Zwrot z PGE? Nie – to oszustwo!
Na skrzynki pocztowe polskich internautów trafiają maile, sugerujące, że czeka ich zwrot z PGE. Powodem ma być „dekret państwowy dotyczący redukcji cen energii elektrycznej”. To oszustwo, zmierzające do wyłudzenia danych Twojej karty płatniczej.
Choć dominującą metodą dostarczania phishingu jest SMS, oszustom wciąż zdarza się wysyłać e-maile. Przede wszystkim w sytuacji, gdy podszywają się pod dużą, poważną firmę. Może to wzmocnić zaufanie ofiary.
Faktura skorygowana – zwrot z PGE
PGE (Polska Grupa Energetyczna) to sprzedawca energii i operator dystrybucji dla odbiorców detalicznych. W skali kraju PGE Dystrybucja odpowiada za dostawy prądu dla około 25–30% wszystkich odbiorców w Polsce (mieszkańców i firm).
Mail, który trafił prosto na skrzynkę CERT Orange Polska (cert_opl@orange.com, polecamy nie tylko oszustom), choć udawał w stylistyce PGE, nadany został z prywatnego adresu w domenie jednego z krajowych dostawców e-mail. Link prowadził do strony w domenie .jp.
Gdy „zalogujemy” się na stronie (cudzysłów nieprzypadkowy, w trakcie analizy wpisałem losowy login i hasło):
trafiamy na informację o tym, że czeka na nas zwrot z PGE. Ale nie w kwocie zapowiadanej w mailu. Po „zalogowaniu” (czyli podaniu oszustom naszego loginu i hasła) dowiadujemy się, że czeka na nas 279,29 PLN.
Różnica wynosi zaledwie 16 groszy, ale jeśli ktoś doszedł do tego miejsca, powinna zapalić mu się czerwona lampka. W systemach billingowych co do zasady nie zdarzają się takie pomyłki. I o ile po przejściu do zlecenia zwrotu na wystawionym przez oszustwa formularzu też widzimy kwotę kończącą się 29 groszami…
po wpisaniu danych „Autopay procesuje nasz zwrot”:
by ostatecznie okazało się, że choć zwrot miał być na kartę, ale tak naprawdę to zwrot nastąpi za pośrednictwem Google/Apple Pay. A kwota ma wynieść… jednak 52.30 PLN.
Portfele cyfrowe Google i Apple służą do wydawania pieniędzy. Technicznie za ich pośrednictwem nie da się pieniędzy uzyskać. Do czego zatem ma służyć podanie kodu? Z prawdopodobieństwem graniczącym z pewnością oszust w ten sposób zamaskował monit o podanie kodu 3D Secure. Jest on bardzo często wymaganego przy płatnościach kartą online.
Jak nie paść ofiarą oszustwa?
Porady są podobne dla większości scamów, ale warto je powtórzyć:
- upewnij się, czy masz konto u danego dostawcy usługi (maile, czy SMS-y są wysyłane hurtowo, oszuści nie dysponują bazą klientów danego usługodawcy)
- sprawdź adres nadawcy e-maila
- czy link na pewno prowadzi do strony usługodawcy?
- jeśli wpisujesz gdziekolwiek hasła i/lub dane karty płatniczej – upewnij się, czy to strona usługodawcy, banku, czy bramki płatności
- załóż, że nie ma czegoś takiego jak zwrot pieniędzy na kartę w procedurze on-line; z takim przypadkiem możesz spotkać się w sklepie stacjonarnym, zwracając towar
- jeśli przychodzi do Ciebie SMS związany z płatnością – przeczytaj dokładnie jego treść; w przytaczanym przypadku informowałaby ona o tym, że właśnie potwierdzasz płatność w sieci oraz o jej kwocie
No i pamiętaj, że jeśli faktycznie masz nadpłatę u usługodawcy, ogólnie przyjętą praktyką jest rozliczanie jej przy kolejnych fakturach.
Nie daj się oszukać!
