Pretexting je „divadlo“ podvodu. Útočník si vymyslí přesvědčivou roli (HR pracovník, technik IT, kontrolor z úřadu, kurýr) a využije ji k získání informací nebo akcí, které byste obvykle neudělali. Liší se od phishingu tím, že nehraje hlavní roli odkaz nebo formulář — celé útočení stojí na uvěřitelnosti scénáře. Většina vishing a CEO-fraud útoků začíná pretextingem.

Jak to funguje

Útočník nastuduje cíl (LinkedIn, web firmy, sociální sítě), vyrobí roli a scénář s kontextem, který se shoduje s realitou: zná jména kolegů, jména projektů, nedávné události. Volá s autoritou: zdravím, jsem Petr z IT, máme problém s mailovým serverem, potřebuju ověřit vaše heslo. Často kombinuje s časovým tlakem (musíme to vyřešit do hodiny). Pretexting je páteří CEO-fraud útoků (BEC), kde se útočník voláním a e-maily vydává za ředitele a žádá rychlý převod.

Jak to rozpoznat

  • Volající se odvolává na věci, které mohl zjistit na webu (jméno šéfa, projektu) — ale nezná nic interního.
  • Žádost vybočuje z normálního procesu firmy (objedte to mimo systém, mám naléhavý problém).
  • Odmítá ověření přes oficiální kanál (nemám čas vám to dokazovat).
  • Hraje na autoritu nebo strach z autority (CEO, daňový úředník, policie).

Co dělat

  1. Vyžadujte ověření přes oficiální kanál — zavěste a zavolejte zpět na centrálu.
  2. Zaveďte ve firmě callback policy: každý finanční převod nad limitem se ověřuje druhým kanálem (SMS šéfovi, telefon na ústřednu).
  3. Naučte tým že vyžádat si ověření je v pořádku — zaměstnanec nesmí být penalizován za to, že požádá o ověření.
  4. Pokud vás někdo podvedl, volejte hned bance a hlaste věc Policii ČR (podvod, § 209 trestního zákoníku).

Situace v ČR

Policie ČR popsala v květnu 2023 případ z Českolipska. Pracovnice firmy dostala e-mail jako od ředitele s dotazem na zůstatek devizového účtu a hned nato pokyn zaplatit 45 000 eur do zahraničí. Peníze odeslala a teprve pak zjistila, že ředitel e-maily nepsal. Podle policie si pachatelé firmy vytipují z veřejně dostupných zdrojů a seznámí se s jejich strukturou. Policie radí ověřit si každý takový pokyn jinak než e-mailem, osobně nebo telefonicky.

Časté otázky

Jak se liší pretexting od vishingu?

Vishing je telefonní phishing — kanál. Pretexting je technika výroby věrohodného scénáře — obsah hovoru. Většina vishing útoků používá pretexting jako základ.

Jak naučit tým rozeznat pretexting?

Pravidelný (kvartální) trénink se simulovanými útoky. Zveřejněné případy z tisku diskutovat na poradách. Jasná interní pravidla pro převody peněz a sdílení hesel.

Zdroje

Fakta ověřena 21. 10. 2026