„Masz zwrot podatku”? CERT Polska ostrzega przed fałszywymi wiadomościami od podatki.gov.pl

„Masz nadpłatę podatku, potwierdź dane, a pieniądze trafią na Twoje konto”. Tak zaczyna się wiadomość, która znów krąży po polskich skrzynkach i telefonach. CERT Polska ostrzega 2 listopada przed powrotem kampanii podszywającej się pod serwis podatki.gov.pl. Zamiast zwrotu można stracić dane, a potem oszczędności z konta.

Jak wygląda ten atak

Według komunikatu CERT Polska oszuści piszą o rzekomym zwrocie podatku i zachęcają do kliknięcia w link. Prowadzi on do strony udającej rządowy serwis. Najpierw ofiara wypełnia formularz z imieniem, nazwiskiem, numerem PESEL, numerem telefonu i numerem rachunku bankowego. To jednak dopiero pierwszy etap. Potem strona przekierowuje do kolejnego formularza, który wygląda jak logowanie do banku. Wpisane tam login i hasło trafiają prosto do przestępców.

Ministerstwo Finansów opisywało podobne wiadomości już w październiku. Fałszywe maile wyglądają wiarygodnie: powołują się na przepisy, podają konkretną kwotę nadpłaty i rok podatkowy, mają numer referencyjny i podpis Ministerstwa Finansów albo eUrzędu Skarbowego. Często pojawia się też presja czasu, na przykład informacja, że dane trzeba potwierdzić w ciągu 48 godzin, bo inaczej zwrot przepadnie.

Dlaczego to działa akurat teraz

Zwrot podatku to temat, który budzi pozytywne emocje. Mało kto chce przegapić kilkaset czy kilka tysięcy złotych, więc łatwiej kliknąć bez zastanowienia. Do tego wiele osób nie pamięta dokładnie, czy i kiedy powinno dostać pieniądze z urzędu, a jesienią część podatników nadal czeka na rozpatrzenie korekt czy ulg. Oszuści wykorzystują tę niepewność. Pod koniec roku dochodzi jeszcze gorączka zakupów i promocji, kiedy dostajemy dużo wiadomości o płatnościach i łatwiej przeoczyć jedną podejrzaną.

Najważniejsza zasada: urząd tak nie pisze

Ministerstwo Finansów i Krajowa Administracja Skarbowa jasno przypominają, że nie wysyłają maili ani SMS-ów z prośbą o potwierdzenie numeru konta czy danych identyfikacyjnych w celu wypłaty nadpłaty. Jeśli więc wiadomość każe „zweryfikować dane”, by otrzymać zwrot, to jest to próba wyłudzenia, niezależnie od tego, jak profesjonalnie wygląda.

Prawdziwy status zwrotu sprawdzisz sam w eUrzędzie Skarbowym. Wpisz adres podatki.gov.pl ręcznie w przeglądarce albo otwórz aplikację mobilną eUrząd Skarbowy i zaloguj się wybraną metodą, na przykład profilem zaufanym, mObywatelem albo przez bank. Tam widać rozliczenia i to, czy zwrot został zlecony.

Co zrobić, gdy dostaniesz taką wiadomość

• Nie klikaj w link i nie otwieraj załączników. Nie odpowiadaj na wiadomość.
• Sprawdź nadawcę. Fałszywe maile przychodzą z adresów, które nie należą do KAS. Pamiętaj jednak, że nadawcę da się podrobić, więc sam adres nie jest dowodem autentyczności.
• Zgłoś wiadomość do CERT Polska przez formularz incydent.cert.pl. Podejrzany SMS możesz bezpłatnie przesłać na numer 8080. Przydatna jest też usługa „Bezpiecznie w sieci” w aplikacji mObywatel.
• Masz wątpliwości? Zadzwoń na infolinię KAS pod numer 22 330 03 30 albo umów wizytę w swoim urzędzie skarbowym.

Jeśli już podałeś dane

Działaj od razu. Zadzwoń do swojego banku i zablokuj dostęp do bankowości elektronicznej oraz kartę, a potem zmień hasło, najlepiej z innego, zaufanego urządzenia. Zastrzeż PESEL w aplikacji mObywatel lub na gov.pl, żeby utrudnić wzięcie kredytu na Twoje dane. Zgłoś sprawę do CERT Polska, a jeśli z konta zniknęły pieniądze, także na policję. Przejrzyj historię transakcji i nie akceptuj żadnych operacji, których sam nie zlecałeś.

Warto też uprzedzić bliskich, szczególnie starszych członków rodziny. To proste przypomnienie, że urząd skarbowy nie prosi mailem o numer konta, potrafi uchronić przed dużą stratą.

Źródło: CERT Polska – Wiadomość o zwrocie podatku? Uważaj na kradzież danych!, podatki.gov.pl – Uwaga na fałszywe e-maile podszywające się pod e-Urząd Skarbowy i Ministerstwo Finansów

Artykuł zredagowany przy pomocy AI.