Převzetí účtu WhatsApp: jeden kód a „kamarád“ chce peníze

Zpráva od kamarádky vypadá nevinně: „Ahoj, můžeš prosím hlasovat pro moji neteř v soutěži?“ Klepnete na odkaz, vyplníte telefonní číslo a opíšete kód, který vám právě přišel. Za hodinu už z vašeho WhatsAppu píše někdo cizí vaší sestře, jestli by vám do zítřka nepůjčila 30 000 Kč. Chybělo málo – stačilo kód nikam nezadávat.

Co se děje

Převzetí účtu na WhatsAppu není prolomení šifrování ani složitý hackerský útok. Podvodník potřebuje jedinou věc: ověřovací kód, který aplikace posílá při přihlášení na novém zařízení, nebo vaše potvrzení, že k účtu „připojujete zařízení“. Obojí od lidí získává lstí. Jakmile účet ovládne, píše vašim kontaktům vaším jménem, s vaší profilovou fotkou a v konverzacích, které s nimi vedete roky.

Policie na tento typ podvodu upozorňuje opakovaně. Na jaře 2025 se případy objevily v několika krajích najednou, v únoru 2026 hlásila další vlnu liberecká policie a v březnu 2026 policisté z Domažlicka. Scénář je pokaždé podobný: odkaz na hlasování nebo anketu, vylákaný kód a pak zprávy přátelům s prosbou o rychlou půjčku.

Chomutovsko: deset poškozených za pár dní

Ústecká policie 8. května 2025 popsala, jak útok probíhá. Uživatel dostane odkaz s prosbou o hlasování v soutěži. Po kliknutí vyplní telefonní číslo a ověřovací kód a nakonec je vyzván, aby „připojil zařízení“. Tím podle policie sám pachateli přístup k účtu udělí. Z napadeného účtu pak odcházejí zprávy typu „Ahoj, nemáš prosím možnost mi půjčit 30 000 Kč?“ se slibem, že peníze přijdou zpátky další den, a s číslem bankovního účtu.

Ke 12. květnu 2025 evidovali policisté jen na Chomutovsku nejméně deset poškozených, kteří poslali 27 až 30 tisíc korun. Případy se objevily také na Mostecku, Lounsku a v dalších částech republiky.

Beroun: 17 000 Kč „nejlepšímu kamarádovi“

Berounští policisté ve stejném týdnu řešili případ ženy, které přišla zpráva od jejího nejlepšího kamaráda s prosbou o 17 000 Kč. Věřila, že jde o skutečnou žádost, a peníze poslala. Kamarádův účet ale v tu chvíli ovládal podvodník. Na začátku byl podle policie opět zdánlivě neškodný odkaz – tentokrát na hlasování v taneční soutěži. Cílem útočníků je podle policie získat přístup k účtu a zneužít identitu jeho majitele k dalším podvodům.

Liberecko 2026: přes 400 000 Kč během několika dní

V únoru 2026 liberecká policie uvedla, že za poslední dny přijala více než desítku oznámení a celková škoda přesáhla 400 000 Kč. Útočníci podle ní oběti přiměli k prozrazení ověřovacího kódu nebo zneužili slabé heslo, převzali komunikaci, původního majitele zablokovali a hromadně psali jeho kontaktům. Žádosti se pohybovaly od 8 000 Kč na opravu údajně rozbitého auta po půjčky v řádu desetitisíců korun.

Domažlicko: anketa o stipendium

V březnu 2026 přišel ženě z Domažlicka od známého kontaktu odkaz s anketou a návodem, jak hlasovat o stipendium na gymnastiku. Po kliknutí přišla o účet. Podvodníci pak jejím kontaktům rozeslali prosby o peníze s číslem účtu a slibem, že je druhý den vrátí. Její příbuzná poslala téměř 50 tisíc korun.

Jak převzetí účtu probíhá

Poslední řádek je důležitý. Podvod se šíří sám: odkaz od vás působí důvěryhodně, a tak na něj kliknou další lidé, jejichž účty pak slouží k dalším prosbám. Proto je potřeba po převzetí účtu co nejdřív varovat kontakty – a to jinou cestou než přes ovládnutý WhatsApp.

Čtyři cesty, kudy útočník přijde

Odkaz na hlasování nebo anketu

Nejčastější návnada posledních let: taneční soutěž, sportovní stipendium, fotka dítěte, které „potřebuje hlasy“. Stránka po vás chce telefonní číslo a kód, který vzápětí přijde. Ve skutečnosti tím pomáháte přihlásit svůj účet na zařízení útočníka. Žádné skutečné hlasování nepotřebuje kód z vašeho WhatsAppu.

Připojení zařízení

WhatsApp umí běžet na více zařízeních současně, například v počítači. Pokud vás podvodná stránka vyzve, abyste „připojili“ nebo „propojili“ zařízení, můžete tím útočníkovi otevřít účet. Váš telefon přitom může fungovat dál jako obvykle, takže si ničeho nevšimnete, dokud vám nezavolá někdo z rodiny.

Kód poslaný „kvůli soutěži“

Ústecká policie v lednu 2026 popsala variantu přes Messenger: známý z ovládnutého profilu požádá o vaše telefonní číslo, pak vám přijde SMS s kódem a on vás poprosí, ať mu ho přepošlete – prý kvůli soutěži o večeři pro dvě osoby. Po přeposlání se lidem strhávaly peníze z mobilního paušálu nebo kreditu. Pražská policie podobný scénář řešila už v roce 2020, kdy pachatelé takto vylákané kódy použili k platbám přes mobilní telefon ve prospěch herních portálů. Princip je vždy stejný: kdo zná váš jednorázový kód, jedná vaším jménem.

Slabé nebo opakované heslo

U služeb, kde se přihlašujete heslem, stačí útočníkovi heslo uniklé z jiného webu. Liberecká policie proto k ochraně doporučuje silná a unikátní hesla. Jestli vaše heslo někde uniklo, zjistíte podle návodu, jak zjistit únik hesla. A pamatovat si desítky různých hesel nemusíte, když použijete správce hesel.

Modelová situace: sobotní prosba

Následující příběh je modelový. Nepopisuje konkrétní případ, skládá dohromady postupy, které popsala policie.

Petr, 41 let, dostane v sobotu ráno od sestřenice zprávu s odkazem: „Ahoj, prosím hlasuj pro Aničku, je ve finále taneční soutěže, zabere to minutu.“ Klepne, stránka vypadá jako hlasovací formulář. Zadá číslo, přijde SMS s kódem, opíše ho. Stránka ještě chce „potvrdit připojení zařízení“. Potvrdí.

Odpoledne mu volá máma, jestli je v pořádku. Přece jí psal, že má problém s kartou a potřebuje do pondělí půjčit 25 000 Kč. Poslala mu je na účet ze zprávy. Petr nic takového nepsal.

Teď rozhoduje každá minuta. Petr v aplikaci projde seznam propojených zařízení a jedno, které nezná, odhlásí. Zapne dvoufázové ověření. Máma volá své bance a na linku 158. Petr zavolá sestřenici a zjistí, že i ona o účet přišla ráno. Do rodiny a přátelům rozešle běžnou SMS: „Z mého WhatsAppu psal podvodník, nic neposílejte a na odkazy neklikejte.“

Kde chybělo málo? Na dvou místech. Petr nemusel kód nikam zadávat – žádná anketa ho nepotřebuje. A máma mohla před převodem zavolat synovi na jeho běžné číslo, místo aby odpověděla do stejného chatu.

Proč to funguje

Píše někdo, koho znáte

Na podvodnou SMS od neznámého čísla si už mnoho lidí dává pozor. Tady ale zpráva přichází od kamaráda, sestry nebo kolegy, v chatu, kde máte roky společné historie. Karlovarská policie v květnu 2025 upozornila, že právě zneužití identity dělá tento podvod nebezpečným: přátelé a rodina uvěří, že žádost o pomoc je skutečná.

Kód vypadá jako formalita

Šestimístné číslo z SMS působí jako technická drobnost. Ve skutečnosti je to klíč k účtu. Policie opakuje jednoduché pravidlo: ověřovací kódy z SMS se nesdělují nikomu. Pokud o kód někdo žádá, s velkou pravděpodobností jde o pokus o převzetí účtu. WhatsApp na své stránce o zabezpečení doporučuje nastavit si tajný PIN a nikdy ho s nikým nesdílet, aby vám účet nikdo neukradl.

Naléhavost a „jen do zítřka“

Zprávy podle karlovarské policie bývají naléhavé, slibují brzké vrácení peněz, často obsahují gramatické chyby nebo přicházejí v neobvyklou dobu. Částky v řádu jednotek až desítek tisíc korun jsou nastavené tak, aby blízký člověk pomohl bez dlouhého přemýšlení.

Ověřování ve stejném kanálu

Kdo se do chatu zeptá „Jsi to opravdu ty?“, dostane odpověď od podvodníka. Domažlická policie proto výslovně doporučuje neověřovat podezřelou žádost přes stejný komunikační kanál. Pozor i na hovor přes WhatsApp: pokud je účet ovládnutý, může ho přijmout útočník. Volejte na běžné telefonní číslo nebo se sejděte osobně.

Co mohlo následovat

• Peníze vašich blízkých. Převod, který člověk sám zadá a potvrdí, nejde jednoduše vzít zpět. Šance na zachycení peněz je největší v prvních minutách a hodinách.
• Platby z mobilního paušálu. Vylákaný kód může posloužit i k nákupu na účet vašeho telefonního čísla, jak ukazují případy z Ústeckého kraje a Prahy.
• Další oběti. Z vašeho účtu odchází stejný odkaz, na který klikají lidé, kteří vám věří.
• Ztráta účtu. Útočník vás podle liberecké policie může od účtu zablokovat a pokračovat v komunikaci místo vás.
• Zneužití obsahu konverzací. Kdo ovládne účet, vidí, co v něm je. Pokud si v chatech posíláte fotky dokladů, čísla karet nebo hesla, jsou teď v cizích rukou.
• Navazující podvod. WhatsApp slouží i jiným scénářům. Karlovarská policie popsala případ, kdy se pachatel přes WhatsApp vydával za policistu, poslal fotku falešného průkazu a jednatele firmy navedl k platbám za přes 2 miliony korun. Jak takové hovory poznat, popisuje článek o falešném bankéři po telefonu.

Co udělat hned

Když vám „známý“ píše o peníze

1. Nic neposílejte. Karlovarská policie to shrnuje větou: „Nikdy neposílejte peníze pouze na základě zprávy v aplikaci!“
2. Zavolejte mu na běžné telefonní číslo, které máte uložené. Ne přes WhatsApp a ne na číslo ze zprávy.
3. Když se nedovoláte, ozvěte se někomu, kdo s ním žije nebo pracuje. Počkat hodinu se vyplatí víc než poslat peníze podvodníkovi.
4. Neklikejte na odkazy v té konverzaci a nevyplňujte žádné údaje.
5. Dejte mu vědět jinou cestou, že jeho účet někdo zneužívá. Často o tom ještě neví.

Když jste kód zadali nebo potvrdili připojení zařízení

1. Otevřete WhatsApp a zkontrolujte, jestli jste stále přihlášení. Pokud vás aplikace odhlásila, přihlaste se znovu svým telefonním číslem. Ověřovací kód přijde na vaši SIM kartu, takže ho máte jen vy.
2. Projděte seznam propojených zařízení a odhlaste všechna, která neznáte. Liberecká policie doporučuje přihlášená zařízení pravidelně kontrolovat.
3. Zapněte dvoufázové ověření a nastavte vlastní PIN (postup níže).
4. Varujte kontakty jinou cestou – SMS, telefonem, e-mailem nebo přes jinou sociální síť. Napište jasně, že z vašeho účtu psal podvodník a že nemají nic posílat ani klikat na odkazy.
5. Obraťte se na technickou podporu WhatsAppu, pokud se do účtu nedostanete. Doporučuje to i berounská policie.
6. Zkontrolujte vyúčtování telefonu a u operátora se zeptejte na platby přes mobilní číslo, pokud jste kód poslali „do soutěže“.
7. Uložte si důkazy: snímky obrazovky zpráv, odkaz, na který jste klikli, čísla účtů, na která měly jít peníze.
8. Změňte hesla k e-mailu a sociálním sítím, pokud jste je na podvodné stránce zadávali. U hacknutého profilu postupujte podle návodu k hacknutému účtu na Facebooku.

Když už někdo z blízkých peníze poslal

1. Okamžitě volat bance, ze které platba odešla. Berounská policie radí informovat banku bez prodlevy.
2. Oznámit věc policii na lince 158 nebo na služebně. Přineste snímky konverzace a číslo účtu příjemce.
3. Neposílat další platby, ani když „kamarád“ napíše, že první nedošla.
4. Nezůstávat na to sami. Bílý kruh bezpečí provozuje nonstop Linku pomoci obětem 116 006 s bezplatnou a důvěrnou pomocí.

Co říká zákon

Kdo se vydává za majitele účtu a vyláká od jeho přátel peníze, dopouští se podvodu podle § 209 trestního zákoníku. Výše trestu závisí na způsobené škodě. V případech s větší škodou uvádí policie ve svých zprávách hrozbu až pěti let vězení, u škod v milionech až osmi let.

Samotné ovládnutí cizího účtu nebo bankovní aplikace policie kvalifikuje také jako neoprávněný přístup k počítačovému systému. Tak postupovala například litoměřická policie u ženy, kterou podvodník navedl k instalaci falešné bankovní aplikace.

Kdo peníze poslal, je poškozený a může u policie podat trestní oznámení. Samotný převod, který člověk sám zadal a potvrdil, se ale nedá jednoduše stornovat. Proto rozhoduje, jak rychle se ozvete bance.

Pozor také na účet, na který peníze odcházejí. Často nepatří samotnému podvodníkovi, ale takzvanému bílému koni, který svůj účet půjčil. Pražská policie upozorňuje, že i za legalizaci výnosů z trestné činnosti z nedbalosti hrozí až rok vězení. Jak se lidé do této role dostávají, popisujeme u podvodných brigád za lajkování.

Nejčastější chyby

• „Byl to přece kamarád, tak jsem kód poslal.“ Kód nesdílíte ani s kamarádem. Skutečný kamarád ho nikdy nepotřebuje.
• Ověřování ve stejném chatu. Odpovídá vám ten, kdo účet ovládl.
• Čekání, „jestli se to nevyřeší samo“. Každá hodina znamená další zprávy vašim kontaktům.
• Varování jen přes status nebo skupinu na WhatsAppu. Útočník ho může smazat, a lidé ho navíc vidí v kanálu, kterému teď nelze věřit.
• Dvoufázové ověření „až někdy“. Zapnout ho trvá minutu, obnovit ukradený účet může trvat dny.
• Stud. Na podvodný odkaz kliknou lidé všech věkových skupin i profesí. Čím dřív to řeknete, tím méně lidí přijde o peníze.

Jak tomu příště zabránit

Zapněte dvoufázové ověření

V aplikaci otevřete Nastavení, zvolte Účet a v něm Dvoufázové ověření. Nastavíte si šestimístný PIN, který se liší od PINu telefonu, a můžete přidat e-mailovou adresu pro případ, že PIN zapomenete. Obecně o tom, proč se druhý krok při přihlášení vyplatí všude, píšeme v článku o dvoufázovém ověření.

Domluvte se s rodinou

Stačí jedna věta u nedělního oběda: „O peníze si nikdy nepíšeme, vždycky zavoláme.“ Stejná domluva chrání i před dalšími legendami, které míří hlavně na starší příbuzné – třeba před podvodem s vnukem nebo falešným policistou. A protože podvodníci umějí napodobit i hlas, hodí se domluvit si kontrolní otázku, jak popisujeme u podvodu s napodobeným hlasem příbuzného.

Chraňte své telefonní číslo

Ověřovací kód chodí na vaši SIM kartu. Kdo by ovládl samotné číslo, dostával by kódy místo vás. Jak takový útok funguje a čeho si všímat, vysvětluje článek o převzetí telefonního čísla (SIM swap).

Vyzkoušejte si to nanečisto

Česká bankovní asociace provozuje Kybertest, jehož odborným garantem jsou Policie ČR a NÚKIB. Najdete v něm ukázky podvodů přes WhatsApp i vylákání SMS kódů a telefonních čísel.

Stejné triky s odkazy a kódy se objevují i jinde – v podvodných SMS od dopravců nebo ve zprávách o falešné výhře. Kdo jednou pozná princip, pozná i další variantu.