KAS ostrzega przed oszustami: fałszywe SMS-y i maile o zwrocie podatku PIT

Krajowa Administracja Skarbowa ostrzega przed nową falą oszustw phishingowych. Przestępcy rozsyłają fałszywe wiadomości e-mail i SMS o rzekomym zwrocie nadpłaconego podatku PIT, nakłaniając odbiorców do potwierdzenia danych i „zaktualizowania preferowanej metody płatności”. To próba wyłudzenia informacji lub pieniędzy.

Mechanizm jest prosty i dlatego groźny. Do skrzynki albo na telefon trafia wiadomość, która wygląda jak oficjalna korespondencja z urzędu skarbowego. Kusi konkretną kwotą do wypłaty i straszy jej utratą, jeśli szybko nie potwierdzisz swoich danych. W praktyce chodzi o przejęcie dostępu do konta bankowego.

Oszuści podszywają się pod KAS i obiecują zwrot podatku PIT

Fałszywe wiadomości są zatytułowane w sposób budzący zaufanie, na przykład „Zwrot podatku został zatwierdzony”. Nadawcy podszywają się pod portal podatki.gov.pl oraz e-Urząd Skarbowy, a w treści pojawiają się zmyślone kwoty nadpłaty (jak 2210,25 zł) i numer referencyjny dokumentu, który ma uwiarygodnić przekaz.

Sedno oszustwa to żądanie potwierdzenia danych. Odbiorca ma „zweryfikować” numer rachunku bankowego albo zaktualizować metodę płatności, żeby pieniądze mogły do niego trafić. W rzeczywistości podane dane wędrują wprost do przestępców.

– Ostrzegamy przed kolejną falą oszustw phishingowych. Przestępcy rozsyłają fałszywe wiadomości e-mail, w których informują o rzekomym zwrocie podatku PIT. W przesłanych wiadomościach informują, że zwrot podatku wymaga potwierdzenia swoich danych, w tym aktualizacji rachunku bankowego w ciągu 48 godzin. Jest to próba wyłudzenia informacji lub środków finansowych – czytamy w komunikacie Krajowej Administracji Skarbowej.

Presja czasu i fałszywe wiadomości – tak działają cyberprzestępcy

Najważniejszym narzędziem oszustów jest pośpiech. Wiadomość wymaga potwierdzenia danych lub aktualizacji rachunku bankowego w ciągu 48 godzin, pod rygorem utraty rzekomego zwrotu. Chodzi o to, by ofiara działała pod wpływem stresu i nie zdążyła na spokojnie sprawdzić, czy pismo jest prawdziwe.

Warto zapamiętać jedną zasadę. KAS i Ministerstwo Finansów nigdy nie wysyłają e-maili ani SMS-ów z prośbą o potwierdzenie numeru konta bankowego, podanie haseł czy innych danych w celu realizacji zwrotu nadpłaty podatku dochodowego. Każda taka wiadomość to sygnał ostrzegawczy.

Ataki tego typu wracają cyklicznie. Phishing wykorzystujący motyw zwrotu PIT nasila się po okresie składania rocznych deklaracji oraz w okresach wakacyjnych wypłat nadpłat, gdy wiele osób faktycznie czeka na przelew z urzędu i łatwiej daje się zwieść.

Jak bezpiecznie sprawdzić rozliczenie i gdzie zgłosić próbę oszustwa?

Jeśli chcesz zweryfikować stan swojego rozliczenia, nie klikaj w linki z podejrzanych wiadomości. Jedynym bezpiecznym miejscem jest e-Urząd Skarbowy dostępny na stronie podatki.gov.pl po zalogowaniu przez Profil Zaufany, e-Dowód lub bankowość elektroniczną.

Podejrzane maile i SMS-y warto zgłaszać. Można to zrobić na kilka sposobów:

• przekazać wiadomość do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CERT Polska przez formularz na stronie incydent.cert.pl,
• przesłać podejrzanego SMS-a na bezpłatny numer 8080,
• nie podawać danych bankowych, haseł ani danych osobowych w odpowiedzi na tego typu wezwania.

Podszywanie się pod instytucje państwowe i wyłudzanie danych logowania czy kart płatniczych to nie drobiazg. Takie działanie wyczerpuje znamiona oszustwa z art. 286 Kodeksu karnego, zagrożonego karą do 8 lat pozbawienia wolności. Jeśli padłeś ofiarą i doszło do utraty pieniędzy, zgłoś sprawę także policji.