Oszustwo na skarbówkę. Eksperci alarmują

Krajowa Administracja Skarbowa poinformowała, że w ostatnich dniach odnotowano wzmożoną aktywność cyberprzestępców wykorzystujących wizerunek instytucji publicznych. Oszuści wysyłają wiadomości elektroniczne, które wizualnie przypominają oficjalne komunikaty urzędów skarbowych lub Ministerstwa Finansów. Kluczowym elementem ataku jest załącznik w formacie HTML, który po otwarciu może uruchomić złośliwe oprogramowanie.

Mechanizm działania jest prosty, ale skuteczny. Użytkownik otrzymuje e-mail sugerujący np. konieczność pilnego uregulowania należności, weryfikacji danych lub odebrania zwrotu podatku. Po otwarciu załącznika ofiara trafia na spreparowaną stronę internetową łudząco przypominającą oficjalny serwis administracji skarbowej. Wprowadzenie danych logowania lub informacji osobowych skutkuje ich przejęciem przez przestępców.

Administracja skarbowa jednoznacznie podkreśla, że tego typu wiadomości nie są wysyłane z jej systemów teleinformatycznych. Fałszywe adresy nadawców często zawierają drobne modyfikacje, które na pierwszy rzut oka mogą pozostać niezauważone.

Jak rozpoznać fałszywe wiadomości od KAS i uniknąć oszustwa

Eksperci ds. cyberbezpieczeństwa wskazują, że kluczowym elementem ochrony jest uważna analiza nadawcy wiadomości. Oficjalna korespondencja elektroniczna z urzędów skarbowych w Polsce pochodzi wyłącznie z domeny „podatki.gov.pl”, a konkretnie z adresu e-urzadskarbowy@podatki.gov.pl

Fałszywe wiadomości często zawierają również błędy językowe, nienaturalne konstrukcje zdań lub wywierają presję czasu. To klasyczne techniki socjotechniczne, które mają skłonić odbiorcę do szybkiego działania bez weryfikacji treści.

Niebezpieczne są przede wszystkim załączniki oraz linki prowadzące do zewnętrznych stron. Ich otwarcie może skutkować instalacją złośliwego oprogramowania typu malware lub phishingiem, czyli próbą wyłudzenia danych logowania – np. do bankowości elektronicznej.

Według raportów firm zajmujących się cyberbezpieczeństwem, phishing pozostaje jedną z najczęściej stosowanych metod ataków w Polsce. CERT Polska wielokrotnie wskazywał, że instytucje publiczne są regularnie wykorzystywane jako „przynęta”, ponieważ wzbudzają zaufanie obywateli.

Jak się chronić przed phishingiem i utratą danych?

Podstawową zasadą jest ograniczone zaufanie wobec nieoczekiwanych wiadomości e-mail, zwłaszcza tych zawierających załączniki lub linki. W przypadku jakichkolwiek wątpliwości należy samodzielnie skontaktować się z urzędem – najlepiej korzystając z oficjalnych kanałów komunikacji.

Specjaliści zalecają również stosowanie dodatkowych zabezpieczeń, takich jak:

• aktualne oprogramowanie antywirusowe,
• weryfikacja dwuetapowa (2FA) dla kont bankowych i poczty elektronicznej,
• regularne aktualizacje systemu operacyjnego.

Warto również pamiętać, że administracja skarbowa nie żąda przekazywania poufnych danych drogą mailową ani nie wysyła załączników wymagających logowania się do systemów zewnętrznych.

Rosnąca liczba tego typu incydentów wpisuje się w szerszy trend cyberprzestępczości w Europie. Dane Europejskiej Agencji ds. Cyberbezpieczeństwa (ENISA) pokazują, że ataki phishingowe stanowią obecnie jedną z głównych form zagrożeń dla użytkowników indywidualnych.

Skutki otwarcia fałszywego załącznika

Konsekwencje mogą być poważne i wielowymiarowe. Poza utratą danych osobowych, takich jak numer PESEL, adres czy dane logowania, ofiary narażone są na kradzież środków finansowych. Przestępcy wykorzystują przejęte informacje do logowania się na konta bankowe, zaciągania pożyczek lub dokonywania nieautoryzowanych transakcji.

W skrajnych przypadkach dochodzi również do przejęcia całej tożsamości cyfrowej użytkownika, co może skutkować długotrwałymi problemami prawnymi i finansowymi.

Eksperci podkreślają, że kluczowe znaczenie ma szybka reakcja. W przypadku podejrzenia oszustwa należy natychmiast skontaktować się z bankiem oraz zgłosić incydent do odpowiednich służb, takich jak CERT Polska lub policja.