Dostałeś maila o zwrocie podatku? Uważaj, to może być oszustwo ^1komentarzy

Jeden z naszych czytelników (dane do wiadomości redakcji) przesłał nam dziś rano wiadomość e-mail, którą otrzymał, a która na pierwszy rzut oka wyglądała jak oficjalna korespondencja z Krajowej Administracji Skarbowej. W treści pojawiła się informacja o nadpłacie podatku dochodowego - czyli dokładnie ten sam scenariusz, przed którym w ostatnich dniach ostrzegają eksperci ds. cyberbezpieczeństwa.

Jak wygląda taki fałszywy mail

Wiadomość, którą otrzymał nasz czytelnik, była graficznie bardzo dopracowana i na pierwszy rzut oka trudna do odróżnienia od prawdziwej korespondencji urzędowej. Charakterystyczne elementy tego typu fałszywek to:

• Godło Polski i nagłówek "PODATKI.GOV.PL" w oficjalnej szacie graficznej
• Oznaczenie "PISMO URZĘDOWE - wymaga działania" w rogu wiadomości
• Sfabrykowany "znak sprawy" w formacie przypominającym prawdziwe oznaczenia KAS
• Wyeksponowana kwota rzekomego zwrotu podatku - konkretna suma, wyliczona "co do grosza", ma uwiarygodnić komunikat. Uwaga: kwoty w różnych wersjach tego oszustwa są różne, więc nie ma sensu kierować się tym, czy akurat u nas "kwota się zgadza"
• Przycisk/link do "potwierdzenia dyspozycji zwrotu" prowadzący rzekomo do e-Urzędu Skarbowego
• Presja czasu - informacja, że link jest aktywny tylko przez 48 godzin, ma skłonić do pochopnego kliknięcia bez weryfikacji

Podkreślamy: nie publikujemy konkretnych adresów e-mail nadawców ani linków użytych w tej kampanii. Po pierwsze dlatego, że oszuści na bieżąco zmieniają domeny i kwoty, więc każda kolejna fala może wyglądać nieco inaczej. Po drugie - żeby nikt przypadkiem nie odwiedził takiej strony, myśląc, że skoro portal ją opisał, to można ją bezpiecznie sprawdzić.

Nasz czytelnik zachował czujność i nie kliknął w przesłany link, dzięki czemu mógł zweryfikować, że wiadomość jest fałszywa. Adres nadawcy nie miał nic wspólnego z prawdziwą domeną administracji skarbowej, a link prowadzący rzekomo do e-Urzędu Skarbowego kierował na zupełnie inną, podejrzaną stronę, łudząco przypominającą nazwą oficjalny portal. To klasyczny mechanizm tego typu ataków - przestępcy rejestrują domeny, które na pierwszy rzut oka przypominają prawdziwe adresy instytucji publicznych, licząc na to, że odbiorca nie przyjrzy się im dokładnie.

Ogólnopolska skala problemu

Jak informuje CSIRT KNF (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego polskiego sektora finansowego), oszuści masowo podszywają się pod Krajową Administrację Skarbową oraz portal podatki.gov.pl, zachęcając do kliknięcia w link z wiadomości o rzekomej nadpłacie podatku. Po wejściu na fałszywą stronę użytkownik proszony jest o podanie numeru PESEL, danych osobowych, a następnie (co najgroźniejsze) pełnych informacji o karcie płatniczej, łącznie z numerem karty, datą ważności i kodem CVV.

Z podobnym ostrzeżeniem wystąpiło też Ministerstwo Finansów, a Naukowa i Akademicka Sieć Komputerowa (NASK) zwraca uwagę, że fałszywe wiadomości mogą mieć różne nagłówki — od "nadpłaty podatku", przez "wszczęcie kontroli podatkowej", po "zwrot nadpłaconego podatku czeka na zatwierdzenie".

Na co zwracać uwagę

• Adres nadawcy - instytucje państwowe korzystają wyłącznie z domen kończących się na @gov.pl. Żadna oficjalna wiadomość nie przyjdzie z prywatnej skrzynki czy nietypowej domeny.
• Adres strony w linku - zanim klikniesz, najedź na link kursorem (bez klikania) i sprawdź, dokąd faktycznie prowadzi. Fałszywe domeny często tylko z pozoru przypominają prawdziwe.
• Presja czasu - komunikaty typu "masz 48 godzin, żeby odebrać zwrot" to typowa taktyka manipulacji, mająca skłonić do pochopnego działania.
• Prośba o dane karty płatniczej - żaden urząd skarbowy nigdy nie prosi o numer karty, datę ważności czy kod CVV w celu wypłaty zwrotu podatku.

Co zrobić, jeśli dostaniesz taki mail?

Nie klikaj w żadne linki i nie podawaj żadnych danych. Status swoich spraw podatkowych zawsze możesz samodzielnie sprawdzić, logując się bezpośrednio na podatki.gov.pl - wpisując adres ręcznie w przeglądarce, a nie przez link z maila. Podejrzaną wiadomość możesz zgłosić na incydent@cert.pl lub przez formularz na stronie incydent.cert.pl.

Apelujemy szczególnie o ostrożność wśród osób starszych - to właśnie one najczęściej padają ofiarą tego typu oszustw, bo rzadziej weryfikują adresy nadawców i linki. Jeśli macie w rodzinie kogoś starszego, warto o tym zagrożeniu po prostu z nim porozmawiać.