Phishing na Profil Zaufany: jak podvodníci napodobují polské úřední portály

Profil Zaufany (Důvěryhodný profil) je polský systém digitální identity, přes který miliony lidí využívají online služby státu — od podání daňového přiznání v e-PIT přes kontrolu důchodových záznamů u ZUS až po žádosti o dávky a správu aplikace mObywatel. Protože je branou k vašim nejcitlivějším údajům u úřadů, stal se pro phishingové útoky velmi lákavým cílem.

V daňové sezóně (od ledna do dubna) těchto útoků prudce přibývá. Zde je návod, jak je rozpoznat a ochránit svou digitální identitu.

Co je Profil Zaufany a proč se na něj podvodníci zaměřují

Profil Zaufany je vaše ověřená digitální identita na gov.pl a dalších státních platformách. Útočník, který získá přístup k cizímu Profilu Zaufany, může:

• Nahlížet do daňových přiznání (PIT) s příjmy, údaji o zaměstnavateli a číslem PESEL
• Prohlížet záznamy ZUS s historií zaměstnání a údaji o důchodu
• Získat přístup k záznamům v CEIDG o registraci podnikání
• Prohlížet zdravotní dokumentaci přes e-Zdrowie
• Změnit adresu trvalého pobytu a kontaktní údaje
• Využívat funkce mObywatel včetně digitálního průkazu
• Elektronicky podepisovat dokumenty s právní platností

Zkrátka: Profil Zaufany je hlavní klíč k celému vašemu digitálnímu životu v Polsku.

Nejčastější phishingové podvody s úředními portály

1. Falešná oznámení o vrácení daně v e-PIT

Kdy: od ledna do dubna (daňová sezóna)

Přijde vám e-mail nebo SMS: „Twój zwrot podatku PIT w wysokości 1 847 PLN jest gotowy. Zaloguj się, aby odebrać: [link]“

Odkaz vede na falešnou přihlašovací stránku gov.pl. Jakmile zadáte přihlašovací údaje k Profilu Zaufany (přihlášení přes banku nebo samostatné heslo), podvodník je zachytí.

Proč to funguje: Vratky daní jsou skutečné, lidé je očekávají a chtějí své peníze co nejdřív. Částky ve falešných zprávách navíc často působí realisticky.

2. Falešná oznámení od ZUS

„ZUS: Masz nową wiadomość w PUE ZUS. Zaloguj się: [link]“

ZUS běžně komunikuje přes PUE (Platforma Usług Elektronicznych), a proto tyto zprávy působí důvěryhodně. Falešná přihlašovací stránka pak zachytí vaše údaje.

3. Falešná oznámení z ePUAP/gov.pl

„Nowy dokument do podpisu w ePUAP. Zaloguj się tutaj: [link]“

Tyto zprávy cílí na lidi, kteří státní digitální služby pravidelně používají pro podnikání nebo úřední záležitosti.

4. Falešné výzvy k aktualizaci mObywatel

„Wymagana aktualizacja aplikacji mObywatel. Pobierz najnowszą wersję: [link]“

Místo skutečné aktualizace mObywatel si přes odkaz stáhnete škodlivou aplikaci.

5. Falešná oznámení o pokutách a nedoplatcích

„Urząd Skarbowy: Zaległy podatek 450 PLN. Zapłać, aby uniknąć kary: [link]“

Tyto zprávy vyvolávají paniku hrozbou sankcí a tlačí vás k jednání bez rozmyslu.

Jak rozpoznat falešnou komunikaci úřadů

Znak	Skutečná komunikace úřadů	Phishingový podvod
URL	gov.pl, epuap.gov.pl, podatki.gov.pl	gov-pl.com, epuap-login.pl, e-pit-zwrot.pl
Způsob přihlášení	Přihlášení přes banku, samostatné heslo k Profilu Zaufany nebo e-dowód	Žádá přihlašovací údaje na externí stránce
Odkazy v SMS	Úřady SMS s odkazy posílají jen zřídka	Téměř vždy obsahuje odkaz ke kliknutí
Výzvy k platbě	Odkazují na oficiální podatki.gov.pl	Odkazují na externí platební stránky
Tón	Formální, bez naléhavých formulací	Vyvolává paniku, hrozí sankcemi
Odesílatel e-mailu	@gov.pl, @mf.gov.pl, @zus.pl	@gov-pl.com, @e-pit-refund.pl apod.

Phishing v daňové sezóně (e-PIT): zvláštní upozornění

Daňová sezóna je v Polsku vrcholným obdobím phishingu vydávajícího se za úřady. Co byste měli vědět:

Jak e-PIT skutečně funguje

1. Vaše přiznání PIT je automaticky předvyplněné na podatki.gov.pl
2. Přihlásíte se přes Profil Zaufany (přihlášením přes banku nebo samostatnými údaji)
3. Přiznání zkontrolujete, případně upravíte a odešlete
4. Přeplatek přijde na bankovní účet evidovaný u vašeho Urzędu Skarbowego
5. Finanční úřad nikdy neposílá odkazy k přihlášení

Varovné signály v daňové sezóně

• SMS nebo e-mail s odkazem na „kontrolu vratky daně“
• Zprávy tvrdící, že vratka propadne, pokud si ji nevyzvednete
• Žádosti o zadání bankovních údajů kvůli zpracování vratky
• Odkazy ke stažení „aplikací na podání přiznání“
• Telefonáty od „Urzędu Skarbowego“ požadující osobní údaje

Jak chránit svůj Profil Zaufany

1. Na gov.pl vždy přistupujte zadáním adresy ručně — nikdy přes odkazy ve zprávách
2. Uložte si úřední portály do záložek — používejte záložky pro gov.pl, podatki.gov.pl, pue.zus.pl
3. K Profilu Zaufany se přihlašujte přes banku — přidáte tím bezpečnostní vrstvu své banky
4. Zapněte si v bankovní aplikaci upozornění na pokusy o přihlášení k Profilu Zaufany
5. Nikdy nestahujte mObywatel přes odkazy — pouze z Google Play nebo App Store
6. V daňové sezóně buďte obzvlášť ostražití (leden–duben)
7. Hlaste pokusy o phishing týmu CERT Polska na incydent.cert.pl nebo přepošlete SMS na číslo 8080
8. Pečlivě kontrolujte URL — gov.pl nemá žádné pomlčky, slova navíc ani jinou doménovou koncovku

Co dělat, pokud jste zadali údaje na falešné stránce

1. Okamžitě změňte heslo k Profilu Zaufany přes skutečný web gov.pl
2. Pokud jste použili přihlášení přes banku, kontaktujte banku, změňte přihlašovací údaje a sledujte podezřelé transakce
3. Zkontrolujte své daňové záznamy na podatki.gov.pl, zda v nich nedošlo k neoprávněným změnám
4. Zkontrolujte záznamy ZUS, zda do nich nikdo neoprávněně nepřistupoval
5. Zablokujte (zastrzeż) své číslo PESEL přes mObywatel, pokud jste to ještě neudělali
6. Podejte trestní oznámení na policii
7. Nahlaste incident týmu CERT Polska na incydent.cert.pl

Sdílejte úřední dokumenty bezpečně

Když potřebujete sdílet daňové dokumenty, výpisy ze ZUS nebo jinou úřední korespondenci s účetním, právníkem nebo členem rodiny, neposílejte je jako přílohy e-mailu. Použijte LOCK.PUB k vytvoření šifrované poznámky chráněné heslem a s Pro ji nastavte tak, aby se otevřela jen jednou nebo po určité době vypršela. Příjemce si ji jednou zobrazí pomocí hesla a poté už odkaz nepůjde znovu otevřít — v e-mailových schránkách ani v historii chatů nezůstanou žádné kopie.

Závěr

Váš Profil Zaufany je stejně důležitý jako fyzický dowód osobisty. Kompromitovaný Důvěryhodný profil dává útočníkům přístup k vašim daním, důchodovým záznamům, zdravotním údajům i digitální identitě. Polské úřady vám nikdy nepošlou SMS s odkazem k přihlášení. Ke státním službám vždy přistupujte ručním zadáním adresy nebo přes oficiální aplikaci.

Při sdílení citlivých úředních dokumentů používejte LOCK.PUB — šifrované poznámky, které lze s Pro nastavit tak, aby se po přečtení už znovu neotevřely. Vaše digitální identita si zaslouží stejnou ochranu jako ta fyzická.