Fałszywa faktura PGE w SMS-ie — „niedopłata za prąd”

Krótki SMS, kilka złotych „niedopłaty” i groźba odłączenia prądu jeszcze dziś. Tak wygląda jedno z najczęściej powracających oszustw w Polsce — fałszywa faktura PGE rozsyłana SMS-em lub e-mailem. CERT Polska ostrzega przed nią od lat, a scenariusz co jakiś czas wraca w nowej odsłonie: raz jako niedopłata, raz jako rzekomy zwrot nadpłaty.

Jak działa to oszustwo

Dostajesz SMS-a, który wygląda na wiadomość od dostawcy prądu. Typowa treść wygląda tak, jak w komunikacie policji:

„Na dzień 23.03 zaplanowano odłączenie energii elektrycznej! Prosimy o uregulowanie należności: pge-obrot[.]online/…”

Inne warianty mówią o „niedopłacie do faktury”, „nieuregulowanym rachunku za energię” albo — odwrotnie — o nadpłacie, którą możesz odzyskać po kliknięciu w link. Przychodzi też fałszywy e-mail od dostawcy prądu, z wezwaniem do zapłaty lub „fakturą” w linku.

Mechanizm jest zawsze ten sam. Oszuści wysyłają wiadomości masowo, na losowe numery — dlatego SMS o „zaległości w PGE” dostają też osoby, które klientami PGE nigdy nie były. Link prowadzi na stronę łudząco podobną do prawdziwego serwisu, a stamtąd do podrobionej bramki płatności, imitującej znane serwisy szybkich przelewów. Jak zwraca uwagę CERT Polska, jedyną wiarygodną wskazówką jest adres domeny — reszta bywa łudząco podobna do oryginału. Tam wpisujesz login i hasło do banku albo dane karty. Te dane trafiają prosto do przestępców, którzy próbują wyprowadzić z konta tyle, ile się da. Drobna kwota z SMS-a jest tylko przynętą: nie chodzi o Twoje 5 zł, tylko o dostęp do rachunku.

To jedna z wielu odmian phishingu SMS — pełną listę podobnych schematów znajdziesz w naszym przeglądzie: wszystkie metody oszustw w Polsce.

Co zrobić, gdy to się dzieje

• Nie klikaj w link i niczego nie płać. Prawdziwe SMS-y PGE o zaległościach zawsze zawierają numer klienta i — jak podkreśla spółka w komunikacie cytowanym przez policję — „nie ma tam natomiast linku kierującego do systemów płatności internetowych”.
• Sprawdź saldo u źródła. Zaloguj się do eBOK-a lub aplikacji swojego dostawcy energii, wpisując adres ręcznie, albo zadzwoń na infolinię z numeru podanego na jego oficjalnej stronie — nigdy z numeru czy linku z podejrzanej wiadomości.
• Kliknąłeś i podałeś dane? Natychmiast skontaktuj się ze swoim bankiem — policja radzi zrobić to z innego telefonu. Zastrzeż kartę, jeśli podawałeś jej dane, i zmień hasło do bankowości elektronicznej.
• Zachowaj wiadomość. Zrzut ekranu i treść SMS-a przydadzą się przy zgłoszeniu — nie kasuj ich od razu.

Gdzie zgłosić

• CERT Polska — podejrzanego SMS-a przekaż na numer 8080 (funkcja „przekaż” w telefonie). Fałszywą stronę lub e-mail zgłosisz formularzem na incydent.cert.pl. Każde zgłoszenie pomaga zablokować kampanię, zanim ktoś inny straci pieniądze.
• Twój bank — jeśli wpisałeś dane karty na podrobionej bramce płatności, zadzwoń na infolinię banku od razu. CSIRT KNF (knf.gov.pl) obsługuje zgłoszenia od samych instytucji finansowych, nie indywidualne sprawy klientów.
• Policja — jeśli straciłeś pieniądze lub podałeś dane, zgłoś sprawę na najbliższym komisariacie albo zadzwoń pod 112.

Całą procedurę krok po kroku — z tym, co przygotować i czego się spodziewać — opisaliśmy w poradniku gdzie zgłosić oszustwo.