Telefon dnes není jen telefon. Je v něm bankovní aplikace, platební karta v Google Pay nebo Apple Pay, přihlášení do e-mailu a většinou i aplikace, která generuje ověřovací kódy. Když se takový přístroj někde zapomene v tramvaji nebo vám ho někdo vytáhne z kapsy, nejde o ztrátu hardwaru. Jde o to, že někdo cizí má v ruce vstupní bránu k vašim penězům.
Při rozumném postupu je riziko reálného vyčerpání účtu malé. Problém je, že prvních patnáct minut rozhoduje nejvíc a většina lidí je promarní panikou a prohledáváním batohu. Tady je pořadí kroků, podle kterého se dá postupovat, i když jste rozhozený.
Prvních patnáct minut, co udělat okamžitě
Potřebujete jakékoli jiné zařízení s internetem, nejlépe notebook. Stačí i cizí počítač, jen se pak nezapomeňte ze všeho odhlásit.
1. Zablokujte bankovní aplikaci a karty. Volejte na krizovou linku své banky, případně se přihlaste do internetového bankovnictví z prohlížeče a zablokujte platební karty i mobilní aplikaci. Většina bank má blokaci karty přímo v internetovém bankovnictví a odhlášení mobilního zařízení v nastavení zabezpečení. Karty v Google Pay a Apple Pay jsou samostatné tokeny, takže je dobré je zneplatnit zvlášť, u Googlu přes účet na webu, u Applu přes iCloud nebo odebráním zařízení z Apple ID.
2. Zablokujte SIM u operátora. Tohle není formalita. SIM karta je u mnoha služeb kanál pro ověřovací SMS, takže kdo má vaši SIM, může si nechat poslat kód pro obnovu hesla. Blokaci vyřídíte v samoobsluze operátora na webu nebo telefonicky na zákaznické lince. Zároveň si hned vyžádejte náhradní SIM se stejným číslem, protože bez svého čísla se pak těžko dostanete zpátky do účtů.
3. Zamkněte a lokalizujte telefon na dálku. U Androidu slouží k tomu Najít moje zařízení v účtu Google, u iPhonu funkce Najít na iCloudu. Obě umí telefon uzamknout, zobrazit na displeji text s kontaktem a nakonec obsah vymazat. S mazáním ale nespěchejte, protože po vymazání telefon většinou přestanete vidět na mapě. Nejdřív zamkněte a nechte si ho zobrazit, mazat se dá kdykoli potom.
4. Změňte heslo k hlavnímu e-mailu. E-mail je kořen všeho. Kdo se do něj dostane, obnoví si přes něj hesla k většině ostatních služeb. Změňte heslo, a pokud to služba umí, odhlaste všechna aktivní zařízení.
Proč je samotné odemčení displeje důležitější, než se zdá
Bankovní aplikace nejsou otevřené dveře. Při spuštění chtějí PIN nebo biometrii a po několika chybných pokusech se samy uzamknou. Platba přes Google Pay nebo Apple Pay vyžaduje odemčený telefon, u vyšších částek obvykle i potvrzení. Útok tedy začíná tím, že se někdo dostane přes zámek obrazovky.
Z toho plyne praktický závěr. Čtyřmístný PIN typu 1234 nebo gesto odkoukané ze šmouh na displeji je slabé místo celé stavby. Šestimístný kód, biometrie a nastavení, které telefon po deseti neúspěšných pokusech vymaže, posouvají obranu výrazně výš. A zkontrolujte, co všechno jde udělat na zamčené obrazovce. Pokud se z ní dá vytáhnout notifikační lišta s plným textem SMS, ověřovací kódy si přečte kdokoli, kdo telefon drží v ruce.
Hlášení policii a co k němu potřebujete
Pokud šlo o krádež, podejte oznámení na Policii ČR. Budete potřebovat číslo IMEI, tedy patnáctimístný identifikátor přístroje, a doklad o nabytí, nejčastěji účtenku nebo fakturu. IMEI najdete na krabičce, na faktuře od operátora nebo ve svém účtu Google, respektive v seznamu zařízení u Apple ID. Vyplatí se ho mít opsaný někde mimo telefon, protože zpětně ho dohledáváte složitě.
Oznámení potřebujete pro pojišťovnu, pokud máte telefon pojištěný nebo krytý pojištěním domácnosti, a opřete se o něj, kdybyste později řešili s bankou neautorizovanou platbu.
Co říká zákon, když z účtu někdo opravdu odešle peníze
Tohle je část, kde se vyplatí znát rámec. Platební styk v Česku upravuje zákon č. 370/2017 Sb., o platebním styku. Ten obecně staví odpovědnost za neautorizovanou platební transakci, tedy takovou, ke které jste nedali souhlas, na poskytovatele platebních služeb. Klient se na škodě podílí částkou odpovídající nejvýše 50 eurům, a to u transakcí provedených předtím, než ztrátu nebo zneužití nahlásil. Po nahlášení nese ztrátu banka v plné výši.
Ta hranice má dvě podmínky. Ztrátu, krádež nebo zneužití musíte oznámit bez zbytečného odkladu, nejpozději do třinácti měsíců od odepsání částky z účtu, pozdější reklamace se neuznávají. A limit neplatí, pokud jste povinnost chránit platební prostředek porušili úmyslně nebo z hrubé nedbalosti. Finanční arbitr za hrubou nedbalost v minulosti označil třeba situaci, kdy PIN ke kartě znala třetí osoba a použila ho hned na první pokus.
Praktický překlad: nahlaste to hned, nahlaste to prokazatelně a nemějte PIN napsaný na papírku v obalu telefonu. Jde o výklad obecných pravidel, ne o posouzení konkrétního případu.
Jak se dostat zpátky do účtů, když vám chybí ověřovací aplikace
Zapnuté dvoufázové ověření je přesně to, co útočníkovi v tuhle chvíli nejvíc komplikuje život. Má to ale i druhou stranu. Pokud máte generátor kódů jen v ztraceném telefonu a nikde jinde, zablokujete sami sebe.
Proto je dobré udělat dvě věci předem. Záložní kódy, které služba nabízí při zapnutí ověřování, si vytiskněte nebo uložte mimo telefon. A používejte generátor kódů, který umí šifrovanou synchronizaci mezi zařízeními, aby přístup zůstal i při výměně přístroje. Stejná logika platí pro hesla, proto má správce hesel se cloudovou synchronizací v téhle situaci velkou výhodu před sešitem v šuplíku. Přihlásíte se k němu z jiného počítače a máte vše, co potřebujete.
Na co si dát pozor v dalších dnech
Po nahlášení krádeže často přijde druhá vlna, a ta je nebezpečnější než samotná ztráta přístroje. Zloděj má vaše telefonní číslo a často i e-mail. Z toho se dá postavit docela přesvědčivá zpráva typu „váš telefon byl nalezen, potvrďte své Apple ID“ s odkazem na podvrženou přihlašovací stránku. Cílem není telefon vrátit, ale získat přístup k účtu, aby se dalo zařízení odemknout a prodat.
Platí tedy stejná pravidla jako u podvodných e-mailů. Odkazy ve zprávách o nalezeném telefonu neotvírejte, do mapy se dívejte jen přes oficiální adresu icloud.com nebo stránku Najít moje zařízení v účtu Google. Banka vám také nikdy nebude telefonovat s tím, že máte kvůli bezpečnosti převést peníze na jiný účet.
Když pak pořídíte nový telefon, projděte si nastavení zálohování hned, ne za půl roku. Obnova z funkční zálohy je rozdíl mezi dvěma hodinami práce a ztrátou několika let fotek, podrobněji v textu o tom, jak zálohovat fotky z telefonu.
Krátký seznam, který se vyplatí připravit dopředu
- Krizové číslo na blokaci karet vaší banky uložené jinde než v telefonu, například v peněžence.
- Zákaznické číslo a kontakt na operátora pro blokaci SIM a vydání náhradní karty.
- IMEI telefonu opsané mimo přístroj, ideálně spolu s účtenkou.
- Záložní kódy k dvoufázovému ověření uložené v papírové podobě nebo v trezoru správce hesel.
- Ověřeno, že Najít moje zařízení nebo Najít je skutečně zapnuté a telefon se v něm zobrazuje.
Projít tenhle seznam zabere dvacet minut. Ve chvíli, kdy telefon skutečně zmizí, už žádné přípravy nestihnete.
Časté otázky
Mám telefon nejdřív vymazat na dálku, nebo zablokovat banku?
Nejdřív banku a SIM, protože tam jsou peníze a kanál pro ověřovací kódy. Vzdálené vymazání funguje jen tehdy, když je telefon online, takže se často odloží na později, až se přístroj zapne. Blokace u banky funguje okamžitě a nezávisle na tom, kde telefon je.
Zablokuje mi operátor i samotný přístroj, aby se nedal používat?
Operátor standardně blokuje SIM kartu a vydá vám náhradní se stejným číslem. Blokaci přístroje podle IMEI neberte jako automatickou věc, zeptejte se na možnosti konkrétně svého operátora a při krádeži IMEI uveďte i v oznámení policii. Hlavní ochranou přístroje je v praxi zámek obrazovky a aktivační zámek vázaný na váš účet.
Co když jsem v telefonu měl kartu v Google Pay nebo Apple Pay, ale fyzickou kartu mám u sebe?
Blokujte stejně. Digitální karta v telefonu je samostatný platební prostředek s vlastním tokenem, takže ji lze zneužít i bez plastové karty. Odebrání zařízení z účtu Google nebo z Apple ID token zneplatní.
Mám povinnost ztrátu bance oznámit, i když se nic nestalo?
Ano, oznamovací povinnost se váže na ztrátu, krádež nebo zneužití platebního prostředku, ne na vznik škody. Zákon mluví o oznámení bez zbytečného odkladu. Čím dřív to máte písemně doložené, tím lepší pozice při případné reklamaci neautorizované transakce.
Vrátí mi banka peníze, když si zloděj poslal platbu z mobilního bankovnictví?
Záleží na tom, jak se k přístupu dostal. Pokud jste přihlašovací údaje nechránili úmyslně nebo hrubě nedbale, například měli PIN zapsaný v telefonu, nesete škodu sám. Pokud jste povinnosti dodrželi a ztrátu nahlásili bez zbytečného odkladu, nese ztrátu nad rámec podílu do 50 eur poskytovatel platebních služeb. Reklamaci podejte písemně, spor pak může řešit finanční arbitr.
