Urząd skarbowy pilnie ostrzega. Polacy masowo dostają takie maile

Oszuści działający na szkodę mieszkańców Warszawy i całej Polski zmienili taktykę. Najpierw fałszywi pracownicy ZUS obdzwaniali seniorów, teraz przestępcy masowo rozsyłają maile podszywające się pod Krajową Administrację Skarbową, kusząc obietnicą zwrotu nadpłaconego podatku.

Jak wygląda fałszywy mail od „skarbówki”

Zespół CERT Polska ostrzega przed kampanią phishingową, w której oszuści wysyłają wiadomości sugerujące, że w rozliczeniu podatkowym odbiorcy stwierdzono nadpłatę podlegającą zwrotowi. W treści pojawiają się tytuły w stylu „została odnotowana niewyrównana nadpłata podatku” czy „zwrot nadpłaconego podatku czeka na zatwierdzenie” – czasem wzbogacone o rzekomą podstawę prawną, na przykład odwołanie do artykułu 75 Ordynacji podatkowej, co ma nadać wiadomości pozór autentyczności. Przestępcy wykorzystują przy tym technikę spoofingu, czyli podszywania się pod adres nadawcy – w polu „od” ofiara może zobaczyć adres wyglądający jak oficjalna domena skarbowa, mimo że wiadomość w rzeczywistości pochodzi z zupełnie innego źródła. Kliknięcie w załączony link przenosi na stronę łudząco podobną do prawdziwego serwisu podatki.gov.pl, gdzie ofiara jest proszona o „potwierdzenie” numeru rachunku bankowego, numeru PESEL, a czasem nawet danych karty płatniczej.

Nie tylko skarbówka – lista podszywanych instytucji jest długa

Jak wskazuje Bartłomiej Drozd, ekspert serwisu ChronPESEL.pl, podszywanie się pod fiskusa jest dziś jednym z najczęściej wykorzystywanych scenariuszy oszustw, ustępując jedynie wyłudzeniom opartym na wizerunku Poczty Polskiej. Wyraźnie widać przy tym celowość działania przestępców – sięgają po instytucje, z którymi Polacy mają akurat najwięcej kontaktu i którym najbardziej ufają. Według danych przywoływanych przez eksperta, w fałszywych komunikatach podszywano się też pod ZUS i KRUS w 12 procentach przypadków, policję i NFZ po 11 procent, sąd lub komornika w 10 procentach, Profil Zaufany i ePUAP w 9 procentach, aplikację mObywatel w 8 procentach oraz urzędy miasta lub gminy w 6 procentach. Wspólnym mianownikiem wszystkich tych kampanii jest wywołanie poczucia pilności – wiadomość ma skłonić odbiorcę do natychmiastowego działania, zanim zdąży się on zastanowić, czy komunikat na pewno pochodzi z legalnego źródła.

Jak rozpoznać fałszywkę zanim klikniesz

Najprostszym, choć często pomijanym sposobem weryfikacji jest dokładne sprawdzenie samej domeny nadawcy. Instytucje rządowe w Polsce korzystają wyłącznie z adresów kończących się na „gov.pl” – jakakolwiek inna końcówka, nawet jeśli reszta adresu wygląda wiarygodnie, powinna być natychmiastowym sygnałem ostrzegawczym. Warto też pamiętać, że Zakład Ubezpieczeń Społecznych podkreśla wprost, iż nigdy nie wysyła linków do logowania ani do aktualizacji certyfikatów przez SMS-y, a wszystkie informacje o zaległościach czy rozliczeniach udostępnia wyłącznie przez oficjalny kanał, czyli Platformę Usług Elektronicznych ZUS. Podobna zasada dotyczy rozliczeń podatkowych – Krajowa Administracja Skarbowa nie prosi o potwierdzanie numeru rachunku bankowego przez link przesłany mailem, a wszystkie sprawy związane ze zwrotem nadpłaty załatwia się przez oficjalny portal e-Urząd Skarbowy, do którego wchodzi się samodzielnie, wpisując adres w przeglądarce, a nie klikając w link z wiadomości.

Sprawdzaj adres, zanim zareagujesz na pilny ton

Jeśli dostaniesz maila czy SMS-a informującego o nadpłacie podatku, zaległości w ZUS, wezwaniu z sądu czy jakiejkolwiek innej pilnej sprawie urzędowej, potraktuj słowo „pilne” i nacisk na szybkie działanie jako sygnał ostrzegawczy, a nie powód do pośpiechu. Zamiast klikać w załączony link, otwórz przeglądarkę i samodzielnie wejdź na oficjalną stronę danej instytucji, wpisując adres ręcznie lub korzystając z zapisanej wcześniej zakładki – jeśli sprawa rzeczywiście Cię dotyczy, znajdziesz ją tam bez pośrednictwa podejrzanej wiadomości.

Jeśli już kliknąłeś w link i podałeś jakiekolwiek dane, nie czekaj – jak najszybciej skontaktuj się ze swoim bankiem, żeby zastrzec kartę lub konto, zmień hasła do wykorzystanych serwisów i zgłoś incydent zespołowi CERT Polska przez stronę incydent.cert.pl. Warto też ostrzec bliskich, zwłaszcza starszych członków rodziny mniej obeznanych z tego typu zagrożeniami – to właśnie oni najczęściej stają się celem kampanii podszywających się pod zaufane instytucje państwowe.