falszywy rachunek za prad

Fałszywy rachunek za prąd – próba wyłudzenia pieniędzy lub danych osobowych przez oszustów podszywających się pod firmy energetyczne lub instytucje publiczne. Ministerstwo Klimatu i Środowiska oraz Urząd Regulacji Energetyki regularnie ostrzegają przed trzema głównymi formami tego oszustwa. Pierwsza i najczęstsza to fałszywy e-mail z załącznikiem PDF – cyberprzestępcy rozsyłają wiadomości informujące o rzekomych zaległościach w rachunkach za energię elektryczną, używając haseł o „pilnej dopłacie” lub „weryfikacji danych”. Jak wskazuje MKiŚ, ministerstwo nigdy nie wysyła wezwań do uregulowania rachunków za energię drogą mailową. Celem tych wiadomości jest wyłudzenie płatności lub przejęcie danych odbiorców.

Druga forma to SMS z linkiem do fałszywej strony płatności. Oszuści wysyłają na telefon komórkowy informację o nieopłaconym rachunku za energię elektryczną. W wiadomości znajduje się link, którego kliknięcie może skutkować instalacją złośliwego oprogramowania na urządzeniu lub przekierowaniem na stronę wyłudzającą dane logowania do bankowości. Policja ostrzega, by nigdy nie otwierać takich linków i nie podawać danych na stronach, do których prowadzą.

Trzecia forma to papierowe wezwanie do zapłaty wysyłane pocztą tradycyjną. Oszuści podszywają się pod pracowników firm dostarczających energię elektryczną i rozsyłają pisma z wezwaniem do uregulowania zaległości. Przed wykonaniem przelewu należy zawsze zweryfikować dane nadawcy – numer klienta, adres punktu poboru i numer rachunku bankowego – bezpośrednio u swojego sprzedawcy energii. URE podkreśla, że fałszywe wezwania mają na celu wyłudzenie płatności lub danych od odbiorców, i zaleca zachowanie szczególnej ostrożności przed wpłacaniem pieniędzy na podstawie jakiejkolwiek korespondencji, której autentyczności nie potwierdzono u źródła.

Firmy z sektora MŚP płacą za energię elektryczną od 3 000 do 15 000 zł miesięcznie – kwoty, które nie wzbudzają alarmu w księgowości, bo mieszczą się w normalnym zakresie kosztów operacyjnych. Cyberprzestępcy wykorzystują ten fakt: fałszywy rachunek na 4 200 zł wygląda wiarygodnie obok prawdziwych faktur o zbliżonej wartości. Ministerstwo Klimatu i Środowiska ostrzega, że oszuści rozsyłają wiadomości e-mail informujące o rzekomych zaległościach, stosując hasła o pilnej dopłacie lub konieczności weryfikacji danych. Celem jest wyłudzenie płatności lub danych od odbiorców – jak potwierdza Urząd Regulacji Energetyki.

Mechanizm ataku na MŚP opiera się na trzech elementach: presji czasu, wiarygodnej kwocie i linku do fałszywej bramki płatniczej. Oszuści wysyłają SMS-y lub e-maile z informacją o nieopłaconym rachunku za energię elektryczną, a w wiadomości znajduje się link, którego nie wolno otwierać – po kliknięciu może zostać zainstalowane złośliwe oprogramowanie na urządzeniu. Policja w Kłodzku dokumentuje przypadki, w których kliknięcie takiego linku prowadziło do przejęcia dostępu do konta bankowego firmy. Dla jednoosobowej działalności utrata 5 000-10 000 zł z rachunku firmowego oznacza realny problem z płynnością.

Skala phishingu energetycznego rośnie, bo branża energetyczna daje oszustom naturalny pretekst – każda firma płaci za prąd, więc fałszywe wezwanie trafia w realne zobowiązanie. Przestępcy podszywają się zarówno pod dostawców energii, jak i pod instytucje publiczne, w tym ministerstwa. URE podkreśla, że coraz częściej narażeni jesteśmy na działania cyberprzestępców polegające na wysyłaniu fałszywych e-maili z informacją o braku uregulowania należności. MŚP, które nie ma dedykowanego działu IT ani procedur weryfikacji faktur za energię, stanowi łatwiejszy cel niż korporacja z wielopoziomową autoryzacją płatności.

Każdy przelew za energię powyżej 2 000 zł powinien przejść przez zasadę dwóch par oczu – jedna osoba przygotowuje płatność, druga ją zatwierdza po niezależnej weryfikacji danych odbiorcy. Cyberprzestępcy celowo wysyłają faktury na kwoty mieszczące się w typowym zakresie kosztów firmy, licząc na automatyczne przetworzenie przez księgowość. Wprowadzenie podwójnej autoryzacji eliminuje scenariusz, w którym pojedynczy pracownik pod presją czasu przelewa pieniądze na podstawione konto. Próg 2 000 zł to rozsądne minimum dla MŚP – firmy z wyższymi rachunkami mogą go podnieść, ale nie powinny rezygnować z reguły całkowicie.

Drugi filtr to weryfikacja numeru konta bankowego z umową lub panelem eBOK sprzedawcy. Urząd Regulacji Energetyki podkreśla, że fałszywe wezwania mają na celu wyłudzenie płatności lub danych od odbiorców – numer rachunku bankowego w podejrzanej fakturze nigdy nie powinien być jedynym źródłem informacji o tym, dokąd wysłać przelew. Przed każdą płatnością księgowość powinna porównać numer konta z danymi w podpisanej umowie dystrybucyjnej lub sprawdzić go bezpośrednio w elektronicznym biurze obsługi klienta swojego sprzedawcy. Jeśli numer się nie zgadza – płatność nie wychodzi, a faktura trafia do weryfikacji.

Trzecie zabezpieczenie to szkolenie pracowników z rozpoznawania phishingu. Ministerstwo Klimatu i Środowiska ostrzega, że oszuści podszywają się pod instytucje publiczne oraz firmy energetyczne, informując o rzekomych zaległościach i konieczności pilnej dopłaty. Materiały szkoleniowe publikowane przez CERT Polska zawierają aktualne przykłady fałszywych wiadomości i procedury zgłaszania incydentów. Dla firmy zatrudniającej 5-50 osób wystarczy jedno 30-minutowe szkolenie kwartalne połączone z wysyłką testowych wiadomości phishingowych – pracownik, który choć raz kliknie w symulowany link, znacznie lepiej rozpoznaje prawdziwe zagrożenie przy następnej próbie.