Smishing v Česku: jak poznat podvodnou SMS a bránit se

Trojnásobek podvodných SMS za jediný rok

Smishing – podvodné SMS zprávy napodobující banky, poštu nebo úřady – je v Česku nejrychleji rostoucí formou kybernetické kriminality. Česká bankovní asociace zachytila v roce 2023 téměř 70 tisíc podvodných SMS, trojnásobek oproti předchozímu roku, a třetina dospělých Čechů podvod nedokáže rozpoznat – text jsme aktualizovali 24. srpna 2026 o nejnovější čísla od Komerční banky a o dvě nové podvodné legendy.

Když vám v roce 2026 přijde SMS od „České pošty“ s odkazem na doplacení 29 Kč za zásilku, je vyšší šance, že jde o podvod, než že na vás skutečně čeká balík. Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) jen 20. května 2026 varoval před kampaní, v níž se útočníci vydávali za Policii ČR – a vytvořili přes 100 falešných domén napodobujících oficiální policejní portály.

Jak moc problém narostl, ukazují nejčerstvější data. V prvním čtvrtletí 2026 se podle České bankovní asociace tzv. e-šmejdi pokusili ukrást klientům českých bank přes 4 miliardy Kč. Banky dokázaly zachránit téměř 3,4 miliardy, ale skutečná škoda i tak přesáhla 798 milionů Kč – více než dvojnásobek oproti stejnému období roku 2025. Za tři měsíce tedy z účtů Čechů zmizelo bezmála 800 milionů, tolik, kolik stojí roční provoz menší okresní nemocnice.

Nejnovější dostupná data přidává Komerční banka. V 1. pololetí 2026 zaznamenala meziroční nárůst podvodů u plateb a karet o 41 %. Počet napadených platebních karet vzrostl o 33 %, hodnota podvodných karetních transakcí dokonce o 80 %. U plateb bylo napadeno o 49 % více klientů a hodnota podvodných transakcí se více než zdvojnásobila. Nejčastější metodou zůstává phishing, který stál za 61 % karetních podvodů, investiční a krypto podvody tvořily 48 % hodnoty podvodných transakcí a vishing 39 %. Jde o čísla jedné konkrétní banky, ne celého trhu jako u ČBA výše – o to jasněji ale ukazují, že se situace v průběhu roku 2026 dál zhoršuje.

Co je smishing a jak funguje

Smishing je phishing prostřednictvím SMS – útočník se vydává za důvěryhodnou instituci (banku, poštu, úřad) a láká oběť na falešnou stránku, kde zadá přihlašovací údaje nebo údaje platební karty. Název vznikl spojením slov SMS a phishing.

Mechanismus je jednoduchý: útočník rozešle tisíce SMS z anonymní SIM karty. Zpráva obsahuje naléhavou výzvu – nezaplacená zásilka, zablokovaný účet, pokuta od policie – a odkaz na stránku, která vypadá téměř identicky jako oficiální web. Oběť zadá přihlašovací údaje nebo číslo karty. Útočník je použije okamžitě, často do několika minut.

Co se změnilo v posledních letech: generativní umělá inteligence umožňuje vytvářet personalizované podvody bez gramatických chyb. Experti NÚKIB varují, že phishingové zprávy vypadají stále důvěryhodněji – včetně deepfakes v navazujících telefonátech. Doba, kdy jste podvod poznali podle „špatné češtiny“, je pryč.

Jak podvodné SMS vypadají v praxi

Nejčastější smishingové kampaně v Česku zneužívají jména České pošty, přepravních společností, bank, České správy sociálního zabezpečení (ČSSZ), Policie ČR, finančních úřadů a nově i výzev k úhradě dopravních pokut a mýtného. Společným znakem je naléhavost a odkaz na falešnou stránku.

Nejrozšířenější legendy podvodných SMS v Česku:

Legenda	Typická zpráva	Cíl útočníka
Nedoručená zásilka (Česká pošta, GLS a další přepravci)	„Vaše zásilka čeká. Doplaťte 29 Kč: [odkaz]“	Údaje platební karty
Zablokovaný účet	„Váš účet byl zablokován. Ověřte identitu: [odkaz]“	Přihlašovací údaje k bankovnictví
Pokuta od policie	„Nezaplacená pokuta 2 500 Kč. Uhraďte do 24 h: [odkaz]“	Údaje karty + osobní data
Dopravní pokuta / mýtné	„Neuhrazené mýtné, hrozí 15% příplatek a soudní řízení: [odkaz]“	Údaje karty + osobní data
Přeplatek na dani	„Máte přeplatek na dani, vyzvedněte si ho zde: [odkaz]“	Osobní a bankovní údaje
Falešný bankéř	„Zaznamenali jsme podezřelou transakci. Volejte: [číslo]“	Převod peněz pod tlakem
Sociální dávky	„Máte nárok na doplatek od ČSSZ: [odkaz]“	Osobní údaje + přístup k účtu

Podvodníci si nevybírají jen banky a úřady – vlastní oficiální varování před zneužitím svého jména vydávají i soukromé firmy. Přepravce GLS ČR upozorňuje na falešné SMS o nedoručené zásilce, které vedou na podvodné platební stránky, energetická společnost innogy na zprávy vymáhající fiktivní nedoplatek za energie a pojišťovna Allianz na zprávy s falešnou nabídkou nebo žádostí o osobní údaje. Žádná z těchto firem přes SMS nikdy neposílá platební odkazy ani nežádá osobní údaje.

Podvody s legendou „falešný bankéř“ zaznamenaly v roce 2025 stoprocentní nárůst oproti předchozímu roku. Útočník zavolá po SMS, představí se jako pracovník banky a přesvědčí oběť, aby převedla peníze na „bezpečný účet“. Policie ČR opakovaně zdůrazňuje: „Banky, úřady ani poskytovatelé doručovacích služeb po vás nikdy nebudou chtít osobní informace prostřednictvím SMS.“

Zcela novou legendu potvrdily úřady na jaře 2026. V březnu 2026 varovaly Ministerstvo dopravy ČR a státní podnik CENDIS před vlnou podvodných SMS, které se vydávají za výzvu k úhradě dopravní pokuty, mýtného nebo doplatku za dálniční známku. Zprávy vyhrožují 15% příplatkem z prodlení, zákazem používání mýtných bran a soudním řízením – přesně ten typ nátlaku, na který útočníci sázejí. Klíčové pravidlo přitom platí i tady: oficiální systémy výzvy k platbě přes SMS nikdy neposílají.

Podobný vzorec funguje i u legendy „přeplatek na dani“. Podvodníci rozesílají SMS a dokonce i automatické hlasové hovory, které se vydávají za finanční úřad nebo portál MOJE daně a nabízejí vyplacení přeplatku na dani. Vzorec zdokumentovala Finanční správa ČR už v roce 2024, ale zůstává aktivní i v roce 2026: odkazy vedou na padělané domény jako mfcr-cz.eu nebo adissprmfcr-cz.eu místo skutečných mojedane.cz a adisspr.mfcr.cz. Finanční správa přitom nikdy neposílá odkazy k vyplacení přeplatku přes SMS ani nepoužívá automatický hlasový systém.

Proč je Česko zvlášť zranitelné

Česká republika patří k posledním zemím EU, kde je stále možné koupit anonymní SIM karty bez ověření identity – hlavní kanál pro rozesílání podvodných SMS. Legislativní novela přišla pozdě a systémová ochrana teprve nabíhá.

Anonymní SIM karty znamenají, že útočník si koupí předplacenou kartu v trafice, rozešle tisíce podvodných zpráv a SIM zahodí. Vysledovat ho je prakticky nemožné. Ve většině zemí EU musíte při koupi SIM prokázat totožnost – v Česku ne.

Čísla ukazují, jak rychle se křivka láme špatným směrem. V prvním čtvrtletí 2025 e-šmejdi napadli téměř 23 000 klientů českých bank, což byl meziroční nárůst o 11 %. Celková škoda tehdy dosáhla 364,5 milionu Kč a průměrná ztráta jednoho poškozeného činila 17 236 Kč – víc než polovina průměrné české měsíční mzdy, o kterou člověk přijde za pár vteřin nepozornosti. O rok později, v prvním čtvrtletí 2026, už škoda vyšplhala na více než dvojnásobek.

Regionálně to potvrzuje i policejní statistika: Středočeská policie zaznamenala v roce 2025 celkem 2 542 případů kybernetické kriminality – o 484 více než rok předtím, tedy meziroční nárůst o 23 %. NÚKIB v prvním čtvrtletí 2026 evidoval více než 70 kybernetických incidentů, nejvyšší počet za posledních 12 měsíců.

Pozitivní zpráva: od dubna 2025, kdy se jako poslední přidal Vodafone k systému T-Mobile a O2, funguje společný mechanismus ochrany proti spoofingu telefonních čísel. Spolupráce dříve konkurenčních firem napříč všemi hlavními sítěmi je v českém telekomunikačním prostředí bezprecedentní.

Jak smishing poznat a jak se bránit

Podvodnou SMS prozradí kombinace naléhavosti, neznámého odkazu a žádosti o osobní údaje. Klíčové pravidlo: žádná legitimní instituce po vás nikdy nebude chtít přihlašovací údaje přes SMS.

Pět varovných signálů podvodné SMS:

1. Naléhavost a časový tlak – „uhraďte do 24 hodin“, „váš účet bude zablokován“.
2. Odkaz na neznámou doménu – místo „ceskaposta.cz“ vidíte „ceska-posta-doruceni.com“ nebo zkrácený odkaz.
3. Žádost o osobní údaje nebo platbu – legitimní instituce toto přes SMS nežádají.
4. Obecné oslovení – „Vážený zákazníku“ místo vašeho jména.
5. Neočekávanost – nečekáte zásilku, nemáte u dané banky účet, nedlužíte pokutu.

NÚKIB doporučuje: „Neklikejte na odkazy v nevyžádaných SMS zprávách, zejména pokud obsahují výzvu k úhradě pokuty.“ Pokud si nejste jistí, otevřete si web dané instituce ručně v prohlížeči – nikdy přes odkaz v SMS.

Co dělat, když podvodná SMS přijde

Podezřelou SMS můžete nahlásit přeposláním na číslo 7726 (SPAM), které funguje u všech mobilních operátorů v Česku. Pokud jste již zadali údaje na podvodné stránce, okamžitě kontaktujte svou banku.

Tři kroky při podezřelé SMS:

1. Neklikejte na odkaz a SMS nepřeposílejte známým.
2. Přepošlete zprávu na číslo 7726 – operátor ji analyzuje a může zablokovat odesílatele.
3. Pokud SMS napodobuje konkrétní instituci nebo firmu (banku, poštu, ČSSZ, finanční úřad, GLS, innogy, Allianz), nahlaste ji přímo této instituci.

Pokud jste již klikli a zadali údaje:

1. Okamžitě kontaktujte banku a zablokujte kartu nebo přístup k internetovému bankovnictví.
2. Změňte hesla ke všem účtům, kde používáte stejné přihlašovací údaje.
3. Podejte trestní oznámení – smishing je kvalifikován jako trestný čin podvodu podle § 209 trestního zákoníku. Při škodě nad 10 000 Kč hrozí pachateli trest odnětí svobody až 2 roky, při vyšších škodách výrazně více.

Kdo nese odpovědnost – vy, nebo banka?

Zákon o platebním styku chrání banky před odpovědností, pokud klient jednal s hrubou nedbalostí. Soudy řeší případy, kdy banka odmítla náhradu škody klientovi, který zadal údaje na podvodné stránce – a často stojí na straně banky.

Právní situace je pro oběti smishingu složitá. Banka může odmítnout vrátit peníze s argumentem, že klient jednal neopatrně, když klikl na odkaz a zadal údaje. Otázka „co je hrubá nedbalost“ v kontextu stále sofistikovanějších podvodů je předmětem soudních sporů. Kritici poukazují na nerovnováhu: banky přenášejí odpovědnost na klienty, přestože samy nemají dostatečné technické zábrany proti podvodným transakcím. Data ČBA přitom ukazují i druhou stranu mince – v prvním čtvrtletí 2026 banky z pokusů o krádež přesahujících 4 miliardy Kč zachránily téměř 3,4 miliardy, tedy naprostou většinu napadených částek.

Praktický důsledek: pokud podvodu zabráníte včas (zablokujete kartu do minut), máte výrazně vyšší šanci na vrácení peněz. S každou hodinou klesá pravděpodobnost, že banka transakci stornuje.