Jste u VZP? Podvodníci rozesílají SMS o digitalizaci zdravotnictví. Kdo klikne, přijde o peníze na účtu

V pátek 17. července 2026 vydala Všeobecná zdravotní pojišťovna tiskovou zprávu, ve které varuje před propracovanou phishingovou kampaní. Podvodníci tentokrát nesází na otřepanou legendu o přeplatku nebo dluhu na pojistném. Místo toho zneužívají téma, které je v Česku v roce 2026 naprosto reálné a mediálně přítomné, elektronizaci zdravotních služeb. A právě proto je tahle vlna nebezpečnější než předchozí. Záminku o „aktualizaci údajů kvůli digitálním platformám“ si člověk snadno spojí se zprávami, které skutečně slýchá z ministerstev a pojišťoven. Jenže na konci řetězce nestojí nový průkaz. Stojí tam prázdný účet.

Jak přesně podvod funguje

Zpráva přichází jako SMS nebo e-mail a její znění je pečlivě stylizované do úředního jazyka. Podle Zdravotnického deníku text začíná větou: „Pro potvrzení platnosti vašich osobních dat a bezproblémové propojení s moderními digitálními platformami v lékařských institucích využijte šifrovaný odkaz k úpravě svých údajů.“ Následuje naléhavá formulace, že jen „včasná revize přispěje k bezproblémovému poskytování zdravotní péče“.

Odkaz vede na falešný web, který podle mluvčí VZP Viktorie Plívové je pro běžného uživatele „fakticky nerozpoznatelný“ od skutečných stránek pojišťovny. Tam oběť zadá osobní údaje včetně rodného čísla. Poté přijde klíčový moment, požadavek na úhradu „poplatku“ za vystavení nového průkazu. Formulář žádá číslo platební karty, datum expirace a CVV kód.

Důležité je přitom jedno: samotná SMS nikomu peníze nesebere. Škoda vzniká teprve po kliknutí, vyplnění údajů a případném potvrzení platby nebo autorizačního kódu. Policie ČR v obecném popisu smishingu uvádí, že po zadání přihlašovacích údajů a potvrzovacího kódu jsou účet i peníze „v rukách pachatelů“. V některých případech navíc získané údaje posloužily i k založení bankovního účtu na jméno oběti a čerpání úvěru.

Proč je tahle legenda tak uvěřitelná

Podvodníci si nevymysleli záminku z ničeho. Ministerstvo zdravotnictví 2. ledna 2026 spustilo první verze klíčových projektů elektronizace, Národní portál elektronického zdravotnictví, eŽádanky a nové funkce EZKarty. V červnu 2026 vláda oznámila další zrychlení digitalizace a novelu zákona o elektronizaci zdravotnictví. Formulace o „digitálních platformách“ a „propojení s lékařskými institucemi“ proto zní jako něco, co by pojišťovna skutečně mohla rozesílat.

Starší podvodné kampaně zneužívající jméno VZP stavěly na jiných tricích, slibovaly vrácení přeplatku, strašily neexistujícím dluhem na pojistném nebo lákaly na soutěž. Aktuální varianta je sofistikovanější. Nestaví na penězích „od VZP“, ale na procesu, kterému lidé věří, protože o něm čtou ve zprávách.

A pozor, kampaň se netýká jen klientů VZP. Pojišťovna už v lednu 2026 uvedla, že podvodné e-maily chodí bez ohledu na příslušnost ke zdravotní pojišťovně a že mohly dorazit až na stovky tisíc adres. Vojenská zdravotní pojišťovna v lednu 2026 varovala před totožnými falešnými e-maily, které se vydávaly za VoZP i VZP. Odkud pachatelé kontakty mají, není potvrzené; pravděpodobnější než únik z konkrétní pojišťovny je plošné rozesílání na obecné databáze a starší uniklé seznamy.

Jak poznat podvod od skutečné komunikace

Rozlišit falešnou zprávu od legitimní není snadné, ale existuje několik pevných vodítek:

• Doména. Jediná oficiální adresa VZP je vzp.cz. Jakýkoli odkaz vedoucí jinam je podezřelý.
• Bankovní údaje. VZP po klientech nikdy nežádá číslo karty, CVV ani přihlášení do internetového bankovnictví přes SMS nebo e-mail.
• Poplatek za průkaz. VZP vystavuje nový průkaz pojištěnce bezplatně, standardně do dvou týdnů. Může vydat i papírový náhradní doklad na tři měsíce.
• Virtuální průkaz. Od listopadu 2024 existuje virtuální podoba průkazu v aplikaci Moje VZP, žádná „digitalizace“ tedy nevyžaduje nový fyzický doklad.
• Odesílatel SMS. U skutečných zpráv rozesílaných VZP bývá ve jménu odesílatele „VZP CR“ nebo „EKK“.

Samotný vzhled webové stránky dnes nestačí jako ověření. Policie potvrzuje, že podvržené weby mohou vizuálně téměř dokonale odpovídat originálu a občas se dokonce objeví vysoko ve výsledcích vyhledávání. Rozhoduje URL adresa a způsob, jakým se na web člověk dostal.

Co dělat, když jste už klikli

Pokud jste odkaz otevřeli, ale nic nevyplnili, riziko je minimální. Horší je situace, když jste zadali osobní nebo bankovní údaje. V tom případě platí tři kroky:

• Okamžitě kontaktovat banku. Zablokovat kartu, nahlásit sporné transakce. Banka může v některých případech peníze ještě zachránit, ale jde o minuty.
• Změnit hesla. Především do internetového bankovnictví, ale i do dalších služeb, kde používáte stejné přihlašovací údaje.
• Oznámit věc Policii ČR na lince 158. Uchovat SMS, e-mail, snímky obrazovky podvodné stránky i zařízení jako důkazy.

Pro ověření podezřelé zprávy nebo nahlášení pokusu o podvod slouží e-mail [email protected] a informační linka VZP 952 222 222.

Rozsah škod zatím nikdo nevyčíslil

VZP ani policie dosud nezveřejnily počty poškozených ani celkovou škodu způsobenou červencovou vlnou. Samostatné policejní vyjádření přímo k této kampani se nám veřejně nepodařilo dohledat. U srovnatelných vln ale pojišťovna opakovaně uváděla, že „v řadě případů“ lidé o peníze skutečně přišli.

Podle nás je největší zbraní této kampaně právě načasování. Stát mluví o digitalizaci zdravotnictví, pojišťovny zavádějí nové aplikace, pacienti si zvykají na elektronické služby. Zpráva o „aktualizaci údajů pro digitální platformy“ proto nezní jako podvod, zní jako byrokracie. A na to podvodníci sázejí.