Hackeři ukradli data tisíců zákazníků energetické firmy. I když nemají bankovní údaje, oběti stále nejsou v bezpečí

Útočníci se dostali ke jménům, adresám, telefonům i číslům elektroměrů tisíců zákazníků dvou německých distributorů elektřiny.

Zdroj fotografie: Pexels

V polovině července 2026 vyšlo najevo, že hackeři pronikli do systémů externího montážního partnera firem Netze BW a Stuttgart Netze, dvou distributorů elektřiny v německém Bádensku-Württembersku. Netze BW patří do skupiny EnBW, jednoho z největších energetických koncernů v zemi. Útočníci nenapadli přímo infrastrukturu distributorů, ale prolomili zabezpečení subdodavatele, který pro ně montoval moderní elektroměry a měl oprávněný přístup k zákaznickým datům. Přesný počet zasažených zákazníků firmy nezveřejnily, veřejně se hovoří o tisících záznamů. A právě kombinace ukradených informací dělá z tohoto úniku něco víc než běžný datový incident.

Co přesně hackeři získali

Podle dosud známých informací se útočníci dostali k těmto údajům:

• jména a příjmení zákazníků,
• poštovní adresy,
• e-mailové adresy a telefonní čísla,
• čísla a sériová čísla elektroměrů,
• podle části zdrojů také fotografie elektroměrů a měřicích míst.

Bankovní účty, čísla platebních karet ani přihlašovací údaje k zákaznickým portálům mezi uniklými daty podle vyjádření firem nejsou. Na první pohled to zní uklidňujícím způsobem. Jenže v energetice je právě tento typ údajů překvapivě užitečný pro cílené podvody.

Proč je únik bez bankovních dat pořád vážný

Kdo zná vaši adresu, jméno a číslo elektroměru, může sestavit podvod, který bude působit velmi věrohodně. Německá spotřebitelská organizace Verbraucherzentrale Baden-Württemberg po zveřejnění incidentu varovala před několika konkrétními scénáři:

• Cílený phishing. E-mail nebo SMS, které odkazují na vaši skutečnou adresu a konkrétní elektroměr, vypadají úplně jinak než generický spam. Oběť snáze uvěří, že zprávu poslal skutečný distributor.
• Falešné výzvy k platbě. Podvržený dopis nebo e-mail může požadovat doplatek za údajnou povinnou výměnu měřidla. Netze BW přitom před tímto typem podvodu varovala už v lednu 2025, kdy se objevily falešné dopisy s požadavkem na platbu za údajně povinnou výměnu elektroměru. Teď mají podvodníci v rukou data, která mohou takový podvod udělat ještě přesvědčivějším.
• Neoprávněná změna dodavatele. V německé spotřebitelské praxi existují případy, kdy někdo s dostatkem identifikačních údajů zahájí proces přechodu k jinému dodavateli energie bez vědomí zákazníka.
• Telefonní sociální inženýrství. Zavolá vám někdo, kdo zná vaši adresu, číslo měřidla i jméno, a představí se jako technik. Tlačí na rychlou akci, potvrzení smlouvy, sdělení údajů nebo okamžitou platbu.

Rozdíl oproti úniku bankovních dat je v typu rizika. Nikdo vám přímo nestrhne peníze z účtu. Útočník vás ale může přesvědčit, abyste mu je poslali sami.

Slabý článek řetězce: subdodavatel

Útok nešel na samotné distributory, ale na jejich externího partnera. Ten měl přístup k zákaznickým datům kvůli montážím elektroměrů a právě jeho systémy se ukázaly jako zranitelné. Přesný technický způsob průniku veřejně znám není.

Jde o učebnicový příklad takzvaného útoku na dodavatelský řetězec. Útočník nemusí prolamovat zabezpečení regulované energetické firmy. Stačí najít slabší článek v řetězci – dodavatele, který má přístup ke stejným datům, ale nemusí mít stejnou úroveň ochrany. Berlínský distributor Stromnetz Berlin například od svých dodavatelů vyžaduje hlášení kybernetických incidentů do 24 hodin, protože je považuje za přímé riziko pro vlastní provoz.

Z pohledu odpovědnosti je situace složitější, než by se mohlo zdát. Podle pravidel GDPR nese za ochranu osobních údajů primární odpovědnost správce dat, tedy distributor. Zpracovatel, v tomto případě subdodavatel, má zároveň vlastní povinnosti a musí incident správci bez zbytečného odkladu oznámit. K bezpečnostnímu selhání tedy mohlo dojít u dodavatele, ale jeho role a odpovědnost se posuzují podle konkrétního smluvního a právního vztahu.

Může se to stát i v Česku

Český NÚKIB dlouhodobě označuje dodavatelský řetězec za jedno z klíčových kybernetických rizik strategické infrastruktury. Národní strategie kybernetické bezpečnosti na roky 2026–2030 zdůrazňuje potřebu snižovat závislost na rizikových dodavatelích. Princip je stejný jako v německém případě: i český distributor elektřiny spolupracuje s externími firmami na montážích, údržbě nebo IT. Každý z těchto partnerů tak může představovat další potenciální vstupní bod.

Pro srovnání: v lednu 2026 zasáhl podobný incident španělskou Endesu, kde se u části klientů dostaly ven i bankovní údaje. Německý případ je v tomto ohledu méně závažný, ale pro sociální inženýrství a cílené podvody jsou ukradená data stále více než dostatečná.

Jak se bránit

Pokud jste zákazníkem zasažených firem nebo obecně kdykoli dostanete podezřelý kontakt od někoho, kdo se vydává za energetickou firmu, platí jednoduchá pravidla. Neklikejte na odkazy ve zprávě. Nesdělujte hesla, platební údaje ani další osobní informace. Kontakt si ověřte přes oficiální web svého distributora, nikoli pomocí čísla nebo odkazu uvedeného v podezřelé zprávě. A pokud se u vašich dveří objeví technik s požadavkem na okamžitou platbu za „povinnou výměnu elektroměru“, je to velmi silný varovný signál.

Číslo elektroměru není tak nevinný údaj, jak se může zdát. V rukou podvodníka, který k němu zná vaše jméno a adresu, se může stát jedním z prvků, které mu pomohou vybudovat důvěryhodný příběh. A právě důvěra je v sociálním inženýrství často cennější než samotné číslo účtu.