5 Minuty
Ministerstwo Energii wydało pilne ostrzeżenie: oszuści masowo podszywają się pod PGE oraz instytucje państwowe, oferując rzekome „nadpłaty za prąd”. Ataki są profesjonalnie przygotowane — wiarygodne wiadomości zawierają kwoty, numery spraw, podstawy prawne i logotypy, a linki prowadzą do fałszywych portali imitujących strony operatorów energetycznych.
Jak wygląda atak krok po kroku?
Dostajesz SMS lub e‑mail z informacją o zwrocie pieniędzy. Komunikat zachęca do „zalogowania się, aby odebrać środki”. Link przekierowuje na stronę przypominającą portal PGE, gdzie możesz wybrać swój bank i podać dane logowania. W zaawansowanych wariantach pojawia się dodatkowa weryfikacja kodem SMS lub potwierdzenie w aplikacji mobilnej — to trik, by zmylić, że to normalna procedura bankowa. Ostatecznie oszust prosi o dane karty i kod 3D Secure. Ofiara nadal myśli, że odbiera pieniądze, a przestępca przejmuje konto.
Skutki w minutach
Cały proces trwa kilka minut. W tym czasie napastnik może wykonywać transakcje kartą, dodać siebie jako zaufanego odbiorcę przelewów i próbować „wyczyścić” konto. Często użytkownik nie zdąży zareagować.
Pięć czerwonych flag ostrzegawczych
- Podejrzany nadawca – nietypowa domena, nieznany numer, literówki w adresie e‑mail.
- Presja czasu – wezwanie do natychmiastowego działania („masz 24 godziny”, „konto zostanie zablokowane”).
- Nieznany link – skrócony adres lub domena łudząco podobna do oficjalnej.
- Błędy językowe – nadmierne formatowanie, literówki, nienaturalne sformułowania.
- Fałszywe dane instytucjonalne – nieprawidłowe adresy, NIP-y, nazwy.
Problem w tym, że najlepsze kampanie phishingowe nie popełniają już takich błędów. Wiadomości bywają napisane poprawnie, z profesjonalną identyfikacją wizualną i linkami wyglądającymi jak prawdziwe. Dlatego najpewniejsza zasada: nie klikaj linków dotyczących pieniędzy. Zamiast tego wpisz adres usługi ręcznie w przeglądarce.
Dane i skala problemu w Polsce (lokalny kontekst)
Raporty CSIRT NASK i CERT Polska pokazują dramatyczne liczby: w jednym miesiącu zarejestrowano 11 tys. incydentów phishingowych; od początku roku dodano niemal 197,5 tys. złośliwych domen do list ostrzeżeń; tylko w październiku powstało 36,9 tys. nowych domen phishingowych. W ciągu 10 miesięcy zablokowano ponad 1,6 mln SMS-ów o charakterze phishingowym. 76% Polaków otrzymało przynajmniej jedną wiadomość phishingową, a średnia strata ofiary to około 3 200 zł.
Ministerstwo Cyfryzacji i branża energetyczna podkreślają, że energetyka jest jednym z najbardziej narażonych sektorów — Polska sieć jest obserwowana przez globalne ośrodki, a nawet wysoki poziom wykrywalności (ok. 99%) nie gwarantuje bezpieczeństwa, bo 1% udanych ataków to setki ofiar.
Porównanie z rynkami sąsiednimi — co robią w Lietuva?
Podobne kampanie obserwuje się także poza Polską — ataki trafiają do użytkowników w Lietuva i na Lietuvos rinka. Raporty z Wilna i z największych miast jak Vilniuje czy Kaune pokazują, że lietuviams również rośnie liczba fałszywych SMS‑ów i domen. To dowód, że przestępcy działają transgranicznie i korzystają z podobnych narzędzi w regionie.
Funkcje i narzędzia obronne — co warto mieć
Funkcje dla użytkowników indywidualnych
- Dwustopniowa weryfikacja (2FA) — preferuj aplikacje uwierzytelniające zamiast SMS.
- 3D Secure – chroni płatności kartowe, ale nie zastąpi ostrożności przy podawaniu danych karty.
- Menedżer haseł — generuje i przechowuje unikalne hasła, redukując ryzyko ponownego użycia.
- Filtrowanie SMS i spam‑filter w systemie operacyjnym oraz od operatora telekomunikacyjnego.
Rozwiązania dla biznesu i operatorów
- Platformy Threat Intelligence integrujące wzorce oszustw (ang. IOC) z systemami blokującymi.
- Szkolenia pracowników i symulacje phishingowe — najskuteczniejsze w redukcji ryzyka wewnętrznego.
- Współpraca z CSIRT NASK i raportowanie zgłoszeń w czasie rzeczywistym.
Co robić, gdy otrzymasz podejrzaną wiadomość?
- Zgłoś incydent do CSIRT NASK przez formularz: incydent.cert.pl — prześlij treść wiadomości, załączniki i nagłówki maila.
- Prześlij podejrzany SMS na numer 8080 (bezpłatnie) — to numer CERT Polska do zgłaszania fałszywych wiadomości.
- Jeśli podałeś dane karty — natychmiast zadzwoń do banku i zablokuj kartę.
- W razie wątpliwości dzwoń na oficjalne numery instytucji zamiast odpowiadać na wiadomości.
Zestaw żelaznych zasad bezpieczeństwa
Nie klikaj linków dotyczących pieniędzy, paczek czy rachunków. Zawsze sprawdzaj domenę nadawcy — jedna litera różnicy to często oszustwo. Włącz 2FA, korzystaj z menedżera haseł i unikaj podawania pełnych danych karty poza zaufanymi stronami. Edukuj bliskich i pracowników — skuteczne działania profilaktyczne to często najlepsza obrona.
Polska scena cyberbezpieczeństwa reaguje i adaptuje narzędzia, ale ostateczna linia obrony leży po stronie użytkowników. Zarówno konsumenci w Polsce, jak i lietuviams na Lietuvos rinka powinni zachować szczególną ostrożność — ataki są szybkie, precyzyjne i coraz trudniejsze do wykrycia.
Źródło: spidersweb
Zostaw komentarz