Nowy sposób oszustów: fałszywy mail z „e-Urzędu Skarbowego”. Nie dajcie się nabrać

Wiadomość wygląda wiarygodnie. Trafia do skrzynki mailowej. Nadawca, podpisany się jako „e-Urząd Skarbowy”, informuje o rzekomej decyzji o zwrocie nadpłaty podatku dochodowego za rok 2025. W treści wiadomości pojawia się konkretna kwota oraz obietnica, że środki zostaną bezpiecznie zaksięgowane na koncie w ciągu trzech dni roboczych. Warunek jest jeden: należy zalogować się i potwierdzić dyspozycję wypłaty w „bezpiecznym systemie” poprzez kliknięcie w załączony link. To oszustwo.

Środa, 26 sierpnia. Do redakcji „Gazety Radomszczańskiej” dzwoni Anna. Ma 46 lat, codziennie korzysta z sieci i jak sama podkreśla, w internecie czuje się pewnie. Od dawna słyszy o cyberoszustwach i internetowych przekrętach, dlatego w wirtualnym świecie porusza się bardzo ostrożnie.

- Wolę być przesadnie ostrożna, niż później żałować, że kliknęłam w coś podejrzanego - opowiada. - Kiedy na moją skrzynkę trafił mail z informacją, że e-Urząd Skarbowy ma dla mnie „Decyzję o zwrocie nadpłaty podatku”, od razu zapaliła mi się czerwona lampka - dodaje.

Wiadomość na pierwszy rzut oka wyglądała przekonująco: nadawca to „e-Urząd Skarbowy”, szata graficzna jak w oficjalnej korespondencji. Jednak Anna nie dała się zwieść i uważnie przeanalizowała wiadomość.

- Dopiero po rozwinięciu tego maila widać prawdziwy adres nadawcy: „gugulothvinay25@gmail.com”. Wtedy już miałam stuprocentową pewność, że ktoś próbuje zrobić mnie naciągnąć - mówi.

Treść maila brzmiała bardzo „urzędowo” i miała wzbudzić zaufanie:

„Temat: Decyzja o zwrocie nadpłaty podatku.

Szanowny Podatniku, Ministerstwo Finansów informuje, że po weryfikacji Twojego rocznego zeznania podatkowego za rok 2025, przyznano Ci zwrot nadpłaty podatku dochodowego. Przyznana kwota zwrotu: 1 850,50 PLN. Aby środki zostały bezpiecznie zaksięgowane na Twoim koncie bankowym w ciągu 3 dni roboczych, prosimy o zalogowanie się i potwierdzenie dyspozycji wypłaty w bezpiecznym systemie”.

Pod tym tekstem znajdował się niebieski, prostokątny przycisk z napisem: „Zaloguj się i odbierz zwrot”. Pod spodem nadawca dopisał jeszcze: „Otrzymujesz to powiadomienie, ponieważ jesteś zarejestrowanym użytkownikiem e-Urzędu Skarbowego”.

- Autor maila liczył na to, że kliknę w ten panel i trafię prosto na stronę oszusta - podkreśla Anna.

To klasyczna próba wyłudzenia danych. O tym, jak nie dać się złowić cyberprzestępcom i jak naprawdę wygląda procedura zwrotu podatku, rozmawiamy z naczelnikiem urzędu skarbowego, Witoldem Witkowskim.

Oszuści konstruują swoje wiadomości w bardzo przemyślany sposób. W mailu nie ma już bezpośredniego żądania podania danych, lecz sugestia, że logowanie jest niezbędne do „bezpiecznego zaksięgowania” środków. Dodatkowo na samym dole wiadomości znajduje się dopisek, że odbiorca otrzymuje to powiadomienie, ponieważ jest zarejestrowanym użytkownikiem e-Urzędu Skarbowego.

- To też nie musi być do końca prawda, bo ktoś mógł nigdy tam nie wchodzić - tłumaczy naczelnik Witold Witkowski. - Ten, kto to pisał, w żaden sposób nie może zdobyć wiedzy, czy ktoś się kiedykolwiek logował. Autorzy takich wiadomości starają się po prostu pisać je tak, aby były jak najbardziej wiarygodne.

Naczelnik kategorycznie podkreśla, że Urząd Skarbowy nigdy nie wymaga od podatników dodatkowych potwierdzeń w celu wypłaty nadpłaty. - Urząd przecież nie żąda żadnego potwierdzenia, bo co ma potwierdzić, jak już ma te dane, ma zeznanie podatkowe i to, co z niego wynika - wyjaśnia Witkowski. Zwrot podatku jest przekazywany automatycznie na rachunek bankowy, który podatnik wskazał wcześniej w swoim zeznaniu lub zgłoszeniu. Nie trzeba wykonywać żadnych dodatkowych kroków.

Czy to oznacza, że Urząd Skarbowy w ogóle nie korzysta z komunikacji mailowej? Niezupełnie. Jak wyjaśnia naczelnik, z e-urzędu mogą czasami przychodzić wiadomości o charakterze informacyjnym, tak jak miało to miejsce np. przy kampanii informacyjnej dotyczącej Krajowego Systemu Faktur (KSeF).

Urząd wysyła również powiadomienia mailowe informujące jedynie o tym, że na podatnika czeka nowa korespondencja na oficjalnym portalu. Jednak w takich mailach nigdy nie ma żądań wykonywania operacji finansowych ani potwierdzania wypłat.

- Na maila na pewno nie możemy wysłać na przykład postanowienia czy decyzji, bo to nie ma żadnej ochrony - tłumaczy Witkowski. Oficjalne dokumenty, takie jak wezwania do dostarczenia dokumentów, decyzje czy postanowienia, są przesyłane wyłącznie przez e-Urząd Skarbowy, który jest obecnie podstawowym kanałem komunikacji z podatnikiem.

Jak bezpiecznie zweryfikować swoje rozliczenia?

Najważniejszą zasadą bezpieczeństwa jest unikanie klikania w jakiekolwiek linki przesyłane w wiadomościach e-mail. Jeśli podatnik ma wątpliwości, czy rzeczywiście przysługuje mu zwrot podatku, powinien samodzielnie zalogować się do oficjalnego serwisu e-Urząd Skarbowy.

Logowanie tam odbywa się wyłącznie za pomocą bezpiecznych, indywidualnych metod, takich jak profil zaufany (ePUAP), bankowość elektroniczna czy dane autoryzujące.

 - Jednak trzeba pamiętać, że logowanie danymi autoryzującymi daje dostęp tylko do rozliczenia PIT, więc nie widać wszystkiego. Dopiero po zalogowaniu profilem, bankowością, mObywatelem, dowodem elektronicznym (e-dowodem) podatnik ma dostęp do wszystkiego. Tam jest cała historia wpłat i zwrotów, widać wszystkie rozliczenia, kwoty do zapłaty oraz nadpłaty - mówi naczelnik.

Alternatywnym rozwiązaniem jest bezpośredni kontakt telefoniczny z Urzędem Skarbowym. Pracownicy urzędu mogą udzielić szczegółowych informacji przez telefon, jednak wymaga to wcześniejszej autoryzacji podatnika (np. poprzez narzędzia dostępne w e-Urzędzie), o czym pracownik poinstruuje podczas rozmowy.

Naczelnik Witkowski uspokaja również w kwestii bezpieczeństwa samych systemów skarbowych. W związku z wdrażaniem KSeF i obawami przedsiębiorców o bezpieczeństwo przechowywanych faktur, systemy zabezpieczające przed wyciekiem danych zostały podniesione do najwyższego poziomu. - W praktyce nie wierzę, żeby ktoś był w stanie się włamać i wyciągnąć dane z naszych systemów, ponieważ są one zbyt zaawansowane - podsumowuje Witkowski.

Otrzymanie podejrzanego maila nie jest więc wynikiem wycieku z urzędu, lecz masową wysyłką oszustów „w ciemno”. Jedyną skuteczną obroną przed tego typu atakami jest czujność, nieodpowiadanie na podejrzane wiadomości i weryfikowanie statusu swoich spraw wyłącznie wewnątrz oficjalnego e-Urzędu Skarbowego.