Dodavatel hlásí změnu čísla účtu: jak poznat podvodnou fakturu a co dělat, když už jste zaplatili

Jak podvod vypadá

Podvod se změnou čísla účtu (anglicky business email compromise, BEC) nepotřebuje žádný virus v účetním systému. Stačí jeden e-mail ve správnou chvíli. Policie ČR a Komerční banka popisují tři podoby:

• Oznámení o změně účtu. „Dodavatel“ píše, že změnil banku a další platby máte posílat na nový účet. Přijde ve chvíli, kdy se chystá úhrada skutečné faktury.
• Pozměněná faktura. Faktura je pravá – správná částka, správné položky, správné logo – jen číslo účtu je jiné.
• Faktura nebo upomínka za neobjednanou službu. Podvodník se vydává třeba za firmu se softwarovými službami a posílá fakturu s upomínkou na desítky tisíc korun. Spoléhá na to, že účetní zpracovávají faktur hodně a upomínku raději zaplatí (Policie ČR, Ústecký kraj).

Tři případy z Česka

Ústecký kraj, 2026 – 452 tisíc korun. Pachatel se zatím neobjasněným způsobem dostal k e-mailu cestovní kanceláře s fakturou za zájezd. Na faktuře změnil číslo účtu a upravený e-mail poslal organizaci tak, že vypadal jako běžná komunikace s cestovkou. Organizace zaplatila přes 452 tisíc korun. Platbu pak sama banka označila za rizikovou a zavolala organizaci – teprve účetní při ověření zjistila, že účet byl podvržený (Policie ČR, 18. 5. 2026).

Karviná, 2025 – přes 1,3 milionu korun. Zahraniční partner poslal fakturu a hned za ní přišel druhý e-mail s žádostí o platbu na jiný účet. Scénář se během několika týdnů zopakoval víckrát: faktura na necelých 17 tisíc eur, pak dalších 18 tisíc eur. Až když jednatel partnerské firmy urgoval tři nezaplacené faktury, firma zjistila, že adresa druhého e-mailu se od pravé lišila prohozením dvou písmen (Policie ČR, 17. 7. 2025).

Náchodsko, 2021 – nic se nestalo. Podvodník ovládl e-mail jedné firmy a jejím odběratelům rozeslal „změnu účtu“. Odběratelé si změnu u firmy ověřili telefonem a nikdo nezaplatil. Policie u podobných případů upozorňuje, že pachatele, pravděpodobně ze zahraničí, je téměř nemožné ztotožnit a peníze zajistit – zvlášť když firma podvod oznámí pozdě (Policie ČR, 16. 11. 2021).

Nejde o místní problém. FBI za období říjen 2013 až prosinec 2023 eviduje přes 305 tisíc incidentů po celém světě s celkovou ohroženou částkou přes 55 miliard dolarů; podvodné převody směřovaly do více než 140 zemí (FBI IC3, září 2024).

Proč tomu firmy věří

• Píše „známý“ odesílatel. Buď z jeho skutečné schránky, kterou útočník ovládá, nebo z adresy, která se liší jedním znakem. Na mobilu je rozdíl ještě hůř vidět – FBI proto radí kontrolovat celou adresu odesílatele, zvlášť na telefonu.
• Navazuje na skutečnou zakázku. Útočník, který čte schránku, zná čísla objednávek, částky, termíny i to, kdo ve firmě platí.
• Dlouholetý partner. Policie uvádí, že příjemci změně obvykle věřili právě proto, že šlo o dlouholeté obchodní partnery.
• Profesionální vzhled. Logo, podpis i vzhled faktury jdou zkopírovat. Policie připomíná, že profesionální vzhled ani věrohodná adresa samy o sobě neznamenají, že platbu po vás opravdu někdo chce.

Pravidlo pro celou firmu: nejdřív ověřit, potom platit

Nejlepší ochrana nepotřebuje žádnou techniku. Domluvte si ve firmě pár pravidel a dejte je každému, kdo platí faktury:

1. Každá změna čísla účtu = telefonát. Volejte kontaktní osobě dodavatele na číslo ze smlouvy, z dřívější komunikace nebo z jeho oficiálního webu. Nikdy na číslo z e-mailu nebo faktury, která změnu oznamuje (Policie ČR, Komerční banka).
2. Porovnejte účet s minulými platbami. Policie radí před vyššími platbami pečlivě kontrolovat bankovní spojení, zvlášť pokud se oproti předchozí komunikaci změnilo. Účet, který se liší od toho, na který platíte roky, je důvod zastavit.
3. Neobjednané faktury a upomínky nejdřív prověřte. Existuje objednávka? Odpovídají údaje dodavatele? Když si nejste jistí, volejte dodavateli na veřejné číslo (Komerční banka).
4. Čtěte adresu odesílatele celou. Hledejte prohozená, zdvojená nebo podobná písmena (rn místo m, 0 místo o) a jinou koncovku domény. Jak číst adresy, ukazuje návod Jak poznat podvodný odkaz – u e-mailových domén platí stejné triky.
5. U plátců DPH se podívejte do registru. Finanční správa u plátců DPH zveřejňuje nahlášené bankovní účty v Registru plátců DPH (hledá se podle DIČ). Nový účet, který tam není, je další varovný signál. Telefonát to ale nenahrazuje.
6. Spěch a výjimky jsou podezřelé. „Zaplaťte dnes, jinak…“, „platbu neprojednávejte s kolegy“, „starý účet je zablokovaný kvůli auditu“ – i kdyby byl dodavatel pravý, takovou výjimku si potvrďte telefonem.

Chraňte i vlastní schránku

Útočník, který ovládne vaši schránku, může takové e-maily posílat vašim odběratelům – a ti budou platit jemu. FBI radí používat pro každou službu jiné heslo a ověřovat změny účtu druhým kanálem nebo dvoufázovým ověřením. Prakticky:

• Zapněte dvoufázové ověření u všech firemních e-mailů, nejdřív u účetní a vedení.
• Hesla ze správce hesel, pro každou službu jiné.
• Při podezření na napadení zkontrolujte pravidla schránky. Útočník si v ovládnuté schránce může nastavit přeposílání nebo pravidlo, které odpovědi od dodavatele přesouvá do málo sledované složky, aby si oběť ničeho nevšimla. Proto je po každém podezření kontrolujeme jako první. Pravidla a přeposílání najdete v nastavení pošty (v Outlooku „Pravidla“, v Gmailu „Filtry“ a „Přeposílání“).

Už jste zaplatili?

1. Volejte bance hned. Řekněte, že jde o podvod, a požádejte o zastavení platby nebo o žádost o vrácení u banky příjemce. FBI zdůrazňuje, že čas je rozhodující – pachatelé peníze rychle posílají dál. Komerční banka radí kontaktovat banku ihned, protože může pomoci transakce zablokovat.
2. Oznamte to policii. V Česku i na Slovensku linka 158 nebo osobně na služebně. Komerční banka doporučuje hlásit i nižší částky, protože podvody od jednoho pachatele se sčítají.
3. Zavolejte skutečnému dodavateli na ověřené číslo. Musí vědět, že jeho jménem někdo píše – a že jeho schránka může být napadená.
4. Zajistěte stopy. Podvodné e-maily nesmažte. Uložte je včetně hlaviček (v Gmailu „Zobrazit originál“, v Outlooku „Zobrazit podrobnosti zprávy“), přidejte fakturu a výpis platby.
5. Pokud útok přišel z vaší schránky, změňte heslo, odhlaste všechna zařízení, zapněte dvoufázové ověření, zkontrolujte pravidla a přeposílání a varujte své odběratele – telefonem nebo e-mailem bez odkazů. Podrobný postup je v návodu Někdo mi ukradl účet.

Kam to nahlásit

• Přišli jste o peníze: banka a policie (158 v Česku i na Slovensku).
• Podvodná doména nebo e-mail: v Česku přes formulář CSIRT.CZ, na Slovensku přes formulář SK-CERT.
• Napadená firemní schránka: vašemu správci IT nebo poskytovateli e-mailu – a dodavateli či odběratelům, kterých se to týká.

Podobný trik používají podvodníci i na lidi mimo firmy – zprávou „od hotelu“, která zná vaši rezervaci. Popisujeme ho v návodu Zpráva od hotelu nebo Bookingu chce ověřit kartu.