Změna účtu před výplatou: jak ověřit, že nejde o podvod

Ve čtvrtek odpoledne, den před výplatou úroku, dostane back office e-mail od investora, firmy s několika sty kusy. Firma má nový účet a úrok, který je splatný zítra, chce poslat tam. E-mail má logo firmy, podpis jednatele a v příloze sken žádosti. Když je žádost pravá, zdržení investora naštve. Když je podvržená, odejde podvodníkovi celý čtvrtletní úrok firmy. Podíváme se, jak žádost ověřit, kdy ji raději odložit na další výplatu a co dělat, když peníze už odešly.

Čísla v článku vycházejí z ukázkové emise a z tohoto investora:

Změna účtu pro výplatu – proč je těsně před výplatou nejriskantnější

Emitent posílá úroky na účty, které mají investoři v evidenci, a změny účtů vyřizuje průběžně během roku. Podvodník k útoku potřebuje vědět dvě věci: kdo je investor a kdy je výplata. Termíny výplat jsou v emisních podmínkách, které emitent zveřejňuje. Jméno investora a podobu jeho e-mailů zjistí podvodník často z napadené e-mailové schránky investora nebo emitenta. Žádost pak pošle těsně před výplatou, kdy back office spěchá a na ověřování nemá čas.

Stejný postup popisují policie a banky u podvržených faktur. Firma dostane zprávu, že dodavatel změnil účet, zaplatí v dobré víře a o podvodu se dozví, až se dodavatel ozve, že peníze nemá [1] [2]. U výplaty úroků je tím dodavatelem investor.

Pro emitenta je taková chyba drahá dvakrát. Firma z příkladu má 300 kusů, takže k výplatě 8. 1. 2027 jí patří 300 × 138,63 = 41 589,00 Kč (tuzemské firmě se srážková daň z úroku nesráží). Tato částka odejde na cizí účet. Investor ji ale nedostal, takže mu ji emitent bude nejspíš muset zaplatit znovu. Navíc nový účet zůstane v evidenci i pro další výplatu. Kdyby si změny nikdo nevšiml, odešlo by podvodníkovi 8. 4. 2027 ještě 300 × 135,62 = 40 686,00 Kč, za dvě výplaty tedy 41 589,00 + 40 686,00 = 82 275,00 Kč.

Jak žádost o změnu účtu ověřit

Back office dostane žádost o nový účet a ještě před zápisem do evidence si ověří, že ji opravdu poslal investor. Pravidlo je jednoduché: ověřuje se jinou cestou, než kterou žádost přišla. Policie ČR to shrnuje větou „Nejdříve ověřujte, potom plaťte“ [1]. Pro změnu účtu u emitenta to v praxi znamená:

1. Zpětné volání na telefon, který je v evidenci nebo ve smlouvě s investorem, nikdy na číslo z e-mailu nebo z žádosti. U firmy na jednatele nebo na osobu, kterou firma pro styk s emitentem určila. Back office se zeptá, jestli investor změnu opravdu chce, a nechá si nadiktovat aspoň konec nového čísla účtu.
2. Podepsaná žádost. Sken s podpisem se dá snadno vyrobit, takže jako jediný doklad nestačí. Spolu se zpětným voláním je ale dobrým dokladem, zvlášť když se podpis shoduje s podpisem na objednávce.
3. Doklad, že účet patří investorovi, třeba potvrzení banky o vedení účtu nebo výpis se jménem majitele. U firmy musí být majitelem účtu firma, ne jednatel ani jiná společnost.
4. Potvrzení na původní kontakt. Po zápisu změny pošle emitent investorovi zprávu na dosavadní e-mail nebo adresu, že účet změnil. Pravý investor ji jen vezme na vědomí, oběť podvodu se hned ozve.

Dobré je podívat se i na adresu odesílatele, protože nezvyklou adresu uvádějí banky mezi varovnými znaky [2]. Podvržená doména se od pravé často liší jen jedním písmenem nebo koncovkou. V praxi platí, že pravý investor zpětné volání ocení, protože chrání jeho peníze. Naopak tlak na přeskočení ověření („jsem v zahraničí, nemůžu k telefonu, pošlete to dnes“) je varovný signál i bez dalších znaků.

Žádost den před výplatou: stihnout ověření, nebo platit na původní účet

Žádost v našem příkladu přišla 7. 1. 2027, výplata je 8. 1. 2027 a seznam vlastníků je uzavřený od rozhodného dne 29. 12. 2026. Back office má na ověření jedno odpoledne.

Pokud do odeslání příkazu do banky stihne zpětné volání i doklad o účtu, může nový účet zapsat ještě k této výplatě. Pokud ne, je bezpečnější poslat úrok na dosavadní ověřený účet a nový zapsat až pro další výplatu. Výplata na účet, který investor dřív doložil, je obvykle v souladu s emisními podmínkami a emitent tím úrok neodkládá. Když dosavadní účet mezitím zanikl, banka platbu vrátí a emitent ji pošle znovu na ověřený nový účet (vrácenou platbu rozebírá článek Výplata úroků z dluhopisů).

Odložit výplatu jen tomuto investorovi je horší volba. Emitent by mohl být s úrokem v prodlení, pokud emisní podmínky odklad nedovolují. Já bych do emisních podmínek nebo do smlouvy s investorem rovnou napsal, že změnu účtu oznámenou po rozhodném dni emitent použije až od další výplaty. Je to stejná logika jako u převodu dluhopisu po rozhodném dni a back office pak nemusí pod tlakem nic rozhodovat.

V Bondie se změna účtu bez nahrané podepsané žádosti nezapíše a v posledních 30 dnech před výplatou je ji potřeba výslovně potvrdit. Když se účet změní až po schválení výplaty druhou osobou nebo po stažení příkazu pro banku, schválení přestane platit a příkaz se musí stáhnout znovu, takže úrok neodejde na účet, který nikdo nezkontroloval:

Schválení změny účtu druhou osobou: kdy ho zavést

U menšího emitenta často celou výplatu připraví a odešle jeden člověk z back office. Tentýž člověk může i změnit účet investora. Pokud dostane přesvědčivý podvržený e-mail, nemá ho kdo zastavit.

Řešením je princip čtyř očí: změnu účtu zapíše jeden člověk a druhý ji schválí, než se podle ní poprvé platí. Druhá osoba nemusí volat znovu. Stačí, když zkontroluje, že je u změny podepsaná žádost a záznam o zpětném volání (kdo volal, na jaké číslo a kdy). Zavést ho má smysl hlavně tam, kde jeden člověk může změnit účet i odeslat výplatu, a vždy u změn v posledních týdnech před výplatou. Práci to zdrží málo, protože změn účtů v jedné emisi za rok obvykle nebývá mnoho.

Peníze už odešly na cizí účet: co udělat hned

Investor se po výplatě ozve, že úrok nedostal, a back office zjistí, že ho poslal na účet ze včerejší žádosti. Teď rozhodují hodiny:

1. Hned zavolat do své banky, popsat situaci a požádat o pokus o zablokování nebo vrácení platby [2]. Čím dřív, tím větší šance, že peníze na cílovém účtu ještě jsou.
2. Podat trestní oznámení na Policii ČR, i když jde o menší částku.
3. Zavolat investorovi na známý kontakt, vrátit v evidenci původní účet a upozornit ho, že může mít napadenou e-mailovou schránku.
4. Projít, jestli podobná žádost nepřišla i u dalších investorů stejné emise.

V evidenci zůstane výplata tomuto investorovi vedená jako nevyplacená, dokud ji emitent neuhradí znovu. Jestli a od koho může emitent škodu vymáhat, je otázka pro právníka. U investora fyzické osoby by emitent navíc řešil, jak naložit se sraženou daní z odeslaného úroku, a to je otázka pro daňového poradce.

Závěr

• Změnu účtu těsně před výplatou zapisovat až po zpětném volání na kontakt z evidence, s podepsanou žádostí a dokladem o majiteli účtu.
• Když se ověření do výplaty nestihne, poslat úrok na dosavadní ověřený účet a nový zapsat od další výplaty.
• Změnu účtu a odeslání výplaty by neměl mít v rukou jediný člověk.
• Když peníze odejdou na cizí účet, volat hned do banky, potom na policii a investorovi.

Stav k 15. 10. 2026. Nejde o právní radu.

Reference

1. Policie České republiky, Faktura v e-mailu nemusí být skutečná [on-line]. [cit. 2026-10-15]. Dostupné z WWW: https://policie.gov.cz/ustecky-kraj/faktura-v-e-mailu-nemusi-byt-skutecna
2. Komerční banka, Podvodné faktury [on-line]. [cit. 2026-10-15]. Dostupné z WWW: https://www.kb.cz/cs/podpora/bezpecnost/typy-utoku/podvrzene-faktury