Úvěry-Půjčky-Hypotéky.cz — logo

Co nikdy neposílat při žádosti o půjčku: bezpečné a rizikové údaje

Konkrétní seznam dokumentů, přístupů a údajů, které legitimní poskytovatel úvěru pro posouzení žádosti nepotřebuje a které u podvodů končí zneužitím identity, neoprávněným úvěrem na cizí jméno nebo vybílením účtu.

Žádost o spotřebitelský úvěr v Česku vyžaduje řadu osobních údajů a dokladů — tomu se nelze vyhnout. Banka i licencovaný nebankovní poskytovatel mají podle § 86 zákona č. 257/2016 Sb. povinnost posoudit úvěruschopnost žadatele, což vyžaduje informace o příjmech, výdajích, závazcích a obvykle i identifikační doklady. [1] Tento článek vysvětluje, kde je hranice mezi tím, co legitimní poskytovatel skutečně potřebuje, a tím, co je nadbytečné nebo přímo rizikové. Zaměřujeme se na konkrétní seznam položek — co je v pořádku předat, co je v pořádku jen za specifických podmínek a co nepředávat nikdy.

Pozadím článku je realita, kterou popisuje ČNB ve svých výročních zprávách o dohledu — výrazná část úvěrových podvodů v Česku začíná získáním osobních údajů od oběti pod záminkou žádosti o úvěr. [5] Útočník pak údaje použije buď k vylákání poplatku „za zpracování" (klasický scénář popisovaný v článku Falešné půjčky a poplatky předem), nebo k závažnějšímu zneužití identity — založení účtů, sjednání úvěrů na cizí jméno nebo vyprázdnění bankovních účtů přes získané přístupové údaje. Prevence v podobě rozumného nakládání s vlastními údaji je proto významnější ochrana než reaktivní obrana po útoku.

Co poskytovatel pro posouzení úvěruschopnosti skutečně potřebuje

Standardní rozsah údajů u běžné žádosti o spotřebitelský úvěr u banky nebo licencovaného nebankovního poskytovatele zahrnuje identifikační údaje, kontakt, doložení příjmů, informace o stávajících závazcích a číslo účtu pro výplatu úvěru. Identifikační údaje vycházejí z občanského průkazu — jméno, příjmení, rodné číslo, číslo občanského průkazu, datum a místo narození. Kontakt zahrnuje doručovací adresu, telefon a e-mail. Doložení příjmů u zaměstnance znamená potvrzení o příjmu od zaměstnavatele nebo výpis z účtu, u OSVČ daňové přiznání a potvrzení od finančního úřadu. Informace o stávajících závazcích typicky doplňuje poskytovatel sám z dlužnických registrů (SOLUS, BRKI, NRKI, Centrální registr úvěrů) — k tomu potřebuje váš souhlas s nahlížením, který poskytujete v rámci podpisu žádosti.

Předání těchto údajů legitimnímu poskytovateli probíhá přes ověřený kanál. Banky používají vlastní internetové bankovnictví nebo mobilní aplikaci, ve které máte k dispozici žádost o úvěr přímo v zabezpečeném prostředí. Licencovaní nebankovní poskytovatelé používají vlastní klientský portál s šifrovaným přenosem, případně osobní jednání na pobočce. U vyšších úvěrů nebo u hypoték se může žádost doplňovat osobním pohovorem a předáním dokladů v papírové podobě. V žádném z těchto scénářů nepředáváte osobní údaje přes nešifrovaný kanál typu WhatsApp, Telegram nebo gmailovou schránku bez firemní domény.

U digitálních úvěrů, které žadatel sjednává online bez osobního jednání, využívají poskytovatelé další ověřovací nástroje. Bank ID (bankovní identita) umožňuje ověřit totožnost prostřednictvím vaší banky, aniž byste poskytovateli předávali přihlašovací údaje. PSD2 rozhraní umožňuje poskytovateli s vaším výslovným souhlasem náhled na pohyby na vašem účtu pro účely posouzení příjmů — opět bez předávání hesla. Selfie s občanským průkazem se používá k ověření, že žadatel je skutečně držitelem dokladu. Tyto nástroje jsou legitimní u licencovaných poskytovatelů a jejich použití v ověřeném kanále je v pořádku.

Co nikdy nepředávat — definitivní zákazy

První definitivní zákaz: heslo do internetového bankovnictví. Heslo je striktně osobní autentizační prvek, jehož předání třetí osobě porušuje pravidla banky a obvykle vede ke ztrátě nároku na reklamaci při následném zneužití. Žádný legitimní poskytovatel úvěru heslo do bankovnictví nepožaduje — pro doložení příjmů slouží buď výpis, který si exportujete sami (PDF), nebo PSD2 rozhraní (autentizace v aplikaci banky bez předávání hesla). Pokud poskytovatel požaduje heslo „pro ověření příjmů", odejděte a podejte podnět ČNB.

Druhý definitivní zákaz: PIN k platební kartě, CVV/CVC kód kartě nebo SMS autorizační kódy. Tyto údaje slouží výhradně k autorizaci transakcí a žádný legitimní subjekt je nepotřebuje znát. Pokud někdo „pro aktivaci úvěru" požaduje SMS kód, který vám právě přišel, autorizujete tím v drtivé většině neoprávněnou transakci na vašem účtu — typicky odchozí platbu k útočníkovi. PIN, CVV a SMS kódy jsou autentizační prvky, ne identifikační údaje. Nesdílejte je s nikým mimo proces, který sami iniciujete v ověřené aplikaci.

Třetí definitivní zákaz: plná kopie obou stran občanského průkazu bez začernění nepodstatných údajů, předaná po nešifrovaném kanále neidentifikovanému subjektu. Občanský průkaz obsahuje vše potřebné pro založení falešného účtu nebo neoprávněné žádosti o úvěr na vaše jméno. Pokud kopii potřebuje legitimní poskytovatel, předáváte ji přes vlastní zabezpečený portál a obvykle s pomocí selfie pro ověření. Pokud kopii požaduje subjekt mimo rejstřík ČNB nebo přes e-mail bez šifrování, jde o vysoké riziko zneužití. Pro nelegitimní účely (například ověření věku na sociálních sítích, výhry v soutěžích) nikdy plnou kopii nepředávejte.

Čtvrtý definitivní zákaz: přístupové údaje do e-mailu, do mobilního bankovnictví nebo do jakékoli aplikace, kterou si útočník může s pomocí získaných údajů sám otevřít. Žádost o úvěr nikdy nevyžaduje přístup do e-mailu žadatele. Pokud někdo žádá „dočasné heslo do e-mailu pro doložení korespondence se zaměstnavatelem", jde téměř výhradně o pokus o zneužití identity. E-mail je v dnešní architektuře digitální identity zlomovým bodem — kdo má přístup do vašeho e-mailu, dokáže zresetovat hesla v desítkách dalších služeb.

Co předávat jen za specifických podmínek

Některé údaje jsou v procesu žádosti o úvěr legitimní, ale jen za určitých podmínek. Selfie s občanským průkazem je toho příkladem. Použití u licencovaného poskytovatele s vlastní aplikací a šifrovaným přenosem je v pořádku — slouží k ověření, že žadatel je skutečný držitel dokladu, a snižuje riziko zneužití identity. Naopak odeslání selfie s občankou přes WhatsApp neidentifikovanému subjektu je výrazné riziko — snímek může skončit v rukou útočníka, který ho použije k uzavření úvěrů na vaše jméno u jiných poskytovatelů.

Kopie výpisu z účtu je dalším příkladem. Výpis je standardní podklad pro doložení příjmů a předání licencovanému poskytovateli je v pořádku. Pro samotnou žádost stačí typicky výpis za poslední tři měsíce — pokud někdo požaduje výpisy za celý rok bez konkrétního důvodu nebo výpisy ze všech vašich účtů, je to nadměrné a hraničí s porušením zásady minimalizace zpracovávaných údajů podle GDPR (§ 5 odst. 1 písm. c) GDPR). [2]

Třetím příkladem je rodné číslo. Rodné číslo je identifikátor, který legitimní poskytovatel pro posouzení úvěruschopnosti potřebuje (zejména pro nahlížení do dlužnických registrů), ale jeho předání by mělo proběhnout jen v rámci řádné žádosti o úvěr u ověřeného subjektu. Předání rodného čísla na základě anonce na sociálních sítích nebo přes neidentifikovatelný formulář je rizikové — rodné číslo v kombinaci s dalšími údaji (jméno, datum narození) umožňuje útočníkovi pokusit se o žádost o úvěr na vaše jméno u některých poskytovatelů.

Bank ID a PSD2 — bezpečné nástroje, ale s kontextem

Bank ID je v Česku zavedený nástroj pro digitální ověření totožnosti prostřednictvím banky. U úvěrů funguje tak, že poskytovatel vás přesměruje do prostředí vaší banky, kde se autentizujete (typicky přihlášením do mobilního bankovnictví), a banka pak poskytovateli potvrdí vaše údaje. Přihlašovací údaje do bankovnictví poskytovatel nikdy nedostane — to je klíčová bezpečnostní vlastnost.

Bezpečnostní pravidlo pro Bank ID: autentizace musí proběhnout v aplikaci nebo na webové stránce vaší banky (ověřitelná doména, typicky podobná té, na které se přihlašujete do bankovnictví). Pokud vás „Bank ID přihlášení" přesměruje na stránku, která vypadá jako vaše banka, ale doménová adresa je jiná, jde o phishingovou napodobeninu. Útočník se vás snaží přimět zadat přihlašovací údaje do bankovnictví na své stránce, kterou poté ovládne. Před zadáním údajů vždy zkontrolujte URL adresu v prohlížeči.

PSD2 (Payment Services Directive 2) je evropská regulace, která umožňuje s vaším výslovným souhlasem náhled třetího subjektu na pohyby na vašem účtu — typicky pro účely posouzení příjmů u žádosti o úvěr nebo pro účetní služby. Autentizace probíhá v aplikaci vaší banky, souhlas je časově omezený a kdykoli odvolatelný. Pokud legitimní poskytovatel nabízí „rychlejší doložení příjmů přes PSD2", je to legální a bezpečná cesta. Stejně jako u Bank ID platí pravidlo, že autentizační údaje zadáváte v prostředí banky, nikoli na cizí stránce.

Časté manipulativní žádosti o údaje a co znamenají

První typická manipulace: „pro ověření přepošlete na náš účet 1 Kč jako autorizační platbu a uveďte v poznámce číslo žádosti". Tato žádost nemá v žádném legitimním úvěrovém procesu místo. Ověření čísla účtu se dělá jiným způsobem (kontrolní platba banky nebo náhled přes PSD2). Žádost o „autorizační platbu" obvykle slouží k získání číselného identifikátoru pro další podvodný krok — typicky pro „výplatu úvěru", po které následuje žádost o vrácení „omylem zaslané vyšší částky".

Druhá typická manipulace: „pošlete kód, který vám právě přišel SMS, pro dokončení registrace". SMS kódy slouží k autorizaci transakcí ve vašem bankovnictví nebo k potvrzení změn (typicky nastavení nové platby, zvýšení limitu karty, založení nového příjemce). Pokud někdo žádá SMS kód, autorizujete tím obvykle transakci, kterou útočník právě iniciuje na vašem účtu. Pravidlo: žádný kód, který nezadáváte sami v aplikaci banky, nepředávejte nikomu — banka ani policie ho po vás nikdy žádat nebude.

Třetí typická manipulace: „pro rychlejší schválení nainstalujte naši aplikaci a povolte všechna oprávnění". Některé podvodné aplikace vyžadují přístupová oprávnění (čtení SMS, přístup k souborům, ovládání obrazovky), která útočníkovi umožňují odečítat autorizační SMS kódy nebo přímo ovládat váš telefon. Legitimní úvěrový poskytovatel takovou aplikaci nepotřebuje — žádost o úvěr se vyřídí ve standardní mobilní aplikaci banky nebo ve webovém prohlížeči.

Co dělat, když jste rizikové údaje předali

Pokud máte podezření, že jste osobní údaje nebo autentizační prvky předali nesprávnému subjektu, jednejte rychle. První krok je zablokování zranitelných přístupů. Pokud jste předali heslo do bankovnictví, okamžitě se přihlaste do banky (přes oficiální kanál — aplikaci nebo web s ověřenou doménou), změňte heslo a kontaktujte klientskou linku banky. Pokud jste předali přístup k e-mailu, změňte heslo do e-mailu, zapněte dvoufaktorovou autentizaci a projděte poslední aktivitu (přihlášení z neznámých zařízení, přeposílací pravidla). Pokud jste předali kopii občanského průkazu, oznamte věc Policii ČR a požádejte o vystavení nového dokladu.

Druhý krok je preventivní monitoring. Sledujte pohyby na účtech, zkontrolujte stav v dlužnických registrech (SOLUS, BRKI, NRKI mají pro jednou ročně bezplatný výpis) a u ČNB v Centrálním registru úvěrů, jestli na vaše jméno není evidován neoprávněný úvěr. Pokud objevíte nesrovnalost, kontaktujte daný subjekt s reklamací a zápisem zablokujte do vyjasnění.

Třetí krok je oznámení a dokumentace. Trestní oznámení Policii ČR pro podezření z podvodu podle § 209 trestního zákoníku je standardní cestou. [3] I když škoda v daný okamžik konkrétně nevznikla, předání údajů s úmyslem zneužití naplňuje skutkovou podstatu přípravy. Trestní oznámení je důležité i jako důkaz pro případné pozdější spory s poskytovateli (například pokud na vaše jméno bude uzavřena smlouva o úvěru, máte v rukou dokumentaci, že jste o pokusu o zneužití identity řádně informovali). Současně podejte podnět ČNB při podezření na neoprávněné finanční podnikání. [5]

Čtvrtý krok je konzultace v bezplatné poradně. Vyvázání se z neoprávněně uzavřeného úvěru na vaše jméno je administrativně a právně náročný proces, který má v Česku ustálené postupy, ale vyžaduje cílené kroky. Občanské poradny, dluhové poradny a některé specializované neziskové organizace nabízejí bezplatnou pomoc obětem zneužití identity. Profesionální právní zastoupení může být relevantní zejména tam, kde proti vám probíhá vymáhání dluhu, který jste neuzavřeli.

Praktický seznam — co poskytovatel typicky potřebuje a co ne

Pro orientaci uvádíme typický rozsah údajů, které licencovaný poskytovatel u běžné žádosti o spotřebitelský úvěr potřebuje: jméno a příjmení, rodné číslo, číslo občanského průkazu, datum a místo narození, doručovací adresa, telefon a e-mail, doložení příjmu (výpis z účtu nebo potvrzení od zaměstnavatele, u OSVČ daňové přiznání), informace o stávajících závazcích (případně s vaším souhlasem doplněné z registrů), číslo účtu pro výplatu úvěru. U hypoték dále doklady o nemovitosti a o zaměstnání. U vyšších úvěrů u nebankovních poskytovatelů selfie s občanským průkazem pro digitální ověření totožnosti.

Naopak typický rozsah toho, co poskytovatel pro posouzení úvěruschopnosti nepotřebuje a co nemá smysl předávat: heslo do internetového bankovnictví, PIN k platební kartě, CVV/CVC kód kartě, SMS autorizační kódy, přístup do e-mailu, druhý faktor autentizace (typicky kódy z autentizační aplikace), kopie občanského průkazu druhé osoby bez jejího souhlasu, údaje o zdravotním stavu nad rámec nezbytný pro pojištění schopnosti splácet (a i to jen na samostatném formuláři pojišťovny), údaje o členství v politických stranách nebo náboženském vyznání, podrobné údaje o příbuzných žadatele bez jejich souhlasu.

Pokud se mezi tím, co poskytovatel požaduje, objeví něco z druhého seznamu, je to silný varovný signál. Předání takových údajů legitimní poskytovatel pro standardní úvěr nevyžaduje a požadavek na ně obvykle slouží buď k manipulativnímu uzamčení žadatele ve vztahu (například „už nám držíte v ruce kopii ID, neodejdete od smlouvy"), nebo přímo k zneužití identity.

Souhrn — pravidla pro bezpečnou žádost o úvěr

Prvním pravidlem je ověření poskytovatele v JERRS před předáním jakýchkoli údajů. [4] Druhým pravidlem je používání ověřených kanálů — vlastní aplikace banky, klientský portál licencovaného nebankovního poskytovatele, osobní jednání na pobočce. Třetím pravidlem je neposkytování autentizačních prvků (hesla, PIN, SMS kódy) komukoli vně procesu, který sami iniciujete v ověřené aplikaci. Čtvrtým pravidlem je úsporné nakládání s kopiemi dokladů — předávat jen tehdy, když je to nezbytné, a jen přes šifrovaný kanál ověřeného subjektu. Pátým pravidlem je dokumentace — uchovávat si komunikaci s poskytovatelem v takové podobě, abyste ji v případě sporu dokázali předložit.

Tato pravidla snižují riziko zneužití identity a úvěrového podvodu na hodnotu, která je pro běžnou domácnost přijatelná. Nelze je snížit na nulu — část útoků je sofistikovaná a oběti se brání obtížně i při dodržení všech pravidel. Ale rozdíl mezi domácností, která rozdává údaje bez rozmyšlení, a domácností, která se drží těchto pěti pravidel, je zásadní. V praxi to znamená, že většina úvěrových podvodů cílí na první skupinu, protože je tam výrazně vyšší úspěšnost.

Časté otázky

Jaké údaje legitimní poskytovatel skutečně potřebuje?

Standardně: jméno a příjmení, rodné číslo, číslo občanského průkazu, kontakt (telefon, e-mail), doložení příjmů (typicky výpis z účtu nebo potvrzení o příjmu od zaměstnavatele, u OSVČ daňové přiznání), informace o stávajících závazcích, číslo účtu pro výplatu úvěru. U vyšších úvěrů nebo u hypoték dále doklady o zaměstnání, výpisy z účtu za několik měsíců, případně podklady o nemovitosti. Tyto údaje předáváte přes ověřený kanál — vlastní klientské centrum poskytovatele, šifrovaný portál, případně osobně na pobočce.

Smí poskytovatel požadovat heslo do internetového bankovnictví?

Nikdy. Heslo do internetového bankovnictví je striktně osobní autentizační prvek a podle pravidel banky se nesmí předávat třetí straně. Pokud někdo „pro ověření příjmů" požaduje heslo, prokazuje tím buď neznalost, nebo zlý úmysl. Doložení příjmů se dělá výpisem (PDF), který si exportujete z bankovnictví sami a předáte poskytovateli. Některé digitální úvěry využívají PSD2 rozhraní pro automatický náhled na pohyby na účtu — pak vás banka přesměruje do svého rozhraní pro autentizaci, ale heslo nikdy nepředáváte přímo poskytovateli.

Je bezpečné odeslat selfie s občanským průkazem?

Záleží na kontextu. U licencovaných digitálních úvěrů je „selfie s občankou" standardní nástroj ověření totožnosti — fotka se odesílá přes vlastní aplikaci nebo zabezpečený portál poskytovatele a slouží k porovnání obličeje s občanským průkazem. V tomto případě je to legitimní. Problém nastává, když selfie odešlete přes WhatsApp, Telegram nebo e-mail subjektu, který není v rejstříku ČNB. Pak ztrácíte kontrolu nad tím, jak bude snímek dál použit — typicky končí v rukou útočníka jako podklad pro zneužití identity.

Co dělat, když jsem osobní údaje předal a teď tuším, že šlo o podvod?

Postup ve čtyřech krocích. Za prvé okamžitě zablokujte platební karty u banky (na linkě banky nebo v aplikaci) a změňte hesla do internetového bankovnictví, e-mailu a dalších služeb, kde stejné heslo používáte. Za druhé oznamte věc bance s upřesněním, že máte podezření na zneužití identity — banka může nastavit zvýšený dohled na transakce. Za třetí podejte trestní oznámení na Policii ČR pro podezření z podvodu podle § 209 trestního zákoníku — i jen samotné předání údajů bez následné škody je relevantní, protože útočník může údaje použít později. Za čtvrté zkontrolujte si pravidelně registry dlužníků (SOLUS, BRKI, NRKI) a nahlížejte na CRÚ u ČNB, jestli se na vaše jméno neobjevil neoprávněný úvěr.

Mám podezření, že někdo na mé jméno uzavřel úvěr — jak postupovat?

Jednejte rychle. Podejte u dotčeného poskytovatele písemnou stížnost s tvrzením, že úvěr jste neuzavřeli (s prosbou o zaslání kopie smlouvy a podkladů, jak byla žádost autentizovaná). Současně podejte trestní oznámení Policii ČR pro podezření z podvodu podle § 209 trestního zákoníku, případně pro neoprávněné nakládání s osobními údaji. Kontaktujte registry dlužníků s žádostí o zablokování zápisu do vyjasnění. Doporučujeme kontaktovat bezplatnou právní poradnu — proces vyvázání se z úvěru uzavřeného třetí osobou na vaše jméno je administrativně a právně náročný, ale je řešitelný.

Je bezpečné použít Bank ID pro žádost o úvěr online?

Ano, u licencovaného poskytovatele je Bank ID legitimní a bezpečný nástroj. Princip je v tom, že se autentizujete ve vlastní bankovní aplikaci (nikoli na stránce poskytovatele) a banka pouze poskytovateli potvrdí, že jste skutečně vy a sdílí dohodnuté údaje. Vaše přihlašovací údaje do bankovnictví poskytovatel nikdy nedostane. Bezpečnostní pravidlo: pokud vás „přihlášení přes Bank ID" přesměruje na stránku, která vás žádá o zadání hesla do bankovnictví, není to skutečné Bank ID, ale phishingová napodobenina. Skutečné Bank ID vás přesměruje do aplikace nebo na ověřenou doménu vaší banky.

Související články