rozwiń ›

Oszustwa podatkowe w sezonie PIT – jak działają cyberprzestępcy?

Schematy wyłudzeń podatkowych często bazują na znanych metodach phishingu, jednak w okresie składania deklaracji stają się znacznie bardziej przekonujące. Cyberprzestępcy wykorzystują logotypy instytucji publicznych, imitują oficjalny język urzędowy, a nawet manipulują numerami telefonów (tzw. spoofing), dzięki czemu na ekranie telefonu pojawia się nazwa zaufanego urzędu.

- Dzięki AI bariera językowa czy błędy ortograficzne, które dawniej demaskowały oszustów, niemal zniknęły. Dzisiejsze wiadomości phishingowe są pisane nienaganną polszczyzną, a ich ton idealnie naśladuje urzędowy styl, co może uśpić czujność nawet doświadczonych użytkowników sieci - mówi Beniamin Szczepankiewicz, analityk cyberzagrożeń ESET.

Efekt? Fałszywy e-mail lub SMS coraz trudniej odróżnić od autentycznej wiadomości z Krajowej Administracji Skarbowej.

Sygnały ostrzegawcze: jak rozpoznać fałszywy e-mail z US i nie stracić pieniędzy?

Oszustwa związane z PIT opierają się głównie na wywoływaniu silnych emocji – strachu przed sankcjami lub ekscytacji z powodu rzekomej nadpłaty. Jeśli otrzymasz podejrzaną wiadomość, zwróć uwagę na poniższe sygnały:

Niespodziewany SMS lub e-mail od „Urzędu Skarbowego”

Administracja skarbowa nie wysyła linków do formularzy podatkowych w wiadomościach SMS ani nie prosi o logowanie do e-Urzędu Skarbowego przez odnośnik w e-mailu.

Presja czasu i groźby konsekwencji finansowych - tak straszą cyberprzestępcy

Komunikaty sugerujące natychmiastową kontrolę lub wysoką karę, jeśli nie zareagujesz „w ciągu kilku godzin”, powinny wzbudzić czujność. Oficjalne informacje o nieprawidłowościach przekazywane są tradycyjną pocztą lub przez zweryfikowaną skrzynkę w systemie e-Urząd Skarbowy/mObywatel.

Prośba o przelew pieniędzy przez nietypowy system płatności

Żądanie uregulowania drobnej kwoty – np. brakujących kilku złotych – za pośrednictwem nieznanej platformy lub kryptowaluty niemal zawsze oznacza próbę wyłudzenia danych bankowych.

Żądanie danych logowania lub numeru karty

Ministerstwo Finansów nie wymaga przesyłania haseł do bankowości elektronicznej ani numerów kart płatniczych w celu realizacji zwrotu podatku.

Phishing, vishing i złośliwe załączniki – rodzaje ataków cyberprzestępców na podatników

Oszustwa związane z rozliczeniem PIT przybierają różne formy. Przestępcy wykorzystują e-maile, wiadomości SMS, komunikatory, a także połączenia telefoniczne. Podszywanie się pod Ministerstwo Finansów czy KAS to jedna z najczęstszych metod. Wiadomości zawierają informację o nadpłacie, konieczności aktualizacji danych albo pilnej dopłacie. Niektóre kampanie phishingowe polegają na wysyłaniu dokumentów rzekomo potwierdzających złożenie deklaracji (np. UPO) lub zawierających korektę PIT. Otwarcie pliku może skutkować instalacją malware i przejęciem kontroli nad urządzeniem. Przestępca dzwoni, podając się za urzędnika lub doradcę podatkowego, i próbuje uzyskać dane osobowe pod pretekstem wyjaśnienia błędów w deklaracji.

– Niezależnie od wybranej metody, cel oszustów pozostaje podobny: skłonienie nas do podania danych logowania do bankowości elektronicznej, numerów kart płatniczych lub przekazania pełnych danych osobowych. Te ostatnie mogą posłużyć przestępcom np. do kradzieży tożsamości – dodaje Beniamin Szczepankiewicz.

Uważaj na „gwarantowany wysoki zwrot PIT” i fałszywych doradców

W mediach społecznościowych coraz częściej pojawiają się oferty obiecujące rekordowy zwrot podatku dzięki „nieznanym metodom” lub „tajnym odliczeniom”. W praktyce takie ogłoszenia mogą prowadzić do wyłudzenia pieniędzy za fikcyjne usługi albo przejęcia danych osobowych.

Szczególną ostrożność należy zachować wobec nieznanych pośredników sugerujących wpisanie ich numeru rachunku bankowego w deklaracji podatkowej. Przekazanie pełnych danych finansowych osobie znalezionej w internecie wiąże się z ryzykiem poważnych strat oraz kradzieży tożsamości.

Jak bezpiecznie przekazać 1,5% podatku w PIT?

Okres rozliczeń to również moment, gdy podatnicy decydują, komu przekazać 1,5% podatku. Niestety, ten mechanizm bywa wykorzystywany przez cyberprzestępców. Tworzą oni fałszywe strony do rozliczania PIT lub aplikacje zawierające podstawiony numer KRS kontrolowany przez oszustów. Aby mieć pewność, że środki trafią do wybranej organizacji pożytku publicznego:

  • korzystaj wyłącznie z oficjalnego portalu e-Urząd Skarbowy,
  • pobieraj programy do rozliczeń ze sprawdzonych, zaufanych źródeł,
  • weryfikuj numer KRS bezpośrednio w oficjalnych wykazach.

Dekalog bezpiecznego rozliczenia PIT online

Jeśli otrzymasz podejrzaną wiadomość dotyczącą zwrotu podatku:

  • nie klikaj w linki,
  • nie otwieraj nieznanych załączników,
  • nie podawaj kodów autoryzacyjnych ani danych logowania,
  • samodzielnie zaloguj się na oficjalnej stronie rządowej, wpisując adres ręcznie w przeglądarce.

– Cyberprzestępcy bazują na wywoływaniu emocji, dlatego najlepszą obroną jest chłodna ocena sytuacji i weryfikacja każdego komunikatu u źródła. Pamiętajmy, że instytucje państwowe nie proszą o dane logowania ani numery kart płatniczych w wiadomościach e-mail czy SMS – podsumowuje Beniamin Szczepankiewicz.

Rozliczenie PIT online może być szybkie i wygodne – pod warunkiem zachowania ostrożności. W sezonie podatkowym warto kierować się zasadą ograniczonego zaufania i każdą wiadomość o zwrocie podatku traktować z należytą rezerwą. Bezpieczeństwo danych finansowych zależy przede wszystkim od naszej czujności.