3D Secure – ověření platby kartou online: jak funguje a jak poznat podvodné potvrzení

3D Secure (3DS) je způsob ověření platby kartou na internetu: kromě údajů z karty musíte platbu potvrdit ještě v bankovní aplikaci, kódem či biometrií. Cílem je zajistit, aby platbu opravdu schvaloval držitel karty, nikoli někdo, kdo si údaje z karty pouze opsal či ukradl. U karet Visa se služba označuje Visa Secure, u Mastercard Mastercard ID Check. V Evropské unii je ověřování součástí pravidel PSD2 o silném ověření zákazníka (SCA), které banky v Česku zavedly od roku 2020. Pokud platbu potvrdíte, berete za ni odpovědnost, proto je zásadní vědět, co přesně potvrzujete.

V tomto článku vysvětlujeme, jak 3D Secure funguje, jak vypadá potvrzení v aplikaci či SMS kódem, kdy se ověření nevyžaduje, jak poznat podvodné potvrzení a jak postupovat při neoprávněné platbě. Čerpáme z přehledu Adyen: 3D Secure, z článku Lupa.cz: Silné ověřování zákazníka, z informací České bankovní asociace a z přehledu České národní banky o platebním styku. Konkrétní podmínky se u jednotlivých bank liší, proto je ověřte v dokumentaci své banky.

Další návody najdete v kategorii Mobil, bankovnictví a platby, například Bezpečnost mobilního bankovnictví, Nákupy a bankovnictví online a SIM swapping.

Aktualizováno: listopad 2026.

Jak 3D Secure funguje

Při platbě kartou na e-shopu zadáte číslo karty, platnost a CVV/CVC kód. E-shop předá platbu platební bráně, která se zeptá vaší banky, zda platbu povolit. Banka podle rizika platby buď schválí rovnou, nebo požádá o dodatečné ověření: pak se vám zobrazí stránka banky či výzva v aplikaci, kde platbu potvrdíte. Ověření obvykle zahrnuje dva ze tří prvků: něco, co víte (PIN, heslo), co máte (telefon s aplikací, token) a čím jste (otisk prstu, obličej). Novější verze (3DS 2) využívá více údajů o platbě a zařízení, takže rizikové platby ověřuje přísněji a běžné platby bezstarostněji.

Nejčastější způsoby potvrzení:

• Potvrzení v bankovní aplikaci (push notifikace, otisk prstu, obličej, PIN): dnes nejběžnější a nejbezpečnější; viz Push notifikace a potvrzení plateb v bance.
• SMS kód či kód z tokenu: dosud používán, ale SMS je zranitelnější (viz SIM swapping).
• Kombinace (aplikace i záložní SMS).

Orientační postup potvrzení platby 3D Secure – vlastní infografika

Co zkontrolovat před potvrzením

Většina podvodů s 3D Secure stojí na tom, že potvrdíte platbu, kterou jste nechtěli. Před potvrzením si vždy všimněte:

1. Obchodníka: název v potvrzení se musí shodovat s e-shopem. Pokud platíte u jednoho e-shopu a v aplikaci vidíte neznámého obchodníka, nepotvrzujte.
2. Částky a měny: porovnejte s košíkem. Podvodníci často používají jinou měnu (například eura či dolary).
3. Typu operace: platba, přidání karty do peněženky, změna limitu, přihlášení; každá žádost má jiný význam.
4. Času: nečekaná žádost uprostřed noci či v době, kdy nic neplatíte, je varování.
5. Zda jste ji sami vyvolali: pokud jste právě nic nezadávali, odmítněte žádost a kartu zablokujte.

Kdy se ověření nevyžaduje

Nemusí být vyžadováno u každé platby. Pravidla PSD2 umožňují výjimky: například nízké částky, opakované platby u důvěryhodných obchodníků (předplatné), platby bez přítomnosti zákazníka (po předchozím ověření) či nízké riziko posuzované bankou. Banka o použití výjimky rozhoduje sama. Pro vás to znamená dvě věci: ne každá platba bude potvrzována (a to je normální) a odpovědnost za platbu, kterou jste nepotvrdili, se posuzuje podle podmínek banky a zákona. Pokud vám z účtu zmizí platba bez ověření, kterou jste neprovedli, ihned kontaktujte banku.

Jak poznat podvodné potvrzení

Podvodníci využívají několik triků:

• Falešný e-shop vás přiměje zadat údaje karty a potvrdit „platbu“, kterou ve skutečnosti někdo jiný provádí jinde; viz Falešné e-shopy.
• Telefonát „z banky“: volající tvrdí, že potvrzením zrušíte podezřelou platbu či získáte vrácení peněz. Ve skutečnosti platbu schvalujete. Banka nikdy nevyžaduje, abyste potvrzovali platbu pro „zrušení“; viz Vishing.
• Falešné SMS či e-maily odkazující na „potvrzení platby“ či „odblokování karty“ s odkazem na podvodnou stránku; viz Smishing a Phishing.
• Podvodná platební stránka, která napodobuje bankovní ověření a vyžaduje kód z SMS či přihlašovací údaje. Kód či heslo nikdy nezadávejte na stránku, na kterou vás někdo přesměroval odkazem.
• Vylákání kódu: „kurýr“ či „kupující“ chce kód z SMS pro „ověření“.
• Opakované žádosti o potvrzení (tzv. „push bombing“): útočník doufá, že z únavy potvrdíte.

Kontrolní seznam – vlastní infografika

Co dělat při neoprávněné platbě

1. Okamžitě zablokujte kartu v aplikaci nebo na lince banky.
2. Kontaktujte banku a nahlaste neoprávněnou platbu; požádejte o reklamaci (zpětné vrácení platby, tzv. chargeback). Banky mají na reklamaci lhůty, proto neotálejte.
3. Změňte přihlašovací údaje do bankovnictví, pokud jste něco zadali na podezřelé stránce.
4. Zkontrolujte zařízení (antivirus, nainstalované aplikace); viz Bezpečnost mobilních zařízení.
5. Uložte důkazy: snímky obrazovky, e-maily, SMS, čísla.
6. Podejte oznámení na Policii ČR při větší škodě či podezření na trestný čin; informace najdete na stránkách Policie ČR.
7. Vyhodnoťte kartu: nechte si vydat novou s jiným číslem.

Pokud jste platbu sami potvrdili kvůli manipulaci, banka může její vrácení posuzovat přísněji; i tak se vždy obraťte na banku co nejdříve, může existovat možnost částku zablokovat či vrátit.

Prevence a nastavení

• Aplikace banky mějte aktuální a zamčenou biometrií či PIN.
• Zapněte upozornění na každou platbu (push či SMS).
• Nastavte limity pro platby online či v zahraničí; viz Limity na kartách a platbách.
• Zvažte virtuální kartu pro online nákupy; viz Virtuální karty a jednorázová čísla.
• Neukládejte kartu do neznámých e-shopů a mažte uložené karty z nepoužívaných.
• Nakupujte na ověřených e-shopech; viz Nákupy a bankovnictví online.
• Nikdy nesdílejte kód, PIN ani CVV s nikým, ani s „pracovníkem banky“.

Firmy a kancelář

Firemní karty a platby online by měly mít omezené limity, oddělené karty pro online platby, upozornění pro více osob a jasný postup při podezření. Zaměstnanci musí vědět, že potvrzovací kód ani žádost o potvrzení se nepředává ani kolegům, ani „IT podpoře“. Pro firemní e-shopy je 3D Secure také ochranou před zneužitím karet zákazníků: provozovatelé by měli používat ověřené platební brány a sledovat podezřelé vzorce.

Časté otázky v praxi

Proč mi banka nepošle potvrzení u každé platby?: banka může použít výjimku podle rizika. Je potvrzení v aplikaci bezpečnější než SMS?: obvykle ano. Co když mi přijde žádost, kterou jsem nevyvolal?: odmítněte a kartu zablokujte. Vrátí banka peníze?: záleží na okolnostech; vždy hlaste ihned. Mohu 3D Secure vypnout?: obvykle ne; je součástí zabezpečení.

3D Secure v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro držitele karet – vlastní infografika

Související články

Další návody najdete v kategorii Mobil, bankovnictví a platby: Bezpečnost mobilního bankovnictví, Bezpečnost NFC plateb, Elektronické peněženky a SIM swapping.

Shrnutí

3D Secure chrání platby kartou tím, že vyžaduje potvrzení držitelem. Potvrzujte jen platby, které jste sami vyvolali, kontrolujte obchodníka a částku, nikomu nesdílejte kódy a při podezření ihned zablokujte kartu a volejte banku. Další informace najdete u České bankovní asociace.

Často kladené otázky k 3D Secure