Oszustwo na zwrot podatku — fałszywe maile KAS, jak się chronić

Oszustwo na zwrot podatku — fałszywe maile podszywające się pod KAS

Ministerstwo Finansów wydało oficjalne ostrzeżenie przed kolejną falą oszustw phishingowych wymierzonych w podatników. Przestępcy rozsyłają fałszywe wiadomości e-mail, w których informują o rzekomym zwrocie podatku PIT i żądają potwierdzenia danych bankowych. Celem jest wyłudzenie informacji o koncie lub bezpośrednia kradzież pieniędzy.

Mechanizm jest prosty — mail wygląda tak, jakby wysłała go Krajowa Administracja Skarbowa. W treści pojawia się informacja o przysługującym zwrocie nadpłaty podatku dochodowego. Odbiorca ma potwierdzić numer rachunku bankowego w ciągu 48 godzin, bo inaczej zwrot rzekomo przepadnie. To klasyczna presja czasowa, która ma skłonić ofiarę do pochopnego działania.

Jak rozpoznać fałszywy mail od oszustów

Zanim klikniesz jakikolwiek link w wiadomości dotyczącej podatków, sprawdź kilka rzeczy:

• Adres nadawcy — prawdziwe wiadomości z urzędów skarbowych nigdy nie przychodzą z darmowych domen typu gmail.com czy wp.pl. Ale uwaga: oszuści potrafią podrobić adres, więc sam adres to nie gwarancja.
• Presja czasowa — jeśli mail grozi utratą pieniędzy w ciągu 48 godzin, to niemal na pewno oszustwo. Urząd skarbowy nie działa w ten sposób.
• Prośba o dane bankowe — KAS nie prosi e-mailem o podanie numeru konta. Nigdy.
• Linki w treści — najedź kursorem na link (nie klikaj!) i sprawdź, dokąd prowadzi. Fałszywe strony często mają adresy łudząco podobne do oficjalnych, ale z drobnymi różnicami.
• Błędy językowe — literówki, dziwne sformułowania, niepoprawna polszczyzna to sygnały ostrzegawcze, choć nowsze oszustwa bywają napisane bezbłędnie.

Co mówi Ministerstwo Finansów

Stanowisko resortu jest jednoznaczne. Jak podkreśla Ministerstwo Finansów w oficjalnym komunikacie: „Krajowa Administracja Skarbowa nie wysyła wiadomości e-mail lub SMS z prośbą o potwierdzenie numeru konta bankowego”. KAS nie prosi też o podanie jakichkolwiek danych osobowych w celu realizacji zwrotu nadpłaty podatku dochodowego.

Oznacza to, że każdy mail lub SMS, w którym ktoś podający się za KAS prosi o dane konta bankowego, jest próbą oszustwa — bez wyjątku.

Prawdziwy zwrot podatku trafia na rachunek bankowy wskazany w zeznaniu podatkowym PIT lub na mikrorachunek podatkowy. Urząd skarbowy nie potrzebuje dodatkowego potwierdzenia tych danych drogą mailową.

Co zrobić, gdy dostaniesz podejrzaną wiadomość

Jeśli otrzymasz maila o rzekomym zwrocie podatku z prośbą o podanie danych, wykonaj poniższe kroki:

1. Nie klikaj żadnych linków — nawet jeśli wyglądają wiarygodnie. Nie otwieraj załączników.
2. Nie odpowiadaj na wiadomość — nie podawaj żadnych danych osobowych ani bankowych.
3. Zgłoś oszustwo — prześlij podejrzaną wiadomość na adres [email protected] (zespół CERT Polska przy NASK). Możesz też skorzystać z formularza na stronie cert.pl.
4. Powiadom swój urząd skarbowy — zadzwoń lub napisz do właściwego urzędu, żeby upewnić się, że nie ma żadnych zaległości ani problemów z Twoim rozliczeniem.
5. Sprawdź status zwrotu — zaloguj się do swojego konta na e-Urząd Skarbowy (podatki.gov.pl). Tam znajdziesz rzetelną informację o statusie zwrotu podatku.

A jeśli już kliknąłeś link lub podałeś dane?

Działaj szybko:

• Zmień hasła — do bankowości internetowej, poczty e-mail i wszystkich kont, na których używasz tego samego hasła.
• Skontaktuj się z bankiem — poinformuj bank o możliwym wycieku danych. Bank może zablokować podejrzane transakcje lub wydać nową kartę.
• Złóż zawiadomienie na policji — zgłoszenie można złożyć również przez internet na stronie policja.pl.
• Monitoruj konto — przez najbliższe tygodnie uważnie sprawdzaj historię transakcji.

Dlaczego oszustwa na zwrot podatku są tak skuteczne

Phishing podatkowy trafia w czuły punkt — pieniądze, które podatnikowi się należą. Większość osób spodziewa się zwrotu po złożeniu PIT-u, więc mail o zwrocie nie budzi od razu podejrzeń. Oszuści wykorzystują też okres rozliczeniowy (styczeń–kwiecień), ale fałszywe wiadomości rozsyłają przez cały rok.

Dodatkowym czynnikiem jest zaufanie do instytucji państwowych. Gdy mail wygląda jak oficjalna korespondencja z KAS — z logo, stopką, numerem sprawy — wiele osób nie weryfikuje jego autentyczności. Tymczasem podrobienie wyglądu oficjalnego maila jest dla przestępców trywialne.

Jak chronić się na co dzień

Kilka prostych zasad, które zmniejszają ryzyko padnięcia ofiarą phishingu:

• Korzystaj z e-Urzędu Skarbowego — zamiast reagować na maile, sam sprawdzaj status spraw podatkowych na podatki.gov.pl.
• Włącz dwuskładnikowe uwierzytelnianie (2FA) — w bankowości internetowej, poczcie e-mail i wszędzie, gdzie to możliwe.
• Aktualizuj oprogramowanie — przeglądarkę, system operacyjny i program antywirusowy. Aktualizacje łatają luki, przez które mogą przedostać się złośliwe programy.
• Nie używaj tego samego hasła w wielu serwisach. Menedżer haseł rozwiązuje problem zapamiętywania.
• Rozmawiaj o zagrożeniach z rodziną — osoby starsze są szczególnie narażone na oszustwa phishingowe.

Gdzie szukać wiarygodnych informacji o zwrocie podatku

Jeśli chcesz sprawdzić, czy przysługuje Ci zwrot podatku lub na jakim etapie jest realizacja nadpłaty, korzystaj wyłącznie z oficjalnych źródeł:

• e-Urząd Skarbowy — podatki.gov.pl (logowanie przez profil zaufany, e-dowód lub bankowość elektroniczną)
• Krajowa Informacja Skarbowa — infolinia: 22 330 03 30 (z telefonu stacjonarnego: 801 055 055)
• Właściwy urząd skarbowy — dane kontaktowe znajdziesz na stronie kis.gov.pl

Nie ufaj informacjom przesyłanym mailem ani SMS-em, nawet jeśli wyglądają profesjonalnie. W sprawach podatkowych zawsze weryfikuj dane bezpośrednio w e-Urzędzie Skarbowym lub telefonicznie w urzędzie. To jedyny pewny sposób, żeby nie paść ofiarą oszustów.