ČSSZ varuje před podvodnými SMS o nedoplatku na sociálním pojištění

Česká správa sociálního zabezpečení (ČSSZ) zveřejnila 16. září upozornění na podvodné SMS zprávy. Chodí lidem do telefonu, tvrdí, že mají nedoplatek na sociálním pojištění, a nabízejí odkaz, kde se dá zkontrolovat. Odkaz ovšem nevede na úřad.

Znění zprávy úřad zveřejnil celé

To je na tom upozornění nejcennější. ČSSZ neopisuje podvod vlastními slovy, ale cituje ho: „Dobrý den, při kontrole evidence sociálního pojištění byl u Vás zjištěn evidovaný nedoplatek. Info zde: eportal-cssz-cz.casa“. Kdo takovou zprávu dostane, má ji s čím porovnat.

Úřad k tomu píše, že uvedený odkaz na jeho stránky nevede a že cílem může být získání osobních, přihlašovacích nebo platebních údajů. Jiné podrobnosti neuvádí – kolik zpráv se rozeslalo ani kolik lidí naletělo, v oznámení není.

Adresa se čte od konce

Trik je v tom, že podvodná adresa obsahuje slova, která čtenář zná. Skutečný ePortál ČSSZ běží na eportal.cssz.cz, podvodná stránka na eportal-cssz-cz.casa. Obě tečky jsou vyměněné za pomlčky a na konec přibyla jiná koncovka. Právě ta o všem rozhoduje: prohlížeč čte adresu odzadu, ne odpředu. U pravé adresy je tím koncem cssz.cz, u podvodné .casa.

Doména .casa je běžná generická doména nejvyšší úrovně. Podle záznamu v kořenové databázi IANA ji spravuje společnost Registry Services, LLC a technickým kontaktem je GoDaddy Registry. Se sociálním zabezpečením nemá nic společného.

Doména 29. září pořád existovala

Ověřili jsme si to sami: jméno eportal-cssz-cz.casa se ten den v DNS stále překládalo, a to na adresu 185.68.16.101. Ta podle veřejné evidence RIPE patří do rozsahu vedeného na ukrajinskou společnost Hosting Ukraine. Server na náš požadavek odpověděl stavovým kódem 503, tedy „služba není dostupná“. To není totéž jako zrušená doména: jméno v DNS zůstává a obsah se může vrátit.

Co se stane po kliknutí

Jak podvodná stránka vypadá, ČSSZ nepopisuje. Obecný postup má ale sepsaný Policie ČR na stránce o podvodných SMS zprávách, zveřejněné 10. července. Zpráva podle ní obvykle zmíní exekuci, datovou zprávu nebo státní příspěvek a dovede člověka na falešné přihlášení do Portálu občana. Tam se vybírá banka a vyplňuje bankovní identita.

Nejnepříjemnější část přichází potom. Oběť si myslí, že se přihlašuje ke svému účtu, takže vícefaktorové ověření potvrdí sama – a potvrzuje přitom přihlášení útočníka. Policie dodává, že na to někdy navazuje telefonát, ve kterém se pachatel vydává za pracovníka banky.

Nápad to není nový. Starší varování ČSSZ z 31. července 2023 popisuje totéž: podvodné weby tehdy nabízely výběr banky pro přihlášení přes bankovní identitu. V lednu 2024 pak úřad varoval před kombinací podvodného telefonátu a SMS.

Co s takovou zprávou dělat

• Neodpovídat, neklikat a na stránce za odkazem nic nevyplňovat.
• Ověřit si věc jinou cestou. Oficiální adresy jsou cssz.gov.cz, ePortál eportal.cssz.cz a u Institutu posuzování zdravotního stavu ipzs.gov.cz.
• Kdo už údaje zadal, má podle ČSSZ neprodleně kontaktovat banku a řídit se jejími pokyny. Podezření na podvod patří i na policii.
• Zprávu přeposlat na číslo 7726. Je jednotné pro všechny operátory, uvádí ho policie i O2, které k tomu provozuje ještě vlastní číslo 720 002 002.
• Podvodnou stránku je možné nahlásit i přes Strážce internetu – projekt, který letos spustilo sdružení CZ.NIC.

Jedno pravidlo přitom stačí skoro na všechno. Ve varování z ledna 2024 úřad napsal, že takové SMS nikdy nerozesílá a informace toho typu nesděluje ani telefonicky. Zpráva s odkazem na přihlášení je tím pádem podvodná bez ohledu na to, jak přesvědčivě je napsaná.

Zdroje

• ČSSZ: Upozornění na podvodné SMS zprávy (16. září 2026)
• Policie ČR: Podvodné SMS zprávy (10. července 2026)
• ČSSZ: VAROVÁNÍ: Falešné SMS se vydávají za ČSSZ (31. července 2023)
• ČSSZ: VAROVÁNÍ: Podvodné telefonáty, SMS a weby se vydávají za ČSSZ (22. ledna 2024)
• IANA: Delegation Record for .CASA
• O2: Podvodné SMS – číslo pro přeposílání falešných zpráv