Nový bankovní podvod. Začal v Portugalsku, brzy ho můžeme čekat i u nás
foto: Redakce Deníku Vektor, vygenerováno pomocí AI (ChatGPT 5.2) /Ilustrační obrázek
Končí vám platnost karty a ve schránce najdete novou. Obálka, karta s jménem, dopis – všechno sedí. Jenom nesedí způsob aktivace pomocí QR kódu. A ten podvodníkům otevírá cestu k vybílení vašeho účtu.
Portugalská policie, velká spotřebitelská organizace i několik bank vydaly v září mimořádné varování před novým typem bankovního podvodu. Útočníci posílají věrohodně působící dopisy s personalizovanou plastovou kartou. Nějak si dokážou zjistit, kdy vyhlédnuté oběti její karta expiruje a snaží se trefit období těsně předtím, než banka svému klientovi pošle pravou kartu.
Počítají s tím, že dobře načasovaný dopis perfektně imitující grafiku i styl banky a plastová karta vzbudí důvěru. A že oběť ztratí ostražitost.
Bohužel, není to nereálné. Většina varování, jimiž banky, spotřebitelské organizace či policie bombardují veřejnost, se totiž týká online kanálů. Lidé už vědí, že nemají klikat na neznámé linky a zadávat své údaje do pochybných formulářů. Karta, která právě přišla poštou, však vypadá důvěryhodně – a do vzbuzení důvěry útočníci neváhají investovat. Na sociální síti LinkedIn se objevil odhad, že jde o v přepočtu zhruba 150 korun na jeden pokus.
Psali jsme
V Indii chystají změnu v regulaci finančního systému. Odpovědnost za podvodné platby ponesou banky na obou stranách transakce.
Aktivace karty a QR kód? To je přece nesmysl
Princip útoku je směšně jednoduchý a jednoduchá je i obrana proti němu. Útok totiž vyžaduje pro aktivaci karty postup, který se nikdy nepoužívá. Normální je buď aktivace prostým zaplacením v nějakém obchodu, případně v internetovém bankovnictví či mobilní aplikaci. Kdo to ví, ten na nějaký QRishing neskočí a právě podle nesmyslného požadavku na aktivaci podvod pozná.
Pak jsou však lidé, kteří jsou buď málo ostražití, nebo málo finančně gramotní. A ti na trik s QR kódem snadno skočí.
Instrukce v dopisu vybízejí k naskenování QR kódu a přihlášení do bankovnictví kvůli aktivaci nové karty. Kdo poslechne, dostane se na naprosto věrohodně vypadající stránku, která přesně imituje prostředí internetového bankovnictví jejich banky.
Takže mu nepřijde divné, že se má do „svého“ internetového bankovnictví přihlásit. Tím se samozřejmě nikam nepřihlásí – dostane nějakou obecnou hlášku „operace se nezdařila“. Ale právě odevzdal útočníkům své přihlašovací údaje a ti se k jeho účtu okamžitě přihlásí.
Kdo má přihlašování k účtu zabezpečené dvoufaktorovou autentizací, tomu útočníci zavolají s vysvětlením, že k vyřešení technických problémů potřebují ten kód, co právě přišel v SMS, nebo schválení požadavku, co se objevil v mobilní aplikaci.
Tím mají útočníci přístup k účtu a co udělají, je jasné: zadají příkaz k převodu všech, nebo téměř všech, disponibilních prostředků.
V tu chvíli má oběť poslední šanci krádeži zabránit: útočníci totiž potřebují zadaný převod autorizovat. Typicky se snaží oběť rozptýlit: celá tato operace často probíhá během jediného telefonátu s údajnou podporou, jejímž cílem je nenechat člověka, aby se zorientoval a snažil se vnímat smysl toho, co dělá. A může se jim to povést a zmatený důvěřivý člověk opravdu nadiktuje kód z autorizační SMS nebo odklikne souhlas s převodem v aplikaci.
Psali jsme
Naskenujete QR kód, vyplníte údaje nebo zaplatíte – ale jste na jiné stránce než myslíte a vaše data nebo peníze právě odešly podvodníkům.
QRishing na vzestupu
QRishing ani telefonické podvody nejsou žádnou novinkou. Na rostoucí počet útoků využívajících QR kódy v papírových dopisech upozornila Evropská platební rada relativně nedávno, ve svém reportu 2025 Payment Threats and Fraud Trends. Portugalské případy teď představují další krok.
Úřady zatím nezveřejnily počet obětí ani celkovou výši škod portugalské kampaně. Přesto policie, banky i spotřebitelské organizace reagovaly mimořádně rychle a během několika dnů vydaly koordinovaná varování.
Z toho je vidět, že tento nový trik berou vážně. A protože je to trik univerzální, tedy nespoléhající na nějaká lokální specifika, neexistuje důvod, aby se v dohledné době neobjevil i v Česku. Na tento článek by tak měly navázat banky, Bankovní asociace i spotřebitelské organizace a varovat všechny uživatele bankovních služeb, že možná budou čelit pokusu o podvod, který ještě neznají.