Oszuści podszywają się pod OpenAI — fałszywe maile o „problemie z opłatą” za ChatGPT

CERT Polska ostrzega w komunikacie 173/2026 z 21 września 2026 r. przed kampanią phishingową, w której cyberprzestępcy podszywają się pod firmę OpenAI. Do skrzynek e-mail trafiają wiadomości o rzekomych trudnościach z przetworzeniem płatności za subskrypcję ChatGPT, a umieszczony w nich link prowadzi do strony łudząco podobnej do oficjalnej witryny twórców chatbota. Ostrzeżenie dotyczy wszystkich użytkowników ChatGPT i ChatGPT Plus — zarówno w wersji bezpłatnej, jak i płatnej.

Jak wygląda fałszywa wiadomość o opłacie za ChatGPT

Schemat kampanii jest klasyczny, ale dopracowany graficznie. Wiadomość informuje o „problemie z przetworzeniem płatności" i ostrzega, że dostęp do usługi zostanie ograniczony, jeśli odbiorca nie zareaguje szybko. W treści znajduje się przycisk lub link opisany jako aktualizacja danych płatniczych, prowadzący do spreparowanej strony przypominającej panel OpenAI. Celem przestępców jest wyłudzenie danych osobowych, danych karty płatniczej albo bezpośrednio pieniędzy za subskrypcję, która nigdy nie zostanie przedłużona.

Według CERT Polska kluczowym narzędziem oszustów jest presja czasu. Fałszywe maile operują pilnością, terminami i groźbą natychmiastowego zablokowania konta, żeby odbiorca kliknął link, zanim sprawdzi cokolwiek w oficjalnych kanałach usługi.

Jak odróżnić prawdziwe powiadomienie od oszustwa

Najprostsza zasada: żadne powiadomienie o płatnościach nie wymaga klikania linku z wiadomości. Status subskrypcji i historii rozliczeń sprawdzaj wyłącznie po zalogowaniu się na oficjalnej stronie OpenAI lub w aplikacji, wpisując adres ręcznie albo korzystając z zakładki. Fałszywe strony są kopią wizualną, ale mają inny adres — dlatego warto spojrzeć na domenę, zanim cokolwiek wpiszemy w formularz.

Drugi sygnał to adres nadawcy i sposób sformułowania wiadomości. Masowe kampanie phishingowe rzadko zawierają poprawne dane konta, numer klienta czy historię transakcji, a ich autorzy używają ogólników: „Twoja subskrypcja", „wystąpił problem", „zaktualizuj dane". Jeśli masz wątpliwości, zaloguj się do konta osobno i porównaj informacje — prawdziwe wezwanie do zapłaty zawsze będzie widoczne również w panelu usługi.

Co zrobić, jeśli kliknąłeś w link i podałeś dane

Reakcja w pierwszych minutach decyduje o tym, czy pieniądze uda się uratować. Jeśli w formularzu znalazły się dane karty, natychmiast zadzwoń do banku i poproś o zastrzeżenie karty oraz sprawdzenie ostatnich transakcji. Numery do obsługi klienta znajdziesz w naszym katalogu: Pekao infolinia (801 365 365, całodobowo) oraz Bank Millennium infolinia (22 598 44 44, całodobowo).

• Zastrzeż kartę w aplikacji banku lub telefonicznie — nawet jeśli podejrzewasz, że nie doszło do płatności.
• Zmień hasło do konta OpenAI i do poczty, na którą przyszła wiadomość, oraz włącz weryfikację dwuetapową.
• Wyloguj aktywne sesje na wszystkich urządzeniach i sprawdź, czy w koncie nie pojawiły się nowe metody płatności.
• Zachowaj wiadomość i adres fałszywej strony — to materiał dowodowy dla banku i CERT Polska.

Gdzie zgłosić podejrzaną wiadomość

Phishing zgłosisz bezpłatnie i w kilka minut: przez formularz na stronie incydent.cert.pl albo w aplikacji mObywatel, w usłudze „Bezpiecznie w sieci". Każde zgłoszenie pomaga zablokować kolejne kopie fałszywej strony i ostrzec innych użytkowników. Jeśli interesuje Cię szerszy obraz kampanii phishingowych z ostatnich tygodni, zobacz nasz wpis o fali fałszywych maili phishing „Witamy w Amazon Prime".

Najczęstsze pytania

Czy OpenAI dzwoni do klientów w sprawie płatności?

Nie. Kampania opisana przez CERT Polska prowadzona jest kanałem e-mail, a nie telefonicznym, i opiera się na linku do fałszywej strony. Jeśli ktoś dzwoni i przedstawia się jako pracownik OpenAI lub „dział wsparcia ChatGPT", prosząc o kod BLIK, dane karty albo zainstalowanie aplikacji, to próba oszustwa — rozłącz się i nie podawaj żadnych danych.

Czy ChatGPT ma infolinię telefoniczną?

OpenAI nie prowadzi klasycznej infolinii z numerem telefonu. Wsparcie odbywa się kanałami online — przez czat i formularze w Centrum Pomocy. Aktualne kanały kontaktu opisujemy w wpisie Infolinia OpenAI: to najbezpieczniejsza droga, bo adres wpisujesz samodzielnie, zamiast klikać link z podejrzanej wiadomości.

Czy podanie danych karty na fałszywej stronie oznacza utratę pieniędzy?

Nie zawsze, ale ryzyko jest bardzo wysokie — dane trafiają w ręce przestępców, którzy mogą nimi zapłacić w internecie lub odsprzedać je dalej. Dlatego po takiej sytuacji trzeba działać natychmiast: zastrzec kartę w banku, sprawdzić historię transakcji i złożyć reklamację nieautoryzowanych płatności. Im szybciej zgłosisz sprawę, tym większa szansa na odzyskanie środków.