ČSSZ vydala varování pro všechny důchodce. Podvodníci volají z falešného čísla úřadu a chtějí se dostat k vašim penězům

3. září 2026 zveřejnila ČSSZ na svém webu varování, které popisuje dosud nejpropracovanější vlnu útoků zneužívajících jméno úřadu. Nejde o klasický podvodný e-mail, na který už si řada lidí zvykla. Tentokrát útočníci kombinují falešnou úřední písemnost zaslanou elektronicky s živým telefonátem, při kterém se vydávají za zaměstnance ČSSZ. Volajícímu tvrdí, že mu náleží doplatek nebo zvýšení důchodu, a krok za krokem ho navedou k přihlášení do internetového bankovnictví. Někdy žádají i potvrzení SMS kódu, videohovor nebo instalaci aplikace pro vzdálený přístup k počítači. Právě ta kombinace „úředního“ dokumentu a následného hovoru s živým člověkem dělá z tohoto podvodu mimořádně účinný nástroj.

Jak je možné, že na displeji svítí číslo úřadu

Klíč k celému triku se jmenuje spoofing. Jde o manipulaci s takzvaným CLI, parametrem v telefonní signalizaci, který operátorovi říká, jaké číslo se má na displeji příjemce zobrazit. Útočník tento parametr přepíše a oběť vidí číslo, které vypadá jako skutečná linka ČSSZ nebo jiného úřadu.

Český telekomunikační úřad na problém upozorňuje opakovaně a od 1. července 2024 zavedl na mezinárodních propojovacích bodech blokaci hovorů, které přicházejí ze zahraničí, ale tváří se jako česká čísla. Podle vyhodnocení z listopadu 2024 operátoři blokují jednotky milionů takových pokusů měsíčně a počet úspěšných podvodů klesl. Jenže úplně zmizet nemohou, část hovorů vzniká přímo v tuzemské síti nebo prochází cestami, které filtry neodchytí.

Praktický důsledek je jednoduchý: číslo na displeji telefonu není důkaz, že volá skutečný úředník. Nikdy nebylo.

Jeden signál, který podvod vždy prozradí

ČSSZ ve svém varování uvádí tři věci, které po klientech nikdy nepožaduje:

• přihlášení do internetového bankovnictví,
• sdělení PINu, autorizačních kódů nebo hesel,
• instalaci aplikace pro vzdálený přístup k telefonu či počítači (typicky AnyDesk nebo TeamViewer).

Jakmile v hovoru zazní cokoli z tohoto seznamu, jde o podvod. Bez výjimky. Nezáleží na tom, jak profesionálně volající zní, zda zná vaše jméno, adresu nebo číslo účtu. Útočníci tyto údaje mohou mít z dřívějších úniků dat, veřejně dostupných zdrojů nebo z předchozího „oťukání“ jiným kanálem, třeba právě tím úvodním e-mailem.

Starší varování ČSSZ z ledna 2025 popisovalo ještě jinou legendu: údajný přeplatek na účtu, který je třeba okamžitě vrátit. V únoru 2026 se zase objevily phishingové e-maily s motivem „vrácení daně“. Záminky se mění, mechanismus zůstává stejný: vytvořit časový tlak a donutit oběť jednat dřív, než začne přemýšlet.

Co dělat, když jste už kód sdělili

Rozhodují minuty, ne hodiny. Pokud jste v hovoru potvrdili SMS kód, přihlásili se do bankovnictví nebo povolili vzdálený přístup, postupujte v tomto pořadí:

1. Zavolejte bance na číslo z oficiální aplikace, ze zadní strany karty nebo z webu banky. Nikdy na číslo, které vám nadiktoval volající. Žádejte okamžitou blokaci internetového bankovnictví a případně platební karty. Česká spořitelna má pro tyto situace linku 800 207 207, Komerční banka nonstop blokaci karet na +420 955 512 230.
2. Řešte storno transakcí, banka může některé převody ještě zadržet, pokud zareagujete rychle.
3. Odpojte zařízení od internetu a ukončete vzdálené spojení.
4. Nechte zařízení vyčistit odborníkem a změňte všechna přístupová hesla.
5. Podejte trestní oznámení na Policii ČR.

Pro ověření, zda vás skutečně kontaktovala ČSSZ, volejte její bezplatnou linku 800 050 248, ze zahraničí +420 257 066 077.

Jak si nastavit obranu v telefonu

Úplnou ochranu proti spoofingu žádná aplikace nezajistí, ale několik kroků riziko sníží.

Na iPhonu najdete v Nastavení → Aplikace → Telefon možnost „Blokování hovorů a identifikace“ a funkci prověřování neznámých volajících. Na Androidu s aplikací Telefon od Googlu lze podezřelé číslo zablokovat přímo z historie volání a zapnout filtrování spamu. Novější verze Androidu navíc nabízejí funkci „Ověřování bankovních hovorů“, která umí v reálném čase přes oficiální bankovní aplikaci potvrdit, zda hovor skutečně pochází z banky.

ČTÚ doplňuje, že pokud chcete zpětně zjistit, kdo vám skutečně volal, můžete požádat svého operátora o identifikaci volajícího, žádost ale musíte podat do dvou měsíců od hovoru.

Čísla, která ukazují rozsah problému

ČSSZ přesný počet obětí ani výši škod u tohoto konkrétního podvodu nezveřejnila. Širší kontext ale nabízejí data České bankovní asociace za rok 2024: 87 407 napadených klientů bank, celková škoda 1,39 miliardy korun a 18 495 případů kyberkriminality evidovaných Policií ČR. Podvody zneužívající značku ČSSZ jsou jen jedním proudem v této řece, ale proudem, který míří na jednu z nejzranitelnějších skupin.

Podle nás je nejnebezpečnější právě ta dvoustupňová taktika. E-mail sám o sobě může člověk smazat. Ale když po něm přijde hovor z „úředního“ čísla a na lince sedí někdo, kdo zná vaše jméno a trpělivě vás navádí, šance na odmítnutí dramaticky klesá. Jediná spolehlivá obrana je pravidlo, které se vejde do jedné věty: kdo po telefonu chce, abyste otevřeli bankovnictví, není úředník.