímo do našich mobilních telefonů přes SMS zprávy, a také na sociální sítě, kde na nás vyskakují lákavé reklamy s tvářemi známých osobností. Rád bych vám na následujících řádcích ukázal, jak tyto pasti fungují v praxi. Nechci vás děsit, ale chci vám předat své zkušenosti. Ukážeme si, jak podvodníci přemýšlejí, jaké triky používají a hlavně, jak se můžete efektivně bránit. Protože jedinou skutečnou zbraní proti této kriminalitě je informovanost a chladná hlava.

Shrnutí pro ty, co nemají čas číst celý článek

• Falešné SMS (smishing) dominují: Nejčastěji se podvodníci vydávají za Českou poštu, kurýry DPD nebo přímo za vaši banku a nutí vás kliknout na odkaz.
• Banka nikdy nechce heslo: Žádná finanční instituce po vás nikdy nebude chtít zadávat přihlašovací údaje nebo PIN přes odkaz zaslaný v SMS či e-mailu.
• Pozor na investiční zázraky: Reklamy na Facebooku slibující obří zisky s tváří Andreje Babiše nebo Heleny Vondráčkové jsou vždy investiční podvod.
• Rychlost je záchrana: Pokud jste omylem zadali údaje na falešné stránce, okamžitě volejte infolinku své banky a zablokujte kartu i elektronické bankovnictví.
• Nahlášení má smysl: Každý incident byste měli nahlásit Policii ČR a instituci NÚKIB, i když jste o peníze nakonec nepřišli.

PROMO BOX: Nečekané situace, ať už jde o ztrátu telefonu, rozbité auto, nebo v nejhorším případě i zablokovaný účet kvůli kybernetickému útoku, se řeší mnohem lépe, když máte kam sáhnout. Přečtěte si, jak si správně vybudovat finanční rezervu, abyste v krizové chvíli nemuseli panikařit.

Co je phishing a jak se v roce 2026 změnil

Pojem phishing pochází z anglického slova pro rybaření (fishing). Útočník prostě nahodí udičku v podobě falešné zprávy a čeká, kdo se chytí. A bohužel, rybník je v Česku stále plný. Podle oficiálních dat Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) bylo jen v roce 2025 evidováno přes 70 000 phishingových incidentů. To představuje obrovský meziroční nárůst o 35 %. Z mých rozhovorů s bezpečnostními experty navíc vyplývá, že reálné číslo bude ještě mnohem vyšší, protože spousta lidí se ze studu nikdy nepřizná.

Když se podíváme na čísla z loňského roku, průměrná škoda u individuálního phishingu dosáhla částky 25 000 Kč. To je mimochodem medián, což znamená, že polovina lidí přišla o méně, ale ta druhá polovina o mnohem více. V těch nejhorších případech se bavíme o částkách přesahujících půl milionu korun. Nejvyšší zaznamenaná škoda v roce 2025 dokonce dosáhla astronomických 9,4 milionu Kč. Šlo o sofistikovaný investiční podvod, kdy oběť uvěřila falešné platformě vydávající se za „Portu Tesla“. Člověk si říká, jak je to vůbec možné. Ale tito podvodníci s vámi komunikují týdny, ukazují vám falešné grafy zisků a postupně z vás vysají všechno, co máte.

Často slýchám názor, že oběťmi se stávají výhradně starší lidé. Statistiky to ale jasně vyvracejí. Ano, 32 % obětí phishingu tvoří senioři nad 60 let, kteří často naletí na falešné zprávy od pošty nebo na takzvané romance scamy. Ale co ten zbytek? Překvapivě celých 22 % obětí tvoří mladí lidé ve věku 18 až 29 let. Ti nejčastěji ztrácejí peníze přes falešné krypto směnárny nebo podvody na seznamkách. Generace třicátníků a čtyřicátníků (28 %) zase nejvíce bojuje s falešnými e-shopy a SMS zprávami. Phishing si prostě nevybírá a zasáhne každou věkovou kategorii.

Banky v Česku dělají, co mohou. Jen za rok 2025 nahlásily, že zachytily a zablokovaly podvodné transakce v hodnotě 2,1 miliardy Kč. Jejich bezpečnostní systémy jsou stále chytřejší, umělá inteligence dokáže rozpoznat neobvyklé chování na účtu. Jenže na konci toho řetězce vždy sedí člověk. A pokud ten člověk sám zadá potvrzovací kód z SMS nebo schválí platbu v mobilní aplikaci, protože si myslí, že zachraňuje své peníze, banka už transakci zastavit nedokáže. Proto je extrémně důležité znát přesné scénáře, které podvodníci aktuálně používají.

Nejčastější typy phishingu v Česku

Když analyzuji stovky případů, které mi čtenáři do redakce posílají, vidím jasné vzorce. Útočníci neustále recyklují několik základních scénářů, které jen mírně upravují podle aktuální sezóny. Před Vánoci to jsou balíčky, na jaře daňová přiznání, v létě falešné letenky. Pojďme si ty nejnebezpečnější rozebrat do detailu.

Smishing — phishing přes SMS

Tohle je absolutní mor roku 2026. Odborně se tomu říká smishing (spojení slov SMS a phishing). Podvodníci zjistili, že e-maily už lidé tolik nečtou a spamové filtry jich spoustu zachytí. Ale když vám pípne SMS, většinou se na ni podíváte hned. A co víc, útočníci se naučili falšovat jméno odesílatele. Takže vám do mobilu přijde zpráva, která se zařadí do stejného vlákna, kde máte historicky pravé zprávy od vaší banky nebo doručovací služby. To je obrovsky matoucí a nesmírně nebezpečné.

Klasický scénář vypadá takto: Přijde vám zpráva, která hlásí „Vaše Česká pošta zásilka čeká, doplaťte 49 Kč“ a následuje odkaz. Často se to trefí do chvíle, kdy opravdu něco očekáváte. Kliknete na odkaz, otevře se stránka, která vypadá přesně jako web pošty. Zadáte údaje z platební karty, abyste těch pár korun uhradili. A v tu chvíli jste odevzdali svou kartu podvodníkům. Další velmi častou variantou je zpráva typu „DPD: doručení nemožné, klikněte pro nový termín“.

Ještě horší jsou falešné SMS od bank. Typicky se objeví text: „Vaše Česká spořitelna karta byla zablokována, odblokujte ji přes app.csas-overeni.com“. Nebo „ČSOB: zaznamenali jsme neobvyklou platbu, ověřte ji na tomto odkazu“. Pokud na odkaz kliknete, dostanete se na falešný přihlašovací portál. Zadáte své jméno, heslo a vzápětí vám přijde reálná potvrzovací SMS z banky. Tu přepíšete do falešné stránky a podvodník na druhé straně má volný přístup k vašim penězům.

Investiční podvody na Facebooku a Instagramu

Tohle je kategorie, kde padají ty největší částky. Všichni víme, že peníze ztrácejí hodnotu, a přirozeně hledáme cesty, jak je ochránit. Lidé čtou články o tom, co je inflace a jak vzniká, a pochopitelně mají strach o své úspory. Toho podvodníci zneužívají s neuvěřitelnou drzostí. Na sociálních sítích vytvářejí masivní reklamní kampaně, které slibují nereálné zhodnocení. „Kdokoliv může vydělat 80 000 Kč měsíčně,“ křičí na nás titulky. A aby tomu dodali na důvěryhodnosti, zneužívají tváře známých osobností.

Možná jste to sami viděli. Falešný článek, který vypadá jako z velkého zpravodajského serveru, kde Andrej Babiš, Helena Vondráčková nebo miliardář Karel Janeček údajně prozrazují své tajemství bohatství. Text tvrdí, že objevili novou platformu, díky které se peníze množí samy. Názvy těchto falešných systémů se neustále mění, často jde o Bitcoin Era, Quantum AI nebo Immediate Profit. Zneužívají i jména legitimních služeb, takže můžete narazit na falešné Portu nebo podvodné stránky tvářící se jako broker XTB.

Jakmile se na takové stránce zaregistrujete, okamžitě vám volá falešný makléř. Má skvělou češtinu, je asertivní, milý a profesionální. Přesvědčí vás, abyste vložili první malou částku, typicky kolem 5 000 Kč. Na falešném účtu pak vidíte, jak vaše „investice“ raketově roste. To vás povzbudí k tomu, abyste poslali další desetitisíce nebo statisíce. Když ale chcete peníze vybrat, najednou to nejde. Musíte prý zaplatit „daň“ nebo „poplatek za převod“. To už je jen snaha vyždímat z vás poslední koruny. Pokud vás zajímá skutečný svět kryptoměn, vždy hledejte ověřené informace, například si prostudujte, jak koupit bitcoin bezpečně, nebo si vyberte prověřenou krypto směnárnu. Nikdy nesvěřujte peníze někomu, kdo vám volá z neznámého čísla.

Romance scam aneb podvody z lásky

Tohle je pro mě osobně ten nejsmutnější typ podvodu. Útočí na lidskou osamělost. Na seznamkách jako je Tinder, ale i v obyčejných zprávách na Facebooku či Instagramu, vás kontaktuje atraktivní cizinec nebo cizinka. Navážou s vámi konverzaci, zajímají se o váš život, jsou empatičtí. Postupně, během týdnů a měsíců, budují hluboký emocionální vztah. Oběť má pocit, že konečně našla spřízněnou duši.

Podvodníci mají předem připravené legendy. Tou nejklasičtější je americký voják na misi v zahraničí, lékař v Sýrii nebo bohatý vdovec s ropným byznysem. Všechno se zdá být dokonalé, plánují společnou budoucnost. Jenže pak přijde zádrhel. Voják potřebuje zaplatit clo za balíček se zlatem, lékař potřebuje peníze na letenku domů, vdovec má zablokované účty kvůli byrokratické chybě. Poprosí vás o finanční výpomoc. Je to jen půjčka, hned jak přijede, všechno vám vrátí. Průměrná škoda u těchto případů se pohybuje mezi 250 000 až 800 000 Kč. Oběti si často berou i půjčky, jen aby své „lásce“ pomohli. O to tvrdší je pak probuzení do reality.

CEO fraud — útoky na firmy

Ačkoliv se tento blog věnuje osobním financím, musím zmínit i podvody cílící na firmy. Jde o takzvaný BEC (Business Email Compromise) nebo zkrátka CEO fraud. Útočník si zjistí organizační strukturu firmy a pošle účetní e-mail, který vypadá, že ho píše přímo ředitel společnosti. E-mail je naléhavý a přísně tajný. Ředitel v něm žádá o okamžitý převod velké částky na zahraniční účet kvůli údajné akvizici nové společnosti.

Účetní, pod tlakem autority a časového stresu, peníze odešle. Tyto případy se v ČR dějí pravidelně. Nejznámější je asi kauza společnosti SOR Libchavy z roku 2023, která takto přišla o neuvěřitelných 50 milionů Kč. Podobným útokům ale čelí i středně velké firmy v letech 2024 a 2025. Ukazuje to, že phishing umí být vysoce cílený a personalizovaný.

Falešné nabídky práce a přivýdělku

S ekonomickou nejistotou roste počet lidí, kteří hledají druhý příjem. Útočníci proto masivně šíří podvodné nabídky slibující snadnou práci z domova. Často jde o takzvané klikací farmy, kde vám slibují peníze za hodnocení produktů nebo sledování reklam. Háček je v tom, že abyste mohli začít „pracovat“ a vybrat si své „výdělky“, musíte nejprve zaplatit registrační poplatek nebo poslat zálohu. Pokud vás zajímá, jaká je realita podobných brigád, doporučuji si přečíst náš článek o tom, jak vydělat peníze klikáním, kde tyto podvodné praktiky detailně rozebíráme. Skutečný zaměstnavatel po vás nikdy nebude chtít peníze předem.

Jak poznat phishing — pět varovných signálů

Když se mě lidé ptají, jak mají poznat, že jde o podvod, vždycky říkám, že stačí zapojit selský rozum a trochu zpomalit. Útočníci spoléhají na to, že jednáme v rychlosti. Prvním a naprosto zásadním varovným signálem je naléhavost. Zpráva vás nutí jednat okamžitě. „Reagujte do 24 hodin, jinak váš účet trvale zablokujeme,“ nebo „Váš balíček bude zítra vrácen odesílateli.“ Tento psychologický tlak má za cíl vyřadit vaše racionální uvažování. Jakmile cítíte, že na vás někdo tlačí, zastavte se. Žádná banka ani úřad s vámi nebude jednat formou ultimát v SMS zprávě.

Druhým indikátorem jsou pravopisné chyby a podivná čeština. I když se překladače obrovsky zlepšily, stále dělají chyby. Můžete si všimnout špatné české diakritiky, nesprávného skloňování nebo podivného slovosledu. Banka má na komunikaci celé oddělení profesionálů, z oficiálních míst vám nikdy nepřijde text s hrubkami. Třetím, velmi specifickým signálem, je žádost o osobní údaje nebo hesla. Zapamatujte si to jako absolutní pravidlo: Vaše banka nikdy, za žádných okolností, nežádá o heslo, PIN nebo autorizační kód přes SMS, e-mail ani telefonní hovor. Tyto údaje patří pouze do oficiální aplikace nebo do internetového bankovnictví, kam se přihlašujete sami.

Čtvrtým varováním je podezřelý odkaz (URL). Než na cokoliv kliknete, pozorně si prohlédněte adresu. Podvodníci používají překlepy nebo přidávají slova. Místo oficiálního „csas.cz“ uvidíte „csas-overeni.com“ nebo „bezpecnost-csas.cz“. Vždy si adresu zkontrolujte písmeno po písmenu. A pátým signálem je takzvaný soft phishing. To je situace, kdy vám na Messenger nebo WhatsApp napíše váš „známý“, že ztratil telefon a potřebuje, abyste mu poslali své telefonní číslo a následně mu přeposlali kód, který vám přijde v SMS. Ve skutečnosti se útočník naboural do profilu vašeho přítele a ten kód, který mu pošlete, slouží k potvrzení platby z vašeho účtu nebo k ovládnutí vašeho vlastního profilu.

Co dělat, když jste klikli

Stalo se to. Byli jste unavení, spěchali jste a v dobré víře jste klikli na odkaz z falešné SMS a vyplnili své údaje. Cítíte, jak se vám svírá žaludek a polévá vás horko. V první řadě vás chci uklidnit – nevyčítejte si to. Jak jsem psal na začátku, stává se to tisícům lidí. Teď ale nesmíte propadnout panice, protože hraje roli každá minuta. Musíte jednat chladnokrevně a systematicky.

První hodina — co udělat hned

Vaším absolutním cílem v prvních desítkách minut je odříznout podvodníka od vašich peněz. Pokud máte stále přístup do své bankovní aplikace v mobilu, okamžitě tam vstupte a zablokujte svou platební kartu. Většina aplikací dnes umožňuje kartu dočasně zmrazit jedním kliknutím. Následně zablokujte i přístup do samotného internetbankingu, pokud to aplikace dovoluje.

Ihned poté musíte zavolat do své banky. Nehledejte číslo v e-mailu nebo v SMS, která vám přišla! Otevřete si oficiální webové stránky banky a volejte na jejich klientskou linku. Pro jistotu uvádím polo-oficiální čísla těch největších: Česká spořitelna (ČS) 800 207 207, Komerční banka (KB) 800 521 521, ČSOB 495 800 111. Operátorovi jasně řekněte, že jste se stali obětí phishingu. Oni vědí, co mají dělat, a váš účet okamžitě zabezpečí. Jakmile máte peníze v bezpečí, změňte si hesla – nejen do banky, ale i do svého hlavního e-mailu a na sociální sítě, obzvlášť pokud používáte stejné heslo na více místech.

Do 24 hodin — kam nahlásit podvod

Když je akutní požár uhašen, přichází na řadu byrokracie, která je ale pro vyšetřování nesmírně důležitá. Udělejte si snímky obrazovky (screenshoty) všech podvodných zpráv, e-mailů a falešných stránek. Vytiskněte si výpis z účtu, pokud už peníze odešly. S těmito důkazy musíte podat trestní oznámení na policii. Můžete to udělat osobně na kterékoliv služebně, nebo online přes formulář Národní centrály proti terorismu, extremismu a kybernetické kriminalitě (NCTEKK). Policie tyto případy sbírá a často se jim podaří rozkrýt celou organizovanou skupinu.

Dále je velmi důležité nahlásit incident na státní úřad NÚKIB. Mají na to speciální formulář na adrese www.govcert.cz/cs/incidenty/nahlasit-incident/. Možná si říkáte, proč to hlásit úřadu, když už to ví policie. NÚKIB totiž z těchto hlášení analyzuje aktuální hrozby a může díky tomu včas varovat ostatní občany nebo zablokovat škodlivé domény na národní úrovni. A nakonec, informujte svou banku o všech detailech útoku, i pokud k žádné finanční ztrátě nedošlo. Pomáhá jim to vylepšovat jejich bezpečnostní filtry.

Dlouhodobá prevence — 2FA a pojištění

Aby se situace neopakovala, musíte zavést bezpečnostní hygienu. Tím nejdůležitějším krokem je aktivace takzvaného dvoufázového ověření (2FA) všude, kde to jde. Banky už to vyžadují povinně prostřednictvím svých mobilních klíčů, ale vy byste to měli mít zapnuté i na svém Google účtu, na Facebooku a v e-mailu. Znamená to, že i když útočník získá vaše heslo, k přihlášení bude potřebovat ještě potvrzení z vašeho mobilního telefonu. A to ho většinou zastaví.

Doporučuji také vytvořit si zvyk sledovat své bankovní výpisy alespoň jednou týdně. Často se stává, že si podvodníci nejprve strhnou jen pár korun, aby otestovali, zda karta funguje, a velký útok přijde až o několik dní později. Pokud zachytíte malou neznámou platbu včas, zachráníte zbytek peněz. Na trhu se už také objevuje pojištění odpovědnosti pro internetové podvody. Některé české pojišťovny ho nabízejí jako připojištění k domácnosti. V případě, že naletíte na phishing, pojišťovna vám může část ztracených peněz kompenzovat a poskytne vám právní a IT asistenci.

Kdo vám pomůže — oficiální české kanály

V boji s kyberkriminalitou nejste sami. V České republice funguje několik vynikajících institucí a projektů, které se této problematice věnují na špičkové úrovni. Zmínil jsem už Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Na jejich webu www.nukib.cz najdete pravidelná varování před nejnovějšími vlnami útoků a podrobné návody, jak si zabezpečit svá zařízení. Je to státní autorita, na kterou se můžete vždy spolehnout.

Dalším zásadním partnerem je pochopitelně Policie ČR. Na svých stránkách mají vynikající sekci věnovanou falešným mobilním aplikacím a phishingu. Policisté už dávno nejsou jen ti, co řeší ukradená kola. Mají specializovaná oddělení plná IT expertů. Velký kus práce odvádí také neziskový sektor. Projekt Bezpečně online, za kterým stojí sdružení CZ.NIC (správce české národní domény), nabízí na webu www.bezpecnenanetu.cz skvělé vzdělávací materiály srozumitelné opravdu pro každého. A pokud vás zajímají konkrétní triky, které podvodníci zkoušejí na klienty bank, doporučuji sledovat stránku České bankovní asociace (www.cbaonline.cz/podvody), kde banky společně sdílejí ty nejaktuálnější hrozby.

PROMO BOX: Ochrana peněz není jen o zabezpečení účtu heslem. Je to komplexní přístup k vašim financím. Pokud nevíte, jak si své příjmy a výdaje správně zorganizovat, aby vás případný nečekaný výdaj nepoložil na kolena, přečtěte si náš podrobný návod na to, co je to finanční plán a jak si ho jednoduše sestavit.

Závěr

Digitální svět nám přinesl obrovské pohodlí. Banku máme v kapse, nákupy vyřídíme z gauče, investovat můžeme na pár kliknutí. S tímto pohodlím ale přichází i zodpovědnost. Podvodníci budou vždy o krok napřed, budou vymýšlet nové legendy a zneužívat nové technologie. Nemůžeme se před nimi úplně schovat, ale můžeme se naučit jejich triky prohlédnout. Pamatujte na mou babičku z úvodu článku. Stačilo se na chvíli zastavit, nadechnout se a zavolat někomu blízkému. Těch pár vteřin zamyšlení jí zachránilo celoživotní úspory. Buďte k sobě i ke svému okolí všímaví. Mluvte o těchto podvodech se svými rodiči, prarodiči, ale i s dětmi.

Upozornění redakce: MoneySpot.cz není kyberbezpečnostní firma, advokátní kancelář ani orgán činný v trestním řízení. Tento článek byl napsán výhradně pro informativní účely na základě veřejně dostupných dat a osobních zkušeností autora. V případě akutního podezření na podvod nebo napadení vašeho účtu se vždy neprodleně obraťte na svou banku a následně na Policii ČR.

Zdroje

Informace, statistiky a doporučené postupy v tomto článku vycházejí z oficiálních dat a metodik následujících institucí a organizací, které se dlouhodobě věnují kybernetické bezpečnosti v České republice:

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB)

Policie ČR – Preventivní informace o phishingu

Česká bankovní asociace – Aktuální finanční podvody

Projekt Bezpečně online (CZ.NIC)