Phishing na Profil Zaufany: Jak oszuści podrabiają polskie portale rządowe

Profil Zaufany to polski system tożsamości cyfrowej, z którego miliony osób korzystają do obsługi usług rządowych online — od rozliczania podatków w e-PIT po sprawdzanie danych z ZUS, składanie wniosków o świadczenia i zarządzanie aplikacją mObywatel. Ponieważ jest bramą do najwrażliwszych danych rządowych, stał się celem o wysokiej wartości dla ataków phishingowych.

W sezonie podatkowym (od stycznia do kwietnia) te ataki gwałtownie narastają. Oto jak je rozpoznać i chronić swoją tożsamość cyfrową.

Czym jest Profil Zaufany i dlaczego oszuści go atakują

Profil Zaufany to Twoja zweryfikowana tożsamość cyfrowa na gov.pl i innych platformach rządowych. Mając dostęp do czyjegoś Profilu Zaufanego, atakujący może:

• Uzyskać dostęp do zeznań podatkowych (PIT) z danymi o dochodach, pracodawcy i numerem PESEL
• Przeglądać dane z ZUS z historią zatrudnienia i informacjami emerytalnymi
• Uzyskać dostęp do CEIDG z danymi rejestracyjnymi firm
• Przeglądać dokumentację medyczną przez e-Zdrowie
• Zmienić zarejestrowany adres i dane kontaktowe
• Uzyskać dostęp do funkcji mObywatel, w tym cyfrowego dokumentu tożsamości
• Podpisywać dokumenty elektronicznie z mocą prawną

Innymi słowy, Profil Zaufany to klucz główny do całego Twojego cyfrowego życia w Polsce.

Najczęstsze oszustwa phishingowe na portale rządowe

1. Fałszywe powiadomienia o zwrocie podatku e-PIT

Kiedy: od stycznia do kwietnia (sezon podatkowy)

Dostajesz maila lub SMS: „Twój zwrot podatku PIT w wysokości 1 847 PLN jest gotowy. Zaloguj się, aby odebrać: [link]"

Link prowadzi do fałszywej strony logowania gov.pl. Gdy wpiszesz dane Profilu Zaufanego (logowanie bankowe lub dedykowane hasło), oszust je przechwytuje.

Dlaczego działa: Zwroty podatkowe są realne, oczekiwane i ludzie chcą szybko odebrać pieniądze. Kwoty w fałszywych wiadomościach są często realistyczne.

2. Fałszywe powiadomienia z ZUS

„ZUS: Masz nową wiadomość w PUE ZUS. Zaloguj się: [link]"

Ponieważ ZUS regularnie komunikuje się przez PUE (Platforma Usług Elektronicznych), te wiadomości wydają się wiarygodne. Fałszywa strona logowania przechwytuje Twoje dane.

3. Fałszywe powiadomienia ePUAP/gov.pl

„Nowy dokument do podpisu w ePUAP. Zaloguj się tutaj: [link]"

Celują w osoby regularnie korzystające z rządowych usług cyfrowych w celach biznesowych lub administracyjnych.

4. Fałszywe alerty aktualizacji mObywatel

„Wymagana aktualizacja aplikacji mObywatel. Pobierz najnowszą wersję: [link]"

Link pobiera złośliwą aplikację zamiast prawdziwej aktualizacji mObywatel.

5. Fałszywe powiadomienia o karach

„Urząd Skarbowy: Zaległy podatek 450 PLN. Zapłać, aby uniknąć kary: [link]"

Wywołują panikę grożąc karami, zmuszając do działania bez zastanowienia.

Jak rozpoznać fałszywe komunikaty rządowe

Cecha	Prawdziwa komunikacja rządowa	Oszustwo phishingowe
URL	gov.pl, epuap.gov.pl, podatki.gov.pl	gov-pl.com, epuap-login.pl, e-pit-zwrot.pl
Metoda logowania	Logowanie bankowe, dedykowane hasło Profilu Zaufanego lub e-dowód	Prosi o dane na zewnętrznej stronie
Linki w SMS	Rząd rzadko wysyła SMS-y z linkami	Prawie zawsze zawiera klikalny link
Żądania płatności	Przekierowuje na oficjalny podatki.gov.pl	Linki do zewnętrznych stron płatności
Ton	Formalny, bez języka pilności	Wywołuje panikę, grozi karami
Nadawca e-maila	@gov.pl, @mf.gov.pl, @zus.pl	@gov-pl.com, @e-pit-refund.pl itp.

Phishing w sezonie podatkowym (e-PIT): specjalne ostrzeżenie

Sezon podatkowy to szczytowy okres phishingu rządowego w Polsce. Oto co musisz wiedzieć:

Prawdziwy proces e-PIT

1. Twój PIT jest automatycznie wypełniony na podatki.gov.pl
2. Logujesz się przez Profil Zaufany (logowanie bankowe lub dedykowane hasło)
3. Przeglądasz, modyfikujesz w razie potrzeby i wysyłasz
4. Zwrot trafia na konto bankowe zarejestrowane w Twoim urzędzie skarbowym
5. Urząd skarbowy nigdy nie wysyła linków do logowania

Sygnały ostrzegawcze w sezonie podatkowym

• SMS lub mail z linkami do „sprawdzenia zwrotu podatku"
• Wiadomości twierdzące, że zwrot wygaśnie, jeśli nie zostanie odebrany
• Prośby o podanie danych bankowych do przetworzenia zwrotu
• Linki do pobrania „aplikacji do rozliczania podatków"
• Telefony z „urzędu skarbowego" proszące o dane osobowe

Jak chronić swój Profil Zaufany

1. Zawsze wchodź na gov.pl wpisując adres URL bezpośrednio — nigdy przez linki w wiadomościach
2. Dodaj portale rządowe do zakładek — gov.pl, podatki.gov.pl, pue.zus.pl
3. Używaj logowania bankowego do Profilu Zaufanego — dodaje warstwę zabezpieczeń Twojego banku
4. Włącz powiadomienia w aplikacji bankowej o próbach logowania do Profilu Zaufanego
5. Nigdy nie pobieraj mObywatel z linków — tylko z Google Play lub App Store
6. Bądź szczególnie czujny w sezonie podatkowym (styczeń-kwiecień)
7. Zgłaszaj próby phishingu do CERT Polska na incydent.cert.pl lub przekaż SMS na 8080
8. Dokładnie sprawdzaj URL — gov.pl nie ma myślników, dodatkowych słów ani innych rozszerzeń domeny

Co zrobić, jeśli wpisałeś dane na fałszywej stronie

1. Natychmiast zmień hasło Profilu Zaufanego przez prawdziwy gov.pl
2. Jeśli użyłeś logowania bankowego, skontaktuj się z bankiem, żeby zmienić dane i monitorować oszustwa
3. Sprawdź dane podatkowe na podatki.gov.pl pod kątem nieautoryzowanych zmian
4. Sprawdź dane z ZUS pod kątem nieautoryzowanego dostępu
5. Zastrzeż PESEL przez mObywatel, jeśli jeszcze tego nie zrobiłeś
6. Złóż zawiadomienie na policji
7. Zgłoś do CERT Polska na incydent.cert.pl

Bezpieczne udostępnianie dokumentów rządowych

Gdy musisz udostępnić dokumenty podatkowe, zaświadczenia z ZUS lub inną korespondencję urzędową księgowemu, prawnikowi lub członkowi rodziny, nie wysyłaj ich jako załączników mailowych. Użyj LOCK.PUB, żeby utworzyć zaszyfrowaną, chronioną hasłem notatkę z automatycznym wygaśnięciem. Odbiorca przegląda ją z hasłem, a dane znikają — żadnych kopii w skrzynkach mailowych ani historiach czatów.

Podsumowanie

Twój Profil Zaufany jest równie ważny jak fizyczny dowód osobisty. Przejęty Profil Zaufany daje atakującym dostęp do Twoich podatków, danych emerytalnych, dokumentacji medycznej i tożsamości cyfrowej. Polski rząd nigdy nie wyśle Ci SMS-a z linkiem do logowania. Zawsze wchodź na usługi rządowe wpisując adres URL bezpośrednio lub używając oficjalnej aplikacji.

Do bezpiecznego udostępniania wrażliwych dokumentów rządowych korzystaj z LOCK.PUB — szyfrowane, samoniszczące się notatki. Twoja tożsamość cyfrowa zasługuje na taką samą ochronę jak fizyczna.