Falešné faktury a změna čísla účtu – podvody BEC a CEO fraud: jak se bránit ve firmě i doma

Falešné faktury a podvody se změnou čísla účtu (v odborné terminologii BEC – Business Email Compromise a CEO fraud) patří k nejnákladnějším online podvodům. Oběťmi jsou firmy, spolky, obce i soukromé osoby, které platí faktury: pachatel pošle věrohodně vypadající fakturu, nebo oznámí změnu čísla účtu stávajícího dodavatele, případně se vydává za ředitele, který naléhavě žádá okamžitou platbu. Zaměstnanec či účetní peníze pošle na účet podvodníka, a protože dnes existují okamžité platby, bývají peníze za minuty pryč. Podvodníci spoléhají na rutinu, spěch a respekt k nadřízeným.

V tomto článku vysvětlujeme, jak tyto podvody fungují, jaké mají varianty (falešná faktura, změna účtu, CEO fraud, falešná faktura za IT služby), jak je poznat, jaká pravidla zavést ve firmě, jak postupovat doma (například při platbě za stavbu či rezervaci), co dělat, když platba už odešla, a kam se obrátit. Informace vycházejí z doporučení Policie ČR, například ze stránky CEO podvody a Podvodné e-mailové zprávy, z přehledů médií, například Podvodníci sázejí na rutinu účetních a Kyberpodvodníci falšují faktury ve velkém. Podoby podvodu se mění, ale princip zůstává.

Další návody najdete v kategorii Podvody a sociální inženýrství, například Jak rozpoznat podvodný e-mail, Phishing a Vishing.

Aktualizováno: listopad 2026.

Jak podvod funguje

Existuje několik základních podob:

1. Falešná faktura: podvodník pošle fakturu za službu či zboží, které firma nikdy neobjednala (například IT služby, domény, licence, marketing), v naději, že ji účetní proplatí z rutiny. Faktura vypadá profesionálně, má logo, číslo a splatnost.
2. Změna čísla účtu: podvodník se vydává za stávajícího dodavatele a e-mailem sdělí, že se mění číslo účtu. Budoucí platby pak míří k němu. Policie varuje, že se někdy podaří nabourat do skutečné e-mailové schránky dodavatele, takže zpráva vypadá autenticky.
3. CEO fraud (podvod „šéfa“): účetní dostane e-mail či zprávu od „ředitele“ (jeho jméno je podvodně použito), který žádá naléhavý a důvěrný převod, často v době jeho nepřítomnosti. Policie zdůrazňuje, že pachatelé čekají na dovolenou či služební cestu.
4. Falešný právník či bankéř: tvrdí, že jde o důvěrnou transakci spojenou s „akvizicí“.
5. Kompromitovaný e-mail: útočník sleduje komunikaci a vloží se do rozběhlé obchodní korespondence s „opravenou“ fakturou.

Podle zpráv se v poslední době objevují hromadně rozesílané falešné faktury za IT služby v řádu desítek tisíc korun; pokud číslo účtu neodpovídá obvyklému, je třeba změnu ověřit.

Orientační postup ověření faktury a změny bankovních údajů – vlastní infografika

Varovné signály

Pozor na:

• Změnu čísla účtu oznámenou e-mailem, zejména s tlakem na rychlé zaplacení.
• Fakturu za službu, kterou neznáte, často s neurčitým popisem („IT služby“, „licence“).
• Neobvyklý účet: zahraniční, jiná banka, osobní účet místo firemního.
• E-mail od „šéfa“ z neobvyklé adresy či s drobně změněnou doménou.
• Důvěrnost a spěch: „nikomu to neříkej“, „zaplať ještě dnes“, „jsem na jednání a nemohu telefonovat“.
• Žádost o platbu „mimo standardní postup“.
• Neznámý odesílatel a drobné překlepy, ale i bezchybná čeština.
• Požadavek na kupóny či kryptoměnu místo bankovního převodu; viz Dárkové karty a podvody.

Pachatelé využívají okamžité platby, které znamenají, že peníze odejdou za sekundy a lze je jen těžko vrátit. Proto platí zásada: každou změnu účtu a každou neobvyklou platbu ověřte jiným kanálem, než ve kterém přišla.

Pravidla pro firmu

Základní opatření:

• Dvojí schválení plateb: platby nad určitou částku či nové účty musejí schválit dvě osoby.
• Ověření změny účtu vždy telefonicky na známé číslo, a to před první platbou na nový účet.
• Seznam schválených dodavatelů a účtů v účetním systému; nový účet vyžaduje ověření.
• Školení zaměstnanců o phishingu a BEC; simulované útoky.
• Dvoufaktorové ověření u firemního e-mailu a bankovnictví; viz Dvoufaktorová autentizace.
• Pravidlo „nikdy mimo proces“: žádná platba na základě e-mailu od vedení bez schválení v systému.
• Kontrola domén (podobná jména) a zapnutí ochrany e-mailu (SPF, DKIM, DMARC) u IT správce.
• Limity v bankovnictví a upozornění na neobvyklé platby.
• Plán pro nepřítomnost vedení: ověřený kanál pro urgentní žádosti.

Menší firmy a OSVČ mohou zavést jednoduchou check-list kontrolu před každou novou fakturou: znám dodavatele, objednal jsem, sedí účet, ověřil jsem telefonicky.

Co dělat doma: soukromé platby

Podvod se netýká jen firem. Soukromé osoby často platí zálohy na stavbu, rezervace, vzdělávací kurzy, nájem či auto, kde se pachatel vloží do e-mailové komunikace či vydává za realitní kancelář. Pravidla: ověřte číslo účtu telefonicky u skutečné firmy (z jejího oficiálního webu), nepřijímejte změnu účtu bez ověření, neplaťte na osobní účet za služby firmy, a pokud se platba týká velké částky, využijte notářskou úschovu či advokátní úschovu. Viz Podvody s pronájmem bydlení. U e-shopů dbejte na bezpečný způsob platby; viz Podvodné e-shopy.

Kontrolní seznam pro platby – vlastní infografika

Co dělat, když platba už odešla

Rychlost je rozhodující:

1. Okamžitě zavolejte do banky a požádejte o zablokování či zpětné vyžádání platby; u okamžitých plateb jde o minuty, a čím dříve, tím větší šance.
2. Požádejte banku příjemce o zadržení peněz (přes svou banku).
3. Uschovejte důkazy: e-maily s hlavičkami, faktury, čísla účtů, telefonní čísla, snímky obrazovky.
4. Podejte oznámení na Policii ČR (linka 158, nejbližší oddělení); uveďte částky, účty a komunikaci.
5. Informujte vedení a IT správce: je třeba zjistit, zda nebyl kompromitován e-mailový účet; změňte hesla a zkontrolujte přesměrování a pravidla; viz Hacknutý účet.
6. Informujte dodavatele či partnera, jehož jméno bylo zneužito.
7. Pojišťovna: zjistěte, zda existuje pojištění kybernetických rizik.
8. Poučte zaměstnance, aby se příště vyhli stejné chybě; nehledejte viníka, hledejte slabé místo procesu.

Pokud jde o GDPR incident (únik osobních údajů), zvažte povinnost hlášení; viz Ochrana osobních údajů.

Falešné faktury za IT služby a domény

Častým trikem jsou falešné faktury za IT služby, hosting, SEO, ochranu domény či licence, které firmy platí z rutiny. Podvodníci využívají údaje z veřejných registrů (jméno firmy, doména, jméno jednatele) a posílají fakturu s „předplatným“. Pokud jste doménu neobjednali u uvedené firmy, jde o podvod. Pravidla: zkontrolujte, zda faktura odpovídá objednávce, ověřte dodavatele v rejstříku a hlídejte, zda se v účetnictví neobjevuje neznámý dodavatel. U domén a webů ověřte aktuální stav u svého registrátora. Pokud je částka malá, nepodceňujte ji: podvodníci spoléhají, že malé platby nikdo nekontroluje. Viz také Wix a falešné faktury za doménu.

Okamžité platby a bezpečné nastavení bankovnictví

Okamžité platby usnadňují podvodníkům práci, protože peníze jsou na cizím účtu během sekund. V bankovnictví proto zvažte: limity pro okamžité platby, upozornění na každou platbu, vyšší ověření u nových příjemců a druhého schvalovatele u firemního účtu. Neukládejte přihlašovací údaje do sdílených zařízení a nikdy nenechte cizí osobu ovládat váš počítač vzdáleně. Pokud banka nabízí kontrolu příjemce (například porovnání jména a účtu), využijte ji. Viz Nákupy a bankovnictví online a Vishing.

Časté otázky v praxi

Dostal jsem e-mail od dodavatele se změnou účtu: zavolejte mu na známé číslo; do ověření neplaťte. Šéf píše, ať zaplatím a nikomu neříkám: ověřte jiným kanálem; takový požadavek je varováním. Faktura je za službu, kterou neznám: neplaťte a ověřte u vedení. Co když jsem zaplatil omylem?: ihned banka a policie. Má smysl školení?: ano, většina útoků cílí na lidský faktor.

Falešné faktury v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Podvody a sociální inženýrství: Jak rozpoznat podvodný e-mail, Phishing, Sociální inženýrství a Dárkové karty a podvody.

Shrnutí

Falešné faktury, BEC a CEO fraud stojí na spěchu a důvěře. Každou změnu čísla účtu ověřte telefonem na známém čísle, fakturu porovnejte s objednávkou, zavedte dvojí schválení plateb a při podezření ihned volejte do banky a na policii. Aktuální rady najdete u Policie ČR.

Často kladené otázky k falešným fakturám a BEC