Zpráva od „hotelu“ chce ověřit kartu nebo doplatit pobyt: jak poznat podvod a co dělat

Jak podvod vypadá

Rezervovali jste ubytování – přes Booking.com, jiný portál nebo přímo u hotelu. Pár týdnů nebo dní před příjezdem přijde zpráva, která na rezervaci přesně navazuje. Podle Policie ČR a Komerční banky bývá jeden z těchto důvodů:

• platba neprošla nebo je potřeba ověřit platební kartu,
• je potřeba potvrdit rezervaci nebo „ověřit osobní údaje“,
• čeká nečekaný doplatek – městská taxa, servisní poplatek, vratná záloha,
• a téměř vždy lhůta: „zaplaťte do hodiny, jinak rezervace propadne“.

Ve zprávě je odkaz. Vede na stránku, která vypadá stejně jako rezervační systém, ale běží na jiné adrese – a chce číslo karty, případně doklady (Komerční banka, červenec 2026).

Dva případy z Česka

Ústecko, 2026. Žena si v prosinci zarezervovala přes cestovní portál apartmán na srpen. V květnu jí přes komunikační aplikaci přišla zpráva, která vypadala jako součást komunikace k rezervaci. Klikla na odkaz, zadala údaje karty a v bankovní aplikaci potvrdila dvě transakce. Nakonec proběhly čtyři platby – přišla o téměř 21 tisíc korun. Portál jí potom sdělil, že žádnou platbu nepožadoval (Policie ČR, 28. 7. 2026).

Jičínsko, 2023. Žena rezervovala hotel v Dubaji přes mobilní aplikaci. Na WhatsAppu ji kontaktoval „manažer hotelu“, znal číslo rezervace, cenu i termín a tvrdil, že je problém s ověřením karty. Poslal odkaz na stránku vzhledově shodnou s aplikací. Žena zadala kartu, potvrdila platby a přišla o téměř 50 tisíc korun (Policie ČR, 6. 2. 2023).

Proč zpráva zní tak věrohodně

To, že zpráva zná rezervaci, nic nedokazuje:

• Uniklá data. HKCERT (hongkongský národní CERT) v červnu 2026 varoval, že podvodníci píšou e-mailem a přes WhatsApp a používají údaje o rezervacích pravděpodobně uniklé při dřívějším bezpečnostním incidentu – jména hostů, e-maily, telefony i komunikaci s ubytováním.
• Pravý chat portálu. Komerční banka mezi kanály uvádí vedle e-mailu, WhatsAppu a SMS i interní chat rezervačního systému. Zpráva v aplikaci portálu tedy sama o sobě neznamená, že ji psal skutečný hotel.
• Problém je známý i v Bruselu. Evropská komise 21. 10. 2026 zahájila formální řízení podle aktu o digitálních službách, ve kterém mimo jiné zkoumá, jestli Booking.com dost brání phishingu zneužívajícímu údaje o rezervacích a hostech. Zahájení řízení neznamená, že porušení už bylo prokázáno.

Hledáte místo dovolené dlouhodobé bydlení? Falešní pronajímatelé chtějí zálohu ještě před prohlídkou – jak je poznat, popisuje návod Podvodný pronájem bytu.

Jak zprávu ověřit

1. Neplaťte přes odkaz ze zprávy. Policie ČR radí nikdy neplatit přes odkaz z nevyžádané zprávy. Otevřete aplikaci portálu nebo napište jeho adresu ručně a podívejte se do detailu rezervace, jestli tam nějaká platba opravdu čeká.
2. Zkontrolujte adresu stránky. Podvodné weby se od originálu liší často jen drobností (Policie ČR). Jak číst doménu, ukazuje návod Jak poznat podvodný odkaz.
3. Nenechte se uspěchat. Lhůta „do hodiny“ je podle Komerční banky častým znakem podvodu. Seriózní firmy podle policie urgentní platby přes komunikační aplikace obvykle nevyžadují.
4. Platby mimo platformu jsou podezřelé. Plaťte jen v oficiální aplikaci nebo na webu rezervačního systému, případně až na místě (Komerční banka). Posunutí komunikace na WhatsApp a platba převodem jsou varovné znaky.
5. Ubytování volejte na ověřené číslo. Při pochybnosti kontaktujte poskytovatele přímo – telefonem nebo e-mailem z jeho oficiálního webu, ne ze zprávy (Policie ČR).
6. Čtěte, co potvrzujete v bankovní aplikaci. Autorizace platby je souhlas s převodem peněz (Policie ČR). „Ověření karty“ v bankovní aplikaci se tváří jako odchozí platba s částkou – to není ověření.

Do budoucna Komerční banka doporučuje platit na internetu virtuální kartou s limitem – když údaje uniknou, škoda je omezená.

Už jste kartu zadali nebo platbu potvrdili?

• Potvrdili jste platbu: volejte hned nouzovou linku banky (číslo je na kartě a v aplikaci) a zeptejte se, jestli jde platby zastavit nebo reklamovat. Ústecká žena potvrdila dvě platby a nakonec proběhly čtyři – kartu proto zablokujte, i když si myslíte, že víc už se stát nemůže.
• Zadali jste kartu: zablokujte ji v aplikaci banky, požádejte o novou a pohyby na účtu hlídejte ještě několik týdnů. Podrobný postup je v návodu Zadal jsem údaje na podvodné stránce.
• Zadali jste heslo k portálu: změňte ho, a pokud jste stejné heslo používali i jinde, tak i tam. Zapněte dvoufázové ověření.
• Oznamte to policii: v Česku i na Slovensku linka 158 nebo osobně na služebně. Vezměte si snímky zpráv, adresu podvodné stránky a výpis plateb.
• Volá vám po tom někdo „z banky“: zavěste a zavolejte sami na oficiální číslo – viz Volal mi falešný bankéř.

Kam podvodnou zprávu nahlásit

• Portálu, přes který zpráva přišla – přes podporu v aplikaci nebo na oficiálním webu. Ubytování, za které se podvodník vydával, upozorněte na čísle z jeho webu: mohou mít napadený účet.
• Podvodný odkaz: v Česku přes formulář CSIRT.CZ (typ incidentu „Phishing“), na Slovensku přes formulář SK-CERT. Kontrola odkazu vám u podezřelé adresy připraví text hlášení ke zkopírování.
• Přišli jste o peníze: banka a policie (158).

Jiný druh podvodu je ubytování, které vůbec neexistuje, nebo „pronajímatel“, který chce zálohu převodem mimo portál – jak takové nabídky poznat, popisuje návod Podvodný e-shop nebo bazar.