Caller ID spoofing - podvodné telefonáty s falešným číslem
Zobrazené telefonní číslo na displeji už dávno není spolehlivým důkazem, kdo vám volá. Technika zvaná caller ID spoofing umožňuje podvodníkům zobrazit jakékoliv číslo podle výběru - klidně přesně to, které má vaše banka, zdravotní pojišťovna nebo policie. Tento typ podvodu stojí v pozadí velké části telefonických podvodů, od falešných bankovních "bezpečnostních" hovorů až po vydírání jménem úřadů.
Jak caller ID spoofing technicky funguje
Telefonní síť přenáší spolu s hovorem i identifikační číslo volajícího, ale u VoIP (internetové telefonie) a řady dalších technologií lze toto číslo při odesílání hovoru nastavit manuálně, podobně jako lze v e-mailu napsat libovolnou adresu odesílatele do pole "Od". Podvodník si pronajme VoIP službu, která mu umožní zadat jakékoli zobrazené číslo, a propojí hovor přes mezinárodní brány, které ztěžují dohledání skutečného původu hovoru.
Akademická studie z univerzity v Sheffieldu publikovaná v časopisu ACM Transactions on Privacy and Security popisuje spoofing jako celosvětový problém telefonní infrastruktury, který umožňuje velkou část telefonních podvodů. Řešení STIR/SHAKEN, které se zavádí v USA a testuje v některých evropských zemích, přitom podle autorů studie neověřuje identitu volajícího samotného, ale pouze původního operátora, který hovor do sítě vpustil - spoofing je tak stále možný, pokud útočník využije operátora, který ověřování nevyžaduje nebo ho obchází přes mezinárodní brány.
Nejčastější scénáře zneužití falešného čísla
- Falešné bankovní volání - zobrazí se skutečné číslo banky, "bankéř" žádá nadiktování SMS kódu nebo přihlašovacích údajů pod záminkou "bezpečnostní kontroly"
- Falešná policie nebo úřad - volající tvrdí, že proti vám běží vyšetřování a žádá okamžitou platbu "kauce" nebo pokuty
- Vishing s technickou podporou - zobrazí se číslo známé technologické firmy, volající tvrdí, že na vašem počítači byl zjištěn virus
- Rodinná nouzová situace - volající zfalšuje číslo příbuzného a požaduje okamžité zaslání peněz na "pomoc"
Evropský a český kontext - stav STIR/SHAKEN
STIR/SHAKEN je technický standard, kde operátor na začátku hovoru digitálně podepíše, že hovor odpovídá přidělenému číselnému rozsahu, a operátor na konci podpis ověří. Podle dokumentu evropského sdružení regulátorů BEREC z roku 2025 tento mechanismus funguje jen na čistě IP sítích, ne na starší telefonní infrastruktuře, a mezi evropskými zeměmi se zavádí nerovnoměrně - zmiňovaná je implementace u francouzských operátorů. Přesný aktuální stav zavedení u českých operátorů a konkrétní pravidla Českého telekomunikačního úřadu (ČTÚ) nebyly v dostupných zdrojích jednoznačně dohledatelné k listopadu 2026 - doporučujeme ověřit přímo u ČTÚ nebo svého operátora, pokud vás konkrétní stav zajímá.
Jak poznat podvodný hovor bez ohledu na zobrazené číslo
- Nikdy nediktujte SMS kód, PIN ani přihlašovací údaje po telefonu - žádná banka ani úřad to nikdy nepožaduje
- Zavolejte zpět na číslo, které si sami vyhledáte (ne to, které vám volající nadiktuje) - oficiální web banky nebo úřadu
- Nepodléhejte tlaku na okamžité rozhodnutí - legitimní instituce vám dá čas na ověření, podvodník tlačí na rychlost
- Zavěste a vytočte si číslo znovu sami - u VoIP spoofing útoku volající často nemůže udržet hovor, pokud zavěsíte a vytočíte číslo nově
Co dělat, pokud jste podvodnému hovoru podlehli
Pokud jste poskytli přístupové údaje nebo autorizovali platbu, okamžitě kontaktujte svou banku a požádejte o zablokování karty/účtu a zrušení autorizace. Změňte hesla k ovlivněným službám. Podejte trestní oznámení na Policii ČR - i když dohledání pachatele u spoofovaných mezinárodních hovorů bývá obtížné, nahlášení pomáhá při mapování rozsahu konkrétní kampaně.
Proč je vishing se spoofingem nebezpečnější než klasický phishingový e-mail
Telefonický hovor působí osobněji a naléhavěji než e-mail - oběť nemá čas si v klidu promyslet odpověď, a živý hlas na druhé straně umí reagovat na námitky a improvizovat, což e-mailová šablona nedokáže. Kombinace se spoofovaným číslem navíc obchází i poměrně zkušené uživatele, kteří by u podezřelého e-mailu zpozorněli - vizuální "důkaz" ve formě správného čísla na displeji vytváří falešný pocit jistoty. Podvodníci navíc často kombinují vishing s informacemi získanými z předchozího úniku dat (víte celé jméno, adresu, poslední čtyři číslice karty), což hovor dělá ještě důvěryhodnějším.
Co dělat, pokud nahlásíte podvodné číslo a nikdo nezasáhne
Nahlášení konkrétního spoofovaného čísla operátorovi nebo Policii ČR nemusí vést k okamžitému zásahu, protože číslo bylo pouze zobrazeno, ne skutečně využíváno útočníkem jako jeho vlastní - zablokování by postihlo nevinného majitele skutečného čísla. Hlášení má smysl především pro mapování vzorců útoku (čas, obsah hovoru, požadovaná částka) a pro statistiky, které mohou vést k širším opatřením na úrovni operátorů nebo regulátora.
Proč je spoofing telefonního čísla stále tak snadný
Technologie SS7 a VoIP, na kterých telefonní síť funguje, byly navrženy v době, kdy se s podvodným zneužitím nepočítalo - VoIP poskytovatelé umožňují nastavit jakékoliv zobrazené číslo odesílatele, aniž by muselo odpovídat reálné přidělené lince. Standard STIR/SHAKEN, zavedený mimo jiné v USA, ověřuje jen to, že hovor přišel od legitimního operátora, ne to, že zobrazené číslo je pravé - proto spoofing stále funguje i v sítích, kde je STIR/SHAKEN zavedený.
Jak se chová banka nebo úřad při skutečném telefonátu
Skuteční zaměstnanci bank v ČR po vás nikdy nebudou chtít po telefonu celé číslo karty, PIN, nebo kód z SMS/aplikace pro potvrzení platby - tyto údaje systém banky k ověření hovoru nepotřebuje. Pokud si nejste jistí, nejbezpečnější je hovor ukončit a zavolat zpět na číslo z zadní strany platební karty nebo z oficiálního webu banky, ne na číslo, které vám volající nadiktuje.
Spoofing e-mailové adresy jako příbuzný problém
Stejný princip jako u telefonních čísel platí i u e-mailu - podvodník může snadno nastavit zobrazené jméno odesílatele, aniž by ovládal skutečnou adresu. Na rozdíl od telefonu ale u e-mailu existují technologie SPF, DKIM a DMARC, které příjemcův poštovní server může použít k ověření, zda zpráva skutečně přišla z deklarované domény - proto má e-mailový spoofing u dobře nastavených domén nižší úspěšnost než telefonní spoofing.
Často kladené otázky
Může si operátor zjistit skutečné číslo volajícího i při spoofingu?
Technicky je to možné zpětně dohledat na úrovni operátorů v rámci vyšetřování, ale je to časově náročné, zvlášť pokud hovor prošel přes více mezinárodních bran. Běžný uživatel u sebe v telefonu reálné číslo volajícího nezjistí.
Chrání mě blokování konkrétního čísla před opakovaným spoofingem?
Jen částečně - podvodník může při dalším pokusu zobrazit jiné falešné číslo. Blokování pomáhá u opakovaných hovorů ze stejného zdroje, ale nejde o systémovou ochranu před spoofingem jako takovým.
Je spoofing vždy znakem podvodu?
Ne, úprava zobrazeného čísla má i legitimní využití - velké firmy s více pobočkami mohou chtít, aby se zobrazovalo jedno centrální číslo zákaznické linky bez ohledu na to, ze které pobočky hovor fyzicky odchází. Problém nastává, když je tato technika zneužita k podvodu.
Pomůže instalace appky na detekci spamu/podvodných hovorů?
Appky jako Truecaller nebo vestavěné filtry operátorů mohou zachytit čísla nahlášená jinými uživateli jako podvodná, ale u nového nebo cíleně spoofovaného čísla, které ještě nikdo nenahlásil, nemusí zafungovat. Jde o doplňkovou, ne absolutní ochranu.
Mohou podvodníci spoofovat i SMS zprávy, ne jen hovory?
Ano, podobný princip existuje i u SMS (tzv. smishing se spoofovaným odesílatelem), kde zpráva může vypadat, jako by přišla ze stejného vlákna zpráv jako předchozí legitimní SMS od banky. Stejná pravidla ostražitosti platí i tam.
Pomůže blokace podezřelých čísel, pokud si podvodník číslo pořád mění?
Jen částečně - blokace konkrétního čísla nezabrání dalšímu hovoru z jiného spoofovaného čísla, ale v kombinaci s obecnou obezřetností a neodpovídáním na neznámá čísla snižuje riziko.
Je možné zpětně dohledat, kdo opravdu volal se spoofovaným číslem?
Operátor to teoreticky dokáže dohledat v logu signalizace, ale běžný uživatel k tomu přístup nemá - při podezření na trestný čin je nutné podat trestní oznámení a dohledání přenechat policii.
