Co je phishing a jak ho spolehlivě poznat

Aktualizováno 26. 6. 2026 · docasnyemail.cz

Dorazí vám e-mail, že máte na poště zadržený balík a stačí doplatit 49 korun. Nebo že vám banka kvůli „bezpečnosti" zablokovala účet a musíte se přihlásit přes přiložený odkaz. Vypadá to věrohodně, loga sedí, jenže je to podvod. Tomuhle se říká phishing a je to dnes nejčastější způsob, jak se podvodníci dostanou k vašim heslům a penězům. Naučíme vás ho poznat podle sedmi konkrétních znaků.

Co je phishing

Phishing (čte se „fišing", z anglického fishing — rybaření) je podvod, při kterém se útočník vydává za důvěryhodnou firmu nebo instituci a snaží se z vás vylákat citlivé údaje: přihlašovací jméno a heslo, číslo karty, ověřovací kód nebo přímo peníze. Nejčastěji přichází e-mailem, ale potkáte ho i v SMS (pak se mu říká smishing) nebo na falešných webových stránkách. Princip je vždy stejný — nahnat vás pod tlakem na podvodnou stránku, kde sami vyplníte to, co útočník chce.

Jak phishing vypadá v Česku

Podvodníci si dávají záležet, aby zprávy působily místně a uvěřitelně. Mezi nejčastější scénáře u nás patří:

• Falešná Česká pošta nebo Zásilkovna — „balík nelze doručit, doplaťte celní poplatek 1,99 €".
• Banka (ČSOB, Česká spořitelna, Air Bank…) — „zaznamenali jsme podezřelou aktivitu, ověřte účet".
• Energetika — falešný ČEZ nebo „přeplatek k vyplacení", stačí zadat číslo karty.
• Doručovací služby — DPD, PPL či GLS s odkazem na „sledování zásilky".
• Výhry a dárky — „vyhráli jste iPhone, vyzvedněte si ho po zadání údajů".

Společné mají to, že vás chtějí dostat na cizí web a přimět k rychlé akci, než stihnete přemýšlet. Sezónně se objevují i další vlny — kolem Vánoc přibývají falešné výprodeje a zprávy o nedoručených dárcích, v období daňových přiznání zase podvodné e-maily „z finančního úřadu" o přeplatku, který si máte vyzvednout. Podvodníci pružně reagují na to, co lidé právě čekají, takže věrohodnost zpráv rok od roku roste.

Jak phishing technicky funguje

Pochopit princip pomáhá ho odhalit. Útočník nejdřív rozešle hromadně tisíce e-mailů, které napodobují skutečnou firmu — zkopíruje logo, barvy i formulace z oficiálních zpráv. V e-mailu je odkaz, který nevede na pravý web, ale na podvodnou kopii přihlašovací stránky. Ta vypadá k nerozeznání od originálu, jen běží na cizí doméně. Když na ní zadáte jméno a heslo, neputuje to do banky, ale rovnou útočníkovi. Ten se s vašimi údaji během vteřin přihlásí do skutečného účtu. Proto je klíčové se vždy dívat, na jakou adresu odkaz směřuje — pravá doména vaší banky se nikdy nezmění, kdežto podvodné stránky mívají adresy plné pomlček, číslic a cizích koncovek.

7 varovných znaků, podle kterých phishing poznáte

Naučte se těchhle sedm signálů. Stačí, aby zpráva splňovala jeden nebo dva, a měli byste zpozornět:

• 1. Umělá naléhavost. „Účet bude do 24 hodin smazán", „jednejte ihned". Tlak na čas má vypnout váš zdravý rozum.
• 2. Odkaz na podivnou doménu. Najeďte na odkaz myší (neklikejte) a podívejte se, kam vede. Místo ceskaposta.cz tam bude třeba „posta-cz-info.xyz".
• 3. Žádost o heslo nebo kód. Seriózní firma vás nikdy nepožádá, abyste e-mailem zadali heslo nebo ověřovací kód.
• 4. Obecné oslovení. „Vážený zákazníku", „Dobrý den uživateli" — vaše banka zná vaše jméno.
• 5. Gramatické a stylistické chyby. Divná diakritika, kostrbaté věty, strojový překlad. Velké firmy si na texty dávají pozor.
• 6. Neočekávaná příloha. Faktura, kterou jste nečekali, nebo soubor typu .zip či .html. Otevřením můžete spustit škodlivý kód.
• 7. Podvržený odesílatel. Jméno odesílatele sedí, ale skutečná adresa za ním je nesmyslná — třeba „info@cspost-secure.com".

Co dělat, když podezřelý e-mail dorazí

Klíčové je nereagovat unáhleně. Když máte sebemenší pochybnost, postupujte takhle:

• Neklikejte na odkaz a hlavně nezadávejte žádné údaje.
• Neotevírejte přílohu, pokud jste ji nečekali.
• Ověřte si to u zdroje — jděte na web banky či pošty ručně (napište adresu do prohlížeče) nebo zavolejte na oficiální číslo. Nikdy ne přes kontakt z té podezřelé zprávy.
• Nahlaste to. Phishing můžete přeposlat svému poskytovateli e-mailu nebo ho v Gmailu i Seznamu označit jako podvod.
• Smažte zprávu. Když je vám jasné, že jde o podvod, prostě ji vymažte.

Pokud jste už náhodou údaje zadali, okamžitě si změňte heslo všude, kde stejné heslo používáte, a u podezření na zneužití karty kontaktujte banku — ta může kartu hned zablokovat. Když máte na účtu zapnuté dvoufázové ověření, dáváte si tím ještě jednu pojistku navíc: i kdyby heslo uniklo, bez druhého kroku se útočník nepřihlásí.

Jak dočasný e-mail riziko nepřímo snižuje

Phishingové e-maily se k vám dostanou tím spíš, čím víc míst zná vaši adresu. Každá registrace, soutěž nebo newsletter je další databáze, ze které se může adresa dostat k podvodníkům. Když na jednorázové a méně důvěryhodné weby používáte dočasnou adresu z docasnyemail.cz — vytvoříte ji na klik, kódy si přečtete přímo v prohlížeči a po hodině se sama smaže — vaši skutečnou schránku zná podstatně méně služeb. Méně úniků znamená méně phishingu ve vaší hlavní schránce. Není to kouzelný štít, ale je to jednoduchý a účinný způsob, jak zmenšit plochu, na kterou vás můžou útočníci zasáhnout.

Shrnuto: phishing spoléhá na to, že zareagujete dřív, než si zprávu pořádně přečtete. Když si osvojíte těch sedm znaků a vezmete si za pravidlo, že na výzvy z e-mailu nikdy nereagujete přes přiložený odkaz, ale jdete si věc ověřit sami, připravíte podvodníky o jejich hlavní zbraň. Pár vteřin nedůvěry vás může ušetřit od pořádných potíží.

Časté otázky

Zachytí phishing spolehlivě spamový filtr?

Filtry odchytí velkou část hromadně rozesílaných podvodů, ale cílené zprávy napsané na míru jim často projdou — právě proto, že vypadají jako běžná firemní komunikace. Na filtr se proto nespoléhejte jako na jedinou obranu a podezřelou zprávu si vždy ověřte sami.

Klikl jsem na odkaz, ale nic jsem nevyplnil. Hrozí mi něco?

Samotné otevření stránky je obvykle mnohem menší problém než zadání údajů. Přesto zkontrolujte, jestli se nespustilo stahování nějakého souboru, nic z takové stránky neinstalujte a pro jistotu si projděte přihlášená zařízení u účtu, kterého se zpráva týkala.

Chodí phishing jenom e-mailem?

Ne. Stejný postup se používá i v SMS, ve zprávách na sociálních sítích, v chatech inzertních serverů nebo telefonicky. Rozpoznávací znaky zůstávají stejné: naléhavost, odkaz na cizí doménu a žádost o heslo nebo kód.

Co znamená phishing?

Slovo vzniklo z anglického fishing, tedy rybaření. Podvodník rozhodí návnadu v podobě zprávy, která vypadá jako od banky, dopravce nebo úřadu, a čeká, kdo se chytí a vyplní přihlašovací údaje. Česky se tomu říká rhybaření, ale v praxi se používá anglický výraz. Podstatné je, že phishing necílí na techniku, ale na člověka: nesnaží se prolomit heslo, snaží se vás přesvědčit, abyste ho zadali sami.

Co je smishing?

Smishing je phishing doručený esemeskou, název vznikl spojením slov SMS a phishing. Typicky přijde krátká zpráva o nedoručené zásilce, nedoplatku nebo blokaci účtu s odkazem na podvodnou stránku. Nebezpečnější je než e-mail hlavně proto, že na mobilu není vidět celá adresa odkazu a zprávy vypadají důvěryhodněji. Obdobou po telefonu je vishing, tedy hovor, ve kterém se volající vydává za banku nebo policii.