AntiBaitby FluenceSecurity

Ostrzeżenie · urzędy i podatki

Fałszywe wiadomości „z urzędu”: mObywatel, ePUAP, gov.pl i zwrot podatku

Przestępcy podszywają się pod mObywatela, Krajową Administrację Skarbową i inne urzędy. Obiecują zwrot podatku, piszą o nowej wiadomości w skrzynce, nieopłaconym mandacie albo wygasających danych. Link prowadzi do strony, która tylko wygląda jak serwis rządowy, i wyłudza dane karty, login do banku albo dane logowania do Profilu Zaufanego.

Ostatnia weryfikacja:

Jak wygląda fałszywa wiadomość „z urzędu”

CERT Polska i urzędy regularnie ostrzegają przed kolejnymi kampaniami. Najczęstsze schematy:

  • SMS lub e-mail o zwrocie podatku, często z konkretną kwotą i prośbą o potwierdzenie rachunku bankowego „w ciągu 48 godzin” (podatki.gov.pl, CERT Polska). Link prowadzi do podróbki podatki.gov.pl lub e-Urzędu Skarbowego, która wyłudza dane osobowe i dane karty płatniczej (CERT Polska, CERT Polska).
  • SMS o nowej wiadomości w skrzynce mObywatela. Link prowadzi na fałszywe strony podszywające się pod strony rządowe (gov.pl).
  • Wiadomość z wizerunkiem mObywatela o nieopłaconym mandacie drogowym, z groźbą konsekwencji prawnych, dodatkowych opłat i gorszej historii kredytowej. Strona prosi o numer rejestracyjny pojazdu, a potem o dane karty (CERT Polska).
  • SMS o konieczności aktualizacji danych, bo ich „ważność wygasa”. Strona ma przypominać serwis z domeną gov.pl, a wyłudza login i hasło do bankowości elektronicznej (CERT Polska).
  • Fałszywa „notyfikacja” rzekomo od KAS lub Ministerstwa Finansów z linkiem do fałszywego formularza logowania do Profilu Zaufanego (gov.pl).
Przykładowy schemat · SMSIlustracja, nie prawdziwa wiadomość
Od
+48 5xx xxx xxx

Przysluguje Ci zwrot podatku w wysokosci 412,60 zl. Potwierdz numer rachunku w ciagu 48h, inaczej zwrot przepadnie: gov-pl-zwrot[.]xyz

Przykładowy schemat · SMSIlustracja, nie prawdziwa wiadomość
Od
+48 7xx xxx xxx

Masz nieoplacony mandat. Uniknij dodatkowych oplat i wpisu do rejestru dluznikow: mobywatel-mandaty[.]xyz

Typowe sztuczki

„gov.pl” w środku adresu

Witryny rządowe mają domenę gov.pl (gov.pl), czyli ich adres kończy się na .gov.pl, np. podatki.gov.pl. Fałszywy adres może zawierać „gov” albo „gov-pl” gdzieś w środku, ale kończy się inaczej.

Termin „48 godzin”

Krótki termin i groźba, że zwrot przepadnie albo naliczą się opłaty, mają skłonić do działania bez sprawdzania (podatki.gov.pl).

Konkretna kwota

Dokładna suma zwrotu brzmi wiarygodnie i kusi. CERT Polska opisał masową kampanię SMS-ową, w której oszuści obiecywali konkretne kwoty (CERT Polska).

Dane karty „do zwrotu”

Rachunek do zwrotu nadpłaty wskazuje się w zeznaniu podatkowym (podatki.gov.pl) — nie przez link z SMS-a. Strona, która prosi o dane karty, żeby „wypłacić zwrot”, to oszustwo.

Straszenie konsekwencjami

Fałszywe „mandaty” grożą konsekwencjami prawnymi, dodatkowymi opłatami i wpływem na historię kredytową (CERT Polska).

Podszyty nadawca SMS

Operatorzy muszą blokować fałszywe nadpisy (nazwy nadawcy SMS), przez które oszuści podszywają się pod podmioty publiczne (gov.pl). Nazwy takie jak mObywatel, ePUAP czy gov.pl są zarezerwowane (wykaz CERT Polska). Mimo to oceniaj treść i link, nie tylko nadawcę.

Jak działają prawdziwe urzędy

Tak piszą o tym same instytucje:

  • Krajowa Administracja Skarbowa: „KAS nie wysyła wiadomości e-mail lub SMS z prośbą o potwierdzenie numeru konta bankowego” (podatki.gov.pl).
  • Informacje o rozliczeniu i zwrocie znajdziesz w e-Urzędzie Skarbowym — zaloguj się do niego samodzielnie, zaczynając od strony podatki.gov.pl wpisanej ręcznie (podatki.gov.pl). Pytania o podatki możesz zadać w Krajowej Informacji Skarbowej: 22 330 03 30.
  • Zwrot nadpłaty trafia na rachunek wskazany w zeznaniu podatkowym (podatki.gov.pl).
  • Witryny rządowe mają domenę gov.pl. mObywatel nie udostępnia też żadnych usług umożliwiających zarabianie pieniędzy (Ministerstwo Cyfryzacji).
  • „Wejdź na stronę instytucji samodzielnie i sprawdź, czy przesłana informacja jest prawdziwa” (gov.pl).

Co zrobić, jeśli kliknięto link lub podano dane

Liczy się to, co wpisano na fałszywej stronie: dane karty, logowanie do banku czy do Profilu Zaufanego. Działaj od razu.

  1. Natychmiast zadzwoń do banku

    Jeśli na fałszywej stronie wpisano dane karty lub logowania albo zatwierdzono płatność, zadzwoń do banku od razu — na numer z odwrotu karty lub z oficjalnej strony banku — i poproś o zablokowanie karty i dostępu do konta. Kartę zastrzeżesz też pod numerem (+48) 828 828 828 (ZBP). Liczy się każda minuta.

  2. Zmień hasło do Profilu Zaufanego i banku

    Jeśli na fałszywej stronie logowano się do Profilu Zaufanego lub bankowości elektronicznej, zmień hasło w prawdziwym serwisie, wpisując adres samodzielnie. Jeśli do Profilu Zaufanego logujesz się przez bank, zgłoś sprawę bankowi.

  3. Zastrzeż numer PESEL

    Jeśli przestępcy mogli poznać Twój PESEL lub dane dowodu osobistego, zastrzeż PESEL w aplikacji mObywatel, na gov.pl albo w urzędzie gminy. Usługa jest bezpłatna, a banki muszą sprawdzać zastrzeżenie przed udzieleniem kredytu (gov.pl).

  4. Przekaż SMS na numer 8080

    To bezpłatny numer CERT Polska do zgłaszania podejrzanych SMS-ów. Użyj opcji „Przekaż” i wyślij całą wiadomość w oryginalnej formie, bez wycinania linku. Niebezpieczne strony CERT Polska dopisuje do Listy Ostrzeżeń, z której korzysta wielu operatorów, by blokować do nich dostęp.

  5. Zgłoś stronę lub e-mail do CERT Polska

    Podejrzaną stronę zgłosisz w formularzu incydent.cert.pl/phishing, a e-mail możesz przesłać na adres [email protected].

  6. Zgłoś oszustwo na policji

    Jeśli doszło do straty, złóż zawiadomienie w dowolnej jednostce policji albo w prokuraturze (gov.pl: Zgłoś przestępstwo). Zachowaj SMS-y, e-maile, zrzuty ekranu i potwierdzenia przelewów.

Więcej w poradnikach: co zrobić po kliknięciu linku phishingowego, jak zgłosić phishing.

Sprawdź, zanim klikniesz

Masz podejrzany e-mail? Sprawdź go w AntiBait.

Wklej źródło wiadomości albo prześlij plik .eml lub .msg. AntiBait sprawdzi nadawcę, SPF, DKIM i DMARC, linki oraz załączniki i wyjaśni werdykt. Podejrzany SMS przekaż na numer 8080.

Sprawdź e-mailWszystkie ostrzeżenia

Źródła

Opis oparty na publicznych komunikatach CERT Polska, instytucji i firm, pod które podszywają się przestępcy. Wymienione firmy i instytucje nie są nadawcami tych wiadomości — przestępcy podszywają się pod nie.

Inne ostrzeżenia