Spoofing: může být číslo volajícího falešné?

Redakce Prověř číslo · Zveřejněno 3. 9. 2026

Na displeji svítí číslo vaší banky, policejní služebny nebo dokonce vaše vlastní — a přesto na druhé straně sedí podvodník. Spoofing (podvržení čísla volajícího) je technika, která stojí za většinou dnešních telefonních podvodů a která mění jedno z nejstarších pravidel bezpečnosti: číslo na displeji už samo o sobě nic nedokazuje. Tento průvodce vysvětluje, jak podvržení funguje, kde jsou jeho hranice, co proti němu dělají ČTÚ a operátoři, a jak se zachovat, když číslo nesedí s hlasem.

Jak vzniká číslo na displeji

Když někdo vytočí vaše číslo, jeho síť pošle spolu s hovorem údaj zvaný CLI (Calling Line Identification) — číslo volajícího. Ve staré pevné síti ho generovala ústředna operátora a zákazník ho ovlivnit nemohl. S příchodem internetové telefonie (VoIP) se změnilo jedno: číslo volajícího je jen pole v signalizaci, které si provozovatel ústředny — nebo kdokoli s pár korunami u zahraničního VoIP poskytovatele — nastaví, jak chce. Mezinárodní tranzitní operátoři pole tradičně nekontrolovali a hovor s „českým“ číslem tak mohl vstoupit do České republiky z Asie či Afriky.

Existuje i legitimní podoba: firma s desítkami linek zobrazuje jedno hlavní číslo; nemocnice zobrazuje ústřednu místo čísla konkrétního oddělení; operátor při přesměrování zobrazí původního volajícího. Technicky jde o totéž — rozdíl je v tom, zda zobrazené číslo patří volajícímu a zda má právo ho použít.

Kdo spoofing používá a proč

• Podvodníci vydávající se za banku či policii — zobrazí infolinku banky, aby oběť „ověřila“ číslo a uvěřila (falešný bankéř). Nejnebezpečnější varianta.
• Zahraniční call centra — nasadí české mobilní číslo, protože na +420 zvednete a na +44 ne. Používají často čísla z nepřidělených řad, která nikomu nepatří, nebo náhodné existující mobily.
• Prozvánění — zobrazí prémiové číslo 90x nebo zahraniční číslo, aby vás přiměli zavolat zpět (wangiri).
• „Sousedský“ spoofing — číslo se liší od vašeho jen v posledních číslicích, aby působilo jako někdo z okolí. V Česku méně časté než v USA, ale objevuje se.
• Obtěžování — někdo volá „z vašeho čísla“ vašim známým nebo „z čísla partnera“ vám.

Jak poznat podvržené číslo

Absolutní jistotu z displeje nezískáte, ale několik indicií je silných:

• Číslo neexistuje v číslovacím plánu. Mobil začínající 61x, 69x, pevná linka začínající 6 nebo číslo s osmi či deseti číslicemi. Registr ČTÚ nezná žádnou takovou řadu; zadejte číslo do vyhledávání a uvidíte to hned.
• Číslo patří do nepřidělené části řady. Některé mobilní řady jsou přiděleny jen zčásti — číslo z nepřidělené části nemůže být aktivní český mobil. Stránky předvoleb ukazují, kolik čísel z okna je skutečně přiděleno.
• Volá číslo, ze kterého se nevolá. Zelené linky 800 a prémiová čísla 90x jsou určeny k přijímání hovorů. Hovor „z 800“ je možný jen u firem, které si to výslovně zřídily; hovor „z 906“ je téměř vždy podvržený.
• Obsah nesedí s číslem. Banka nikdy nežádá převod peněz; policie nevyšetřuje přes telefon; úřad neposílá odkaz na platbu.
• Volající tlačí na čas a nechce, abyste zavěsili a zavolali zpět.

Co dělají ČTÚ a operátoři

Průlom přinesla léta 2023 a 2024: čeští operátoři začali ve spolupráci s Českým telekomunikačním úřadem plošně blokovat hovory, které přicházejí ze zahraničí s českým číslem volajícího, aniž by šlo o ověřeného českého zákazníka v roamingu. Podvržená „česká“ čísla z ciziny — dosud hlavní nástroj podvodných call center — tím z velké části zmizela. ČTÚ zároveň řeší podněty na spoofing v tuzemských sítích a operátoři zpřísnili podmínky pro firemní zákazníky, kteří si nastavují vlastní zobrazované číslo (musí prokázat, že jim patří). V Evropě se diskutuje o zavedení kryptografického ověřování čísla volajícího po vzoru amerického STIR/SHAKEN, zatím bez závazného termínu.

Co operátoři neumí: ověřit, že hovor z existujícího českého čísla skutečně vede od jeho majitele, pokud přišel tuzemskou VoIP bránou s legitimním smluvním přístupem. Proto spoofing úplně nevymizel — a proto zůstává základní obranou vaše chování, nikoli technika.

Jak se bránit

• Zavěste a zavolejte sami. Jediný spolehlivý test: vytočte číslo instituce z jejího webu, z karty nebo z vlastního kontaktu. Podvodník nemůže přijmout hovor na skutečné lince banky.
• Nedůvěřujte shodě s uloženým kontaktem. Pokud máte číslo banky uložené, podvržený hovor se zobrazí se jménem „Moje banka“. Ani to nic nedokazuje.
• Nechte si zavolat přes aplikaci. Některé banky umožňují ověřit pracovníka v mobilní aplikaci nebo volají výhradně přes ni.
• Nahlaste podvržení. Operátorovi (zákaznická linka), ČTÚ (podnět přes web ctu.gov.cz) a při pokusu o podvod Policii ČR. Uveďte čas, zobrazené číslo a obsah hovoru.
• Zapište zkušenost na stránce čísla. Upozornění „z tohoto čísla volá falešná banka“ zachytí další volané dřív, než zvednou.

Spoofing a číslovací plán: proč pomáhá registr

Podvodníci si masku vybírají rychle a často špatně. Zahraniční automat generuje „česká“ čísla podle jednoduchého vzoru (7 + osm náhodných číslic), a tak vznikají čísla z řad, které ČTÚ nikdy nepřidělil — 71x je přiděleno jen zčásti, 74x až 76x a 78x vůbec, řada 61x není mobilní. Registr přidělených čísel tato čísla odhalí okamžitě: stránka čísla ukáže „řada bez přidělení“, stránka předvolby ukáže, kolik z okna je skutečně obsazeno. Stejně tak prozradí podvrh volání „z“ prémiového čísla 90x nebo ze zelené linky 800, protože z těchto rodin se zpravidla nevolá. Sofistikovanější útočníci používají skutečná čísla bank a úřadů — proti nim registr nepomůže, ale pomůže druhá vrstva: zkušenosti ostatních volaných, které se u aktivní kampaně objevují během hodin.

Technický pohled pro zvídavé: SIP, CLI a „From“

V klasické telefonní síti (ISDN, SS7) číslo volajícího generovala ústředna operátora a účastník ho ovlivnit nemohl, s výjimkou firemních ústředen, kterým operátor důvěřoval. V internetové telefonii se hovor sestavuje protokolem SIP a číslo volajícího putuje v hlavičce From (případně P-Asserted-Identity) — jde o textové pole, které odesílající server vyplní, jak chce. Operátor, který hovor od takového serveru přijímá, může pole ověřit proti seznamu čísel, která zákazníkovi patří, nebo ho přepsat; pokud to neudělá, podvržená hodnota putuje dál. Mezi zeměmi se hovor předává přes tranzitní operátory, z nichž každý spoléhá na předchozí — proto historicky přicházela většina podvržených „českých“ čísel ze zahraničí. Řešením, které zavedly USA (STIR/SHAKEN) a o němž jedná Evropa, je digitální podpis původního operátora, kterým cílový operátor ověří, že číslo bylo v okamžiku volání legitimní. Do té doby zůstává v Evropě hlavním nástrojem blokování na hranicích sítí: český operátor odmítne hovor s českým číslem přicházející ze zahraničí, pokud jeho vlastní systémy nepotvrdí, že zákazník s tímto číslem je právě v roamingu.

Pro vás z toho plyne praktický závěr: ověřit číslo volajícího technicky nemůžete — ani vy, ani aplikace v telefonu. Můžete jen ověřit řadu (existuje? je přidělená? volá se z ní vůbec?) a obsah hovoru (chce peníze, kódy, instalaci?). Obojí zvládnete během minuty a obojí funguje bez ohledu na to, jak dokonale je maska nasazena.

Kdo za spoofing odpovídá

Odpovědnost má několik úrovní. Pachatel, který cizí číslo použil k podvodu, se dopouští trestného činu podvodu (§ 209 trestního zákoníku), případně neoprávněného přístupu k počítačovému systému. Operátor volajícího odpovídá za to, že jeho zákazník smí zobrazovat jen čísla, která mu patří — proto čeští operátoři od firemních zákazníků vyžadují doložení práva k číslu. Tranzitní operátoři jsou nejslabším místem: hovor prochází několika zeměmi a každý článek řetězu spoléhá na předchozí. ČTÚ může operátorům ukládat povinnosti (jako blokování zahraničních hovorů s českým číslem) a řešit podněty; neumí ale vypátrat konkrétního pachatele — to je práce policie a mezinárodní spolupráce. Pro vás z toho plyne: nahlášení má smysl i tehdy, když se pachatel nenajde, protože každé hlášení přispívá k tlaku na uzavírání cest, kterými podvržené hovory přicházejí.

Když je zneužito vaše číslo

Volají vám cizí lidé, že jste jim volali? Vaše číslo někdo použil jako masku. Telefon ani SIM napadeny nejsou — útočník číslo jen zapsal do pole CLI. Nahlaste to operátorovi a ČTÚ, na dotazy odpovídejte krátce („moje číslo bylo zneužito, nevolal jsem“) a případně si dočasně nastavte hlasovou schránku s vysvětlením. Kampaně střídají masky každých pár dní; problém obvykle odezní sám. Změna čísla je krajní řešení a většinou není nutná.

Zdroje: ČTÚ (informace o blokování podvržených hovorů ze zahraničí), Policie ČR, vyhláška č. 117/2007 Sb. Související: Kdo mi volal? · skryté číslo · přidělené řady podle registru.