Smishing: podvodné SMS a jak se nenachytat na falešnou zásilku
Smishing je phishingový podvod prováděný přes SMS zprávy (z anglického "SMS phishing"). Útočník odesílá textovou zprávu, která se vydává za doručovatelskou společnost, poštu, banku nebo jinou důvěryhodnou instituci, a snaží se příjemce přimět kliknout na podvodný odkaz nebo zadat citlivé údaje. V Česku je smishing dlouhodobě jedním z nejrozšířenějších typů podvodných zpráv.
Aktualizováno: listopad 2026.
Jak smishing nejčastěji vypadá
Nejtypičtějším scénářem jsou zprávy vydávající se za Českou poštu, Balíkovnu, Zásilkovnu, DPD, PPL nebo DHL s textem typu "Váš balík nemohl být doručen, aktualizujte doručovací adresu" nebo "Čeká vás doplatek za celní odbavení zásilky". Zpráva obsahuje odkaz, který vede na podvodnou stránku napodobující vzhled skutečné firmy. Česká pošta opakovaně na svém webu varuje, že takové zprávy nepochází od ní a že odkazy mohou vést k odcizení údajů o platební kartě nebo k instalaci škodlivého softwaru.
Další skupinou jsou zprávy napodobující banky ("Váš účet byl zablokován, ověřte identitu kliknutím zde") nebo oznámení o výhře/odměně, které vyžadují zaplacení symbolického poplatku za "doručení výhry" – ve skutečnosti jde jen o způsob, jak získat údaje o platební kartě.
Proč jsou podvodné SMS tak účinné
Lidé SMS zprávám obecně důvěřují víc než e-mailům, protože si je spojují s osobní komunikací.
Krátký formát zprávy nedává prostor na detailní kontrolu pravopisu nebo formátování, které by u e-mailu mohlo podvod prozradit.
Zprávy často přicházejí v období, kdy skutečně něco objednáváte (Vánoce, výprodeje) - v tu chvíli zpráva o "nedoručeném balíku" nepůsobí podezřele.
Varovné signály podvodné SMS
Odesílatel s neobvyklou nebo mezinárodní předvolbou (např. +63 Filipíny), i když se zpráva tváří jako česká firma.
Zkrácené odkazy (bit.ly a podobné služby), které skrývají skutečnou cílovou adresu.
Neobvyklá nebo lehce odlišná doména od skutečného webu firmy (např. "ceska-posta-cz.info" místo "ceskaposta.cz").
Naléhavost a časový tlak - "zaplaťte do 24 hodin, jinak bude zásilka vrácena odesílateli".
Požadavek na zadání údajů o platební kartě za údajně symbolický poplatek (doplatek za dopravu, celní poplatek).
Co dělat, když obdržíte podezřelou SMS
Neklikejte na odkaz. Pokud chcete zásilku ověřit, otevřete si ručně aplikaci nebo web dopravce a zadejte sledovací kód samostatně, ne přes odkaz ze zprávy.
Zkontrolujte číslo odesílatele - neobvyklá předvolba nebo krátký kód, který firma běžně nepoužívá, je varovný signál.
Smažte zprávu a nahlaste ji - většina mobilních operátorů umožňuje nahlásit spam/podvodnou SMS přímo z aplikace pro zprávy nebo přeposláním na speciální číslo operátora.
Pokud jste už klikli a zadali údaje, okamžitě kontaktujte svou banku a zablokujte platební kartu, poté změňte hesla ke všem souvisejícím účtům.
Jak se smishingu vyhnout dopředu
Pro sledování zásilek používejte výhradně oficiální aplikaci dopravce nebo zadávejte sledovací číslo ručně na jeho webu.
Mějte na paměti, že legitimní firmy nikdy nežádají platbu přes SMS odkaz za "celní poplatek" nebo "doplatek za doručení" u běžné domácí zásilky.
Zapněte na telefonu, pokud je k dispozici, filtr spamových zpráv - moderní telefony (Android i iPhone) umí automaticky třídit podezřelé zprávy od neznámých odesílatelů do samostatné složky.
Pravidelně aktualizujte operační systém telefonu - některé podvodné odkazy zneužívají zranitelnosti prohlížeče.
FluBot – reálný případ bankovního malwaru šířeného přes SMS
Jedním z nejznámějších evropských případů smishingu byl FluBot – bankovní malware pro Android, který se šířil přesně popsaným způsobem: SMS zpráva o "nedoručeném balíku" vedla na stránku, která vyzvala k instalaci falešné aplikace pro sledování zásilky. Po instalaci získal malware přístup k SMS zprávám a notifikacím a snažil se přes podvržené přihlašovací obrazovky odcizit přístupové údaje k bankovním aplikacím. Zasáhl desetitisíce zařízení po celé Evropě, včetně Česka. V roce 2022 se mezinárodní policejní akci koordinované Europolem podařilo infrastrukturu FluBotu vyřadit z provozu, což ukazuje, že i rozsáhlé smishingové kampaně lze zastavit koordinovaným zásahem.
Quishing – smishing přes QR kódy
Novější variantou je tzv. quishing (QR code phishing), kdy útočník nahradí nebo přelepí legitimní QR kód (například na parkovacím automatu, letáku nebo i v e-mailu) podvodným kódem vedoucím na falešnou platební stránku. Protože QR kód lidské oko nedokáže "přečíst" předem, je obtížnější odhalit podvod dřív, než telefon kód naskenuje a otevře odkaz. Doporučuje se po naskenování vždy zkontrolovat celou zobrazenou URL adresu, než se zadají jakékoliv platební údaje, a u veřejných QR kódů (parkovací automaty) raději použít официální aplikaci města nebo platbu kartou.
Právní rovina a jak smishing souvisí s trestním zákoníkem
Pokud smishing vede ke skutečnému odcizení peněz nebo údajů, jde o trestný čin podvodu (§ 209 trestního zákoníku), případně v kombinaci s neoprávněným přístupem k počítačovému systému (§ 230) u případů jako FluBot, kde dochází i k instalaci malwaru. Samotné rozesílání hromadných podvodných SMS bez zjištěného konkrétního poškozeného se v praxi obtížně postihuje, protože útočníci často operují ze zahraničí přes anonymizované SMS brány.
Statistiky a rozsah problému
Podle opakovaných upozornění České pošty a mobilních operátorů patří smishing dlouhodobě mezi nejhlášenější typy podvodných zpráv v ČR, s výraznými špičkami v období Vánoc a slevových akcí, kdy lidé reálně očekávají doručení balíků. Operátoři proto v posledních letech nasazují automatické filtry, které část podvodných SMS kampaní blokují ještě před doručením, přesto část zpráv filtrem projde.
Nejčastější dotazy ke smishingu (FAQ)
Jak poznám podvodnou SMS od dopravce?
Typické znaky jsou neobvyklé číslo odesílatele, zkrácený nebo podezřelý odkaz, požadavek na platbu za "celní poplatek" a časový tlak. Legitimní dopravci takto platbu přes SMS odkaz nevyžadují.
Co se stane, když klikněte na odkaz v podvodné SMS?
Odkaz obvykle vede na padělanou stránku, která se snaží získat údaje o platební kartě nebo nainstalovat škodlivý software. Samotné otevření stránky ještě nemusí znamenat škodu, pokud nezadáte žádné údaje.
Mohu smishing nahlásit?
Ano, většina mobilních operátorů v ČR umožňuje přeposlat podezřelou SMS na speciální číslo pro nahlášení spamu/podvodu, informace najdete na webu vašeho operátora.
Proč se objevují SMS s cizí předvolbou?
Útočníci často rozesílají zprávy hromadně přes zahraniční SMS brány, které jsou levnější nebo hůře sledovatelné - proto se u odesílatele objevuje neobvyklá mezinárodní předvolba.
Je bezpečné odpovědět slovem "STOP"?
U legitimních marketingových SMS to funguje, ale u podvodné zprávy to jen potvrdí útočníkovi, že je číslo aktivní a čtené - lepší je zprávu bez odpovědi smazat a nahlásit.
Můžou podvodníci zneužít i moje číslo k odesílání dalších smishingových zpráv?
Přímo vaše číslo coby odesílatel se obvykle nezneužije jen kliknutím na odkaz, ale pokud zadáte osobní údaje, mohou se objevit v databázích zneužívaných k dalším cíleným podvodům.
Co je quishing?
Je to smishing přes podvržené QR kódy, například na parkovacích automatech. Po naskenování je vhodné vždy zkontrolovat celou zobrazenou URL adresu, než zadáte platební údaje.
Co byl FluBot a hrozí podobný malware stále?
FluBot byl bankovní malware šířený přes SMS o "nedoručeném balíku", v roce 2022 ho vyřadila mezinárodní policejní akce. Podobné kampaně se objevují i nadále pod jinými názvy, princip zůstává stejný.
