Podvodníci se už nevlamují, přihlašují se: AI phishing, klonované hlasy a falešné QR kódy

Roky jsme lidi učili jednoduché pravidlo: když je e-mail psaný lámanou češtinou, má divný slovosled a oslovuje vás „Vážený zákazníku“, smažte ho. To pravidlo v roce 2026 neplatí. Generativní umělá inteligence píše bezchybně, v jakémkoli jazyce a stylem, který si útočník vybere.

Změnil se i způsob, jakým podvodníci postupují. Nevlamují se přes složitý kód a technické zranitelnosti. Prostě se přihlásí, protože jim heslo, platební kartu nebo peníze dáte sami. Stačí vhodně napsaný e-mail, známý hlas v telefonu nebo QR kód na parkovacím automatu.

Čísla to potvrzují. Podle poslední zprávy NÚKIB evidovala Česká republika v roce 2025 celkem 21 137 trestných činů kybernetické kriminality, o 14 % víc než rok předtím. Mezi nejčastějšími metodami byly sociální inženýrství a manipulace obětí (Mobilenet.cz).

Tady jsou tři trendy, o kterých by měl vědět každý, a hlavně jak se jim bránit.

1. Konec gramatických chyb: AI phishing

Phishingový e-mail dnes vypadá přesně jako zpráva od vaší banky, úřadu nebo dopravce. Správná čeština, logo, podpis, a často i kontext: ví, že čekáte balík, že jste nedávno měnili tarif nebo že vaše firma používá konkrétní účetní systém. Tyto informace AI posbírá z veřejných profilů, firemních webů a uniknutých databází.

Jak dobře to funguje, ukázala studie bezpečnostních výzkumníků včetně Bruce Schneiera publikovaná v Harvard Business Review: plně automatizovaný phishing napsaný umělou inteligencí měl míru prokliku 54 %, stejnou jako e-maily od zkušených lidských útočníků, a náklady na kampaň klesly o více než 95 % (StationX, souhrn studií). Jinými slovy: kvalitní podvodný e-mail je dnes levný a dá se poslat milionům lidí.

Policie ČR proto varuje, že staré varovné signály už nestačí. Spolehlivým znakem podvodu už není forma zprávy, ale její obsah: naléhavost a požadavek na peníze, přihlašovací údaje nebo změnu účtu.

Na co se dívat místo gramatiky:

• Chce zpráva, abyste něco udělali hned? („Do 24 hodin“, „jinak bude účet zablokován“.)
• Vede odkaz na přihlašovací stránku nebo platební bránu?
• Odpovídá skutečná adresa odkazu (po najetí myší) oficiální doméně instituce?
• Žádá vás o něco, co by banka nebo úřad nikdy nežádaly e-mailem, například PIN, heslo nebo kód z SMS?

2. Známý hlas, cizí člověk: klonování hlasu a deepfake videa

Vishing s klonovaným hlasem

Zazvoní telefon a ozve se vaše dcera, partner nebo šéf. Je ve stresu, stala se nehoda, potřebuje okamžitě poslat peníze nebo nadiktovat kód z SMS. Hlas sedí, intonace sedí, i opakované slůvko, které dotyčný používá.

K naklonování hlasu už nestačí hodiny nahrávek. Podle společnosti McAfee stačí několik sekund zvuku, například z videa na sociálních sítích (StationX). Kdo má veřejný Instagram, TikTok nebo YouTube, poskytl útočníkům materiál zdarma.

Policie ČR upozorňuje, že na dřívější známky (nepřirozený pohyb rtů, divná intonace, drobné chyby v obraze) se už nemohou spolehnout ani zkušení uživatelé (Mobilenet.cz). Hlas ani obraz už nejsou důkaz toho, s kým mluvíte.

Falešné investice se známými tvářemi

Na sociálních sítích se ve formě reklam šíří videa, ve kterých známé české osobnosti lákají na „garantovaný výdělek“ z kryptoměn nebo AI obchodování. Tvář i hlas vytvořila AI. Příklady z posledních měsíců:

Scénář je pokaždé stejný: video, odkaz, formulář s telefonním číslem a pak profesionálně působící „broker“, který ukáže falešné zisky a tlačí na další vklady. Když chcete peníze vybrat, objeví se „poplatky“ a „daně“, které musíte nejdřív zaplatit.

Žádný politik, moderátor ani podnikatel nedoporučuje investice v reklamě na Facebooku. Nikdy.

3. QR kód jako past: quishing

Lidé si už zvykli kontrolovat odkazy v e-mailech. Útočníci to obcházejí přes QR kódy, protože u nich adresu před načtením nevidíte a telefon ji často otevře bez ptaní. Tomuto druhu podvodu se říká quishing (z QR a phishing).

Objevuje se ve dvou podobách:

• V e-mailu nebo dopise: „Pro zrušení poplatku naskenujte kód“, „Ověřte svůj účet naskenováním“. QR kód obchází filtry, které kontrolují odkazy v textu e-mailu.
• Fyzicky na ulici: samolepka s falešným kódem přelepená přes ten pravý na parkovacím automatu, nabíjecí stanici nebo sdílené koloběžce.

Ta druhá varianta už dorazila i do České republiky. Na podzim 2025 se falešné QR kódy objevily na parkovacích automatech v Praze, Brně a Ostravě. V Praze šlo o růžové samolepky, které slibovaly „prodloužení služby EasyPark“ a vedly na stránku kradoucí údaje z platebních karet. Parkovné se přitom vůbec nezaplatilo, takže oběti mohla k ukradeným penězům přibýt i pokuta za nezaplacené stání (Sportdeník / Radiožurnál). Před stejným trikem u nabíjecích stanic varoval už dříve Národní CSIRT tým sdružení CZ.NIC (Lupa.cz).

Jak se bránit:

• Prohlédněte si QR kód na automatu. Je to samolepka nalepená přes původní panel? Liší se barva nebo písmo od zbytku cedule? Nesahejte na něj.
• Před otevřením zkontrolujte adresu, kterou telefon po načtení ukáže. Pokud nevede na oficiální doménu města nebo provozovatele, odejděte.
• Na parkování používejte oficiální aplikaci staženou z obchodu Google Play nebo App Store. Pak žádný QR kód skenovat nemusíte.
• QR kód z e-mailu, který vás nutí k platbě nebo přihlášení, neskenujte vůbec.

Desatero digitální ostražitosti

Technologie se mění rychleji, než se dá učit. Proto toto desatero nestaví na tom, jak podvod vypadá, ale na psychologii: všechny podvody využívají stejné lidské slabiny, tedy strach, spěch, důvěru a chamtivost.

1. Rodinné heslo. Dohodněte si s dětmi, rodiči a partnerem tajné slovo. Když někdo z vás zavolá z cizího čísla („mám nový telefon“) a chce peníze, musí ho říct. Heslo nikdy nepíšete do zpráv a nesdílíte na sociálních sítích.
2. Zavěsit a zavolat zpět. Volá banka, policie, úřad nebo kurýr a chce citlivé údaje? Ukončete hovor, sami vyhledejte oficiální číslo (na kartě, na webu instituce) a zavolejte tam. Nikdy nevolejte na číslo, které vám nadiktoval volající.
3. Chyták na AI. Máte podezření, že mluvíte s klonem? Položte osobní otázku mimo kontext: „Co jsme měli v neděli k obědu?“, „Jak se jmenoval náš první pes?“ Klon odpoví vyhnutě nebo hovor ukončí.
4. Spěch je poplach. Když po vás někdo chce, abyste něco udělali hned a nikomu to neříkali, je to podvod, dokud se neprokáže opak. Skutečná banka ani policie vás nebudou tlačit k okamžité platbě.
5. Banka nikdy nechce PIN, heslo ani kód z SMS. Žádnou cestou: e-mailem, telefonem, ani přes „bezpečný účet“. Kdo o ně žádá, je podvodník.
6. Neklikejte zbrkle přes QR kódy. Neskenujte kódy z nevyžádaných e-mailů ani kódy, které vypadají jako dodatečně nalepené.
7. Investice nikdy z reklamy. Žádná známá osobnost vám neporadí investici ve videu na Facebooku. Firmu si ověřte na seznamu varování ČNB a investujte jen přes licencované instituce.
8. Méně veřejného hlasu a soukromí. Zvažte, kolik videa se svým hlasem a kolik podrobností o rodině sdílíte veřejně. Každé video je materiál pro klonování a každá podrobnost materiál pro uvěřitelný příběh.
9. Dvoufázové ověření všude. Zapněte ho na e-mailu, sociálních sítích a v bance. Když podvodník získá heslo, bez druhého faktoru se nepřihlásí.
10. Mluvte o tom s blízkými. Nejzranitelnější jsou rodiče a prarodiče, kteří o deepfake technologii nikdy neslyšeli. Deset minut rozhovoru u oběda může ušetřit stovky tisíc korun.

Když už se to stalo

Naletět může každý a stydět se není za co. Rozhoduje rychlost, protože každá minuta zvyšuje šanci, že peníze už budou pryč.

1. Okamžitě volejte do banky na číslo uvedené na zadní straně karty nebo v oficiální aplikaci. Nechte zablokovat kartu a internetové bankovnictví a požádejte o zastavení nebo reklamaci plateb.
2. Změňte hesla k účtům, které mohl podvodník získat, a všude, kde jste používali stejné heslo. Odhlaste ostatní zařízení.
3. Oznamte to policii na lince 158 nebo osobně na kterékoli služebně. Uschovejte si vše: zprávy, čísla, odkazy, výpisy plateb, snímky obrazovky.
4. Nahlaste podvodný web nebo QR kód Národnímu CSIRT týmu na csirt.cz. Falešný QR kód na automatu nahlaste také provozovateli parkování nebo městské policii.
5. Pozor na druhou vlnu. Oběti investičních podvodů často kontaktují „vymáhací“ firmy nebo „advokáti“, kteří slibují vrácení peněz za poplatek. I to je podvod.

Závěr

Umělá inteligence nezměnila to, co podvodníci chtějí: vaše peníze a přihlašovací údaje. Změnila to, jak přesvědčivě o ně umí požádat. Bezchybný e-mail, hlas vašeho dítěte nebo tvář premiéra už nejsou důkaz pravosti.

Dobrá zpráva je, že obrana je pořád stejně jednoduchá. Nespoléhejte na to, jak zpráva vypadá nebo zní, ale ověřujte jinou cestou. Zavěste a zavolejte zpět. Mějte rodinné heslo. A když někdo spěchá, zpomalte.

Pokud chcete své digitální návyky posunout dál, praktické postupy najdete v mé e-knize Kybernetická sebeobrana v éře AI.

Zdroje

• AI podvody jsou stále dokonalejší. Policie varuje, že deepfake už nemusíte poznat – Mobilenet.cz
• „Deepfake video“ přesvědčilo seniorku – Policie ČR
• Deepfake útočí na investory – Deník.cz
• Českem se šíří trik s parkovacími lístky – Sportdeník
• Quishing u dobíjecích stanic a parkovacích automatů – Lupa.cz
• Phishing Statistics 2026 – StationX
• Národní CSIRT tým – hlášení incidentů