Neobjednaný nákup: falešná podpora v pravém e-mailu
Potvrzení objednávky může přijít ze skutečného systému obchodu, a přesto obsahovat podvodné pokyny. Pravý odesílatel sám o sobě nepotvrzuje bezpečnost uvedeného kontaktu.
Podpora po vás chce přístup nebo platbu?
Ukončete hovor. Nesdělujte hesla ani potvrzovací kódy a neinstalujte program pro vzdálené ovládání. Při předání bankovních údajů kontaktujte banku přes její vlastní aplikaci nebo ověřený kontakt.
Otevřít rychlou první pomoc →Podvodník si půjčí důvěryhodnost obchodu
Útočník vloží svou „linku podpory“ do údajů objednávky, například do pole pro doručení nebo fakturaci. Automatické potvrzení tento text převezme. Příjemce pak chce řešit drahý nákup, který nepoznává, a zavolá na podstrčené číslo.
Obal je pravý
Logo, šablona i odesílací infrastruktura mohou patřit skutečnému obchodu.
Pokyn je podstrčený
Telefon se objeví v údajích zákazníka, kde běžně čekáte jméno či adresu.
Past pokračuje hovorem
Záminkou je zrušení objednávky nebo vrácení peněz.
Talos tuto podobu popsal 21. října 2026 u zneužitých oznámení Staples a Dell. U analyzovaných zpráv prošlo ověření odesílatele. Zpráva nedokládá napadení těchto obchodů ani rozšíření v Česku. Podvody s rušením neobjednaného nákupu jsou starší; nově popsaná je zde cesta přes pravé objednávkové e-maily. Původní zdroje ↓
Kde hledat nesrovnalost
Toto je smyšlený příklad pro vysvětlení. Nejde o skutečnou objednávku ani kontakt obchodu.
Předmět: Potvrzení vaší objednávky
Zboží: Notebook · Celkem: 24 990 Kč
OBJEDNÁVKA POTVRZENA
Pro storno volejte naši linku podpory
[podstrčené telefonní číslo]
Otázka pro vás: Proč je pokyn ke stornu v doručovací adrese?
Nehledejte jen překlep v doméně. Zkontrolujte také, zda obsah polí odpovídá jejich účelu. Ani výsledek DKIM/DMARC „prošlo“ neověřuje pravdivost objednávky nebo telefonní číslo vložené do jejího textu.
Objednávku řešte vlastní cestou
Nevolejte z e-mailu
Nepoužívejte uvedenou linku, tlačítko storna ani přiložený formulář. Nátlak na okamžitou reakci je důvod zpomalit.
Otevřete obchod samostatně
Použijte známou aplikaci nebo vlastní uloženou adresu. V účtu prověřte objednávky a podporu kontaktujte přes oficiální web.
Zkontrolujte banku
V bankovní aplikaci ověřte, zda skutečně existuje platba. Samotný e-mail není důkaz, že vám peníze odešly.
I skutečná neznámá objednávka nebo platba vyžaduje prověření. Neignorujte ji pouze proto, že e-mail vypadá podvodně. Ověření ale zahajte nezávisle na kontaktech ze zprávy.
Co už se stalo?
Vyberte krok podle toho, co jste skutečně udělali. Pouhé přečtení zprávy neznamená předání přístupu k účtu.
Jen jsem zprávu dostal/a
Ověřte objednávku vlastní cestou. Podezřelou zprávu označte jako phishing. Pokud věc hlásíte, uchovejte nejprve originální e-mail.
Zavolal/a jsem na uvedené číslo
Hovor ukončete. Sepište, co jste sdělili nebo potvrdili. Samotný telefonát není totéž jako vyzrazení hesla, karty nebo udělení vzdáleného přístupu.
Předal/a jsem heslo nebo kód
Z důvěryhodného zařízení otevřete skutečnou službu, změňte ohrožené heslo a odhlaste cizí relace. Stejné heslo změňte i tam, kde ho používáte znovu. U bankovního přístupu ihned volejte banku.
Povolil/a jsem vzdálený přístup
Odpojte zařízení od internetu. Banku kontaktujte z jiného zařízení. Na ovládaném zařízení se nepřihlašujte do banky; pokračujte podle postupu pro zneužitý vzdálený přístup.
Sdělil/a jsem kartu nebo poslal/a peníze
Ihned kontaktujte banku oficiální cestou, popište událost a požádejte o zabezpečení karty či účtu a prověření možnosti zastavení platby. Uchovejte komunikaci a podejte oznámení policii. Vrácení peněz nelze slíbit.
Chci pomoci dalším
Předejte DPP popis a anonymizovanou ukázku. Ve veřejném příspěvku zakryjte adresu, telefon, číslo objednávky a platební údaje. Důkazy pro banku a policii uchovejte v původní podobě.
Časté otázky
Je to totéž co email spoofing?
Scénáře spolu souvisejí, ale zde nemusí být zfalšovaný odesílatel. Rozhodující je podvodný obsah vložený do pravého oznámení. Email spoofing samostatně vysvětluje podvržení identity odesílatele.
Pomůže kontrola zprávy nástrojem DPP?
Nástroje DPP mohou pomoci s orientací. Rozbor textu či screenshotu ale nepotvrdí vlastnictví telefonního čísla, skutečný stav objednávky ani autentizaci původního e-mailu. Nenahrazuje ověření u obchodu a banky.
Musím instalovat aplikaci, abych získal/a refundaci?
Na pokyn neočekávané podpory neinstalujte program pro vzdálené ovládání. Nesdělujte hesla ani jednorázové kódy. Požadavky na „bezpečnostní převod“ řešte přímo se svou bankou, nikoli s volajícím.
Zdroje a rozsah ověření
Zpracováno 23. října 2026 z původního výzkumu a doporučení uvedených organizací. Výskyt této konkrétní varianty v Česku zde nepotvrzujeme. Doporučení první pomoci jsou shrnutím DPP pro českého čtenáře.
- Cisco Talos: Parasitizing trust — 21. 10. 2026. Technický popis zneužití pravých objednávkových oznámení.
- York University Information Security: Unexpected Order Confirmation? — 16. 9. 2026. Hlášení podvodů s přesunem komunikace na telefon a doporučené reakce.
- Microsoft Support: How to spot a fake order scam — ověření objednávky nezávislou cestou.
- Georgia Attorney General: Order Confirmation and Fraudulent Transaction Scams — obrana proti nátlaku a vylákání údajů.
Máte podobnou zprávu?
Pomozte doplnit přehled o skutečnou zkušenost. V naléhavé situaci nejdříve řešte zabezpečení účtu a kontakt s bankou.
Nahlásit podezřelé jednání →