Fałszywy zwrot PIT kusi kliknięciem i może opróżnić konto

W sezonie rozliczeń podatkowych jedno niepozorne kliknięcie potrafi kosztować więcej niż sam błąd w PIT. W powiecie kieleckim ostrzegają przed wiadomościami, które udają kontakt z administracją skarbową i wykorzystują pośpiech osób czekających na zwrot podatku. Oszuści liczą na to, że adresat odruchowo poda dane, zaloguje się tam, gdzie nie powinien, albo otworzy załącznik bez zastanowienia. Stawką są nie tylko informacje osobowe, lecz także dostęp do konta bankowego i możliwość zaciągnięcia zobowiązań na cudze nazwisko.

• Maile wyglądające jak z urzędu łowią na pośpiech
• Zwrot PIT nie wymaga potwierdzania konta ani logowania do PUESC
• Załącznik od naczelnika i literówka w adresie mogą zdradzić pułapkę

Maile wyglądające jak z urzędu łowią na pośpiech

Powiatowy Rzecznik Konsumentów zwraca uwagę, że przestępcy coraz częściej podszywają się pod Krajową Administrację Skarbową. W wiadomościach próbują wywołać presję, sugerując, że trzeba szybko potwierdzić dane podatkowe albo uniknąć problemów z dostępem do usług elektronicznych.

Mechanizm jest prosty, ale groźny. W mailu pojawia się link prowadzący do fałszywej strony, gdzie ofiara ma wpisać swoje dane. Z pozoru chodzi o formalność, w rzeczywistości to próba wyłudzenia informacji, które później mogą posłużyć do przejęcia konta, wyciągnięcia pieniędzy albo wejścia w cudze sprawy finansowe.

Zwrot PIT nie wymaga potwierdzania konta ani logowania do PUESC

Drugi wariant oszustwa gra na nadziei na szybki przelew. Nadawca podszywa się pod KAS i przekonuje, że wystarczy potwierdzić rachunek bankowy, by dostać zwrot nadpłaty podatku niemal od ręki. W tej historii pojawia się też PUESC, czyli prawdziwa platforma administracji państwowej, ale wykorzystywana tu jedynie jako zasłona dla fałszywego komunikatu.

To ważny sygnał ostrzegawczy: PUESC nie służy do obsługi zwrotów PIT. Jeśli ktoś prosi o logowanie się tam po to, by „odebrać pieniądze z podatku”, nie chodzi o żaden standardowy proces urzędowy, lecz o próbę wyłudzenia danych.

KAS przypomina też, że zwrot nadpłaty jest zautomatyzowany. Nie trzeba niczego dodatkowo potwierdzać mailem, a administracja skarbowa nie wysyła wiadomości z prośbą o numer konta ani o kliknięcie linku, który miałby „uruchomić” przelew.

Załącznik od naczelnika i literówka w adresie mogą zdradzić pułapkę

Oszuści nie ograniczają się do linków. Wysyłają również fałszywe załączniki, podszywając je pod powiadomienia od naczelnika urzędu skarbowego. Otwarcie takiego pliku może skończyć się udostępnieniem poufnych danych albo zainstalowaniem szkodliwego oprogramowania.

Warto więc patrzeć uważnie nie tylko na treść wiadomości, ale też na adres nadawcy. KAS zwraca uwagę, że przestępcy często korzystają z adresów bardzo podobnych do prawdziwych, różniących się jedną literą lub drobnym szczegółem. To właśnie te niuanse najłatwiej przeoczyć, gdy skrzynka pęka od kolejnych urzędowych komunikatów.

„Nigdy nie podawaj nikomu poufnych informacji, zwłaszcza po otrzymaniu podejrzanych wiadomości e-mail czy SMS zawierających prośbę o udostępnienie danych.”

„Jeśli otrzymałeś podejrzaną wiadomość e-mail albo masz wątpliwości co do jej autentyczności, skontaktuj się z infolinią KAS: 22 330 03 30 lub najbliższym urzędem skarbowym.”

„Warto korzystać z platformy CERT, która służy do zgłaszania wszelkich incydentów w zakresie cyberbezpieczeństwa.”

Dla osób rozliczających PIT najważniejsze jest jedno: żadna pilna wiadomość o zwrocie podatku nie powinna być pretekstem do wpisywania danych na obcej stronie. W tym przypadku najbezpieczniejszy odruch to zatrzymać się na chwilę, sprawdzić nadawcę i nie klikać w nic, co pachnie pośpiechem.

na podstawie: Starostwo Powiatowe w Kielcach.