Přišel vám e-mail, že vás někdo natočil webkamerou při sledování erotiky, a pokud do 48 hodin nepošlete bitcoiny, video dostanou vaši známí? Skoro jistě jde o hromadně rozesílaný podvod. Národní úřad pro kybernetickou a informační bezpečnost před ním varuje od roku 2018 a u vlny z ledna 2021 výslovně napsal, že ve všech evidovaných případech útočník nezískal přístup k účtu ani nemá nic natočené. Neplaťte, neodpovídejte a zkontrolujte si heslo, které vám možná v e-mailu ukázal.
Jak takový e-mail poznat
Texty se mění, kostra zůstává stejná. Na české adresy chodí v několika vlnách, které NÚKIB a Policie ČR popsaly ve svých varováních (září 2018, duben 2019, duben 2020, leden 2021). Opakuje se v nich tohle:
- Tvrzení o viru v počítači. Odesílatel píše o trojském koni nebo „RAT“, který jste si údajně stáhli na erotickém webu. V lednu 2021 se objevil i konkrétní název njRAT. Nástroj sice reálně existuje, ale jeho jméno v e-mailu nic nedokazuje.
- Zpráva „z vaší vlastní adresy“. Má působit dojmem, že útočník ovládá vaši schránku. NÚKIB u vlny z roku 2021 uvádí, že e-maily byly odeslány z podvržené adresy.
- Vaše staré heslo v předmětu nebo v oslovení. Podle NÚKIB pochází z uniklé databáze nějaké služby a bývá několik let staré.
- Platba v bitcoinech, často s QR kódem a lhůtou 24 nebo 48 hodin. Částka se liší vlnu od vlny: v roce 2018 šlo o 250 dolarů, v dubnu 2019 o 13 500 Kč.
- Žádný důkaz. Nedostanete snímek ani úryvek videa, jen popis toho, co prý útočník má.
- Výhrůžka „pošlu to všem kontaktům, rodině a kolegům“, bez jediného konkrétního jména.
Pokud e-mail sedí na většinu bodů, máte v ruce šablonu, kterou stejný den dostaly tisíce dalších lidí. Útočník nepotřebuje, aby mu uvěřil každý. Stačí mu pár adresátů, kteří zpanikaří.
Proč zní přesvědčivě, i když nic nemá
Dvě věci, které lidi nejvíc vyděsí, mají obyčejné vysvětlení.
Heslo, které opravdu znáte. Nejde o důkaz, že útočník je ve vašem počítači. Je to důkaz, že vaše adresa a heslo někdy unikly z jiné služby a koluje s nimi seznam. Proto má smysl zjistit, odkud únik pochází, a heslo změnit. Postup je níže.
Odesílatel je vaše adresa. Pole „Od“ v e-mailu lze vyplnit čímkoli, podobně jako zpáteční adresu na obálce. NÚKIB v doporučení k podvrženým e-mailům vysvětluje, že hodnotě tohoto pole nelze stoprocentně věřit, a ukazuje, kde hledat skutečný původ zprávy: v hlavičkách „Return-Path“ a „Received“. V Gmailu je zobrazíte přes „Zobrazit originál“. Pokud nejnižší záznam „Received“ vede na server, který s vaším poskytovatelem nemá nic společného, zprávu jste sami sobě neposlali.
Policie ČR k vlně z roku 2018 napsala jasně, že odesílatelé těchto e-mailů ve skutečnosti žádnými daty nedisponují a spoléhají jen na to, že jim adresát uvěří (upozornění Policie ČR z 24. 9. 2018).
Co udělat hned
- Neplaťte a neodpovídejte. Platba nic neukončí a odpověď vám nic nepřinese. Policie ČR doporučuje takové e-maily smazat nebo označit jako spam a nereagovat na ně.
- Ověřte, odkud heslo uniklo. Na Have I Been Pwned zadejte svou e-mailovou adresu a uvidíte, ve kterých známých únicích se objevila. Samotné heslo prověříte v části Pwned Passwords. Služba podle svého popisu nepřijímá celé heslo: zahešuje ho ve vašem prohlížeči a odešle jen prvních pět znaků hashe.
- Změňte heslo všude, kde jste ho použili. NÚKIB připomíná i služby navázané na danou schránku, tedy účty, jejichž heslo se obnovuje přes tento e-mail. Kdo má přístup do schránky, má přístup i k nim.
- Zapněte dvoufázové ověření u e-mailu a u účtů, na kterých vám záleží. Uniklé heslo pak samo o sobě nestačí.
- Zprávu smažte. Pokud chcete věc nahlásit, nejdřív si uložte její originál s hlavičkami.
- Pokud jste už zaplatili, obraťte se na policii. Policie ČR v upozornění z roku 2018 žádá, aby lidé, kteří zaplatili, věc neprodleně nahlásili. K oznámení si připravte adresu peněženky, čas a částku platby.
Kdy už nejde o hromadný e-mail
Jiná situace nastane, když jste opravdu byli na videohovoru s někým neznámým a ten člověk se vám potom ozve. Takový případ se nedá řešit smazáním zprávy. Tabulka pomůže obě situace rozlišit.
| Hromadný vyděračský e-mail | Skutečné vydírání nahrávkou | |
|---|---|---|
| Jak začal kontakt | Zpráva přišla sama, bez předchozí komunikace | Předcházel chat a videohovor, často v soukromé aplikaci |
| Důkaz | Žádný, jen popis | Snímek nebo úryvek videa s vaší tváří |
| Znalost vašeho okolí | „Všem kontaktům“, bez jmen | Jmenuje vaše přátele nebo kolegy ze sociálních sítí |
| Kanál | E-mail, často podvržený | Messenger, sociální síť, SMS |
| Co dělat | Smazat, zkontrolovat heslo, změnit hesla | Neplatit, nic nemazat, uložit důkazy, podat trestní oznámení |
Pokud odpovídá pravý sloupec, postupujte podle návodu pro vydírání nahrávkou z videochatu. Najdete tam pořadí kroků, nástroj StopNCII.org a kontakty na pomoc. Policie ČR tomuto jevu věnuje samostatnou stránku Sexting, sextortion.
Je to trestný čin a kde to nahlásit
Vydírání upravuje § 175 trestního zákoníku (zákon č. 40/2009 Sb., znění účinné od 1. 1. 2026). Podle odstavce 1 se ho dopustí ten, „kdo jiného násilím, pohrůžkou násilí nebo pohrůžkou jiné těžké újmy nutí, aby něco konal, opominul nebo trpěl“. Trestní sazba je odnětí svobody na šest měsíců až čtyři roky a odstavec 5 stanoví, že trestná je i příprava. Jak policie konkrétní e-mail právně posoudí, závisí na okolnostech. Tento text nenahrazuje právní radu.
Trestní oznámení může podat kdokoli, nejen poškozený. Policie ČR na stránce Trestní oznámení uvádí tři cesty:
- ústně do protokolu na kterémkoli oddělení policie,
- písemně, nejlépe doporučeným dopisem,
- elektronicky, e-mailem s uznávaným elektronickým podpisem nebo datovou schránkou.
Pro phishing a neoprávněný přístup k účtu odkazuje policie na stránce Hlášení kyberkriminality na formulář sdružení CZ.NIC stoponline.cz. K oznámení připojte originál e-mailu s hlavičkami, adresu bitcoinové peněženky, a pokud jste platili, i doklad o platbě.
Návštěva erotického webu sama o sobě kameru nezapne
Šablona stojí na pocitu viny: „Byl jsi na pornu, tak jsem tě dostal.“ Žádné z varování NÚKIB citovaných výše přitom neuvádí jediný případ, kdy by za e-mailem stálo skutečné ovládnutí kamery. Rozumná opatření jsou stejná jako jindy a nemají nic společného s tím, co jste sledovali:
- aktualizovaný systém a prohlížeč,
- programy jen z oficiálních zdrojů,
- krytka na kameře notebooku, pokud vás uklidní,
- u cam platforem kamera vypnutá, dokud ji sami nezapnete. Vysvětlujeme to v textu o soukromých kamerách a privátním chatu.
Pro úplnost: Sexkamerky.cz nesbírá platební údaje, nevede uživatelské účty a nenačítá cizí sledovací skripty. Co web o návštěvnících zpracovává, popisuje stránka Ochrana soukromí.
Kam se obrátit, když vás to drží
Strach z takové zprávy je normální a nemusíte ho řešit sami. Online poradnu provozuje projekt E-Bezpečí Pedagogické fakulty Univerzity Palackého v Olomouci. Obětem trestných činů pomáhá Bílý kruh bezpečí. Pokud se bojíte, že se skutečný intimní záznam objeví na internetu, je určený nástroj StopNCII.org.