SMS o balíku: kdy zásilka není zásilka, ale past na kartu

„Vaši zásilku nelze doručit. Uhraďte poplatek a potvrďte adresu.“ Zpráva přijde zrovna ve chvíli, kdy něco čekáte, částka je směšně malá a odkaz vypadá rozumně. Pár ťuknutí a místo doplatku za balík můžete podvodníkovi předat svou platební kartu.

Co se děje

Falešné zprávy jménem přepravců nejsou nic nového, jen se neustále obměňují. Česká pošta na svém webu průběžně zveřejňuje zprávy, které se za ni vydávají, a výslovně k nim uvádí, že jejich autorem není. Podvrhy chodí jako SMS i jako e-maily.

Totéž se děje pod jménem Zásilkovny a dalších dopravců. Zásilkovna na svých stránkách upozorňuje, že její oficiální SMS mají v poli odesílatele automaticky uvedeno „Zásilkovna“, a na neznámé a podezřelé zprávy doporučuje nereagovat a smazat je.

Podvodné SMS jsou součástí mnohem většího problému. Podle údajů České bankovní asociace, které v září 2026 zveřejnila ČTK, způsobili podvodníci klientům bank za prvních sedm měsíců roku 2026 škody za 1,9 miliardy korun. Policie mezi nejčastější způsoby útoku podle stejné zprávy řadí podvodné telefonáty, SMS zprávy a falešné webové stránky – tedy přesně tu kombinaci, kterou využívá falešná zpráva o balíku.

Záminka se ale může lišit. Policie v Ústeckém kraji v červenci 2026 popsala případ muže, kterému přišla SMS o nezaplaceném parkovném. Klikl na odkaz, na falešné platební stránce zadal údaje z karty a v telefonu pak potvrdil něco, co považoval za uložení karty do digitální peněženky. Ve skutečnosti tím kartu zpřístupnil podvodníkovi, který s ní dvakrát nakoupil po 6 000 Kč. Policie případ prověřuje jako podvod a neoprávněné opatření platebního prostředku, za což hrozí až osm let vězení. Balík, parkovné, přeplatek – mechanismus je pořád stejný.

Nejčastější triky: jak falešné zprávy vypadají

Skutečné podvrhy zveřejněné Českou poštou

Česká pošta na svém webu v roce 2026 zveřejnila mimo jiné tyto podvodné zprávy:

• 4. června 2026 (e-mail): údajně uvalený celní poplatek 160 Kč, zaplatit se měl tlačítkem v e-mailu.
• 9. června 2026 (e-mail): nedoručená zásilka a výzva k opravě adresy.
• 14. července 2026 (e-mail): údajně chybně zadaná adresa a odkaz na její opravu.
• 27. srpna 2026 (e-mail): „vrácení“ 5 000 Kč za přepravu přes odkaz.
• 2. září 2026 (SMS): clo 220,99 Kč za zásilku.

Typické formulace

Následující věty jsou ilustrativní, sestavené podle vzorců, které se ve zveřejněných podvrzích opakují:

• „Vaše zásilka čeká na zaplacení cla. Částka: 48,90 Kč. Uhraďte do 24 hodin, jinak bude vrácena.“
• „Doručení se nezdařilo kvůli neúplné adrese. Aktualizujte údaje zde.“
• „Máte přeplatek za dopravu. Pro vrácení peněz zadejte číslo karty.“
• „Kurýrovi se vás nepodařilo zastihnout. Vyberte nový termín doručení.“

Příbuzné varianty

Stejný princip používají zprávy jménem operátorů, úřadů nebo parkovacích služeb. Vodafone mezi aktuálními hrozbami uvádí falešné SMS, které se vydávají za operátora a vyhrožují deaktivací čísla, a také zprávy typu „Ahoj mami, rozbil se mi telefon“, ve kterých se podvodník vydává za příbuzného v nouzi a chce rychle poslat peníze na cizí účet. Tuhle legendu podrobně rozebíráme v článku o podvodech s falešným vnukem.

Proč to funguje

Balíky čeká skoro každý

Kdo nakupuje na internetu, dostává zprávy od dopravců běžně. Podvodná SMS proto nepůsobí jako cizí prvek, ale jako další z řady.

Malá částka nevypadá nebezpečně

Nad pár desítkami korun nikdo dlouho nepřemýšlí. Jenže podvodníkovi nejde o tu částku, ale o údaje, které při její „platbě“ zadáte.

Doplatky za zásilky skutečně existují

Zpráva o clu nezní absurdně, protože clo a DPH se u některých zásilek opravdu platí. Rozdíl není v tom, jestli poplatek může existovat, ale v tom, kudy ho zaplatíte. Jak to funguje doopravdy, popisujeme níže.

Stránka vypadá jako originál

Falešné weby kopírují logo, barvy i texty skutečných přepravců. Na malém displeji telefonu se navíc adresa stránky snadno přehlédne.

Jak se clo a DPH za zásilku platí doopravdy

U zásilek ze zemí mimo EU se podle Celní správy platí DPH a clo, s výjimkou darů do 45 eur. Podle Celní správy existují tři běžné cesty:

• Přes e-shop. Ve většině případů zaplatíte DPH, případně i clo, rovnou při nákupu. Týká se to hlavně velkých internetových tržišť, která používají zvláštní režim pro dovoz (IOSS). Pak se o nic dalšího starat nemusíte.
• Přes zástupce v celním řízení. Česká pošta nebo kurýrní společnost vás kontaktuje a platbu vybere před doručením.
• Vlastní celní prohlášení. Méně časté, typicky u nákupu na menším e-shopu mimo EU.

Z toho plyne praktické pravidlo: když nevíte, jestli zásilka nějaký poplatek skutečně má, neověřujte to přes odkaz ve zprávě. Zadejte číslo zásilky v aplikaci nebo na webu dopravce, který si otevřete sami, a číslo zásilky vezměte z potvrzení od e-shopu.

Pravá vs. falešná zpráva od dopravce

Co se po kliknutí skutečně děje

Scénář 1: údaje z karty a „potvrzení“ v bankovní aplikaci

Stránka chce číslo karty, platnost a bezpečnostní kód. Pak vám přijde SMS kód nebo žádost o potvrzení v bankovní aplikaci. Tady je klíčový okamžik: text potvrzení nemusí odpovídat tomu, co si myslíte, že platíte. Může jít o jinou částku nebo o přidání karty do cizí mobilní peněženky. Policie proto doporučuje číst potvrzovací zprávy v telefonu a v bankovní aplikaci pozorně a nic neodsouhlasit automaticky.

Scénář 2: falešné přihlášení do bankovnictví

Po „platbě“ se objeví stránka, která vypadá jako přihlášení do vaší banky. Kdo tam zadá jméno a heslo, dává podvodníkovi přístup k účtu. Policie tento postup popisuje u falešných odkazů na přepravní společnosti, například u podvodů na bazarech.

Scénář 3: aplikace ke stažení

Některé zprávy o balíku nebo „hlasové zprávě“ vedou na stránku, která nabízí stažení aplikace. Vodafone mezi hrozbami uvádí právě takové SMS a jako příklad škodlivého programu pro Android zmiňuje malware Flubot.

Jak to vypadá v praxi: modelová situace

Následující příběh je modelový. Nepopisuje konkrétní případ, skládá dohromady postupy, které popisuje policie a dopravci.

Petr si v neděli objednal sluchátka z e-shopu. V úterý večer mu přijde SMS: „Zásilka nemohla být doručena, poplatek za opakované doručení 39 Kč.“ Odkaz vede na stránku v barvách známého dopravce. Petr zadá číslo karty, platnost a kód ze zadní strany.

Za chvíli mu bankovní aplikace nabídne potvrzení. Petr ho odklikne, protože přece platí 39 Kč. Kdyby text přečetl celý, zjistil by, že schvaluje přidání karty do mobilní peněženky na cizím zařízení. Druhý den ráno má v aplikaci několik plateb v obchodech, ve kterých nikdy nebyl.

Chybělo málo. Stačilo otevřít aplikaci dopravce, zadat číslo zásilky z potvrzení e-shopu a zjistit, že balík je na cestě a žádný poplatek nemá. Anebo si přečíst, co v bankovní aplikaci schvaluje.

Co mohlo následovat

V lepším případě pár nákupů na cizí účet, než si toho všimnete a kartu zablokujete. V horším případě přístup do internetového bankovnictví a převody z účtu. A když si do telefonu nainstalujete škodlivou aplikaci, může podvodník získat přístup k tomu, co v telefonu děláte, včetně zpráv s ověřovacími kódy.

Stejné stránky, na které vedou SMS o balíku, se objevují i na podvodných e-shopech a ve falešných nabídkách ubytování s platbou předem. A když se k útoku přidá telefonát „z banky“, jde o scénář, který popisujeme v článku o falešném bankéři.

Co udělat hned

Jen jste klikli, nic jste nezadali

Stránku zavřete, nic nestahujte a nic nevyplňujte. SMS přepošlete na číslo 7726. Podle O2 je toto číslo jednotné pro všechny operátory, Vodafone uvádí, že přeposlání je zdarma. Přeposílejte samotnou zprávu, ne snímek obrazovky – obsah zprávy slouží operátorovi jako důkaz, se kterým může dál pracovat i ve spolupráci s policií. Podvodné zprávy jménem České pošty lze nahlásit také na info@cpost.cz, zneužití jména Zásilkovny na privacy@zasilkovna.cz.

Zadali jste údaje z karty

1. Okamžitě volejte bance a kartu zablokujte. Nečekejte, jestli se něco stane.
2. Projděte s bankou poslední transakce, nastavení karty a to, jestli karta není přidaná do mobilní peněženky na cizím zařízení.
3. Neautorizované platby reklamujte písemně – postup a lhůty najdete v části o zákoně.

Zadali jste přihlašovací údaje do bankovnictví

Volejte bance hned, nechte zablokovat přístup a po dohodě s bankou si změňte heslo. Neposílejte a nesdělujte žádné kódy nikomu, kdo vám v té chvíli „pomáhá“ po telefonu. Pokud stejné heslo používáte i jinde, změňte ho všude a zapněte si dvoufázové ověření.

Nainstalovali jste aplikaci z odkazu

Na tomto telefonu nepoužívejte bankovnictví, kontaktujte banku a nechte zařízení zkontrolovat odborníkem. Pokud bude nutné telefon obnovit do továrního nastavení, přijdete bez zálohy o fotky a data – proto se vyplatí mít nastavenou zálohu fotek v telefonu dřív, než ji budete potřebovat.

Když už přišly peníze pryč

Kromě banky podejte oznámení na Policii ČR (linka 158). Pokud banka reklamaci zamítne, můžete se obrátit na finančního arbitra.

Co říká zákon a banka

Náprava neautorizované platby

Podle § 181 zákona č. 370/2017 Sb., o platebním styku, má banka neautorizovanou platební transakci napravit nejpozději do konce následujícího pracovního dne poté, co ji zjistila nebo co jste ji oznámili.

Kdy nesete ztrátu vy

Podle § 182 nese plátce ztrátu do částky odpovídající 50 eurům, pokud byla platba provedena ztraceným, odcizeným nebo zneužitým platebním prostředkem. V plném rozsahu ji ale nese, pokud jednal podvodně nebo pokud své povinnosti k platebnímu prostředku porušil úmyslně nebo z hrubé nedbalosti. Jak bude posouzen váš případ – zadání karty na falešné stránce a potvrzení v aplikaci –, se nedá předem říct. O to důležitější je jednat rychle a vše písemně doložit.

Lhůta

Neautorizovanou platbu je třeba oznámit bez zbytečného odkladu, nejpozději do 13 měsíců od odepsání částky (§ 188). V praxi ale rozhodují hodiny, ne měsíce.

Finanční arbitr

Pokud banka reklamaci zamítne, je možné bezplatné řízení u finančního arbitra. Podmínkou je předchozí písemná reklamace u banky. Návrh lze podat přes formulář nebo online průvodce na webu arbitra.

Jak tomu příště zabránit

Pomáhá také dobré zabezpečení účtů. Dvoufázové ověření neochrání kartu, kterou sami zadáte na falešné stránce, ale ztíží zneužití vašich e-mailových a dalších účtů. Podobné falešné přihlašovací stránky totiž cílí i na sociální sítě – co dělat, když už je pozdě, popisuje článek o hacknutém účtu na Facebooku.

Poznat podvodnou SMS si můžete vyzkoušet i nanečisto. Česká bankovní asociace v rámci kampaně #nePINdej! provozuje Kybertest, který mezi šesti typy podvodů zahrnuje i smishing, tedy podvodné SMS. Odborným garantem je Policie ČR a NÚKIB.