Únik dat: jak zjistit, jestli uniklo vaše heslo, a co hned udělat (2026)

Únik dat se dnes netýká jen „někoho jiného“. V roce 2026 unikla data zákazníků e-shopu Lidl, do databáze Have I Been Pwned přibylo 124 milionů hesel ukradených malwarem a podvodníci s uniklými údaji cíleně volají a píšou. Jak si během pár minut ověřit, jestli je mezi nimi i váš e-mail nebo heslo, a co udělat hned potom.

Co udělat hned (shrnutí)

• Zadejte svůj e-mail na haveibeenpwned.com a zjistěte, ve kterých únicích figuruje.
• Spusťte kontrolu hesel ve správci hesel, v Google (passwords.google.com) nebo v aplikaci Hesla na iPhonu.
• Uniklé heslo změňte všude, kde jste ho použili – začněte e-mailem, protože přes něj jde obnovit všechno ostatní.
• Zapněte dvoufázové ověření nebo passkeys a odhlaste všechna ostatní přihlášená zařízení.
• Počítejte s cíleným phishingem. Kdo zná vaše jméno, telefon a datum narození, umí zavolat velmi přesvědčivě.

Úniky dat v roce 2026, které se týkají i Čechů

Únik dat (anglicky data breach) znamená, že se osobní údaje dostaly k někomu, kdo je mít neměl. Může jít o napadenou firmu, chybu dodavatele, nedbale zabezpečenou databázi, ale i o váš vlastní počítač zavirovaný malwarem. Pro představu, co se letos dělo:

Lidl: data zákazníků e-shopu přes externího dodavatele (červenec 2026)

V polovině července 2026 začal Lidl informovat zákazníky svého e-shopu, že útočníci pronikli k externímu poskytovateli IT služeb, který spravoval odděleně uložený soubor se zákaznickými daty. Podle informací, které firma poskytla, unikla jména a příjmení, oslovení, e-mailové adresy, telefonní čísla, data narození a zákaznická čísla. Hesla, fakturační a doručovací adresy ani platební údaje podle Lidlu zasaženy nebyly a zákaznické účty napadeny nebyly. Incident se týkal zákazníků v několika zemích včetně Česka, Lidl ho nahlásil Úřadu pro ochranu osobních údajů a pro dotazy uvedl adresu [email protected].

Na první pohled „nic vážného“ – žádná hesla ani karty. Jenže právě kombinace jména, telefonu, e-mailu a data narození je ideální podklad pro podvodníka, který vám zavolá jako bankéř nebo pošle e-mail „od Lidlu“. Bezpečnostní analytici, které citoval Deník, varovali právě před cíleným phishingem a falešnými telefonáty.

124 milionů hesel z infostealerů v Have I Been Pwned (červen 2026)

Dne 15. června 2026 přidal Troy Hunt do služby Have I Been Pwned soubor nazvaný June 2026 Stealer Logs: 56,3 milionu unikátních e-mailových adres a 124 milionů unikátních hesel. Nepochází z jedné napadené firmy – jde o nashromážděné záznamy z takzvaných infostealerů, tedy malwaru, který krade data přímo z nakažených počítačů. Hesla jsou nově dohledatelná v databázi Pwned Passwords. Pokud tam najdete svůj e-mail, je rozumné předpokládat, že některé z vašich zařízení bylo v minulosti zavirované.

Revolut: data zhruba 680 klientů vydaná podvodníkovi (září 2026)

Podle Lupa.cz řešil Revolut v září 2026 incident, kdy útočník z e-mailu vydávajícího se za státní instituci vylákal údaje přibližně 680 klientů, včetně kopií dokladů a historie transakcí. Revolut uvedl, že přihlašovací údaje ani peníze klientů zasaženy nebyly. Zda šlo i o české klienty, banka nesdělila. Případ ukazuje, že k úniku nemusí dojít „hackováním“ – stačí přesvědčivá žádost a selhání při ověřování.

Jak zjistit, jestli uniklo vaše heslo nebo e-mail

Have I Been Pwned: kontrola e-mailu

Have I Been Pwned (HIBP) je bezplatná služba bezpečnostního výzkumníka Troye Hunta. Zadáte e-mail a uvidíte seznam známých úniků, ve kterých se objevil, včetně toho, jaké typy údajů v nich byly (hesla, telefony, adresy…). U každého úniku si přečtěte, kdy se stal – podle toho poznáte, jestli heslo z té doby ještě někde používáte. Vyplatí se zapnout i upozornění e-mailem, aby vám služba dala vědět při dalším úniku.

Pwned Passwords: kontrola konkrétního hesla

Na stránce Pwned Passwords můžete ověřit samotné heslo. Bojíte se ho někam psát? Služba používá princip k-anonymity: heslo se nejdřív u vás v prohlížeči převede na otisk (hash) a na server se pošle jen prvních pět znaků tohoto otisku. Porovnání pak proběhne u vás. Pokud heslo v databázi je, přestaňte ho používat – útočníci takové seznamy zkoušejí automaticky na tisících webů.

Kontrola v Googlu, na iPhonu a ve správci hesel

Pokud ukládáte hesla v prohlížeči nebo telefonu, máte kontrolu už k dispozici:

• Google / Chrome: na passwords.google.com spusťte Kontrolu hesel. Ukáže hesla vyzrazená, slabá a použitá na více účtech. Pozor: samostatnou funkci „přehled z dark webu“ Google ukončil – nové kontroly skončily 15. ledna 2026 a 16. února 2026 přehled zmizel úplně.
• iPhone a iPad: v aplikaci Hesla (iOS 18 a novější) najdete bezpečnostní doporučení. Zapněte zjišťování prozrazených hesel – telefon pak hesla průběžně porovnává se známými úniky, aniž by je Apple viděl.
• Správci hesel: NordPass má skener úniků dat a hlídání zdraví hesel, 1Password nabízí funkci Watchtower, která upozorní na uniklá a opakovaně použitá hesla. Výhodou je, že hlídají všechny účty najednou a pomůžou heslo rovnou vyměnit.

Pokud dnes hesla ukládáte do sešitu nebo „máte jedno pro všechno“, je správce hesel nejdůležitější krok, který můžete udělat. Srovnání najdete v článku Správci hesel.

Infostealery: když heslo neunikne z firmy, ale z vašeho počítače

Červnový balík 124 milionů hesel ukazuje, že velká část uniklých přihlašovacích údajů dnes nepochází z napadených e-shopů, ale z infostealerů. Jde o malware, jehož jediným úkolem je rychle posbírat z počítače vše cenné a odeslat to útočníkům. Typicky:

• hesla uložená v prohlížeči (Chrome, Edge, Firefox…),
• cookies přihlášených relací – s nimi se útočník dostane do účtu i bez hesla a často i bez druhého faktoru,
• údaje z formulářů, uložené karty, kryptopeněženky a soubory z plochy.

Nejčastěji se šíří přes „cracknuté“ programy a hry, falešné reklamy ve vyhledávači vedoucí na podvržené stránky ke stažení, přílohy e-mailů a v posledních letech i přes falešná „ověření, že nejste robot“, která vás vyzvou zkopírovat a spustit příkaz v systému. Ukradená data se pak prodávají a přeprodávají na Telegramu a fórech.

Co z toho plyne: pokud jste v únicích typu „Stealer Logs“, nestačí změnit heslo. Nejdřív zkontrolujte, jestli zařízení není stále nakažené (důkladný sken kvalitním antivirem, v horším případě přeinstalace systému), jinak malware ukradne i hesla nová. Pak teprve hesla měňte a odhlaste všechny relace. Přehled ochrany najdete v článku Nejlepší antiviry.

Co udělat po úniku – v tomto pořadí

1. Zjistěte, co přesně uniklo. Heslo? Jen e-mail a telefon? Doklad? Podle toho se liší další kroky. Informaci najdete v HIBP, v e-mailu od firmy nebo na jejím webu.
2. Jde-li o malware, vyčistěte zařízení dřív, než začnete měnit hesla. Hesla měňte z jiného, čistého zařízení, pokud si nejste jistí.
3. Změňte heslo k e-mailu. E-mail je hlavní klíč – přes „zapomenuté heslo“ se z něj dá převzít téměř cokoliv.
4. Změňte uniklé heslo všude, kde jste ho použili. Každý účet má mít vlastní heslo; bezpečné vytvoříte třeba v našem generátoru hesel.
5. Zapněte dvoufázové ověření, ideálně passkeys. Ověřovací aplikace je bezpečnější než SMS, passkeys jsou odolné vůči phishingu – viz Passkeys vs. hesla.
6. Odhlaste všechny ostatní relace. Google, Microsoft, Apple, Facebook i většina e-shopů mají v nastavení zabezpečení „odhlásit ze všech zařízení“. Zkontrolujte i pravidla pro přeposílání pošty a připojené aplikace – útočníci si tam rádi nechají zadní vrátka.
7. Uniklo něco finančního? Volejte banku. Při úniku čísla karty ji nechte zablokovat a vydat novou, sledujte pohyby na účtu.
8. Nastavte si zvýšenou ostražitost na několik měsíců. Uniklá data kolují dlouho a podvodníci se k nim vracejí.

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) ve svém doporučení k uniklým databázím zdůrazňuje hlavně dvě věci: změnu hesla nebrat na lehkou váhu a nepoužívat stejné heslo pro více služeb – zejména ne pro e-mail a pracovní systémy.

Pro rodiny nebo menší firmy, kde je potřeba sdílet hesla bezpečně, stojí za zvážení 1Password s funkcí Watchtower a sdílenými trezory.

Jak poznat podvod, který přijde po úniku

Samotný únik vás zpravidla ještě nepoškodí. Škoda vzniká až ve chvíli, kdy někdo uniklá data použije, aby vás přesvědčil. Typické vzorce:

• E-mail „k úniku dat“: „Vaše data unikla, klikněte a ověřte účet“ nebo „nárok na odškodnění“. Firmy vás mohou o úniku informovat, ale nežádají heslo ani platbu. Na web jděte vždy ručně, ne přes odkaz.
• Telefonát od „banky“ nebo „policie“: volající zná vaše jméno i datum narození, což působí důvěryhodně. Pak přijde „podezřelá transakce“, „bezpečný účet“ nebo žádost o instalaci aplikace. Banka ani policie po vás nikdy nebude chtít převést peníze jinam, sdělit PIN nebo kód z SMS.
• SMS o zásilce nebo nedoplatku s odkazem na falešnou platební bránu.
• Vydírání s heslem v předmětu: „Znám vaše heslo, mám video z webkamery.“ Heslo pochází z dávného úniku, video neexistuje. Neplaťte, heslo změňte.

Pravidlo zní jednoduše: když vás někdo kontaktuje sám, hovor ukončete a ozvěte se instituci na čísle nebo webu, které si dohledáte sami. Víc o rozpoznávání podvodných zpráv píšeme v článku Odhalte a zastavte phishing, o otravných a podezřelých hovorech v návodu Jak zastavit nevyžádané hovory.

Pokud chcete mít část hlídání automaticky, ochrana před podvody od Surfsharku spojuje v jednom účtu monitoring úniků (e-maily, hesla, platební karty, doklady), kontrolu podvodných SMS, maskování e-mailu pro registrace a blokování podvodných webů. Na podvodné telefonáty ale nestačí – tam platí pravidlo výše.

Unikl vám rodné číslo, adresa nebo kopie dokladu

Heslo se dá změnit, rodné číslo ani adresa ne. Tady jde hlavně o to zkomplikovat zneužití a včas ho odhalit:

• Kopie občanského průkazu: hrozí-li jeho zneužití, můžete to ohlásit na kterémkoli obecním úřadě obce s rozšířenou působností nebo na policii. Průkaz tím ztratí platnost, jeho číslo se zapíše do evidence neplatných dokladů a požádáte o nový (postup na Portálu občana). Banky a úvěrové společnosti tuto evidenci kontrolují.
• Kontrola úvěrů na vaše jméno: jednou za čas si vyžádejte výpis z úvěrových registrů (bankovní a nebankovní registr BRKI/NRKI, registr SOLUS). Uvidíte, jestli si na vás někdo nevzal půjčku nebo telefonní tarif. Pozor na weby, které se vydávají za „centrální registr dlužníků“ – takový oficiální registr v Česku neexistuje.
• Adresa a telefon: počítejte s cílenějším spamem, podvodnými hovory a dopisy. Pomůže omezit, kde všude o vás data jsou.

Osobní údaje o vás často skupují a přeprodávají takzvaní data brokeři a weby pro vyhledávání lidí. Žádat každého zvlášť o výmaz je zdlouhavé; služba Incogni to dělá automaticky a žádosti opakuje (podle provozovatele pokrývá přes 420 brokerů s automatickým výmazem). Jak to funguje v praxi, popisujeme v recenzi Incogni a v návodu Jak odstranit osobní údaje z internetu.

Kdy se obrátit na policii a kdy na ÚOOÚ

• Policie (158 nebo osobně na služebně): když už došlo ke škodě nebo zneužití – ztratili jste peníze, někdo na vás uzavřel smlouvu, převzal účet a vydírá vás. Uschovejte si důkazy: snímky obrazovky, e-maily, čísla, výpisy z účtu. Při ztrátě peněz volejte nejdřív banku, každá minuta hraje roli.
• Úřad pro ochranu osobních údajů (ÚOOÚ): když máte za to, že firma s vašimi údaji zacházela v rozporu se zákonem, nebo vám do měsíce neodpověděla na žádost o informace či výmaz. Stížnost lze podat přes formulář ÚOOÚ i volnou formou (postup na Portálu občana).
• Firma, které data unikla: máte právo se jí zeptat, jaké vaše údaje zpracovává a které z nich incident zasáhl. Pokud únik představuje pro lidi vysoké riziko, musí je firma podle GDPR informovat.

Jak se připravit na další únik

Úniky nezastavíte, ale můžete zařídit, aby vás stály minimum:

• Jedno heslo = jeden účet. Uniklé heslo z e-shopu pak nikomu neotevře váš e-mail.
• Správce hesel místo prohlížeče – hesla jsou šifrovaná trezorem a správce hlídá úniky.
• Passkeys všude, kde to jde (Google, Apple, Microsoft, stále více e-shopů a bank).
• Méně údajů v registracích. Datum narození e-shop obvykle nepotřebuje; pro newslettery používejte samostatný e-mail nebo aliasy.
• Nestahujte „cracky“ a programy z neověřených zdrojů – to je hlavní vstupní brána infostealerů.
• Zapněte si upozornění v HIBP a ve správci hesel, případně využijte službu jako Surfshark Alert, která hlídá e-maily, karty i osobní údaje.

Časté otázky

Je bezpečné zadávat e-mail do Have I Been Pwned?

Ano, jde o zavedenou službu, se kterou spolupracují i vládní bezpečnostní týmy a správci hesel. U kontroly hesla se celé heslo nikam neodesílá – na server jde jen prvních pět znaků jeho otisku.

HIBP mi ukazuje únik z doby před deseti lety. Mám něco dělat?

Pokud heslo z té doby už nikde nepoužíváte, nic zásadního. Pokud ano (i v obměně typu „Heslo2015“ → „Heslo2026“), změňte ho. Útočníci staré databáze stále zkoušejí.

Byl jsem zákazníkem Lidl e-shopu. Musím měnit heslo?

Podle Lidlu hesla neunikla, takže to není nutné – ale pokud stejné heslo používáte jinde, je to dobrá příležitost to napravit. Důležitější je dávat pozor na e-maily, SMS a hovory, které vás oslovují jménem a „ověřují“ datum narození.

Pomůže proti únikům antivirus nebo VPN?

Antivirus pomůže proti infostealerům na vašem zařízení. Proti úniku z databáze firmy nepomůže nic na vaší straně – jen unikátní hesla, dvoufázové ověření a opatrnost. VPN chrání připojení, ne data uložená u e-shopu.

Mám dvoufázové ověření. Jsem v bezpečí?

Výrazně bezpečnější ano, neprůstřelní ne. Infostealer může ukrást cookie přihlášené relace a phishingová stránka může vylákat i jednorázový kód. Proto po úniku odhlaste všechny relace a kde to jde, přejděte na passkeys.

Závěr

Ověřit si, jestli vaše data unikla, zabere pět minut: e-mail do Have I Been Pwned, kontrola hesel v Googlu, iPhonu nebo správci hesel. Pokud něco najdete, postupujte v pořadí – čisté zařízení, nové heslo k e-mailu, unikátní hesla všude, dvoufázové ověření a odhlášení relací. A hlavně: po každém úniku počítejte s tím, že vás někdo zkusí oslovit „jménem banky“. Kdo zavěsí a zavolá zpět sám, má vyhráno.

Článek má informativní charakter a nenahrazuje právní poradenství. Údaje o incidentech odpovídají veřejně dostupným informacím ke 7. 10. 2026.