Podvodný e-mail „schránka je plná“ nebo „ověřte účet“: jak ho poznat a co dělat, když jste zadali heslo

Jak podvod vypadá

Zpráva se tváří jako upozornění od poskytovatele pošty, od správce firemní nebo školní sítě nebo „od Microsoftu“. Mění se slova, princip zůstává: s vaší schránkou je problém a vyřeší ho jen přihlášení přes odkaz. Podoby popsané v primárních zdrojích:

• Plná schránka. Kapacita je vyčerpaná a dokud se přes odkaz nepřihlásíte, nebudou vám chodit zprávy s přílohami (podobu popisuje NÚKIB, přihlásit se má oběť k účtu Microsoft).
• Ověření nebo aktualizace webmailu. Systém je přetížený, účet je potřeba ověřit, jinak o přístup natrvalo přijdete. Odkaz vede na napodobeninu přihlášení do webové pošty (vlna, kterou v květnu 2026 popsal CSIRT Masarykovy univerzity).
• Napodobenina firemního přihlášení. Stránka vypadá přesně jako přihlášení do Office 365, Teams nebo jiné služby (kampaň, na kterou upozornil SK-CERT).

Zpráva často přichází ze skutečné adresy – z napadené schránky kolegy, školy nebo úřadu. Podle NÚKIB útočník ukradené údaje dál používá k rozesílání dalších podvodných zpráv, takže se phishing šíří od jedné oběti k jejím kontaktům.

Proč jde o víc než o e-mail

Heslo k e-mailu je klíč k ostatním účtům. Policie ČR píše, že převzetí e-mailové schránky je zvlášť nebezpečné, protože přes ni lze často obnovovat hesla k dalším službám. Britské NCSC to říká stejně: kdo se dostane do vašeho e-mailu, může si nechat poslat obnovu hesla k sociálním sítím, e-shopům i dalším účtům. Pokud navíc stejné heslo používáte i jinde, podvodník ho tam vyzkouší.

U firemní schránky hrozí ještě jedno: útočník, který ji čte, zná rozpracované zakázky a může odběratelům poslat „nový účet“ pro platbu faktury – ze skutečné adresy, takže zpráva vypadá věrohodně. Jak takový podvod poznat a co ve firmě nastavit, popisujeme v návodu Dodavatel hlásí nový účet: jak poznat podvodnou fakturu.

Jak falešnou zprávu poznat

Stačí jediný z těchto znaků:

• Chce, abyste se přihlásili přes odkaz. Seznam ve své nápovědě popisuje phishing právě takto: zpráva vás má přesvědčit, abyste heslo zadali na podvržené stránce. SK-CERT připomíná, že Microsoft ani jiné velké firmy e-mailem osobní údaje nežádají.
• Spěch a hrozba. „Do 24 hodin“, „natrvalo přijdete o přístup“, „nebudou chodit přílohy“. Policie ČR i NÚKIB upozorňují, že časový tlak má zabránit tomu, abyste si věc rozmysleli.
• Adresa stránky nepatří vašemu poskytovateli. Doména se jen podobá, má přidané slovo nebo jinou koncovku. Před zadáním hesla zkontrolujte adresu v prohlížeči – radí to Policie ČR i Seznam.
• Adresa odesílatele nic nedokazuje. Zpráva může přijít z podvržené nebo napadené skutečné schránky (Policie ČR, NÚKIB). Ani známé logo a grafika nejsou důkaz.

Jak si stav schránky ověřit bezpečně

1. Na odkaz ve zprávě neklikejte a na zprávu neodpovídejte (radí CSIRT-MU).
2. Otevřete poštu sami – aplikaci v telefonu nebo adresu webové pošty, kterou znáte z oblíbených položek.
3. Podívejte se na obsazenost a upozornění v nastavení. Když je problém skutečný, uvidíte ho tam.
4. Firemní nebo školní účet? Zeptejte se správce IT nebo helpdesku – telefonem nebo osobně, ne odpovědí na podezřelou zprávu. Zprávu jim přepošlete jako přílohu, ať můžou varovat ostatní.

Už jste heslo zadali?

Postupujte v tomto pořadí:

1. Zkontrolujte přeposílání a filtry. Britské NCSC upozorňuje, že podvodníci si často nastaví pravidlo, které jim automaticky posílá kopii vaší pošty – včetně odkazů na obnovu hesla. Najdete to v nastavení pošty (Přeposílání, Filtry, Pravidla). Co jste nevytvořili, smažte.
2. Zkontrolujte záchranné kontakty. Seznam radí ověřit záchranný telefon a e-mail, protože je útočník mohl změnit, aby si heslo mohl obnovit znovu.
3. Nastavte nové heslo. Silné, jen pro e-mail a nepodobné starému (NCSC i Seznam). Pokud máte u Seznamu dvoufázové ověření, změňte i heslo pro poštovní programy.
4. Odhlaste všechna zařízení. Samotná změna hesla podle Seznamu nemusí odhlásit útočníka, který už je přihlášený. Volba bývá v nastavení účtu nebo zabezpečení.
5. Zapněte dvoufázové ověření. NCSC ho u e-mailu doporučuje výslovně – samotné heslo pak podvodníkovi nestačí. Návod: Dvoufázové ověření.
6. Změňte hesla, která byla stejná, a u důležitých služeb (banka, sociální sítě, e-shopy) zkontrolujte, jestli nepřišly zprávy o obnově hesla nebo přihlášení, o které jste nežádali. Se silnými hesly pomůže správce hesel.
7. Varujte kontakty. NCSC radí dát známým vědět, že váš účet byl napadený, a ať zprávy, které z něj nedávno přišly, berou s podezřením. Firemní nebo školní účet hned nahlaste správci IT.

Když se do schránky už nedostanete nebo podvodník převzal i další účty, pokračujte návodem Někdo mi ukradl účet. Pokud jste na podvodné stránce zadali i jiné údaje (kartu, přihlášení do banky), použijte postup Zadal jsem údaje na podvodné stránce.

Kam to nahlásit

• Poskytovateli pošty: označte zprávu jako phishing nebo spam přímo v poště.
• Firemní nebo školní účet: správci IT nebo bezpečnostnímu týmu organizace.
• Podvodnou stránku: v Česku přes formulář CSIRT.CZ, na Slovensku přes formulář SK-CERT.
• Podvodník zneužil účet nebo jste přišli o peníze: policie (158 v Česku i na Slovensku).

Na stejném principu stojí i zprávy o nedoručeném balíku, pozastaveném Netflixu nebo přeplatku na dani – vždy odkaz a vždy přihlášení nebo karta.