Jak rozpoznat podvodný e-mail: praktický návod a checklist
Rozpoznat podvodný e-mail na první pohled je dnes těžší než před lety - útočníci používají stále sofistikovanější techniky, včetně umělé inteligence pro generování gramaticky správného a přesvědčivého textu. Tento návod vám ukáže konkrétní, praktický postup a checklist, jak si ověřit, že e-mail ve vaší schránce je skutečně podvodný, než na něj jakkoliv zareagujete.
Aktualizováno: listopad 2026. Pro obecné vysvětlení principu phishingu viz náš článek Co je to phishing?
Checklist: 7 kroků, jak prověřit podezřelý e-mail
1. Zkontrolujte skutečnou adresu odesílatele
E-mailové kliety často zobrazují jen jméno odesílatele (např. "Komerční banka"), ne skutečnou e-mailovou adresu. Klikněte nebo najeďte myší na jméno odesílatele a zobrazte si celou adresu - podvodná zpráva často přijde z adresy, která s danou firmou nemá nic společného, nebo z domény s drobným překlepem (např. "komercni-banka-cz.info" místo "kb.cz").
2. Nevěřte tomu, že vypadá profesionálně
Logo, barvy a formátování shodné s originálem už dnes nejsou zárukou pravosti - útočníci si grafiku snadno zkopírují z veřejného webu. Stejně tak gramatická bezchybnost už není spolehlivým znakem, protože nástroje s umělou inteligencí umí vygenerovat text bez chyb v češtině i jiném jazyce.
3. Pozor na uměle vytvořenou naléhavost
Fráze jako "váš účet bude zablokován do 24 hodin", "nutná okamžitá akce" nebo "poslední upozornění" mají jediný cíl - přimět vás jednat rychle a bez rozmyslu. Legitimní instituce vám téměř vždy dají dostatek času na reakci a nehrozí okamžitou ztrátou přístupu bez předchozího upozornění jinou cestou.
4. Najeďte myší na odkaz, ale neklikejte
Před kliknutím na jakýkoliv odkaz v e-mailu najeďte na něj kurzorem myši (na mobilu podržte prst) - v dolním rohu okna nebo v bublině se zobrazí skutečná cílová adresa. Pokud se neshoduje s doménou, kterou by odesílatel měl mít, nebo jde o zkrácený odkaz (bit.ly apod.), nejde o důvěryhodný odkaz.
5. Nikdy nezadávejte údaje po kliknutí na odkaz z e-mailu
Pokud e-mail vyzývá k "ověření účtu" nebo "aktualizaci platebních údajů", vždy raději zavřete e-mail a přihlaste se do dané služby ručně přes záložku v prohlížeči nebo vlastní aplikaci - nikdy přes odkaz ze zprávy. Skutečná instituce k ověření takto po e-mailu nevyzývá.
6. Dejte si pozor na přílohy (.zip, .exe, makra)
Nevyžádané přílohy, zejména komprimované archivy (.zip, .rar) nebo dokumenty Wordu/Excelu s výzvou "povolit makra pro zobrazení obsahu", jsou klasickým nástrojem pro doručení malwaru nebo ransomwaru. Pokud přílohu neočekáváte, neotvírejte ji, i kdyby odesílatel vypadal jako známá osoba - jeho e-mail mohl být zneužit.
7. Ověřte to jiným kanálem
Zavolejte dané firmě na číslo z jejího oficiálního webu (ne z e-mailu), nebo kontaktujte kolegu/známého jiným způsobem než odpovědí na podezřelý e-mail, pokud se zpráva tváří jako od něj.
Konkrétní typy podvodných e-mailů, na které si dát pozor
Business Email Compromise (BEC) - podvod s firemní fakturou
Útočník nejprve sleduje komunikaci firmy (často po úniku hesla ke schránce) a poté v pravý moment odešle fakturu s pozměněným bankovním účtem, nebo se vydává za vedení firmy a žádá urgentní platbu. Tento typ podvodu nespoléhá na škodlivý odkaz, ale čistě na sociální inženýrství a důvěru.
Falešné ověření e-mailové adresy
V roce 2026 byla zaznamenána vlna e-mailů vyzývajících k "potvrzení e-mailové adresy" kliknutím na odkaz, který ve skutečnosti vedl na falešnou přihlašovací stránku pro odcizení hesla.
Falešná faktura za software nebo předplatné
E-mail oznamující "automatické prodloužení předplatného" neexistující služby, s odkazem na "zrušení platby", který ve skutečnosti vede na stránku pro zadání údajů o kartě.
Co dělat, pokud jste na podvodný e-mail již zareagovali
Pokud jste zadali heslo, okamžitě ho změňte ve skutečné aplikaci/na skutečném webu, a pokud jste stejné heslo použili i jinde, změňte ho i tam.
Pokud jste zadali údaje o platební kartě, kontaktujte banku a zvažte zablokování karty.
Pokud jste otevřeli přílohu, odpojte zařízení od internetu a proveďte kontrolu antivirem, případně vyhledejte odbornou pomoc.
Podvodný e-mail nahlaste - většina e-mailových klientů (Gmail, Seznam, Outlook) má tlačítko "Nahlásit phishing/spam", které pomáhá trénovat filtry pro ostatní uživatele.
Pokročilá kontrola: SPF, DKIM a DMARC
Pro technicky zdatnější uživatele existuje ještě spolehlivější způsob ověření - kontrola autentizačních záznamů e-mailu. Většina poštovních klientů umožňuje zobrazit "zdrojový kód" nebo "detaily zprávy" (originál/raw zprávy), kde najdete výsledky tří kontrol:
SPF (Sender Policy Framework) – ověřuje, zda server, ze kterého e-mail skutečně přišel, má oprávnění odesílat jménem dané domény.
DKIM (DomainKeys Identified Mail) – digitální podpis, který potvrzuje, že obsah zprávy nebyl po odeslání změněn a skutečně pochází z uvedené domény.
DMARC (Domain-based Message Authentication) – pravidlo, které určuje, co se má stát se zprávou, která neprojde SPF ani DKIM kontrolou (odmítnout, do spamu, nebo nic).
Pokud v detailu zprávy vidíte u některé z těchto kontrol "fail" nebo "softfail", je to silný signál, že odesílatel byl podvržen. Běžný uživatel se touto kontrolou nemusí zabývat u každého e-mailu, ale je to užitečný nástroj při vyšetřování podezřelé firemní komunikace.
Reálný případ: podvod za 100 milionů dolarů
Jedním z nejznámějších případů BEC podvodu je kauza litevského podnikatele Evaldase Rimašauskase, který se mezi lety 2013 a 2015 vydával za tchajwanského výrobce elektroniky Quanta Computer a prostřednictvím podvržených faktur a falešné firemní domény přesvědčil zaměstnance společností Google a Facebook k zaplacení faktur v celkové výši přes 100 milionů dolarů na účty, které kontroloval. Případ ukazuje, že obětí BEC podvodů se stávají i největší technologické firmy světa, pokud proces schvalování plateb nezahrnuje nezávislé telefonické ověření při změně bankovních údajů. Rimašauskas byl v roce 2019 odsouzen americkým soudem.
Právní rovina v ČR
Podvodné e-maily vedoucí k finanční škodě spadají pod § 209 trestního zákoníku (podvod), v kombinaci s § 230 (neoprávněný přístup k počítačovému systému), pokud došlo i k odcizení přístupových údajů. Firmy, které se stanou obětí BEC podvodu, by měly incident nahlásit Policii ČR a současně kontaktovat banku příjemce platby - u čerstvě provedených převodů existuje šance na zablokování prostředků, pokud zasáhne rychle.
Nejčastější dotazy k rozpoznání podvodného e-mailu (FAQ)
Jak zjistím skutečnou adresu odesílatele?
Klikněte nebo najeďte na zobrazené jméno odesílatele - e-mailový klient zobrazí celou adresu, kterou je potřeba porovnat se skutečnou doménou dané firmy.
Stačí bezchybná čeština jako důkaz, že e-mail je pravý?
Ne, nástroje s umělou inteligencí dnes umí vygenerovat gramaticky bezchybný text v češtině, takže kvalita jazyka už není spolehlivým znakem pravosti.
Je nebezpečné jen otevřít podvodný e-mail, bez kliknutí na odkaz?
Samotné otevření textu e-mailu obvykle není nebezpečné. Riziko vzniká až kliknutím na odkaz, otevřením přílohy nebo zadáním údajů.
Jak poznám podvodnou fakturu od skutečné?
Při jakékoliv změně platebních údajů (nové číslo účtu) vždy ověřte změnu telefonicky u dodavatele na známém čísle, ne odpovědí na e-mail s fakturou.
Co znamená zkratka BEC?
Business Email Compromise - podvod, kdy útočník zneužije napadenou nebo napodobenou firemní e-mailovou schránku k vylákání platby, typicky změnou čísla účtu na faktuře nebo urgentní žádostí vedení o platbu.
Mám podvodný e-mail smazat, nebo nahlásit?
Nejdřív nahlásit (tlačítko spam/phishing ve vašem e-mailovém klientovi) a poté smazat - nahlášení pomáhá zlepšit filtry i pro ostatní uživatele.
Můžou mě podvodné e-maily ohrozit, i když mám dvoufaktorové ověření?
Vícefaktorové ověření riziko výrazně snižuje, ale ne na nulu - sofistikované phishingové stránky dokážou v reálném čase přeposílat i jednorázové kódy. Proto je lepší nikdy nezadávat žádné údaje přes odkaz z e-mailu.
Co je SPF/DKIM/DMARC a jak mi pomůže poznat podvod?
Jsou to autentizační kontroly e-mailu viditelné v detailu/zdrojovém kódu zprávy. Pokud u nich vidíte "fail", je to silný signál, že odesílatel byl podvržen.
Mohou se stát obětí BEC podvodu i velké firmy?
Ano, nejznámější případ stál Google a Facebook přes 100 milionů dolarů. Ochranou je nezávislé telefonické ověření při jakékoliv změně bankovních údajů na faktuře.
