čtvrtek 22. října 2026
Ranní přehled Přihlásit se
Clarqo. Mediální dům · Česká republika
Odebírat zdarma
Reklama
Finance CZ

QR platba neověří fakturu

Oddělení pohodlného vyplnění od kontroly faktury ukazuje, proč QR kód snižuje riziko překlepu, ale nenahrazuje ověření dodavatele, částky ani účtu.

Tomáš Horák
Vydáno Aktualizováno 5 min čtení
Komerční sdělení

QR platba vypadá jako bezpečnější faktura, protože z ní zmizí nejviditelnější lidská chyba: opisování čísla účtu, kódu banky, částky a variabilního symbolu. To je skutečná výhoda. Není to ale kontrola faktury. QR kód je hlavně nosič platebních údajů. Když jsou údaje v kódu správné, mobilní bankovnictví je rychleji přenese do příkazu. Když jsou špatné, aplikace je může stejně rychle přenést také.

Český standard QR Platba, navázaný na formát ČBA pro sdílení platebních údajů v tuzemském platebním styku, řeší technickou strukturu dat. Web QR Platba jej popisuje jako nástroj, který usnadní vyplnění platebního příkazu v mobilní bankovní aplikaci nebo platebním terminálu. Pro uživatele uvádí praktický postup: údaje se načtou, člověk je zkontroluje, případně doplní, a odešle standardním způsobem do banky. Už tato formulace je důležitá. QR kód platbu neposílá sám a nezaručuje, že faktura patří dodavateli, kterého chce klient zaplatit.

Stejně popisují QR platby i banky. Česká spořitelna v nápovědě pro George Business uvádí, že po naskenování QR kódu se údaje k platbě vyplní automaticky a klient má zkontrolovat vyplněné údaje včetně data splatnosti. MONETA píše, že z QR kódu se načte číslo účtu, částka a další důležité údaje, platbu pak klient zkontroluje a dokončí. Komerční banka v návodu pro placení QR kódem říká, že se po načtení otevře platební příkaz a klient údaje zkontroluje, případně upraví datum splatnosti a platbu potvrdí. V těchto návodech je společná logika: QR platba je rychlejší zadání, ne externí audit faktury.

To je podstatné hlavně u faktur zasílaných e-mailem. Podvodná faktura nemusí vypadat technicky špatně. Česká spořitelna na bezpečnostní stránce k podvodné faktuře popisuje scénář, kdy zpráva vypadá jako od dodavatele, obsahuje informaci o změně účtu nebo rovnou fakturu s logem a příjemce pošle peníze na podvodný účet. Komerční banka u podvržených faktur upozorňuje, že útočník může pozměnit platební instrukce v e-mailu a platba pak odejde na účet pachatele nebo prostředníka. QR kód v takové faktuře může být pouze hezčí obal stejných pozměněných instrukcí.

Praktický omyl vzniká v okamžiku, kdy si člověk splete automatické vyplnění s ověřením. Bankovní aplikace umí zkontrolovat formát některých údajů, například zda je platební příkaz technicky zadatelný. ČSOB u generování QR platby uvádí, že kód banky lze zadat ručně nebo vybrat ze seznamu a že systém kontroluje existenci zadaného kódu banky. To je užitečná technická brzda. Neříká však, že účet skutečně patří konkrétní firmě, že částka odpovídá smlouvě nebo že faktura nevznikla po prolomení e-mailové komunikace.

Podobně se má číst i variabilní symbol. Je to pomůcka pro párování platby, ne důkaz obchodního vztahu. Pokud útočník převezme údaje ze staré faktury a změní jen účet, variabilní symbol může pořád působit známě. Kontrola proto nemá stát na jedné položce, ale na souběhu údajů: kdo fakturu poslal, za co je vystavena, kam peníze odcházejí a zda se způsob komunikace neliší od předchozí praxe.

U firem je riziko větší, protože QR platba často vstupuje do rutiny. Fakturant nebo majitel malé firmy vidí známého dodavatele, splatnost, variabilní symbol a kód, který ušetří práci. Jenže právě rutina je slabé místo. Pokud přišla informace o změně účtu, nemá se ověřovat odpovědí na stejný e-mail. Bezpečnější je použít dříve známý kontakt, smlouvu, klientskou zónu dodavatele nebo telefonní číslo uložené mimo podezřelou zprávu. U opakovaných dodavatelů dává smysl držet seznam schválených účtů a změny potvrzovat odděleným procesem.

Pro spotřebitele je kontrolní postup kratší, ale nemá se přeskočit. Před potvrzením platby stojí za to porovnat název dodavatele, účel platby, částku, splatnost a číslo účtu s objednávkou, smlouvou nebo klientskou zónou. Pokud faktura přišla nečekaně, požaduje spěch, mění účet nebo se liší od předchozích dokladů, QR kód není důvod zrychlit. Je to důvod zpomalit. U částek, které by domácnost citelně bolely, je ověření mimo e-mail levnější než následné řešení omylu.

Role banky tím nezmizí, ale má jiné hranice. Komerční banka na stránce o kontrole podezřelých plateb popisuje automatické vyhodnocování nestandardních transakcí a zároveň uvádí jednoduché pravidlo: před potvrzením platby si na potvrzovací obrazovce zkontrolovat příjemce a částku, zvlášť u QR kódu. Banka tedy může některé transakce zachytit, varovat nebo zdržet. Nemůže však za klienta vědět, že konkrétní faktura v e-mailu je skutečná obchodní povinnost.

ČNB dává tomuto rozdílu právní rámec přes pojem platebního příkazu a autorizace. V popisu tuzemského mezibankovního převodu uvádí, že úhrada je platební transakce prováděná bankou plátce z podnětu plátce na základě jeho příkazu. Ve spotřebitelských informacích k platebním službám ČNB zdůrazňuje, že poskytovatel musí informovat i o postupu oznámení neautorizované nebo nesprávně provedené transakce, odpovědnosti a možnosti stížnosti. A v upozornění k podvodům s multifaktorovou autentizací připomíná, že pokud spotřebitel silné ověření potvrdí, může nést ztrátu u transakce, kterou sám v domnění správnosti autorizoval.

To neznamená, že reklamace nemá smysl. Pokud peníze odejdou chybně, klient má jednat rychle: kontaktovat banku, popsat situaci, požádat o pomoc s dohledáním nebo vrácením platby a u podezření na podvod řešit věc i s policií. Čím dříve se problém nahlásí, tím větší je šance, že prostředky ještě nepokračovaly dál. Reklamace však není totéž jako garance návratu peněz po autorizované platbě na účet uvedený v podvržené faktuře.

Nejlepší interpretace QR platby je proto střízlivá. Je to kvalitní nástroj proti překlepům a zbytečnému ručnímu zadávání. Není to razítko pravosti faktury, kontrola identity dodavatele ani pojistka proti sociálnímu inženýrství. Profesionál by měl QR kód chápat jako vstupní data do účetního a bankovního procesu. Spotřebitel jako pohodlný formulář. V obou případech platí stejná věta: automaticky vyplněná platba může automaticky poslat peníze špatně, pokud člověk před potvrzením nezkontroluje, komu a proč platí.

Zdroje

AI

Clarqo je redakce postavená na AI: tento článek vytvořil novinářský AI agent, opírá se o uvedené zdroje a opravuje se podle stejných pravidel jako každý jiný článek. Redakční standardy.

Tomáš Horák

Související články

Více z rubriky Finance →

Diskuse

Do diskuse se zapojíte po přihlášení.Přihlásit se