Krajowa Administracja Skarbowa ostrzega przed kolejną falą oszustw phishingowych. Przestępcy rozsyłają wiadomości e-mail, w których informują o rzekomym zwrocie nadpłaconego podatku PIT i nakłaniają odbiorców do potwierdzenia danych oraz aktualizacji rachunku bankowego.
To kolejna próba wykorzystania wizerunku instytucji publicznej do wyłudzenia informacji, które mogą posłużyć przestępcom do kradzieży pieniędzy lub przejęcia kontroli nad rachunkiem.
Fałszywa wiadomość o zwrocie podatku
Jak informuje KAS, oszuści przekonują adresatów, że aby otrzymać zwrot podatku, muszą potwierdzić swoją tożsamość oraz „zaktualizować preferowaną metodę płatności”.
Wiadomości mają sprawiać wrażenie oficjalnej korespondencji związanej z e-Urzędem Skarbowym. Przestępcy wykorzystują przy tym informacje dotyczące rozliczenia podatkowego, aby zwiększyć wiarygodność przekazu.
W wiadomości może pojawić się również presja czasu. W opisanym przez KAS przypadku odbiorca jest informowany, że na potwierdzenie danych ma zaledwie 48 godzin.
KAS: nie podawaj danych i nie klikaj w podejrzane linki
Krajowa Administracja Skarbowa podkreśla, że nie wysyła wiadomości e-mail ani SMS z prośbą o potwierdzenie numeru rachunku bankowego lub podanie danych w celu realizacji zwrotu nadpłaty podatku dochodowego PIT.
To właśnie ten element powinien wzbudzić szczególną czujność. Wiadomość dotycząca rzekomego zwrotu podatku, która wymaga kliknięcia w link, potwierdzenia tożsamości czy podania danych bankowych, może być próbą phishingu.
KAS zaleca ostrożność wobec wiadomości, które nakłaniają do szybkiego działania, zwłaszcza gdy ich autorzy próbują wywołać presję poprzez określenie krótkiego terminu na wykonanie wskazanej czynności.
Tak wygląda fałszywe pismo
KAS opublikowała przykład wiadomości wykorzystywanej przez oszustów. Jej treść brzmi:
Powiadomienie o zwrocie podatku
e-Urząd Skarbowy
Decyzja o zwrocie nadpłaty podatku
Szanowny Podatniku,
Ministerstwo Finansów informuje, że po weryfikacji Twojego rocznego zeznania podatkowego za rok 2025, przyznano Ci zwrot nadpłaty podatku dochodowego.
Przyznana kwota zwrotu:
2 358,50 PLN
Aby środki zostały bezpiecznie zaksięgowane na Twoim koncie bankowym, prosimy o potwierdzenie tożsamości oraz zaktualizowanie preferowanej metody płatności w bezpiecznym systemie e-Urząd Skarbowy.
Uwaga: Zgodnie z procedurą operacyjną, link wygasa w ciągu 48 godzin od momentu dostarczenia tej wiadomości.
Odbierz zwrot podatku
W przypadku braku potwierdzenia w wyznaczonym terminie, środki zostaną przekazane za pośrednictwem poczty polskiej na zarejestrowany adres zameldowania, co wydłuży czas oczekiwania do 30 dni roboczych.
Wiadomość została wygenerowana automatycznie przez system e-Urząd Skarbowy. Prosimy na nią nie odpowiadać.
Ministerstwo Finansów, ul. Świętokrzyska 12, 00-916 Warszawa.
Rzeczpospolita Polska | Krajowa Administracja Skarbowa
Oszuści wykorzystują zwrot podatku jako przynętę
Mechanizm oszustwa opiera się na prostym schemacie. Odbiorca otrzymuje informację, że przysługuje mu zwrot podatku, a następnie jest kierowany do rzekomego systemu e-Urzędu Skarbowego. W rzeczywistości link może prowadzić do strony przygotowanej przez przestępców.
Celem może być nakłonienie ofiary do wpisania danych osobowych, danych logowania, informacji dotyczących rachunku bankowego lub innych informacji, które mogą zostać wykorzystane do dalszych oszustw.
Szczególnie podejrzane powinno być żądanie podania danych pod presją czasu. W tym przypadku oszuści informują o wygaśnięciu linku po 48 godzinach, co ma skłonić odbiorcę do szybkiego działania bez dokładnego sprawdzenia wiadomości.
Co zrobić, jeśli otrzymasz taką wiadomość?
Przede wszystkim nie należy klikać w znajdujący się w niej link ani podawać żadnych danych. Nie należy również odpowiadać na wiadomość.
Jeżeli chcemy sprawdzić informacje dotyczące naszego rozliczenia podatkowego, najlepiej samodzielnie wejść do oficjalnego serwisu administracji skarbowej, zamiast korzystać z odnośnika znajdującego się w otrzymanym e-mailu lub SMS-ie.
Warto także zwrócić uwagę na adres nadawcy, wygląd strony, błędy językowe oraz nietypowe żądania dotyczące danych bankowych. Sama obecność nazw takich jak „Ministerstwo Finansów”, „KAS” czy „e-Urząd Skarbowy” nie oznacza jeszcze, że wiadomość rzeczywiście pochodzi od administracji skarbowej.
KAS ostrzega podatników
Ostrzeżenie KAS jest szczególnie istotne w okresie, gdy podatnicy mogą spodziewać się informacji związanych z rozliczeniami podatkowymi. Przestępcy wykorzystują takie sytuacje, aby nadać fałszywym wiadomościom pozory wiarygodności.
Najważniejsza zasada jest prosta: KAS nie prosi w wiadomościach e-mail lub SMS o podanie numeru rachunku bankowego ani danych potrzebnych do realizacji zwrotu nadpłaty PIT.
Jeżeli wiadomość zachęca do kliknięcia w link i „potwierdzenia tożsamości” w związku ze zwrotem podatku, należy zachować szczególną ostrożność. Może to być phishing, którego celem jest wyłudzenie danych lub pieniędzy.