Falešná faktura a e-mail „od šéfa“: jak firmy přicházejí o statisíce

Faktura od dodavatele, se kterým spolupracujete roky, přijde ve stejném vlákně jako vždy. Jen je v ní poznámka: „Z důvodu změny banky prosíme o úhradu na nový účet.“ Účetní platbu zadá, protože všechno sedí – jméno, podpis, částka, dokonce i předchozí konverzace. O tři týdny později volá dodavatel, proč nemá zaplaceno. Chybělo málo – stačil jeden telefonát na známé číslo.

Co se děje

Podvody s podvrženými fakturami a falešnými pokyny k platbě patří k nejdražším kyberpodvodům vůbec. V angličtině se pro ně používá souhrnný pojem Business Email Compromise, tedy kompromitace firemního e-mailu. Pod tím se skrývají dvě hlavní varianty.

• Falešná faktura nebo změna účtu dodavatele. Podvodník se vydává za dodavatele a pošle fakturu s jiným číslem účtu, nebo oznámí, že se účet „změnil“.
• CEO fraud, „e-mail od šéfa“. Podvodník se vydává za ředitele, jednatele nebo finančního ředitele a žádá účetní o rychlou, často diskrétní platbu.

Americký Internet Crime Complaint Center (IC3) při FBI v září 2024 uvedl, že od října 2013 do prosince 2023 evidoval na celém světě 305 033 domácích a mezinárodních incidentů tohoto typu a vystavené ztráty přesahující 55 miliard dolarů. V Česku policie opakovaně popisuje konkrétní případy.

Čísla za rok 2025

Výroční zpráva IC3 za rok 2025 uvádí u kompromitace firemního e-mailu 24 768 stížností a nahlášené ztráty 3,05 miliardy dolarů. Rok předtím to bylo 2,77 miliardy. Podle ztrát šlo o druhý nejškodlivější typ podvodu hned po investičních podvodech. Zpráva zmiňuje i přes 30 milionů dolarů ztrát z případů, kde podvodníkům pomáhala umělá inteligence – třeba při psaní věrohodných e-mailů jménem vedení. Čísla se týkají hlavně stížností podaných v USA, ukazují ale, jak velký je průměrný zásah: stížností je relativně málo, škoda na jednu je vysoká.

Litoměřicko 2026: 452 tisíc za zájezd

Litoměřičtí kriminalisté v květnu 2026 informovali o případu organizace, která platila fakturu za zahraniční zájezd. Neznámý pachatel se podle policie dostal k e-mailu cestovní kanceláře s fakturou, změnil v ní číslo bankovního účtu a upravenou fakturu poslal do schránky poškozené organizace. Ta podle podvrženého dokladu odeslala 452 tisíc korun na účet pachatele. Podezřelou transakci odhalil pracovník banky. Policie firmám a organizacím doporučuje před odesláním vyšších plateb vždy kontrolovat bankovní spojení a změnu účtu ověřit telefonicky přímo u obchodního partnera.

Olomoucký kraj: „ředitel je na cestě“

Týdeník Policie v říjnu 2022 popsal případ účetní firmy, které přišel e-mail údajně od výkonného ředitele s žádostí o expresní úhradu faktury přes 10 tisíc eur na zahraniční účet. Firma s daným partnerem obchodovala a ředitel byl zrovna na cestě, takže žena platbu druhý den provedla. Škoda přesáhla 260 tisíc korun. Když o pět dní později přišel podobný e-mail s další fakturou, byl jí už podezřelý a nezaplatila ho. Policie připomněla, že i důvěryhodný odesílatel může mít napadenou schránku nebo adresa může být podvržená.

Pelhřimovsko: adresa totožná s ředitelovou

Policisté z Vysočiny v únoru 2020 řešili falešné e-maily, které přicházely z adresy totožné s adresou ředitele společnosti a obsahovaly naléhavé pokyny k platbám. Firma odeslala přes 50 tisíc korun, další platbu kolem 100 tisíc se podařilo zablokovat. Policie doporučila ověřovat pokyny osobně nebo telefonicky a zavést pravidlo, že odpovědná osoba provede platbu až po osobní konzultaci s nadřízeným.

Proč to funguje

Podvodník zná vaši firmu

NÚKIB řadí tyto útoky ke spear phishingu – cílenému podvodu, kdy útočník připraví obsah na míru konkrétním lidem a vydává se za známé osoby nebo partnery. Jméno ředitele, strukturu firmy nebo dodavatele lze často zjistit z webu, obchodního rejstříku či sociálních sítí. NÚKIB proto radí zvážit, jak podrobnou organizační strukturu a životopisy vedení firma zveřejňuje.

Někdy čte vaši poštu

Nejnebezpečnější varianta nastává, když útočník ovládne skutečnou e-mailovou schránku – vaši nebo dodavatele. Pak zná rozpracované zakázky, termíny splatnosti i způsob, jakým si píšete. Podvrženou fakturu pošle ve správnou chvíli a ve správném vlákně. Jak se ke schránkám dostává, souvisí často s vylákaným nebo uniklým heslem.

Tři podoby falešného odesílatele

Útočník má v zásadě tři možnosti. Může zfalšovat adresu odesílatele tak, aby vypadala přesně jako firemní (spoofing). Může si zaregistrovat podobnou doménu s přehozeným nebo přidaným písmenem – FBI upozorňuje právě na odkazy a adresy s drobnými překlepy ve jménu domény. Nebo píše ze skutečné, ale napadené schránky. Proti první variantě pomáhá technické nastavení domény, proti dalším dvěma jen pozornost a ověřování jiným kanálem.

Naléhavost a autorita

„Potřebuji to dnes, jsem na jednání, nevolej.“ Požadavek od nadřízeného a časový tlak dohromady vypínají běžnou opatrnost. Kdo by chtěl zdržovat šéfa kvůli ověřování?

Rutina

Účtárna zpracuje desítky faktur týdně. Změna účtu u dlouholetého partnera nevypadá jako nic zvláštního – banky se mění, firmy se slučují. Právě na to podvod sází.

Ověřování ve stejném kanálu

Kdo na podezřelý e-mail odpoví „Je to opravdu nový účet?“, dostane odpověď od podvodníka. Proto policie radí ověřovat telefonem, a to na číslo, které máte ze smlouvy nebo z dřívější komunikace. Stejné pravidlo platí u převzatých účtů na WhatsAppu, kde vám „kamarád“ v chatu potvrdí cokoli.

Jak se podvod liší od běžné změny

Modelová situace: pátek odpoledne v malé firmě

Následující příběh je modelový. Nepopisuje konkrétní případ, skládá dohromady postupy, které popsala policie.

Martina vede účetnictví pro truhlářskou dílnu s osmi zaměstnanci. V pátek ve 14:40 jí přijde e-mail od jednatele: „Martino, uzavírám dohodu s novým dodavatelem dřeva, potřebuji dnes poslat zálohu 186 000 Kč, faktura v příloze. Jsem na schůzce, nemůžu telefonovat. Díky.“ Podpis sedí, oslovení taky.

Martina už má otevřené bankovnictví. Pak si všimne, že adresa odesílatele má v doméně navíc jedno písmeno. Napíše jednateli SMS na číslo, které má uložené: „Posíláš mi zálohu na dřevo?“ Za deset minut přijde odpověď: „Nic takového, jsem na chatě.“

Kde chybělo málo? Kdyby Martina odpověděla na e-mail, podvodník by vše „potvrdil“. Kdyby ve firmě platilo pravidlo, že nové účty a mimořádné platby se vždy ověřují hlasem, nemusela by na drobný detail v adrese spoléhat.

Co mohlo následovat

• Ztráta peněz, které se těžko vracejí. Platba, kterou firma sama zadala a autorizovala, se nedá jednoduše stornovat. Úspěch závisí na rychlosti.
• Dvojí platba. Skutečný dodavatel má na zaplacení nárok dál, protože peníze nedostal.
• Ručení za DPH. Pokud zaplatíte plátci DPH na jiný než zveřejněný účet, vystavujete se podle zákona o DPH riziku, že budete ručit za jeho nezaplacenou daň (podrobnosti níže).
• Opakování. V olomouckém případu přišla po pěti dnech další faktura. Kdo jednou zaplatil, bývá cílem znovu.
• Únik dat z napadené schránky. Pokud útočník četl firemní poštu, má smlouvy, ceny a kontakty. Může psát i vašim zákazníkům.
• Navazující útoky. Z ovládnuté schránky se šíří další podvodné zprávy, případně škodlivé přílohy. Jak vypadá, když útočník soubory rovnou zašifruje, popisujeme u ransomwaru.

Co udělat hned

Když máte podezřelý pokyn k platbě před sebou

1. Nic neplaťte a na e-mail neodpovídejte.
2. Zavolejte na známé číslo – dodavateli podle smlouvy nebo dřívější komunikace, nadřízenému na jeho uložený mobil. NÚKIB upozorňuje, že volat máte sami, protože příchozí hovor může mít podvržené číslo.
3. Zobrazte si skutečnou adresu odesílatele a pole „Odpovědět komu“. Policie radí kontrolovat, z jaké adresy zpráva opravdu přišla.
4. Ověřte účet v registru plátců DPH, pokud je dodavatel plátce. Registr je dostupný na daňovém portálu finanční správy.
5. Informujte kolegy a IT, aby na podobnou zprávu nereagoval nikdo další.

Když už peníze odešly

1. Okamžitě volejte své bance. Požádejte o pokus o zastavení nebo vrácení platby. I FBI doporučuje kontaktovat finanční instituci ihned a žádat o stažení prostředků.
2. Podejte trestní oznámení na lince 158, na služebně nebo u oddělení hospodářské kriminality. Přineste e-maily včetně technických hlaviček, faktury a výpis plateb.
3. Nemažte nic. Zprávy, přílohy i záznamy o přihlášení mohou být důkaz.
4. Zjistěte, čí schránka byla napadena. Informujte dodavatele – pokud byla napadena jeho pošta, hrozí to i jeho dalším odběratelům.
5. Změňte hesla k firemní poště a zkontrolujte pravidla přeposílání a automatické filtry. Útočníci si v napadených schránkách rádi nastaví skryté přeposílání.
6. Zapněte druhý ověřovací krok u všech firemních účtů. Proč, vysvětluje článek o dvoufázovém ověření.

Proč rozhodují hodiny

Jak moc na rychlosti záleží, ukazuje výroční zpráva IC3 za rok 2025. Tým FBI pro zajišťování prostředků (Recovery Asset Team) v tom roce spustil zmrazovací proces u 3 900 incidentů s pokusem o krádež zhruba 1,16 miliardy dolarů a zmrazit se podařilo přibližně 679 milionů. Jde o americký systém, princip je ale stejný i u nás: čím dřív banka příjemce dostane žádost, tím větší šance, že peníze ještě leží na účtu. FBI radí požádat banku hned o stažení platby (recall) a podvod oznámit bez ohledu na výši škody, s úplnými údaji o transakci.

Co říká zákon

Trestní rovina

Podvržení faktury nebo pokynu k platbě je podvod podle § 209 trestního zákoníku. V litoměřickém případu uvedla policie hrozbu až pětiletého trestu. Ovládnutí cizí e-mailové schránky může navíc naplnit trestný čin neoprávněného přístupu k počítačovému systému podle § 230.

Podvod nemusí přijít jen zvenku. Královéhradecká policie v březnu 2024 popsala ženu, která jako externí dispečerka vystavovala fiktivní faktury a měnila v nich čísla účtů na svůj nebo matčin. Škoda dosáhla necelých 4,4 milionu korun. Kontrola změn bankovního spojení tak chrání i před vnitřním podvodem.

Ručení za DPH

Podle § 109 odst. 2 písm. c) zákona o DPH ručí příjemce plnění za nezaplacenou daň, pokud zaplatil zcela nebo zčásti na jiný účet, než je účet poskytovatele zveřejněný správcem daně. Finanční správa uvádí, že tato podmínka se uplatní u plateb přesahujících dvojnásobek limitu pro platby v hotovosti, tedy 540 000 Kč. Zveřejněné účty plátců si ověříte v registru plátců DPH na daňovém portálu. Kontrola registru tak má dvojí užitek: chrání před ručením i před podvrženým účtem.

Kdo nese ztrátu

Pokud jste platbu zadali a autorizovali sami, banka ji zpravidla neprovedla chybně – provedla váš pokyn. Spory s dodavatelem o napadenou schránku se řeší podle okolností a smluv, proto se vyplatí mít postup ověřování plateb sepsaný.

Nejčastější chyby

• Ověření odpovědí na stejný e-mail. Odpovídá podvodník.
• Volání na číslo z podezřelé zprávy nebo faktury. Může patřit podvodníkovi.
• „Šéf řekl, ať to nezdržuju.“ Rozumný nadřízený ocení, že jste si platbu ověřili.
• Výjimky ze schvalování. Pravidla, která lze „jen tentokrát“ obejít, nechrání.
• Jedno heslo pro poštu i další služby. Pomůže správce hesel a unikátní heslo pro každou službu.
• Neaktualizovaný software. Útočníci zneužívají známé chyby. Proč na aktualizacích záleží, vysvětluje článek proč aktualizovat telefon a počítač.
• Stud a mlčení. Každá hodina zdržení snižuje šanci na zachycení peněz.

Jak tomu příště zabránit

Pravidlo druhého kanálu

Každou změnu bankovního spojení a každou mimořádnou platbu ověřte jiným kanálem než tím, kterým přišla. NÚKIB doporučuje ověřovat změny účtů nebo kontaktů jiným komunikačním médiem a na předem známé telefonní číslo. FBI radí totéž: sekundární kanál nebo dvoufázové ověření u každé žádosti o změnu platebních údajů.

Zpoždění jako pojistka

NÚKIB zmiňuje i organizační opatření, například že žádosti o platbu se vyřizují až po 24 hodinách a výjimky jsou možné jen po osobním schválení.

Čtyři oči

Vysočinská policie doporučila zavést pravidlo, že platbu provede odpovědná osoba až po osobní konzultaci s nadřízeným, a školit zaměstnance. U malé firmy nebo OSVČ stačí jednoduchá domluva: nové účty a platby nad určitou částku potvrzujeme telefonem.

Registr plátců DPH jako rychlá kontrola

Registr DPH najdete na portálu MOJE daně finanční správy. Vyhledává se podle DIČ a u plátce ukáže, zda je veden jako nespolehlivý plátce, a jaké bankovní účty zveřejnil. Pokud číslo účtu z faktury v seznamu není, je to důvod platbu zastavit a dodavateli zavolat. Finanční správa od roku 2013 provozuje i webovou službu, přes kterou tyto údaje umějí načítat účetní programy. Neplátce DPH ani zahraniční dodavatele ale v registru neověříte.

Ověření jména příjemce u plateb v eurech

U eurových převodů v oblasti SEPA funguje ověření příjemce (Verification of Payee), jehož pravidla spravuje Evropská rada pro platby (EPC). Banka plátce se před odesláním zeptá banky příjemce, zda zadané jméno odpovídá číslu účtu IBAN. Banka pak plátci ukáže výsledek: shoda, neshoda, blízká shoda, nebo že ověření není možné. Schéma vzniklo kvůli povinnostem z unijního nařízení o okamžitých platbách.

Když vám banka ohlásí neshodu jména, neodesílejte a volejte. Samotná shoda ale nestačí – EPC výslovně uvádí, že se na službu nelze spolehnout jako na identifikaci osoby.

SPF, DKIM a DMARC jednoduše

NÚKIB v materiálu o spear phishingu z roku 2020 doporučuje proti falšování adres takzvané anti-spoofingové nástroje: DMARC, který ověřuje doménu odesílatele, a technologie DKIM a SPF. Podle NÚKIB rozhodují o tom, který e-mail se dostane k uživateli a který skončí ve spamu.

Zjednodušeně: SPF je seznam serverů, které smějí posílat poštu za vaši doménu. DKIM ke zprávám přidává elektronický podpis. DMARC říká ostatním serverům, co udělat se zprávou, která kontrolou neprojde. Nastavují se jako záznamy v DNS domény, obvykle s pomocí poskytovatele pošty. Ztíží podvrhování vaší přesné adresy, proti podobné doméně ani napadené schránce ale nepomohou.

Hlídejte si schránky

Dvoufázové ověření u firemní pošty, unikátní hesla a pravidelná kontrola přihlášených zařízení a pravidel přeposílání výrazně ztěžují útočníkovi práci. Stejně důležité je znát podobu podvodných přihlašovacích stránek – třeba těch, které napodobují datovou schránku nebo finanční úřad.

Počítejte i s falešným hlasem

Telefonické ověření funguje, když voláte vy na známé číslo. Pokud vám naopak volá „ředitel“ s neobvyklou prosbou, mějte na paměti, že hlas lze napodobit. Jak na to reagovat, popisuje článek o podvodu s napodobeným hlasem. Pomůže domluvené kontrolní heslo nebo zpětné zavolání.

OSVČ a nákupy

Živnostníci jsou cílem stejně jako velké firmy – jen nemají účtárnu, která by chybu zachytila. Stejná obezřetnost platí i při nákupech vybavení u neznámých prodejců, kde pomůže kontrolní seznam před platbou e-shopu.

Obsah vytvořený s pomocí AI. Tento článek jsme připravili s pomocí umělé inteligence (AI) a před zveřejněním prošel redakční kontrolou. Za obsah odpovídá redakce webu.