Wraz z rosnącą liczbą samochodów elektrycznych na drogach coraz częściej w kręgu zainteresowania przestępców znajdują się stacje ładowania. Oszuści wykorzystują brak doświadczenia wielu kierowców i wymyślają metody, które pozwalają dddobrać się do ich pieniędzy lub danych. Manipulowane są czytniki kart, aplikacje, kody QR, a nawet konta użytkowników. Stefan Moeller, szef firmy wynajmującej samochody elektryczne nextmove i kierowca elektryka od 2012 roku, opisał najpopularniejsze schematy. Poniżej wyjaśniamy, jak działają i jak się przed nimi chronić.
Oszustwa na stacjach ładowania elektryków
Moeller prowadzi kanał na YouTube z około 170 tysiącami subskrybentów, na którym regularnie porusza tematy związane z ochroną konsumentów w elektromobilności. W jednym z najnowszych materiałów wyjaśnia, w jaki sposób kierowcy i operatorzy mogą się zabezpieczyć, a także jak ograniczyć szkody, gdy do oszustwa już doszło. Według niego przestępcy „polubili” ten temat, więc należy spodziewać się kolejnych ataków.
Pierwsza metoda polega na naklejaniu na stacjach ładowania sfałszowanych kodów QR. Kierowca skanuje kod i trafia na łudząco podobną do oryginału stronę internetową, która wyłudza dane płatnicze. Operatorzy tacy jak EnBW czy Ionity otwarcie ostrzegają przed tym zagrożeniem, publikując wpisy na blogach lub informując klientów przez obsługę. Kierowcy powinni w miarę możliwości unikać kodów QR albo przynajmniej sprawdzić, czy naklejka nie została zaklejona lub podmieniona. Teoretycznie oszuści mogą nawet oderwać oryginalny kod i zastąpić go własnym. Rozwiązaniem po stronie operatorów są dynamiczne kody QR wyświetlane bezpośrednio na ekranie stacji, ale i tu przestępcy próbują dokleić dodatkowe naklejki z rzekomymi promocjami lub ofertami ryczałtowymi. W tym przypadku poszkodowani są przede wszystkim sami użytkownicy.
W drugiej metodzie oszuści zakładają fikcyjne konta, z których mogą od razu ładować pojazd, podczas gdy podane dane płatnicze są weryfikowane dopiero po kilku tygodniach. Gdy okazuje się, że dane są nieprawdziwe lub na koncie nie ma środków, stratę ponosi dostawca, często kilkaset euro na jedno konto. Firmy rzadko mówią o tym publicznie, ale widać wyraźne sygnały działań zaradczych. Elli zapowiedziała w lipcu 2024 roku, że płatności będą pobierane bezpośrednio po każdym ładowaniu. Oficjalnie chodziło o większą przejrzystość, w praktyce zapewne także o ochronę przed nadużyciami. Wkrótce potem zmieniono regulamin i wprowadzono limit 300 kWh miesięcznie w ramach „uczciwego korzystania”, po którego przekroczeniu groziła blokada. Po fali krytyki Elli wyjaśniło, że zwykłych wakacyjnych podróży to nie dotyczy. Możliwa jest też wstępna autoryzacja metody płatności przed każdym ładowaniem. Klienci nie ponoszą bezpośrednich strat, ale pośrednio płacą za nie w wyższych cenach.
Przeczytaj także: Koniec popularnych elektrycznych motorowerów. Nowe przepisy wywracają wszystko do góry nogami
Tym razem przestępcy uzyskują dostęp do istniejących kont klientów. Wykorzystują zapisany środek płatniczy, a często także profile przemieszczania się czy dostęp do pojazdu, jeśli konto ładowania jest powiązane z kontem samochodu, jak w przypadku usługi „Charge myHyundai”. Hyundai ostrzegał już klientów przed podejrzaną aktywnością i zdecydowanie zalecał zmianę haseł. Podstawą takich ataków są wykradzione pary adres e-mail i hasło z wycieków danych. Przestępcy testują je automatycznie, a następnie uruchamiają sesje ładowania, które bywają odsprzedawane w grupach czatowych. Szczególnie niebezpieczne są równoległe sesje ładowania, które mogą wygenerować duże szkody, zanim oszustwo zostanie wykryte. Hyundai czasowo blokuje dotknięte konta i sprawdza transakcje. Użytkownicy powinni stosować silne, unikalne hasła, kontrolować ruch na koncie, usuwać nieużywane konta i włączyć powiadomienia push. Operatorzy mogą dodatkowo wdrożyć uwierzytelnianie dwuskładnikowe i komunikaty ostrzegawcze.
Voucher i karta ładowania – kolejne metody oszustów
Producenci przy zakupie nowego auta często oferują vouchery na ładowanie o wartości wielu tysięcy euro. Część z nich trafia potem na fora i do ogłoszeń, i właśnie tu czyha niebezpieczeństwo. Oprócz nieważnych kodów pojawiają się podejrzewane o kradzież vouchery, zwykle w podejrzanie niskich cenach. Przykładem jest voucher o wartości 1000 euro oferowany na forum za zaledwie 100 euro. Sprzedający wysłał kod z góry, by uwiarygodnić ofertę, jednak użytkownicy zgłosili podejrzenie, ogłoszenie usunięto, a wydawcę poinformowano. Szczególnie niepokojące jest, gdy kilka drogich kodów od tego samego operatora pojawia się jednocześnie. Konsumenci powinni unikać takich ofert, bo bezpieczne są tylko vouchery pochodzące bezpośrednio od producentów lub autoryzowanych partnerów.
Karty są po Plug&Charge najwygodniejszym sposobem uruchomienia stacji, ale od lat uchodzą za niebezpieczne: dane na nich są nieszyfrowane, łatwo je skopiować lub wygenerować sztucznie. Dopóki to pojedyncze przypadki, szkody są ograniczone. Gdyby jednak doszło do większego wycieku danych, problem mógłby błyskawicznie nabrać skali, łącznie z masowym blokowaniem kart. Znany przypadek pokazuje to wyraźnie: 78-letni klient EnBW, który nigdy nie oddał nikomu karty, nagle odkrył obce transakcje na ponad 300 euro, w tym równoległe sesje ładowania oddalone od siebie o setki kilometrów. Na szczęście miał włączone powiadomienia push i mógł zareagować od razu. Po interwencji Moellera EnBW anulowało rachunki, przyznając jednak, że obsługa klienta działała z opóźnieniami. Zagrożone mogą być także inni dostawcy, jak Elli czy Digital Charging Solutions. EWE Go podkreśla, że zapobiega temu celowo: ładowanie przez aplikację startuje dopiero wtedy, gdy użytkownik jest przy stacji i potwierdzi to na miejscu. Dzięki temu znajomi czy współpracownicy nie mogą zdalnie aktywować punktu ładowania. Aplikacja wysyła też powiadomienia podczas ładowania i nie dopuszcza równoległych sesji, informuje CHIP.
Jak się chronić przed oszustwami przy ładowaniu auta elektrycznego
Choć operatorzy wprowadzają coraz ostrzejsze zabezpieczenia, które czasem ograniczają wygodę, użytkownicy również mogą wiele zrobić sami. Podstawą jest bezpieczeństwo konta, czyli silne i niepowtarzalne hasła oraz usuwanie nieużywanych profili. Warto włączyć powiadomienia push, które pozwalają natychmiast wychwycić nieautoryzowane ładowanie, i regularnie sprawdzać historię płatności. Przy stacjach lepiej unikać skanowania kodów QR bez wcześniejszego sprawdzenia, czy naklejka nie została podmieniona, a przy zakupie vouchera trzymać się wyłącznie oficjalnych źródeł. W razie podejrzenia nadużycia należy szybko zablokować kartę lub konto i skontaktować się z operatorem. Zdaniem Moellera kolejne ataki są prawdopodobne, dlatego czujność użytkowników pozostaje jednym z najważniejszych elementów ochrony.