Urzędy skarbowe biją na alarm. Sprawa dotyczy pieniędzy milionów Polaków

• Na to nabierze się prawie każdy?
• Oszuści dają tylko 48 godzin na reakcję
• Urząd skarbowy nie wysyła takich wiadomości
• Zwrot podatku nie wymaga klikania w żaden link
• Podejrzaną wiadomość można zgłosić

Na to nabierze się prawie każdy?

Maile ze skarbówki o nadpłacie daniny dla fiskusa? Któż nie chciałby dostać takiej dobrej wiadomości. Ile pieniędzy można odzyskać? Żeby to sprawdzić, trzeba oczywiście kliknąć w odpowiedni link, który prowadzi do pułapki zastawionej przez cyberprzestępców.

Oszuści przekonują, że do otrzymania zwrotu pieniędzy, konieczne jest potwierdzenie danych. Często pojawia się również żądanie aktualizacji numeru rachunku bankowego. W ten sposób cyberprzestępcy próbują zdobyć informacje potrzebne do logowania albo bezpośrednio wyłudzić pieniądze.

Oszuści dają tylko 48 godzin na reakcję

W fałszywych wiadomościach pojawia się presja czasu. Odbiorca jest informowany, że na potwierdzenie danych lub wykonanie wymaganej czynności ma zaledwie 48 godzin. Taki zabieg ma skłonić do szybkiego działania, bez zastanowienia się, czy wiadomość rzeczywiście pochodzi z urzędu skarbowego.

To jeden z typowych mechanizmów stosowanych w phishingu. Przestępcy próbują wzbudzić jednocześnie zainteresowanie i niepokój. Z jednej strony kuszą możliwością otrzymania pieniędzy, z drugiej sugerują, że zwrot może przepaść, jeżeli adresat nie zareaguje natychmiast.

Kliknięcie w link może prowadzić do fałszywej strony internetowej, na której użytkownik zostanie poproszony o podanie kolejnych informacji. Mogą to być dane osobowe, numer PESEL, dane rachunku bankowego, a także informacje umożliwiające dostęp do usług elektronicznych lub bankowości. Oto jak wygląda fałszywy mail.

Urząd skarbowy nie wysyła takich wiadomości

Krajowa Administracja Skarbowa przypomina, że urzędy skarbowe nie informują podatników o zwrocie podatku w taki sposób. Nie należy więc klikać w linki zawarte w wiadomościach e-mail lub SMS, które mają rzekomo umożliwić odebranie nadpłaty albo przyspieszenie jej wypłaty.

Zasadniczo komunikacja między Krajową Administracją Skarbową i podatnikiem odbywa się za pomocą tradycyjnej korespondencji, w tym listów poleconych, albo elektronicznie w systemie e-Doręczeń.

Oszuści mogą wykorzystywać również rzeczywiste terminy obowiązujące przy zwrocie podatku. Urząd skarbowy ma co do zasady trzy miesiące na zwrot podatku, licząc od terminu złożenia zeznania. W przypadku rozliczenia za 2025 rok ustawowy termin na złożenie zeznania PIT upłynął 30 kwietnia 2026 roku. Trzy miesiące od tej daty minęły więc z końcem lipca.

To może sprawiać, że wiadomość o oczekującym zwrocie podatku będzie wyglądała dla odbiorcy szczególnie wiarygodnie.

Zwrot podatku nie wymaga klikania w żaden link

Prawdziwy zwrot nadpłaty podatku dochodowego nie wymaga od podatnika potwierdzania danych za pośrednictwem linku przesłanego w wiadomości e-mail.

Procedura zwrotu jest zautomatyzowana, a pieniądze trafiają na rachunek bankowy wskazany przez podatnika w zeznaniu podatkowym lub w systemie e-Urząd Skarbowy. Podatnik nie musi więc wykonywać dodatkowych czynności tylko po to, aby otrzymać należne mu pieniądze.

Dlatego każda wiadomość, w której ktoś podający się za urząd skarbowy żąda kliknięcia w link, podania danych bankowych lub potwierdzenia danych w celu otrzymania zwrotu, powinna wzbudzić czujność.

Szczególnie niebezpieczne jest podawanie informacji, które mogą zostać wykorzystane do przejęcia kont internetowych lub rachunku bankowego. W ręce przestępców mogą trafić między innymi dane osobowe, numer PESEL, dane logowania czy informacje umożliwiające dostęp do bankowości elektronicznej.

Podejrzaną wiadomość można zgłosić

Osoba, która otrzyma podejrzaną wiadomość dotyczącą rzekomego zwrotu podatku, nie powinna odpowiadać na nią ani korzystać z zamieszczonych w niej linków. Najbezpieczniej jest ją zgłosić za pośrednictwem platformy CERT, która służy do zgłaszania incydentów związanych z cyberbezpieczeństwem.

Wątpliwości dotyczące korespondencji można również wyjaśnić bezpośrednio w urzędzie skarbowym. Informacje można uzyskać także za pośrednictwem infolinii Krajowej Administracji Skarbowej pod numerem 22 330 03 30.

Jeżeli ktoś zdążył już kliknąć w fałszywy link i przekazał oszustom dane albo pieniądze, powinien działać jak najszybciej. W takiej sytuacji należy poinformować bank oraz odpowiednie organy ścigania. Szybka reakcja może ograniczyć skutki oszustwa i zmniejszyć ryzyko dalszego wykorzystania wyłudzonych danych.