Komerční banka napočítala o 41 % víc podvodů s platbami, pro hotovost jezdí kurýři

Komerční banka zveřejnila 5. srpna 2026 svá data o podvodech za první pololetí. V oblasti plateb a platebních karet jich zaznamenala zhruba o 41 % víc než ve stejném období roku 2025. Klientům podle vlastního vyjádření za to pololetí zachránila „několik set milionů korun“ – přesnou částku banka neuvádí.

U karet roste počet, u plateb hodnota

Rozklad těch 41 % je nesouměrný. Napadených platebních karet přibylo o 33 %, ale hodnota podvodných karetních transakcí vyskočila o 80 %. U běžného platebního styku je to obráceně: napadených klientů přibylo 49 % a hodnota podvodných transakcí se víc než zdvojnásobila. Průměrná škoda tedy roste rychleji než počet obětí; plyne to z porovnání obou čísel.

Podíly jednotlivých scénářů banka počítá z hodnoty. Investiční a krypto podvody stojí za 48 % hodnoty podvodných platebních transakcí, vishing – falešný telefonát „bankéře“ nebo „policisty“ – za 39 %. U platebních karet je pořadí jiné: 61 % případů má na svědomí phishing.

Se čtvrtletní bilancí téže banky se ta čísla srovnávají špatně. Zpráva za první čtvrtletí z 22. dubna 2026 uvádí, že objem podvodných plateb vzrostl mezikvartálně o 15 % a počet zneužitých platebních karet naopak klesl o 17 %; u toho poklesu už banka nepíše, vůči čemu se počítá. Pololetní data jsou meziroční. Obě sady tedy stojí na jiném základu a nedají se položit vedle sebe.

Kurýr místo převodu na „bezpečný účet“

Nejvýraznější novinkou je podle banky předávání hotovosti přímo do rukou podvodníka. Útočník se vydá za pracovníka banky, České národní banky, policistu nebo investičního poradce a přesvědčí oběť, že peníze musí „zachránit“. Ta vybere i několik set tisíc korun z bankomatu nebo na pobočce a na domluveném místě je předá kurýrovi. Kurýr může předložit falešný průkaz nebo potvrzení o převzetí, aby situace působila úředně.

Podvodníci obětem předem poradí, jak bankéři vysvětlit neobvykle vysoký výběr: rekonstrukcí, koupí auta, pomocí rodině. Z oběti se tím stane spolupracovník, který sám odstraní poslední kontrolu, jež mohla podvod zastavit. Jakmile kurýr peníze převezme, šance na jejich návrat je podle banky minimální.

Expert Komerční banky na kyberbezpečnost Pavel Šašek to shrnuje takto: „Když se lidé naučí odmítat převod na údajně bezpečný účet, podvodník pošle kurýra pro hotovost. Když znají funkci ověření bankéře v aplikaci, snaží se jim e-šmejdi namluvit, že kód zaslaný přes SMS nebo WhatsApp je totéž.“

Karta přiložená k vlastnímu telefonu

Druhý nový scénář kombinuje falešný telefonát s podvrženou aplikací a technikou, které banka říká „červí díra“ (v odborné literatuře NFC relay attack, tedy přeposílání bezkontaktní komunikace). Útočník oznámí, že je účet nebo karta v ohrožení, a pošle odkaz na údajnou bezpečnostní aplikaci. Po instalaci přiměje oběť přiložit k telefonu fyzickou platební kartu a zadat PIN – prý kvůli ověření. Údaje z karty se přenesou k útočníkovi, který s ní pak vybírá z bankomatu nebo platí, jako by ji držel v ruce.

Skutečné ověření bankéře probíhá u Komerční banky výhradně v aplikaci KB+ nebo KB Klíč, kde klient uvidí jméno bankéře a čtyřmístný kontrolní kód. Kód doručený běžnou zprávou totožnost volajícího nedokládá; SMS je i mezi druhými faktory ten nejslabší.

Rezervace, o které útočník ví víc, než by měl

Léto má vlastní sadu scénářů. Podvodné výzvy k doplacení městského poplatku, servisního poplatku nebo kauce chodí lidem s rezervovaným ubytováním – a to nejen e-mailem a SMS, ale i přes WhatsApp a přes interní chat samotného rezervačního portálu. Zpráva přitom může obsahovat skutečné údaje o rezervaci, takže působí věrohodně. Odkud tyhle údaje útočníci berou, tisková zpráva neuvádí.

Druhá sada čísel z jiného měření

Nezávisle na bankách měří totéž bezpečnostní firma Gen, která stojí za značkami Norton a Avast. Její pololetní zpráva o hrozbách vyšla 15. července 2026. Globálně firma za pololetí zablokovala 114,2 milionu útoků přes falešné e-shopy, o 109 % víc; vůči jakému období, tisková zpráva nepíše. Podvody vydávající se za úřad podle ní vzrostly o 387 % a podvody vydávající se za člena rodiny o 454 %.

Česká čísla z téhož měření shrnula Lupa: falešné e-shopy tu za prvních šest měsíců přibyly o 52 %, seznamovací podvody o 45 % a podvody obecně tvořily 68 % všech hrozeb, které firma zachytila na mobilních zařízeních v Česku.

Ta dvě měření se potkávají na jednom místě. Gen popisuje techniku, které říká GhostPairing – zneužití funkce propojených zařízení ve WhatsAppu, díky němuž se útočník dostane k cizímu účtu a může se vydávat za jeho majitele. Komerční banka nezávisle na tom hlásí návrat scénáře „podvodná rodina“, kdy z ovládnutého profilu chodí příbuzným prosba o rychlou půjčku v řádu desítek tisíc.

Proč to zabírá i na lidi, kteří to znají

Za banku to vysvětlovala psycholožka Helena Sováková, která přes dvacet let působila v ozbrojených složkách a vedla Odbor operační psychologie Armády České republiky. Podvodník podle ní nejdřív vyvolá pocit ohrožení, pak přidá časový tlak, vystupuje jako autorita a oběť postupně izoluje od lidí a informací, které by jí pomohly situaci vyhodnotit. „Nejde tedy o hloupost ani nedostatek zkušeností. Jde o běžnou reakci mozku na akutní stres, kterou může za určitých okolností zažít každý z nás,“ říká.

K tomu se přidává druhý mechanismus: čím déle podvod trvá, tím obtížněji se z něj vystupuje. První krok bývá drobný a nevinný – instalace aplikace, ověření platby, jeden údaj – a každé další rozhodnutí se opírá o to předchozí. U investičních podvodů proto oběť posílá další peníze i ve chvíli, kdy ji banka varuje. Roli hraje i stud: kdo se bojí reakce okolí, ohlásí podvod později a útočník získá čas peníze odvést.

Co z toho plyne pro čtenáře

Rada banky je jediná a nudná: přerušit komunikaci a ověřit ji nezávislou cestou. Banka ani policie nikdy nežádají převod na „bezpečný účet“, předání hotovosti kurýrovi ani instalaci aplikace zaslané během hovoru. Žádost o peníze z WhatsAppu se ověřuje telefonátem na známé číslo a v nastavení aplikace stojí za to projít seznam propojených zařízení a odhlásit ta, která uživatel nepoznává.

Zbývá jedna nepříjemná souvislost. Komerční banka denně vyhodnocuje kolem 1,2 milionu karetních transakcí, 600 tisíc plateb a zhruba milion nefinančních operací a používá k tomu přes 300 detekčních pravidel. Přesto rostou obě sledovaná čísla dál – protože u scénářů s kurýrem, s vlastnoručně nainstalovanou aplikací i s vlastnoručně vybranou hotovostí dělá poslední krok sám klient. Systém, který má tuhle transakci zastavit, není v bance. Je v hlavě člověka, kterému někdo telefonuje.

Zdroje

• Komerční banka: E-šmejdi přitvrzují (5. srpna 2026) – pololetní data, podíly scénářů, popis kurýrů i falešných aplikací.
• Komerční banka: data za první čtvrtletí 2026 (22. dubna 2026) – mezikvartální srovnání.
• Gen: pololetní zpráva o hrozbách za rok 2026 (15. července 2026) – globální počty útoků a popis techniky GhostPairing.
• Lupa.cz: Podvody tvoří většinu kyberhrozeb na mobilech v Česku (23. července 2026) – česká část téhož měření.