Podvody s platbami: QR kód, falešný odkaz a „volání z banky"

Okamžité platby, QR platba i bankovní aplikace udělaly z posílání peněz otázku pár vteřin — a přesně proto se staly oblíbeným nástrojem podvodníků. Důvod je jednoduchý: odeslaná platba je peníze, které z vašeho účtu odejdou okamžitě a jen velmi těžko se vracejí. Žádná čekací lhůta, žádné tlačítko „zrušit", žádný prostředník, který by platbu podržel. Ta rychlost, tak pohodlná mezi kamarády, je zlatý důl pro každého, kdo vás chce napálit.

Dobrá zpráva: platební podvody se opakují ve třech konkrétních vzorcích. Když je znáte, snadno se jim vyhnete.

Past číslo jedna: chtějí po vás peníze a tváří se, že vám platí

Tohle je zdaleka nejrozšířenější platební podvod v Česku a objevuje se hlavně u prodeje z druhé ruky (Bazoš, Sbazar, Vinted, skupiny na Facebooku). Funguje takhle:

Něco prodáváte. Ozve se „zájemce", rychle uzavře obchod a řekne, že vám zaplatí. Vzápětí vám přijde odkaz nebo QR kód — prý „na přijetí platby". Jenže odkaz vede na podvodnou stránku, která napodobuje platební bránu, banku nebo dopravce, a vytáhne z vás číslo karty. A QR kód? QR platba vždycky kóduje platbu, kterou odesíláte vy — když ho naskenujete, vaše bankovní aplikace se otevře nachystaná poslat peníze, ne je přijmout.

Jak poznám, že mi platí, a ne že po mně chtějí zaplatit?

Rozdíl je jednoduchý, ale vyplatí se ho mít zažitý:

• Když vám někdo posílá peníze, nemusíte kvůli tomu nikam klikat ani nic skenovat. Částka přistane na vašem účtu sama a vy dostanete jen informativní upozornění typu „přijatá platba X Kč". Přijaté peníze se nepotvrzují.
• Když po vás chtějí peníze, systém vás žádá o potvrzení. Otevře se vám platba k odeslání, přihlašujete se do banky, skenujete QR kód nebo zadáváte kartu. Cokoli, co vyžaduje vaši akci, aby vám „dorazila platba", je ve skutečnosti platba od vás.

Praktické pravidlo: skutečná přijatá platba nikdy nevyžaduje, abyste cokoli potvrzovali, skenovali nebo zadávali kartu. Máte-li jakoukoli pochybnost, odkaz zavřete, QR neskenujte a podívejte se do své bankovní aplikace: pokud vám kupující opravdu zaplatil, peníze už tam jsou.

Podvodníci to vědí a spěchají: „potvrď to rychle, ať mi to nepropadne", „je to nový způsob placení pro prodej", „naskenuj a přijde ti platba". To všechno je mlha. Spěch je, jako u každého podvodu, ten hlavní poplašný signál.

Falešný přeplatek: „vracíme vám peníze, jen potvrďte platbu"

Druhá varianta přichází telefonem, přes SMS nebo e-mailem. Někdo, kdo se vydává za úřad, za vašeho dodavatele energií nebo za operátora, vám oznámí, že vám něco naúčtovali navíc a že vám to vrátí — stačí prý „potvrdit operaci", která vám dorazí.

To, co dorazí, je zase žádost o platbu, ne vratka. Když ji potvrdíte, „vratka" je ve skutečnosti platba, kterou odešlete vy.

Jedno pravidlo podvod zlomí hned v základu: úřady ani seriózní firmy nevracejí peníze tak, že vám po telefonu nadiktují QR kód nebo vás vedou k potvrzení platby. Přeplatek vám vrátí převodem na účet, který znají, bez operací na poslední chvíli. Pokud vám přijde něco takového, ber to rovnou jako podvod.

Platba + „volání z banky": falešný bankéř, který vás vede krok za krokem

Třetí varianta je nejnebezpečnější, protože kombinuje platbu s vydáváním se za banku. Zavolá vám někdo jako „bezpečnostní oddělení" vaší banky: zaznamenali prý „podezřelou transakci" a potřebují vaši součinnost, aby ji „zablokovali". Odtud vás profesionálně znějící hlas vede: otevřete aplikaci, přečtěte kód, který vám přišel v SMS, potvrďte „zkušební" operaci, převeďte peníze na „zabezpečený účet".

Každý krok, který podle jejich pokynů uděláte, je skutečná operace, kterou sami autorizujete. Podvodník nic nehackuje — přesvědčí vás, abyste to udělali vy, svými přihlašovacími údaji a svým potvrzením.

Obrana je stejná jako u jakéhokoli „volání z banky": vaše banka vás nikdy nepožádá, abyste během příchozího hovoru autorizovali platby, diktovali kódy nebo převáděli peníze na jiný účet. Když vám s takovou naléhavostí zavolají, zavěste a zavolejte sami na číslo z rubu své karty. Celý postup rozebíráme v článku jak ověřit, jestli je hovor nebo SMS od banky pravý, a než cokoli uděláte, můžete si číslo, které vám volalo, ověřit v adresáři spamových čísel a podívat se, jestli ho už někdo nenahlásil.

Rychlé signály: platí vám, nebo po vás chtějí peníze?

Máte-li pochybnost, definitivní kontrola trvá deset vteřin: zavřete upozornění, otevřete aplikaci své banky a podívejte se na pohyby. Skutečně přijaté peníze už tam jsou; všechno ostatní je divadlo.

Co dělat, když jsem už zaplatil podvodníkovi?

Jednejte rychle a v tomto pořadí:

• Okamžitě zavolejte své bance na oficiální číslo (rub karty). Řekněte, že jste se stali obětí podvodu, a požádejte, ať se pokusí platbu zadržet nebo vrátit. Čím dřív dáte vědět, tím větší je šance, i když u okamžitých plateb je malá — proto na rychlosti tolik záleží.
• Uschovejte všechny důkazy: snímky konverzace s „kupujícím", inzerát, odkaz nebo QR kód, číslo, které vám volalo, časy a částky.
• Podejte trestní oznámení na Policii ČR (na služebně nebo na lince 158) s těmito důkazy. Oznámení je nezbytné pro jakoukoli pozdější reklamaci u banky.
• Reklamujte písemně u své banky, pokud na první stížnost nereaguje nebo ji odmítne. Jaké cesty máte a kam až sahají, popisujeme v článku jak získat zpět peníze z telefonního podvodu.
• Nahlaste číslo zapojené do podvodu, ať varujete další. Každý záznam v adresáři NoCall dělá podvod o něco méně výnosným.

Buďte k sobě upřímní ohledně očekávání: platba, kterou jste sami potvrdili, je autorizovaná operace, a to vracení komplikuje. Není to nemožné, zvlášť když šlo o vydávání se za banku a jednáte rychle, ale nejlepší obranou zůstává nepotvrzovat nic, čemu nerozumíte.

Shrnutí

Platební systémy jsou samy o sobě bezpečné; selhává kontext, ve kterém vás nutí je použít. Tři pravidla vás pokryjí skoro všude: skutečná přijatá platba nikdy nevyžaduje, abyste cokoli potvrzovali; úřad ani firma nevrací peníze přes QR kód nadiktovaný po telefonu; a vaše banka vás po telefonu nikdy nevede k převodům. Máte-li pochybnost, odmítněte, zavěste a zkontrolujte pohyby v aplikaci. Které podvodné kampaně jsou zrovna nejaktivnější, vidíte v našich trendech, a další techniky obrany najdete v návodech.

Pokud vás nějaké číslo kontaktovalo s podvodnou žádostí o platbu nebo se vydávalo za vaši banku, nahlaste ho v adresáři spamových čísel NoCall. Vaše upozornění může zabránit tomu, aby ten další ve spěchu „platbu" potvrdil.