Falešná datová schránka a úřad v SMS: jak poznat pravou zprávu

V úterý dopoledne pípne telefon: „Ve vaší datové schránce čeká nepřevzatá zpráva od finančního úřadu. Pokud se nepřihlásíte do 24 hodin, bude vám uložena sankce.“ Pod textem je odkaz a stránka, která vypadá přesně jako přihlášení do datovky. Stačí potvrdit bankovní identitu. Chybělo málo – a někdo cizí by měl klíč k vaší schránce i k vašemu bankovnímu účtu.

Co se děje

Podvodníci dávno zjistili, že lidé mají z úřadů respekt. Zpráva od finančního úřadu, zdravotní pojišťovny nebo z datové schránky vyvolá rychlou reakci: nikdo nechce propásnout lhůtu, platit penále ani mít problém se státem. Proto se falešné SMS a e-maily vydávají za instituce, kterým běžně věříme.

Cíl bývá téměř vždy stejný. Dostat vás na podvodnou stránku, kde zadáte přihlašovací údaje, číslo karty nebo se přihlásíte přes bankovní identitu. Odtud je jen krok k vybílenému účtu nebo ke zneužití vaší identity.

Falešné stránky datových schránek

Správa datových schránek na svém webu důrazně upozorňuje na podvodné stránky, které se tváří jako datová schránka, ale mají za cíl získat přístup k vaší schránce i k bankovnímu účtu. Jejich adresy se od originálu liší jen překlepem – například mojedavokka.com, mojadotovka.com, mojledavoka.com nebo mojadatvoka.com. Takové odkazy se mohou objevit i ve výsledcích vyhledávače, když si adresu datovky jen rychle „vygooglujete“.

Server Podnikatel.cz v červenci 2025 upozornil, že některé z těchto falešných webů vybízejí k ověření přes bankovní identitu. To je obzvlášť nebezpečné: kdo se přihlásí „bankou“ na podvodné stránce, může útočníkům otevřít cestu přímo do internetového bankovnictví.

Nová adresa datovky jako příležitost pro podvodníky

V roce 2026 se datové schránky přestěhovaly. Nová adresa datovka.gov.cz fungovala od konce června 2026 a starý portál mojedatovaschranka.cz byl přechodně dostupný do 27. srpna 2026, kdy došlo k finálnímu přesměrování. Změnila se i adresa, ze které chodí e-mailové notifikace – nově notifikace@datovka.gov.cz. Server Tiscali v srpnu 2026 připomněl, že přes 5 milionů zřízených schránek je pro podvodníky obrovská cílová skupina a že každá taková změna nahrává zprávám typu „přihlaste se na nové adrese“.

Podle Digitální a informační agentury, kterou článek cituje, je nejbezpečnější na novou adresu nechodit přes žádný odkaz z e-mailu ani SMS a napsat si ji ručně do prohlížeče. Pravé SMS notifikace podle ní odkazy neobsahují.

Finanční úřad, Portál občana, VZP, ČSSZ

Datová schránka není jediná maska. Finanční správa v dubnu i v červenci 2025 varovala před e-maily, které se vydávají za správce daně. Jednou slibují přeplatek na dani, podruhé strašídlí nedoplatkem a „detaily platby“ za odkazem. Jako příklad podvodné adresy uvedla info@financni-zprava.cz – na první pohled podobnou, ve skutečnosti cizí.

Vláda už v březnu 2023 varovala před SMS, které odkazovaly na falešný Portál občana. Zprávy mluvily o problému s daňovým přiznáním nebo o vrácení přeplatku a vedly na adresu s pomlčkami a koncovkou .net místo skutečného obcan.portal.gov.cz. Podvodná stránka nabídla přihlášení bankovní identitou a přesměrovala na falešné bankovnictví. SMS podle vlády často chodily z polských čísel s předvolbou +48, objevila se ale i tuzemská.

VZP 27. srpna 2026 upozornila na novou vlnu SMS o fiktivním dluhu na pojistném s výzvou k okamžité úhradě přes odkaz. Podezřelá doména končila na .casa. Česká správa sociálního zabezpečení zase popsala kombinaci telefonátu a SMS: volající odkáže na zprávu, která pak přijde, a ta vede na údajný web ČSSZ.

Stejný princip mají i podvodné SMS od dopravců o nedoručeném balíku – jen místo úřadu hraje roli kurýr.

Jak rozeznat pravou zprávu od podvodu

Tabulka shrnuje, co jednotlivé instituce uvádějí ve svých varováních. Neznamená, že každá zpráva z uvedené adresy je automaticky pravá – adresu odesílatele lze podvrhnout. Znamená ale, že zpráva, která těmto pravidlům odporuje, je podezřelá hned na první pohled.

Modelová situace: přeplatek, který nikdy nebyl

Následující příběh je modelový. Nepopisuje konkrétní případ, skládá dohromady postupy, které popsaly úřady a policie.

Jana, 52 let, podává daňové přiznání každý rok sama. V květnu jí přijde e-mail s logem finanční správy: „Na základě kontroly vám vznikl přeplatek 4 860 Kč. Pro vyplacení potvrďte bankovní spojení do tří dnů.“ Tlačítko vede na stránku s přihlášením. Jana si vybaví, že přeplatek opravdu čekala, a klikne.

Stránka nabízí přihlášení bankovní identitou. Otevře se okno, které vypadá jako její banka. Zadá jméno, heslo a potvrdí notifikaci v aplikaci. Stránka pak „zamrzne“. Druhý den ráno zjistí, že z účtu odešly dvě platby.

Kde chybělo málo? Finanční správa podle svých vlastních varování odkazy e-mailem neposílá a bankovní údaje touto cestou nežádá. Stačilo otevřít daňový portál ručně zadanou adresou, nebo zavolat na svůj finanční úřad. A potvrzení v bankovní aplikaci, které přijde „samo od sebe“, je vždy důvod přestat a číst, co vlastně schvalujete.

Proč to funguje

Strach z lhůty

Datová schránka má skutečnou právní váhu. Zákon o elektronických úkonech a autorizované konverzi dokumentů stanoví, že dokument dodaný do schránky se považuje za doručený, i když se do ní nepřihlásíte – posledním dnem desetidenní lhůty od dodání. Lidé to vědí, a proto na „nepřevzatou zprávu“ reagují rychle. Podvodníci na tuhle obavu sázejí.

Časový tlak a malé částky

Finanční správa popsala typické znaky: formulace jako „poslední upozornění“, „obnovte registraci“ nebo „vyzvedněte si přeplatek do tří dnů“, relativně malé údajné dluhy a slabší jazyková kvalita. Malá částka působí uvěřitelně a nevyvolá tolik pozornosti jako vysoká.

Věrohodný vzhled

VZP u starší vlny e-mailů upozornila, že texty neobsahovaly téměř žádné překlepy a uváděly skutečné kontaktní údaje pojišťovny i smyšlené číslo případu. Logo, barvy a formulace lze zkopírovat za pár minut. Podle vzhledu se proto rozhodovat nedá.

Bankovní identita jako univerzální klíč

Přihlašování přes banku je pohodlné a na mnoha úřadech běžné. Právě proto lidé nezpozorní, když je o něj požádá falešná stránka. Stejné potvrzování v bankovní aplikaci zneužívají i podvodníci po telefonu – podrobněji to rozebíráme u falešného bankéře, který volá kvůli „napadenému účtu“.

Co mohlo následovat

• Vybrané peníze z účtu. Kdo získá přístup do internetového bankovnictví, může zadávat platby, dokud banka účet nezablokuje.
• Převzetí datové schránky. Útočník vidí úřední korespondenci, rozhodnutí, rodná čísla a další citlivé údaje. Může také jménem majitele odesílat zprávy.
• Zneužití identity. S vašimi údaji lze zkoušet sjednat úvěr nebo smlouvu, případně oslovit vaše kontakty.
• Zmeškaná skutečná lhůta. Paradoxně se může stát, že kvůli zablokovanému nebo změněnému přístupu nepřevezmete pravou zprávu. Doručení fikcí přitom platí.
• Další vlna útoků. Kdo jednou zareagoval, bývá pro podvodníky „ověřený“ kontakt a může dostávat další zprávy.

Jak rychle se z nepřevzaté úřední písemnosti může stát vážný problém, ukazujeme v článku o zapomenuté pokutě, která skončila exekucí. Pravé zprávy je proto potřeba číst – jen je třeba otevírat je správnou cestou.

Co udělat hned

Když zprávu teprve máte před sebou

1. Neklikejte na odkaz ani nenačítejte přiložený QR kód. Finanční správa upozornila, že podvodné zprávy mohou obsahovat obojí.
2. Otevřete si službu sami. Datovou schránku na datovka.gov.cz, Portál občana na obcan.portal.gov.cz, pojišťovnu přes její oficiální aplikaci nebo web, který si napíšete ručně.
3. Pokud vás zpráva znejistila, zavolejte. Na úřad nebo pojišťovnu na číslo z jejich oficiálního webu, ne na číslo ze zprávy.
4. Zkontrolujte adresu odesílatele a odkazu. Státní weby mívají tvar název.gov.cz. Pomlčky, překlepy a koncovky jako .com, .net, .casa jsou varovný signál. Podle Správy datových schránek platí: pokud odkaz na datovku končí jinak než .cz, je zcela jistě podvodný.
5. Zprávu smažte a odesílatele zablokujte. To doporučuje i VZP.

Když jste zadali přihlašovací údaje k datové schránce

1. Přihlaste se na oficiální adrese a v Nastavení si změňte heslo. Tak to radí Správa datových schránek.
2. Nechte si vydat nové přístupové údaje, pokud se přihlásit nemůžete – přes Identitu občana nebo na kontaktním místě Czech POINT.
3. Z podvodné stránky se už nepřihlašujte žádnou jinou metodou, ani když tvrdí, že účet byl zablokován.
4. Zkontrolujte odeslané zprávy ve schránce, jestli z ní někdo nic neposílal.

Když jste se přihlásili bankovní identitou nebo zadali kartu

1. Okamžitě volejte své bance na číslo z karty nebo z jejího webu. Popište, co se stalo, a požádejte o zablokování přístupu a karty. Vláda i ČSSZ radí kontaktovat banku bez odkladu.
2. Změňte heslo do internetového bankovnictví a ke všem službám, kde používáte stejné heslo.
3. Projděte pohyby na účtu a nové trvalé příkazy nebo příjemce plateb.
4. Oznamte věc policii na lince 158 nebo na služebně. Uložte si zprávu, odkaz a snímky obrazovky.
5. Zapněte si všude, kde to jde, druhý ověřovací krok. Proč na něm záleží, vysvětluje článek o dvoufázovém ověření.

Co říká zákon

Kdo vyláká přihlašovací údaje a pak vybere cizí peníze, se může dopustit podvodu podle § 209 trestního zákoníku. Samotné neoprávněné přihlášení do cizí schránky nebo bankovnictví může naplnit trestný čin neoprávněného přístupu k počítačovému systému a nosiči informací podle § 230.

Pro vás jako adresáta je důležité i pravidlo o doručování. Podle zákona č. 300/2008 Sb. se dokument, na jehož doručení do datové schránky se nepřihlásíte do 10 dnů, považuje za doručený posledním dnem této lhůty. Proto se do schránky vyplatí pravidelně přihlašovat – vždy přes oficiální adresu, nikdy přes odkaz ze zprávy.

Policie ve starším varování před falešnými e-maily jménem vedení Europolu připomněla obecné pravidlo: skutečné orgány neoslovují konkrétní lidi e-mailem s požadavkem na okamžitou akci nebo s výhrůžkou trestním stíháním. Podobný e-mail máte oznámit policii.

Nejčastější chyby

• Vyhledání datovky přes vyhledávač a kliknutí na první odkaz. Falešné weby s překlepy v názvu se mohou objevit i tam. Adresu si uložte do záložek.
• „Vypadalo to úplně oficiálně.“ Logo, jméno úředníka ani číslo jednací nic nedokazují.
• Přihlášení bankovní identitou z odkazu. Přihlašujte se jen na stránkách, které jste otevřeli sami.
• Potvrzení notifikace v bankovní aplikaci bez čtení. Každé potvrzení si přečtěte celé – co schvalujete a komu.
• Stejné heslo k datovce, e-mailu a bankovnictví. Jedno vylákané heslo pak otevře všechno. Pomůže správce hesel.
• Čekání s voláním do banky. Každá hodina je šance pro další platbu.
• Ignorování pravé datové schránky ze strachu z podvodů. Fikce doručení platí bez ohledu na to, jestli se do schránky podíváte.

Jak tomu příště zabránit

Mějte oficiální adresy v záložkách

Datovou schránku, Portál občana, daňový portál a web své pojišťovny si uložte do záložek v prohlížeči nebo používejte oficiální aplikace. Pak nikdy nemusíte klikat na odkaz ze zprávy ani hledat přes vyhledávač.

Nastavte si pravé notifikace

Datové schránky nabízejí SMS upozornění na novou zprávu. Podle Správy datových schránek stojí 3 Kč za jednu odeslanou SMS a aktivuje se v nastavení schránky. Když víte, jak vypadá pravé upozornění a že neobsahuje odkaz, podvodnou zprávu snáz poznáte.

Ověřujte jiným kanálem

NÚKIB dlouhodobě doporučuje v případě pochyb ověřit obsah e-mailu telefonátem do zákaznického centra instituce a adresu webu zadávat ručně. Jde o stejný princip, jaký chrání firmy před falešnými fakturami a e-maily „od šéfa“.

Hlídejte si hesla a zařízení

Jestli vaše heslo někde uniklo, zjistíte podle návodu, jak zjistit únik hesla. A protože podvodné stránky rády zneužívají staré chyby v prohlížečích, vyplatí se mít zařízení aktuální – proč, vysvětlujeme v článku o tom, proč aktualizovat telefon a počítač.

Mluvte o tom s rodiči

Datovou schránku mají od roku 2023 zřízenou i mnozí senioři, kteří s ní nikdy nepracovali. Ukažte jim, jak vypadá pravé přihlášení, a domluvte se, že na odkazy ze „státních“ zpráv neklikají. Stejná domluva chrání i před dalšími legendami, například před podvodem s falešným vnukem nebo policistou.

Na podobný trik narážejí i řidiči: SMS o nezaplacené dálniční známce nebo pokutě s odkazem k platbě. Jak je poznat, popisujeme u falešných pokut a QR kódů.

Obsah vytvořený s pomocí AI. Tento článek jsme připravili s pomocí umělé inteligence (AI) a před zveřejněním prošel redakční kontrolou. Za obsah odpovídá redakce webu.