Co je phishing: jak ho poznat a co dělat, když jste klikli

Phishing je podle Policie ČR jedna z nejčastějších a zároveň nejúspěšnějších forem podvodu na internetu. Útočník se vydává za důvěryhodnou instituci nebo osobu, třeba za banku, dopravce, státní instituci, známou službu nebo i za člena rodiny, a snaží se získat přihlašovací jména, hesla, platební údaje nebo osobní informace. Zpráva přitom může vypadat zcela běžně a právě tato „obyčejnost“ je podle policie jedním z hlavních důvodů, proč phishing funguje. Národní tým CSIRT.CZ řešil v roce 2025 celkem 3 005 incidentů a phishing mezi nimi jasně převažoval: šlo o 2 003 případů, o víc než 18 % víc než rok předtím.

Proč na phishing lidé naletí?

Policie zdůrazňuje, že phishing není hlavně o technologii, ale o psychologii. Neútočí na systém, ale na člověka: na jeho důvěru, nepozornost nebo stres. Zpráva vyvolá pocit naléhavosti nebo strachu (zablokovaný účet, nedoručená zásilka), případně láká na nečekanou výhru. Logo a oficiální vzhled budí důvěru a útočníci dnes umějí komunikaci napodobit velmi věrohodně, i s pomocí umělé inteligence. Nespoléhejte proto na pravopisné chyby: podle policie dnešní útoky bývají bez chyb a v kvalitní češtině. Neplatí ani, že by šlo hlavně o seniory: většina obětí je podle policie v produktivním věku.

Jaké podoby phishing má?

• E-mail: velmi častá podoba. Skutečný cíl odkazu v e-mailu uvidíte až po najetí kurzorem na odkaz.
• Smishing: podvodná SMS nebo zpráva v chatovací aplikaci. Na malém displeji se podle policie hůř kontrolují detaily, například webová adresa, a SMS často odkazují přes zkracovače, které skutečný cíl skryjí.
• Vishing: podvodný telefonát. Volající se nejčastěji vydává za pracovníka banky, policistu nebo technickou podporu. ČNB upozorňuje, že cílem bývá i to, abyste si do telefonu nainstalovali „špehovací aplikaci“.
• Spoofing: podvržený odesílatel. Podle policie útočníci využívají legálně dostupnou placenou službu, která změní zobrazované údaje o původci zprávy nebo hovoru, takže číslo či e-mail na displeji nemusí být skutečné.
• Quishing (QRishing): podvržený QR kód, který vás přesměruje na škodlivou stránku. ČNB radí před každou platbou zkontrolovat, za co platíte, na jaký účet peníze odcházejí a zda sedí částka.
• Falešné přihlášení „na úřad“: podle policie je aktuálním trendem, že se máte bankovními údaji přihlásit do portálu státní správy. Útočník je tak získá, přihlásí se do vašeho bankovnictví a přihlášení mu pak sami potvrdíte ve vícefaktorovém ověření.

Jak phishing poznat?

• Tlak na okamžité jednání. Čím víc vás zpráva nebo volající tlačí, tím větší důvod zpozornět.
• Žádost o hesla, PIN nebo ověřovací kódy. První pravidlo policejního desatera o online podvodech zní: nikdy je nesdělujte. Banky ani úřady podle policie údaje přes odkaz ve zprávě nevyžadují a ČNB připomíná, že vaše banka nepotřebuje znát váš PIN, ale podvodníci ano.
• Adresa, která skoro sedí. Rozdíly bývají minimální: jiná doména, přeházená nebo zdvojená písmena, jiná abeceda nebo posunutá pomlčka.
• Zámek u adresy nic nedokazuje. Podle policie znamená jen šifrování spojení, ne bezpečnou stránku.
• Telefonní číslo ve varování. Microsoft uvádí, že jeho chybové zprávy a upozornění nikdy telefonní čísla neobsahují.

Klikli jste nebo zadali údaje? Co dělat hned

1. Pokud jste prozradili přístup do bankovnictví nebo údaje z karty, okamžitě kontaktujte banku: podle policie může za určitých okolností nebezpečí ještě odvrátit. ČNB radí zablokovat platební prostředky, ověřit, zda podvodné platby už odešly, a pokusit se je zastavit.
2. U jiných účtů hned změňte heslo, zkontrolujte připojená zařízení a neznámá odpojte a zapněte vícefaktorové ověření.
3. Pokud mohl útočník rozesílat zprávy vaším jménem, varujte své okolí jinou cestou a upozorněte provozovatele služby.
4. Pokud jste na pokyn zprávy něco nainstalovali, zkontrolujte zařízení bezpečnostním softwarem.
5. Nic nemažte. Uchovejte zprávy, odkazy, telefonní čísla, výpisy plateb a snímky obrazovky.
6. Věc oznamte na kterékoli služebně Policie ČR, ideálně v místě bydliště; v akutní situaci volejte 158.

Kam phishing v Česku nahlásit?

• Podvodnou SMS nebo hovor nahlaste operátorovi na jednotnou linku 7726: SMS přepošlete, u některých operátorů nahlásíte i hovor zprávou ve tvaru Podvod (číslo volajícího, čas volání).
• Phishingový web nahlaste Strážcům Internetu (strazciinternetu.cz), které provozuje tým CSIRT.CZ.
• Phishing nebo neoprávněný přístup k účtu můžete nahlásit přes formulář STOPonline.cz, na který odkazuje i Policie ČR.
• Podezřelý e-mail označte jako spam. Zprávu, která se vydává za Apple, můžete přeposlat na reportphishing@apple.com.

Pomůže antivirus?

Částečně. Policie ČR mezi prevencí uvádí aktualizované zařízení a důvěryhodný bezpečnostní software a Chrome zobrazí přes celou stránku červené varování, když Bezpečné prohlížení Google web označí za nebezpečný. Je to užitečná záchranná síť. Hlavní obrana je ale podle policie jednoduchá: zpomalit, přemýšlet a ověřovat, nejlépe jiným kanálem, třeba přes oficiální web nebo kontakt instituce.

Phishing neútočí na počítač, ale na spěch. Než kliknete, zastavte se a ověřte si zprávu jinou cestou.