Phishing podatkowy: jak unikać oszustw w sezonie rozliczeniowym

Co roku w sezonie rozliczeniowym miliony Polaków składają zeznanie podatkowe. Ten coroczny rytuał tworzy idealną burzę dla oszustów: miliony osób oczekujących komunikatów związanych z podatkami, stres terminów i ekscytacja potencjalnymi zwrotami. Ataki phishingowe podszywające się pod Urząd Skarbowy gwałtownie rosną w sezonie rozliczeniowym.

Typowe oszustwa sezonu podatkowego

1. Fałszywe powiadomienia o zwrocie podatku

Najskuteczniejsza przynęta. Otrzymujesz e-mail lub SMS informujący, że Twój zwrot podatku jest dostępny:

• „Urząd Skarbowy: Twój zwrot podatku w kwocie 3 247,89 PLN jest gotowy do odbioru. Potwierdź dane: [link]"
• „PIT 2025: Zwrot zatwierdzony. Kliknij, aby sprawdzić: [link]"

Link prowadzi do fałszywej strony Urzędu Skarbowego, która prosi o PESEL, dane bankowe i hasło do profilu zaufanego.

2. E-maile o „problemie z deklaracją"

Profesjonalnie wyglądający e-mail z logo Ministerstwa Finansów ostrzegający, że Twoja deklaracja podatkowa zawiera błędy. Instruuje pobranie „raportu korekty" (który jest malware).

3. Fałszywe powiadomienia o kontroli

Wiadomość informująca, że zostałeś oznaczony do kontroli podatkowej, tworząca panikę i nakłaniająca do kliknięcia linku.

4. Fałszywe oprogramowanie do PIT

Oszuści tworzą fałszywe wersje programów do rozliczeń PIT zawierające malware.

Kanały phishingowe

Kanał	Typowa przynęta	Czerwona flaga
E-mail	„Zwrot zatwierdzony" z logo MF	Nadawca nie pochodzi z gov.pl
SMS	„PESEL nieaktualny — zaktualizuj"	Zawiera skrócony URL
Messenger	„Pobierz formularz podatkowy"	Rząd nie używa Messengera
Telefon	„Tu kontrola skarbowa"	US nie dzwoni w ten sposób

Jak Urząd Skarbowy naprawdę się komunikuje

Co robi

• Wysyła powiadomienia przez e-PUAP i Twój e-PIT
• Publikuje ogłoszenia na oficjalnej stronie gov.pl
• Wysyła fizyczną korespondencję

Czego NIGDY nie robi

• Nie wysyła e-maili z prośbą o kliknięcie linków
• Nie wysyła SMS-ów z linkami do płatności
• Nie kontaktuje się przez Messenger
• Nie prosi o hasło ani dane bankowe przez telefon

Jak zweryfikować oficjalne komunikaty

Krok 1: Zaloguj się bezpośrednio do e-PUAP lub Twój e-PIT

Nie klikaj linków z wiadomości. Wpisz adres bezpośrednio w przeglądarce.

Krok 2: Sprawdź status zwrotu oficjalnie

Na stronie gov.pl w zakładce e-Urząd Skarbowy.

Krok 3: Weryfikuj oprogramowanie

Pobieraj programy do PIT tylko z oficjalnych źródeł.

Bezpieczne udostępnianie dokumentów podatkowych

Są uzasadnione powody, by udostępniać dokumenty podatkowe — księgowemu, pracodawcy, bankowi. Te dokumenty zawierają Twoje najbardziej wrażliwe dane finansowe.

Nie wysyłaj dokumentów podatkowych e-mailem ani przez Messenger. Użyj LOCK.PUB, aby stworzyć chroniony hasłem link z datą wygaśnięcia. Księgowy uzyska dostęp przez link, a po wygaśnięciu dostęp zniknie.

Co zrobić, jeśli padłeś ofiarą oszustwa podatkowego

1. Natychmiast zmień hasło do profilu zaufanego i włącz weryfikację dwuetapową
2. Sprawdź e-PUAP pod kątem nieautoryzowanych zmian
3. Zmień hasła bankowe jeśli wpisałeś je na fałszywej stronie
4. Uruchom pełne skanowanie antymalware na komputerze
5. Zgłoś na policję
6. Monitoruj konto w BIK pod kątem nietypowej aktywności

Podsumowanie

Phishing podatkowy jest przewidywalny — oszuści co roku stosują te same techniki. Urząd Skarbowy komunikuje się tylko przez e-PUAP i oficjalną stronę. Każda wiadomość prosząca o kliknięcie linku lub udostępnienie danych jest oszukańcza.

Dbaj o bezpieczeństwo dokumentów podatkowych. Odwiedź LOCK.PUB, aby udostępniać dokumenty finansowe przez bezpłatne chronione hasłem, szyfrowane linki z automatycznym wygaśnięciem.