Oszuści podszywają się pod dostawcę prądu. CERT Polska ostrzega przed fałszywą korektą prognozy zużycia

CERT Polska 17 września 2026 r. opublikował komunikat [172/2026], w którym ostrzega przed trwającą kampanią phishingową podszywającą się pod dostawcę energii elektrycznej. Oszuści rozsyłają e-maile o rzekomej „korekcie prognozy należności" za prąd i informują o przysługującym zwrocie nadpłaconych środków. Link z wiadomości prowadzi do fałszywej strony łudząco podobnej do oficjalnego serwisu dostawcy, a jej celem jest wyłudzenie danych osobowych oraz danych kart płatniczych. Ostrzeżenie dotyczy wszystkich odbiorców prądu w Polsce — niezależnie od tego, z jakim sprzedawcą mają umowę.

Na czym polega fałszywa „korekta prognozy zużycia prądu"

Mechanizm ataku jest prosty i opiera się na temacie, który budzi emocje: pieniądzach za prąd. Wiadomość e-mail wygląda jak standardowa korespondencja od dostawcy energii — ma firmowe logo, stopkę i podpis, a w treści pojawia się informacja, że po weryfikacji prognozy zużycia klientowi należy się zwrot nadpłaty. Aby go otrzymać, wystarczy kliknąć link i „potwierdzić dane".

To właśnie jest moment, w którym dochodzi do przestępstwa. Fałszywa strona prosi kolejno o dane osobowe, numer PESEL, a w następnym kroku o pełny numer karty płatniczej, datę ważności i kod CVV. CERT Polska podkreśla wprost, że wygląd strony ani umieszczone na niej logo firmy nie są wystarczającym potwierdzeniem autentyczności — przestępcy kopiują szatę graficzną wiernie, a jedyne, co ich zdradza, to adres internetowy i domena nadawcy wiadomości.

Jak rozpoznać oszustwo — cztery sygnały ostrzegawcze

Komunikat CERT Polska wymienia konkretne kroki, które warto wykonać jeszcze przed kliknięciem czegokolwiek w podejrzanym e-mailu. Po pierwsze, sprawdź poprawność adresu e-mail nadawcy — oszuści używają domen łudząco podobnych do oryginału, np. z dodatkową literą lub inną końcówką. Po drugie, najedź kursorem na link i sprawdź, na jaką domenę faktycznie prowadzi — adres widoczny w treści może różnić się od rzeczywistego.

Po trzecie, żadna prawdziwa firma energetyczna nie prosi o dane karty płatniczej w celu wypłaty zwrotu nadpłaty — zwroty realizuje się przelewem na numer konta zapisany w umowie. Po czwarte, w razie jakichkolwiek wątpliwości nie podawaj danych osobowych ani płatniczych, tylko zweryfikuj sprawę bezpośrednio u swojego dostawcy, korzystając z oficjalnych kanałów kontaktu.

Jak zweryfikować sprawę u prawdziwego dostawcy prądu

Najbezpieczniejszym sposobem potwierdzenia informacji jest telefon na oficjalną infolinię sprzedawcy, którego numer znajdziesz na fakturze lub w umowie — nie w linku z e-maila. Numer TAURON to 55 544 45 55, czynny w dni powszednie od 7:00 do 20:00. PGE ma infolinię 22 340 11 77, a Enea — 61 111 11 11, czynną od 7:00 do 19:00 w dni robocze. Klienci Energi mogą dzwonić pod 801 404 404 w godzinach 8:00–18:00.

Warto też pamiętać o dwóch numerach niezależnych od sprzedawcy. Awarię sieci i przerwy w dostawie prądu zgłaszasz do pogotowia energetycznego właściwego dla swojego operatora systemu dystrybucyjnego, a kwestie sporne dotyczące taryf i rozliczeń wyjaśnia Urząd Regulacji Energetyki pod numerem 22 487 55 70 (pn-pt 8:15–16:15).

Gdzie zgłosić podejrzaną wiadomość

Każde zgłoszenie realnie zwiększa bezpieczeństwo innych użytkowników. Podejrzane wiadomości i strony internetowe można przekazać do CERT Polska przez formularz na stronie incydent.cert.pl. Drugą drogą jest usługa „Bezpiecznie w sieci" dostępna w aplikacji mObywatel, która pozwala zgłosić incydent bezpośrednio z telefonu, bez wypełniania formularza w przeglądarce.

Jeśli dane karty płatniczej zostały już podane na fałszywej stronie, należy natychmiast zadzwonić do banku i zablokować kartę — numer do banku jest zwykle podany na odwrocie karty. Szybka reakcja pozwala zatrzymać nieautoryzowane transakcje, zanim zdążą zostać rozliczone. Warto też zachować treść wiadomości jako dowód dla banku i policji.

Kampania z komunikatu 172/2026 nie jest odosobniona. CERT Polska tylko we wrześniu 2026 r. ostrzegał m.in. przed phishingiem podszywającym się pod Play, fałszywą subskrypcją Amazon Prime oraz wiadomościami o rzekomym „problemie z dostawą" od kuriera. Schemat jest zawsze ten sam: znana marka, pilna sprawa i link do fałszywej strony. Pomocne w rozpoznawaniu takich prób są też nasze zestawienia numerów, których lepiej nie odbierać, oraz opis ostatniej kampanii podszywającej się pod UPS.

Najczęstsze pytania

Czy dostawca prądu może e-mailem zaproponować zwrot nadpłaty?

Może poinformować o rozliczeniu, ale nigdy nie wymaga w tym celu podania numeru karty płatniczej ani kodu CVV. Zwrot nadpłaty realizowany jest przelewem na rachunek wskazany w umowie lub na wniosek złożony w oficjalnym serwisie eBOK. Jeśli wiadomość prosi o „potwierdzenie danych karty", to niemal pewny phishing.

Jak sprawdzić, czy e-mail naprawdę pochodzi od mojego dostawcy energii?

Porównaj domenę w adresie nadawcy z domeną podaną na fakturze i w umowie — oszuści rejestrują zbliżone adresy. Nie klikaj linków, tylko wpisz adres serwisu dostawcy ręcznie lub zadzwoń na infolinię z faktury. W razie wątpliwości poproś o potwierdzenie zgłoszenia w oficjalnym kanale obsługi klienta.

Co zrobić, jeśli podałem już dane karty na fałszywej stronie?

Natychmiast zadzwoń do banku i zablokuj kartę, a następnie zgłoś incydent do CERT Polska przez incydent.cert.pl lub w usłudze „Bezpiecznie w sieci" w mObywatelu. Sprawdź historię transakcji i zgłoś reklamację nieautoryzowanych obciążeń — im szybciej, tym większa szansa na odzyskanie środków.