Vishing: telefonní podvody a jak poznat falešného bankéře
Vishing (z anglického "voice phishing") je podvod, při kterém útočník telefonuje oběti a pod falešnou identitou – nejčastěji bankéře, policisty nebo zaměstnance telefonního operátora – se snaží vylákat peníze, přihlašovací údaje nebo přístup k zařízení. V Česku počet těchto podvodů v posledních letech výrazně roste a nově se do hry zapojuje i umělá inteligence, která umí napodobit lidský hlas.
Aktualizováno: listopad 2026.
Jak vishing probíhá v praxi
Klasický scénář: oběti zavolá osoba, která se vydává za bankéře a tvrdí, že na jejím účtu došlo k podezřelé transakci nebo pokusu o neoprávněný přístup. Pod záminkou "zabezpečení účtu" požádá o sdělení SMS kódu, přihlašovacích údajů do internetového bankovnictví, nebo přesvědčí oběť, aby si nainstalovala aplikaci pro vzdálený přístup k počítači/telefonu (např. AnyDesk nebo TeamViewer). Jakmile útočník získá přístup nebo kód, provede převod peněz z účtu oběti na jiný, odkud peníze rychle "propere" přes další účty.
Podle Komerční banky počet případů vishingu v Česku vzrostl z přibližně 160 v roce 2024 na zhruba 470 v roce 2025, se ztrátami v řádu desítek milionů korun ročně. Podobný nárůst hlásí i další banky.
Falešné telefonní číslo (spoofing)
Útočníci dokážou podvrhnout zobrazené telefonní číslo tak, aby na displeji oběti vypadalo jako skutečné číslo banky nebo tísňové linky. Samotné zobrazené číslo tedy není spolehlivým důkazem, že telefonuje skutečně daná instituce.
AI klonování hlasu – nová hrozba
Nástroje pro klonování hlasu pomocí umělé inteligence jsou dnes volně dostupné na internetu a zvládají i češtinu, což byla ještě před pár lety poměrně účinná jazyková bariéra. Podvodníci tak mohou nahrát krátkou ukázku hlasu (například z veřejného videa) a vytvořit přesvědčivou imitaci, kterou následně využijí k vydírání – třeba telefonátem "dítěte" rodičům s žádostí o peníze, nebo v podnikovém prostředí jako falešný hlas vedení firmy žádající urgentní platbu. Jeden zdokumentovaný případ v Česku popisuje, jak naklonovaný hlas vylákal z banky přes dvě miliardy korun.
Jak podvodníci budují důvěru a tlak
Vytváření naléhavosti – "pokud okamžitě nezareagujete, přijdete o všechny peníze na účtu".
Odbornost a autorita – používání bankovního slangu, zmínky o konkrétních (často vymyšlených) transakcích, aby působili důvěryhodně.
Izolace oběti – instrukce typu "nemluvte o tom s nikým, je to důvěrné bezpečnostní opatření", aby oběť nemohla hovor konzultovat s rodinou nebo skutečně zavolat bance.
Postupné stupňování – první kontakt bývá nevinný (např. ověření údajů), teprve další hovor nebo zpráva žádá citlivé informace nebo platbu.
Jak vishing poznat a správně zareagovat
Skutečná banka nikdy nežádá tyto věci po telefonu
Podle doporučení bank a projektu Banky.cz platí jasné pravidlo: skutečná banka po telefonu nikdy nežádá celé přihlašovací heslo, PIN, kód z SMS/aplikace ani instalaci programu pro vzdálený přístup k vašemu počítači či telefonu. Banka vám také vždy dá čas na rozmyšlenou – nikdy nenutí k okamžitému jednání pod tlakem.
Zavěste a zavolejte zpět na ověřené číslo
Pokud máte jakékoliv podezření, hovor ukončete a zavolejte na telefonní číslo své banky, které najdete na její oficiální webové stránce, na zadní straně platební karty nebo ve vlastní bankovní aplikaci – ne na číslo, které vám sdělil volající nebo které se objevilo jako zpětné volání.
Ověřte si bankéře uvnitř aplikace
Některé banky dnes nabízejí možnost ověřit si přímo v mobilní aplikaci, zda s vámi skutečně komunikuje jejich zaměstnanec, nebo zda hovor od banky vůbec reálně probíhá.
Nikdy neinstalujte vzdálený přístup na žádost z telefonu
Aplikace jako AnyDesk, TeamViewer nebo AdwCleaner mají legitimní využití (например vzdálená IT podpora), ale instalace na pokyn neznámého volajícího je prakticky vždy znakem podvodu – útočník tak získá plnou kontrolu nad vaším zařízením.
Co dělat, pokud jste se stali obětí vishingu
Okamžitě kontaktujte svou banku (na ověřené číslo) a požádejte o zablokování karty/účtu a zastavení podezřelých transakcí.
Pokud jste nainstalovali software pro vzdálený přístup, odpojte zařízení od internetu a program odinstalujte, ideálně po konzultaci s IT specialistou.
Změňte veškerá hesla, která jste mohli během hovoru sdílet nebo zadat.
Nahlaste podvod Policii ČR (odbor kybernetické kriminality) – i když se peníze nemusí vrátit, nahlášení pomáhá dalšímu vyšetřování a statistikám.
Informujte o události i blízké, pokud existuje riziko, že útočníci mají vaše telefonní číslo a mohli by kontaktovat i rodinu.
Nejčastější scénáře vishingu
Útočníci přizpůsobují scénář cílové skupině, nejčastěji se opakují tyto varianty:
Falešný bankéř – nejrozšířenější varianta v ČR, popsaná výše, zaměřená na získání kódů nebo vzdáleného přístupu.
Falešný policista nebo úředník – volající tvrdí, že probíhá vyšetřování a je potřeba "ověřit" bankovní účet nebo vybrat hotovost a předat ji "kontrolnímu orgánu".
Falešná technická podpora – volající se vydává za zaměstnance Microsoftu, výrobce routeru nebo telefonního operátora a tvrdí, že na zařízení detekoval virus, za jehož odstranění je potřeba zaplatit nebo umožnit vzdálený přístup.
"Virtuální únos" (virtual kidnapping) – útočník zavolá a tvrdí, že má u sebe příbuzného oběti (často se zvukovou kulisou křiku nebo pláče, případně s AI klonovaným hlasem), a požaduje okamžité zaplacení výkupného.
Falešná výhra nebo dědictví – oběti je sdělena "výhra", za jejíž vyzvednutí je potřeba nejprve uhradit poplatek nebo daň.
Vishing zaměřený na firmy – CEO fraud
Firmy čelí specifické variantě zvané CEO fraud (podvod jménem ředitele): útočník se vydává za vedení společnosti nebo důvěryhodného dodavatele a telefonicky (často v kombinaci s podvrženým e-mailem) žádá účetní nebo finanční oddělení o urgentní platbu na nový účet. S rozšířením AI klonování hlasu se tato hrozba stala věrohodnější, protože útočník může krátkým telefonátem napodobit hlas skutečného ředitele. Firmy se proti tomu brání zavedením dvoufázového schvalování plateb (nikdy neschvalovat velkou platbu jen na základě telefonátu) a interním "heslem" pro ověření identity při neobvyklých požadavcích.
Právní rovina a trestní odpovědnost
Vishing spadá pod skutkovou podstatu podvodu podle § 209 trestního zákoníku, případně v kombinaci s § 230/§234 (neoprávněný přístup k počítačovému systému, opatření přístupového zařízení), pokud útočník získal i přístup k online bankovnictví. Trestní sazby se odvíjejí od výše způsobené škody a mohou dosáhnout až několika let odnětí svobody u rozsáhlých podvodů. Prokazování a dohledání pachatelů je v praxi obtížné, protože hovory často směřují ze zahraničí a peníze se rychle převádí přes řetězec dalších účtů ("mulů").
Nejčastější dotazy k vishingu (FAQ)
Jak poznám, že mi nevolá skutečná banka?
Skutečná banka nikdy nežádá PIN, celé heslo, kód z SMS ani instalaci vzdáleného přístupu. Pokud o něco z toho volající žádá, jde o podvod.
Může podvodník podvrhnout telefonní číslo banky?
Ano, tzv. spoofing umožňuje zobrazit na displeji jiné číslo, než ze kterého se skutečně volá. Zobrazené číslo samo o sobě nic nedokazuje.
Jak funguje klonování hlasu pomocí AI při podvodech?
Útočník potřebuje jen krátkou ukázku hlasu (např. z veřejného videa), ze které AI nástroj vytvoří syntetickou imitaci. Ta se pak používá k vydírání nebo k přesvědčení oběti, že mluví se známou osobou.
Co dělat, pokud jsem už sdílel/a kód z SMS?
Okamžitě kontaktujte banku na ověřeném čísle a požádejte o zablokování karty/účtu a zastavení transakcí, i když k tomu došlo před chvílí.
Vrátí mi banka peníze, pokud jsem se stal obětí vishingu?
Záleží na konkrétních okolnostech a podmínkách banky - pokud jste sami sdělili kódy nebo nainstalovali vzdálený přístup, vymáhání náhrady bývá komplikovanější než u jiných typů podvodů. Vždy je lepší kontaktovat banku co nejdříve.
Jak se vishing liší od smishingu a phishingu?
Vishing probíhá telefonicky, smishing přes SMS a phishing přes e-mail - princip (vylákání údajů pod falešnou identitou) je stejný, liší se jen komunikační kanál.
Mohou mě podvodníci kontaktovat opakovaně?
Ano, pokud jednou zareagujete nebo i jen zavěsíte beze slova, vaše číslo může zůstat na seznamu "aktivních" cílů pro další pokusy, často jinou záminkou.
Existuje způsob, jak se chránit dopředu?
Dobrá praxe je domluvit si s rodinou "bezpečnostní heslo" pro ověření identity při neobvyklých telefonátech o penězích, a zásadně nikdy nesdílet kódy/PIN po telefonu bez ohledu na to, jak naléhavě to zní.
Co je to CEO fraud?
Je to varianta vishingu zaměřená na firmy, kde útočník telefonicky nebo e-mailem předstírá, že je ředitel či dodavatel, a žádá urgentní platbu na nový účet. Ochranou je dvoufázové schvalování plateb.
Co je "virtuální únos" a jak se bránit?
Je to podvod, kdy volající tvrdí, že má u sebe příbuzného oběti a požaduje výkupné. Při podezření je nutné hovor přerušit a okamžitě ověřit, zda je příbuzný skutečně v pořádku, jiným komunikačním kanálem.
